Ein Mitarbeiter unterstützt für einige Wochen das Exchange-Team und erhält dafür zusätzliche Administratorrechte. Monate später arbeitet er längst an anderen Aufgaben. Die Berechtigung? Ist noch da. Ein externer Dienstleister beendet sein Projekt, bleibt aber Mitglied einer Teams-Gruppe. Und eine Kollegin wechselt die Abteilung, während alte Zugriffe unbemerkt mitwandern.
Solche Fälle sind selten spektakulär. Genau das macht sie gefährlich. Berechtigungen sammeln sich schleichend an, bis kaum noch nachvollziehbar ist, wer worauf zugreifen darf – und vor allem warum. Microsoft Entra Access Reviews schaffen hier einen regelmäßigen Kontrollpunkt: Unternehmen können bestehende Zugriffsrechte strukturiert überprüfen, bestätigen und bei Bedarf entziehen. Doch möglichst viele Reviews einzurichten, ist nicht automatisch die beste Lösung. Entscheidend ist, welche Zugriffe geprüft werden, wer sie bewertet und wie häufig das geschieht.
Was sind Microsoft Entra Access Reviews?
Microsoft Entra Access Reviews sind einmalige oder wiederkehrende Zugriffsüberprüfungen innerhalb von Microsoft Entra ID Governance. Damit können Unternehmen kontrollieren, ob Benutzer weiterhin bestimmte Gruppenmitgliedschaften, Anwendungen, Access Packages oder privilegierte Rollen benötigen. Nicht mehr benötigte Zugriffe können anschließend entfernt werden.
Der Grundgedanke ist einfach: Eine Berechtigung sollte nicht deshalb für immer bestehen bleiben, weil sie irgendwann einmal sinnvoll war.
Unternehmen können einmalige oder wiederkehrende Kontrollpunkte einrichten. Wiederkehrende Reviews sind beispielsweise wöchentlich, monatlich, quartalsweise oder jährlich möglich.
Reviewer entscheiden anschließend, ob der jeweilige Zugriff weiterhin benötigt wird. Je nach Konfiguration können die Ergebnisse auf die bestehenden Berechtigungen angewendet werden. Damit werden Access Reviews vor allem dort interessant, wo Berechtigungen nicht statisch sind – also praktisch in jeder größeren Microsoft-Umgebung.
Warum Berechtigungen ohne regelmäßige Reviews zum Risiko werden
In der Praxis entsteht das Problem selten dadurch, dass jemand bewusst viel zu viele Rechte vergibt. Viel häufiger wachsen Berechtigungen mit den Aufgaben eines Mitarbeiters.
Ein typisches Beispiel aus der Praxis: Ein Mitarbeiter erhält für eine bestimmte Aufgabe Exchange-Administratorrechte. Später übernimmt er SharePoint-Aufgaben und bekommt weitere Berechtigungen. Die ursprüngliche Aufgabe fällt weg, die alten Rechte werden jedoch nicht entfernt. Nach einigen Jahren besitzt die Person deutlich mehr Zugriffe, als für ihre aktuelle Tätigkeit erforderlich wären.
Dieses schleichende Ansammeln von Rechten wird häufig als Permission Creep oder Access Creep bezeichnet.
Wenn alte Zugriffe einfach mitwandern
Besonders anschaulich wird das bei Projektarbeit. Ein Mitarbeiter benötigt während eines Projekts Zugriff auf ein bestimmtes Team oder eine SharePoint-Site. Nach Projektende arbeitet er längst für einen anderen Kunden, bleibt aber Mitglied der ursprünglichen Gruppe. Technisch funktioniert alles weiterhin wie vorgesehen – organisatorisch besteht jedoch kein Grund mehr für den Zugriff.
Ohne geregelten Prozess muss jemand daran denken, solche Rechte manuell zu entfernen. Und genau das funktioniert in gewachsenen IT-Umgebungen nicht immer zuverlässig.
Experteneinschätzung
Tim Matthes, Microsoft 365 Administrator bei jovoco„Berechtigungen sind schnell vergeben. Die eigentliche Herausforderung ist, regelmäßig zu prüfen, ob sie Monate oder Jahre später noch gebraucht werden.“
Externe Nutzer verdienen besondere Aufmerksamkeit
Ähnliches gilt für Dienstleister und Gastnutzer. Während eines Projekts benötigen sie vielleicht Zugriff auf Teams, Anwendungen oder sogar administrative Funktionen. Nach Projektende kann der Account trotzdem bestehen bleiben.
Microsoft sieht Access-Review-Szenarien für Gäste ausdrücklich vor. So können beispielsweise Gruppen mit Gastmitgliedern oder Anwendungen mit zugewiesenen Gastnutzern regelmäßig überprüft werden.
Aus der Praxis gilt deshalb: Besonders kritisch sind nicht nur neu vergebene Rechte. Problematisch sind Zugriffe, bei denen nach einiger Zeit niemand mehr sicher sagen kann, warum sie überhaupt existieren.
Was lässt sich mit Access Reviews überprüfen?
Microsoft Entra Access Reviews sind nicht auf klassische Benutzergruppen beschränkt. Abhängig vom jeweiligen Szenario lassen sich verschiedene Zugriffsarten überprüfen.
| Bereich | Typischer Anlass für einen Review |
| Security- und Microsoft-365-Gruppen | Prüfen, ob Mitgliedschaften weiterhin erforderlich sind |
| Enterprise Applications | Nicht mehr benötigte Anwendungszugriffe erkennen |
| Microsoft-Entra-Rollen | Privilegierte administrative Berechtigungen kontrollieren |
| Azure-Ressourcenrollen | Rollen über Privileged Identity Management überprüfen |
| Access Packages | Zuweisungen aus Entitlement Management erneut bestätigen |
| Gastnutzer | Externe Zugriffe innerhalb von Gruppen und Anwendungen überprüfen |
Je nach Szenario können festgelegte Reviewer, Gruppenbesitzer oder die Benutzer selbst eingesetzt werden. Bei Custom Data Resources stehen im Preview-Kontext auch Manager als Reviewer zur Verfügung.
Wichtig ist die Einordnung bei Gastnutzern: „Gastzugriff“ ist nicht einfach eine zusätzliche Ressourcenart. Stattdessen können etwa Gruppen mit Gastmitgliedern oder Anwendungen mit zugewiesenen Gästen gezielt in Reviews einbezogen werden.
Wie funktionieren Microsoft Entra Access Reviews?
Ein Access Review folgt grundsätzlich einem einfachen Ablauf: Zunächst wird festgelegt, welche Ressource und welche Zugriffe überprüft werden sollen. Anschließend wird bestimmt, wer den Review durchführt und wie lange die Überprüfung läuft. Die Reviewer entscheiden, ob ein Zugriff weiterhin benötigt wird. Nach Abschluss können die Ergebnisse ausgewertet und – abhängig von der Konfiguration – auf die bestehenden Berechtigungen angewendet werden.
- Zugriff auswählen: Welche Gruppe, Anwendung, Rolle oder welches Access Package soll überprüft werden?
- Reviewer bestimmen: Wer kann beurteilen, ob der Zugriff noch benötigt wird?
- Turnus und Frist definieren: Einmalig oder wiederkehrend – und wie lange haben Reviewer Zeit?
- Entscheidung treffen: Zugriff bestätigen, ablehnen oder gegebenenfalls einer Empfehlung folgen.
- Ergebnis anwenden: Nicht mehr benötigte Berechtigungen entfernen und die Entscheidung dokumentieren.
Die technische Einrichtung ist dabei nur ein Teil des Prozesses. Vor dem ersten Review sollte klar sein, wer welche Entscheidung auf welcher Grundlage treffen soll und was anschließend mit dem Ergebnis passiert.
Access Reviews sinnvoll planen und durchführen
Wo sollten Unternehmen mit Access Reviews anfangen?
Wer Access Reviews erstmals einführt, könnte versucht sein, möglichst viele Gruppen und Anwendungen einzubeziehen. Das ist selten der beste Start. Sinnvoller ist ein risikobasiertes Vorgehen.
- Privilegierte Rollen zuerst prüfen
An erster Stelle stehen Berechtigungen mit besonders großem Schadenspotenzial. Dazu gehören beispielsweise Global Administrators und andere privilegierte Rollen. Rollen in Microsoft Entra und Azure können über Privileged Identity Management regelmäßig überprüft werden. Aus unserer Praxissicht würden wir bei einer neuen Umgebung deshalb zuerst die administrativen Berechtigungen betrachten.
2. Externe Zugriffe kontrollieren
Danach sind externe Nutzer interessant: Welche Dienstleister besitzen noch Accounts? Welche Gäste befinden sich weiterhin in Teams und Gruppen? Besteht der ursprüngliche geschäftliche Grund für ihren Zugriff überhaupt noch?
Gerade hier können Reviews Lücken klassischer Joiner-Mover-Leaver-Prozesse schließen.
3. Sensible Daten und Projekte priorisieren
Anschließend lohnt sich der Blick auf Gruppen, Anwendungen und Ressourcen mit erhöhtem Schutzbedarf. Eine allgemeine Gruppe mit unkritischen Informationen muss nicht zwingend mit derselben Intensität überprüft werden wie der Zugriff auf sensible Kunden-, Personal- oder Unternehmensdaten.
Die zentrale Regel lautet: Je größer der mögliche Schaden eines nicht mehr notwendigen Zugriffs, desto höher sollte die Priorität des Reviews sein.
Mit einem überschaubaren Scope zu starten, erleichtert die Einführung: Privilegierte Administratorrollen können beispielsweise ein sinnvoller erster Anwendungsfall sein. So sammelt die eigene IT zunächst Erfahrung mit dem Prozess.
Nach den ersten Erfahrungen lässt sich der Scope schrittweise erweitern – etwa um externe Zugriffe, sensible Projektgruppen, Anwendungen und weitere Ressourcen.
Wer sollte einen Access Review durchführen?
Nicht jeder Zugriff lässt sich von derselben Person sinnvoll beurteilen. Bei einer fachlichen Projektgruppe weiß beispielsweise der Gruppenbesitzer oder die zuständige Führungskraft häufig besser als die zentrale IT, welche Mitarbeiter noch Zugriff benötigen. Bei administrativen Rollen oder Azure-Ressourcen ist dagegen technisches Wissen entscheidender.
Microsoft unterstützt unterschiedliche Modelle: Bei Gruppen können festgelegte Personen, Gruppenbesitzer oder die Benutzer selbst reviewen. Bei Entra- und Azure-Rollen sind festgelegte Reviewer und Self-Reviews über PIM möglich.
Self-Reviews können den Aufwand reduzieren. Bei kritischen Berechtigungen sollte jedoch geprüft werden, ob die betroffene Person selbst die geeignete Kontrollinstanz ist.
Für Manager oder Resource Owner können je nach Szenario Fallback-Reviewer sinnvoll sein, damit ein Review nicht an Urlaub, Krankheit oder fehlender Zuständigkeit hängen bleibt.
Der beste Reviewer ist nicht automatisch die IT-Abteilung, sondern die Person, die tatsächlich beurteilen kann, ob der Zugriff fachlich oder technisch noch notwendig ist. Entscheiden Sie dies für jeden Bereich vorab.
Wie häufig sollten Access Reviews stattfinden?
Wöchentlich, monatlich, quartalsweise oder jährlich – technisch lassen sich unterschiedliche wiederkehrende Intervalle abbilden. Welche Frequenz sinnvoll ist, lässt sich daraus allerdings nicht ableiten.
Aus unserer Praxissicht sollte sich der Turnus am Risiko orientieren. Bei permanent vergebenen privilegierten Rollen kann beispielsweise eine Überprüfung alle zwei bis drei Monate sinnvoll sein. Bei über PIM verwalteten Berechtigungen, bei denen Benutzer lediglich für eine Rolle berechtigt sind und diese bei Bedarf aktivieren, kann ein längerer Turnus ausreichen. Für sensible Projektgruppen hängt die Frequenz wiederum von Schutzbedarf, Nutzerzahl und Veränderungsgeschwindigkeit ab.
Warum mehr Reviews nicht automatisch mehr Sicherheit bedeuten
Nicht jede Berechtigung muss monatlich überprüft werden. Häufigkeit und Aufwand sollten zum jeweiligen Risiko passen.
Ein häufiger Review klingt zunächst besonders sicher. In der Praxis kann er aber das Gegenteil bewirken. Muss eine Führungskraft jeden Monat 50 Mitgliedschaften kontrollieren, besteht die Gefahr, dass der Review irgendwann nur noch routinemäßig bestätigt wird. Bei einer Gruppe mit fünf Personen kann dieselbe Aufgabe dagegen innerhalb weniger Minuten sorgfältig erledigt werden.
Das Stichwort lautet Review Fatigue. Microsoft unterstützt Reviewer teilweise mit Entscheidungshilfen, etwa auf Basis von Inaktivität oder Auffälligkeiten bei Gruppenzugehörigkeiten. Bestimmte erweiterte Empfehlungen setzen zusätzliche Governance-Lizenzierung voraus.
Ein Access Review ist letztlich nur so gut wie die Aufmerksamkeit, mit der er durchgeführt wird. Deshalb ist ein durchdachter Turnus wichtiger als die maximal mögliche Frequenz.
Fünf Fragen vor dem ersten Access Review
- Was soll überprüft werden? Geht es um eine Gruppe, eine Anwendung, eine administrative Rolle oder ein Access Package?
- Wessen Zugriff steht zur Prüfung? Alle Mitglieder, ausschließlich Gäste oder eine bestimmte Gruppe von Benutzern?
- Wer kann die Notwendigkeit wirklich beurteilen? IT, Gruppenbesitzer, fachlich Verantwortliche oder der Benutzer selbst?
- Wie häufig ist die Prüfung sinnvoll? Der Turnus sollte zum Risiko und zur Veränderungsgeschwindigkeit der Ressource passen.
- Was passiert nach dem Review? Insbesondere für Ablehnungen und ausbleibende Entscheidungen muss eine klare Regel bestehen.
Zusätzlich lohnt sich vor dem Start ein Blick auf die bestehende Gruppen- und Rollenstruktur. Je stärker Berechtigungen über nachvollziehbare Gruppen und Rollen statt individuell an einzelne Benutzer vergeben werden, desto einfacher lässt sich Governance darauf aufbauen.
Wer diese fünf Fragen nicht beantworten kann, sollte mit der technischen Konfiguration noch warten. Sonst entsteht schnell ein automatisierter Prozess, dessen eigentliches Ziel nicht sauber definiert ist.
Was sollte nach einem Access Review passieren?
Ein Review hat wenig Wert, wenn aus der Entscheidung anschließend nichts folgt. Reviewer können Zugriffe bestätigen oder ablehnen. Microsoft ermöglicht außerdem, Ergebnisse nach Abschluss des Reviews automatisiert anzuwenden. Ist Auto-Apply nicht aktiviert, müssen die Ergebnisse manuell umgesetzt werden.
Was passiert, wenn ein Access Review nicht beantwortet wird?
Administratoren können festlegen, welche Entscheidung am Ende der Review-Periode für nicht geprüfte Benutzer gilt – beispielsweise Approve, Deny oder die Übernahme einer Empfehlung. Reviewer können während laufender Reviews zudem erinnert werden.
Aus unserer Sicht sollte die Entscheidung bewusst getroffen werden. Wird ein Access Review für einen kritischen Zugriff eingerichtet, gleichzeitig aber jeder nicht beantwortete Fall dauerhaft zugelassen, verliert der Prozess einen Teil seiner Wirkung.
Eine mögliche Strategie ist deshalb: Keine Bestätigung innerhalb der definierten Frist bedeutet Entzug des Zugriffs. Wird die Berechtigung tatsächlich benötigt, kann sie anschließend wieder beantragt oder vergeben werden. Diese Vorgehensweise ist keine allgemeine Microsoft-Vorgabe, sondern eine risikoorientierte Empfehlung aus der Praxis.
Fristen und Vertretungen sollten zum Arbeitsalltag passen. Urlaub oder Krankheit dürfen nicht unnötig zum Rechteentzug führen; Verantwortlichkeiten und Ersatz-Reviewer sollten deshalb vorab geklärt sein.
Legen Sie deshalb bereits vor dem ersten Review fest, was bei Ablehnung oder ausbleibender Reaktion passiert.
Die häufigsten Fehler bei Access Reviews
Zu viele Reviews auf einmal:
Wer sofort jede Gruppe und Anwendung regelmäßig überprüfen möchte, produziert schnell unnötigen Aufwand. Besser ist ein risikobasierter Einstieg.
Die falschen Reviewer:
Eine Person sollte nur Zugriffe beurteilen, deren Notwendigkeit sie tatsächlich einschätzen kann. Bei fachlichen Gruppen ist das häufig nicht die zentrale IT.
Reviews ohne klare Konsequenz:
Vor dem Start sollte definiert sein, was bei Ablehnung, fehlender Reaktion oder widersprüchlichen Entscheidungen passiert.
Unpassende Frequenzen:
Kritische administrative Rechte und eine unkritische Informationsgruppe benötigen nicht denselben Turnus.
Access Reviews als Allheilmittel:
Berechtigungen können grundsätzlich auch manuell überprüft werden. Access Reviews machen diesen Prozess vor allem strukturierter, wiederholbarer und besser nachvollziehbar. Wenn grundlegende Sicherheitsmaßnahmen fehlen, sind Access Reviews deshalb nicht zwangsläufig die erste Priorität.
Access Reviews für IT-Sicherheit, Governance und Compliance
Access Reviews unterstützen das Least-Privilege-Prinzip: Benutzer sollen nur diejenigen Berechtigungen besitzen, die sie für ihre aktuellen Aufgaben benötigen.
Das reduziert nicht nur unnötige Zugriffe. Regelmäßige Reviews schaffen gleichzeitig einen dokumentierten Prozess dafür, dass Berechtigungen tatsächlich hinterfragt werden. Für Audits kann insbesondere die Nachvollziehbarkeit interessant sein: Wer hat einen Zugriff geprüft? Welche Entscheidung wurde getroffen? Wann fand die Überprüfung statt?
Microsoft Entra stellt dafür eine Access Review History bereit. Unternehmen, die Review-Nachweise über die von Microsoft bereitgestellte Aufbewahrungsdauer hinaus benötigen, sollten die Daten rechtzeitig exportieren und ein eigenes Archivierungskonzept vorsehen.
Auch im Kontext von Anforderungen wie NIS2 oder ISO 27001 kann ein strukturiertes Berechtigungsmanagement relevant sein. Access Reviews sollten dabei aber nicht als Compliance-Abkürzung verstanden werden. Die Einführung eines Features macht ein Unternehmen nicht automatisch NIS2- oder ISO-27001-konform.
Sie können vielmehr ein technischer und organisatorischer Baustein sein, um die regelmäßige Kontrolle von Zugriffsrechten strukturiert umzusetzen und nachweisbarer zu machen.
Welche Lizenzen benötigen Microsoft Entra Access Reviews 2026?
Stand: August 2026. Bei der Lizenzierung lohnt sich ein genauer Blick. Eine einfache Aussage wie „Für Access Reviews reicht Entra ID P2“ greift für den heutigen Funktionsumfang zu kurz.
Microsoft nennt für Access Reviews Microsoft Entra ID Governance beziehungsweise Microsoft Entra Suite als zentrale Governance-Lizenzierung. Gleichzeitig können einzelne klassische Access-Review-Funktionen weiterhin mit Microsoft Entra ID P2 verfügbar sein. Welche Lizenz tatsächlich benötigt wird, hängt deshalb vom konkreten Review-Szenario und den eingesetzten Funktionen ab.
Bestimmte erweiterte Funktionen – beispielsweise spezielle Empfehlungen oder weitergehende Governance-Szenarien – setzen Microsoft Entra ID Governance voraus. Auch bei Gastnutzern und Access Packages sollte der konkrete Lizenzbedarf anhand des geplanten Einsatzes geprüft werden.
Für die Praxis bedeutet das: Zuerst sollte klar sein, welche Ressourcen, Benutzer und Funktionen in die Access Reviews einbezogen werden sollen. Anschließend lässt sich die dafür erforderliche Lizenz prüfen.
Da Microsoft Lizenzmodelle und Funktionsumfänge weiterentwickelt, sollte diese Prüfung unmittelbar vor der Einführung anhand der aktuellen Microsoft-Dokumentation erfolgen.
Für die Einführung braucht es kein riesiges Governance-Projekt. Ein kleiner, klar abgegrenzter Start ist häufig sinnvoller. So entsteht kein Governance-Prozess, der auf dem Papier hervorragend aussieht, im Alltag aber niemand konsequent nutzt. Stattdessen wächst er gemeinsam mit den tatsächlichen Anforderungen des Unternehmens.
Fazit: Berechtigungen sollten ein Ablaufdatum haben
Berechtigungen entstehen meistens aus einem guten Grund. Das Problem beginnt, wenn dieser Grund verschwindet und der Zugriff bleibt.
Genau hier setzen Microsoft Entra Access Reviews an. Sie schaffen einen wiederkehrenden Kontrollpunkt, an dem Unternehmen hinterfragen können, ob Benutzer, Gäste oder Administratoren bestimmte Zugriffe weiterhin benötigen. Besonders sinnvoll ist das bei privilegierten Rollen, externen Nutzern und sensiblen Ressourcen.
Dabei gilt jedoch nicht: mehr Reviews gleich mehr Sicherheit. Entscheidend ist vielmehr, die richtigen Zugriffe von den richtigen Personen in einem sinnvollen Turnus überprüfen zu lassen. Wer mit den kritischsten Berechtigungen beginnt, Verantwortlichkeiten sauber definiert und Konsequenzen aus den Ergebnissen ableitet, schafft einen Governance-Prozess, der auch im Alltag funktioniert.
Sie möchten herausfinden, welche Berechtigungen in Ihrer Microsoft-Umgebung regelmäßig überprüft werden sollten und wie sich Microsoft Entra Access Reviews sinnvoll aufsetzen lassen? In einem unverbindlichen Erstgespräch schauen wir gemeinsam auf Ihre Ausgangssituation und die passenden nächsten Schritte.
___
Für die Einführung braucht es kein riesiges Governance-Projekt. Im Gegenteil: Ein kleiner, klar abgegrenzter Start ist häufig sinnvoller.
- Kritische Zugriffe identifizieren. Beginnen Sie beispielsweise mit privilegierten Rollen, externen Accounts und Ressourcen mit besonders hohem Schutzbedarf.
- Bestehende Struktur prüfen. Eine saubere Gruppen- und Rollenstruktur erleichtert die Einführung. Je stärker Berechtigungen über nachvollziehbare Gruppen und Rollen statt individuell an einzelne Benutzer vergeben werden, desto einfacher lässt sich Governance darauf aufbauen.
- Verantwortliche Reviewer festlegen. Entscheiden Sie für jeden Bereich, wer wirklich beurteilen kann, ob ein Zugriff weiterhin erforderlich ist.
- Einen risikogerechten Turnus wählen. Nicht jede Berechtigung muss monatlich überprüft werden. Häufigkeit und Aufwand sollten zum Risiko passen.
- Konsequenzen definieren. Legen Sie bereits vor dem ersten Review fest, was bei Ablehnung oder ausbleibender Reaktion passiert.
- Mit einem überschaubaren Scope starten. Privilegierte Administratorrollen können beispielsweise ein sinnvoller erster Anwendungsfall sein. So sammelt die eigene IT zunächst Erfahrung mit dem Prozess.
- Schrittweise erweitern. Nach den ersten Erfahrungen können externe Zugriffe, sensible Projektgruppen, Anwendungen und weitere Ressourcen hinzukommen.
So entsteht kein Governance-Prozess, der auf dem Papier hervorragend aussieht, im Alltag aber niemand konsequent nutzt. Stattdessen wächst er gemeinsam mit den tatsächlichen Anforderungen des Unternehmens.
