Microsoft stellt im Entra-Oktober-Blog neue Gerätesignale für Universal Continuous Access Evaluation (CAE) in Global Secure Access vor. Die Erweiterung ist als Public Preview gekennzeichnet. Wird ein verwendetes Gerät deaktiviert, gelöscht oder nicht mehr als konform bewertet, kann eine erneute Authentifizierung ausgelöst werden. Für Unternehmen mit 10 bis 250 Arbeitsplätzen, die Global Secure Access bereits einsetzen, ergibt sich daraus eine konkrete technische Prüfung: Führt ein veränderter Gerätezustand tatsächlich zur gewünschten Zugriffsbeschränkung? Ein erkanntes Ereignis allein ist noch keine wirksame Sperrregel.
Was Universal CAE am Netzwerkzugriff verändert
Global Secure Access verwendet Entra-Zugriffstoken zur Authentifizierung seiner Tunnel. Laut Microsoft sind diese normalerweise 60 bis 90 Minuten gültig. Universal CAE übermittelt relevante Änderungen zusätzlich an den Dienst und fordert eine erneute Authentifizierung an, bevor das Token regulär abläuft. Die Anwendung selbst muss dafür CAE nicht unterstützen, sofern der Zugriff über Global Secure Access erfolgt. Das ergänzt die Steuerung über Microsoft Entra ID; es ersetzt weder die Berechtigungen der Anwendung noch eine vollständige Prüfung der Verkehrswege.
- Benutzersignale umfassen unter anderem deaktivierte Konten und einen ausdrücklich ausgelösten Widerruf von Aktualisierungstoken.
- Hohes Benutzerrisiko gehört ebenfalls zu den dokumentierten Auslösern.
- Die Gerätesignale für gelöschte oder deaktivierte Geräte befinden sich in der Preview.
- Auch ein nicht konformer Gerätezustand ist als Preview-Auslöser dokumentiert.
Warum passende Richtlinien entscheidend bleiben
Microsoft weist ausdrücklich darauf hin, dass Gerätekonformität und Benutzerrisiko mit der entsprechenden Conditional-Access-Richtlinie zusammenwirken müssen. Fehlt diese, kann die Neuanmeldung still erfolgen; dann gibt es keinen Mechanismus, der auf das CAE-Ereignis mit der beabsichtigten Einschränkung reagiert. Das ist der wichtigste Unterschied zwischen einem vorhandenen Signal und nachgewiesener Durchsetzung. Als Beispiel nennt Microsoft für Internetressourcen über Global Secure Access die Anforderung eines konformen Geräts. Für hohes Benutzerrisiko nennt die Dokumentation eine Richtlinie zur Risikobehebung. Die konkrete Zielressource und die wirksamen Zuweisungen sind deshalb Bestandteil des Reviews von Conditional Access, nicht bloß der Clientinstallation.
Fristen und angemessene Priorität
Der Oktober-Blog nennt für diese Erweiterung keine Abschaltfrist und keinen verpflichtenden Umstellungstermin. Ein genauer Einführungstag der Gerätesignale lässt sich daraus ebenfalls nicht ableiten. Für bestehende GSA-Umgebungen empfehlen wir daher einen abgegrenzten Funktionstest im nächsten freigegebenen Änderungsfenster, keinen übereilten flächendeckenden Rollout. Diese Reihenfolge ist ein Arbeitsvorschlag von ReByteIT, keine Microsoft-Frist. Unternehmen ohne Global Secure Access müssen aus dieser Meldung keine sofortige Einführungsentscheidung ableiten. Gegenstand ist die technische Wirksamkeit vorhandener Zugriffsregeln, nicht eine Empfehlung zu Beschaffung oder Lizenzierung.
Unterstützte Clients und Grenzen berücksichtigen
Die aktuelle Microsoft-Liste der Einschränkungen nennt Universal CAE nur für den Windows-Client ab Version 1.8.239.0. Clients anderer Plattformen verwenden reguläre Zugriffstoken. Außerdem beschreibt Microsoft Universal CAE standardmäßig als opportunistisch: Kann kein CAE-Token bezogen werden, kann ein reguläres Token ausgestellt werden. Deshalb darf eine erfolgreiche Anmeldung nicht als Nachweis für CAE-Schutz gelten. Auch eine garantierte sofortige Trennung sollte nicht versprochen werden; Microsoft beschreibt Signallaufzeiten und Authentifizierungsaufforderungen. Dokumentieren Sie im Pilot die tatsächlich beobachteten Zeiten und prüfen Sie den erreichten Sperrzustand. Bei Private Access werden Conditional-Access-Regeln auf Anwendungsebene für Quick Access beziehungsweise die jeweiligen GSA-Apps angewendet, nicht pauschal auf das Verkehrsprofil.
Konkrete nächste Schritte für den Pilot
Für einen aussagekräftigen Test empfehlen wir eine kontrollierte Testidentität, ein Testgerät und ein eindeutig benanntes Ziel. Veränderungen an produktiven Geräteobjekten sind dafür nicht erforderlich. Legen Sie vorab fest, wer den Ausgangszustand wiederherstellt und welche Unterbrechung im Test akzeptabel ist. Entscheidend ist ein reproduzierbarer Vergleich vor und nach der Änderung, damit das Ergebnis nicht nur auf einer einzelnen beobachteten Anmeldung beruht.
- Clientplattform, Versionsstand und tatsächlich durch Global Secure Access geführte Zielverbindungen erfassen.
- Die wirksame Conditional-Access-Richtlinie einschließlich Zielressource, Zuweisungen und Ausnahmen dokumentieren.
- Am Testgerät einen vorgesehenen Gerätezustandswechsel kontrolliert auslösen und die Ausgangslage festhalten.
- Neuanmeldung, erneuten Zielzugriff und verbleibende Verbindungen beobachten; eine Benachrichtigung allein genügt nicht.
- Ergebnisse, zeitlichen Verlauf und Wiederherstellung protokollieren, bevor eine breitere technische Änderung freigegeben wird.
Offizielle Microsoft-Quellen
- Microsoft Entra Blog: What’s new in Microsoft Entra, Oktober 2026
- Microsoft Learn: Universal CAE, Auslöser und erforderliche Richtlinien
- Microsoft Learn: bekannte Einschränkungen für Global Secure Access
Ob Ihre bestehenden Regeln Gerätezustand und Netzwerkzugriff nachvollziehbar zusammenführen, prüfen wir im Microsoft Security Assessment. Im Mittelpunkt stehen technische Abdeckung, überprüfbare Zugriffsergebnisse und ein kontrollierter Pilot, nicht Lizenzberatung.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
