WithSecure Identity Security Entra ID 2026: Praxisleitfaden

Ein gestohlenes Microsoft-365-Passwort bleibt oft tagelang unbemerkt, weil native Login-Regeln nur den Anmeldevorgang selbst prüfen – nicht das, was danach im Verzeichnisdienst passiert. WithSecure Identity Security Entra ist eine Identity-Threat-Detection-Lösung für Microsoft Entra ID: Sie überwacht kontinuierlich Anmeldungen und Rechteänderungen und schlägt Alarm, bevor aus einem gestohlenen Passwort ein vollständiger Datenabfluss wird. Dieser Praxisleitfaden zeigt, welche Angriffe die Lösung zusätzlich zu Identity & Access abdeckt, wie WithSecure Identity Security eingerichtet wird und was sie kostet. Wer bereits unseren Leitfaden zu Conditional Access für KMU umgesetzt hat, findet hier die Ergänzung für die Erkennung nach dem Login.

Was leistet WithSecure Identity Security Entra im Alltag?

WithSecure Identity Security Entra verbindet sich per API direkt mit Microsoft Entra ID (vormals Azure AD). Die Lösung erfasst Anmeldungen, Rechteänderungen und Konfigurationsänderungen im Verzeichnisdienst und bewertet sie in Echtzeit auf verdächtige Muster. Anders als ein klassisches Endpoint-Tool schützt sie keinen einzelnen Rechner. Sie schützt die Identitätsebene selbst – also genau die Ebene, über die Angreifer nach einem erfolgreichen Phishing-Versuch häufig weiterziehen. Hersteller ist WithSecure, ein finnischer Anbieter mit Fokus auf europäische Mittelstandskunden. Details zu Architektur und Erkennungslogik liefert das offizielle WithSecure-Datasheet.

Wie schützt WithSecure Identity Security Microsoft Entra ID-Konten?

Die Lösung kombiniert mehrere Erkennungssignale – etwa Anmelde-Risikobewertungen, ungewöhnliche App-Registrierungen und verdächtige Berechtigungsänderungen – zu einem Gesamtscore. Erst wenn mehrere Indikatoren gemeinsam auftreten, löst sie einen Alarm aus. Das senkt Fehlalarme spürbar. Bei bestätigtem Risiko kann die Lösung automatisiert die Sitzung beenden, ein Passwort-Reset erzwingen oder den Zugriff vollständig sperren.

Praxisbeispiel: Was nach einem gestohlenen Passwort passiert

Ein Mitarbeiter klickt auf eine gefälschte Login-Seite, sein Passwort landet beim Angreifer. Die native Anmelde-Regel schlägt nicht an, weil Gerät und Standort unauffällig wirken. In den folgenden Stunden legt der Angreifer eine neue App-Registrierung an. Er vergibt ihr weitreichende Mail-Leserechte und benennt sie so, dass sie im Audit-Log wie ein echter Microsoft-Dienst aussieht. Ohne kontinuierliche Überwachung bleibt dieser Schritt oft tagelang unbemerkt – erst ein ungewöhnlicher Datenabfluss oder eine Kundenbeschwerde deckt den Vorfall auf. Die Kombination aus Anmelde-Risikoscore und Erkennung getarnter App-Registrierungen greift hier deutlich früher: Sie löst einen Alarm aus, bevor der Angreifer die neuen Rechte tatsächlich nutzt.

Welche Angriffe übersehen native Entra-ID-Tools?

Microsoft Entra ID bringt mit Conditional Access und optional Entra ID Protection (P2-Lizenz) bereits solide Basisschutzmechanismen mit. Die folgenden Lücken bleiben dabei typischerweise bestehen:

• Token-Diebstahl nach erfolgreichem Login: Ein gestohlenes Sitzungs-Token umgeht die Passwortabfrage komplett – native Regeln greifen hier oft zu spät.
• Privilegien-Eskalation: Neue Anwendungsregistrierungen oder zusätzliche Anmeldeinformationen an Service Principals (der technischen Identität einer App in Entra ID) fallen im Standard-Audit-Log kaum auf.
• Password-Spraying über lange Zeiträume: Verteilte Anmeldeversuche mit wenigen Versuchen pro Konto unterschreiten häufig die Schwellenwerte klassischer Lockout-Regeln.
• Tarnung durch ähnliche Namen: Angreifer legen Service Principals mit Namen an, die echten Microsoft-Diensten ähneln, um Audit-Reviews zu täuschen.

Wer bereits eine Entra-ID-P2-Lizenz besitzt, kann die Risikoberichte aus Entra ID Protection zusätzlich einspeisen – WithSecure reichert diese Signale dann mit eigener Verhaltensanalyse an, statt sie nur weiterzureichen.

Unsicher, ob die eigene Entra-ID-Umgebung diese Lücke hat? Der Produktberater prüft das kostenlos.

Wie läuft die Einrichtung in der Praxis ab?

Die Einrichtung erfolgt cloud-zu-cloud ohne Agenten-Rollout auf Endgeräten:

1. Registrierung der WithSecure-App in Microsoft Entra ID mit Lesezugriff auf Verzeichnis- und Anmelde-Logs.
2. Verknüpfung mit dem WithSecure-Portal und erste Baseline-Synchronisation der bestehenden Konten und Berechtigungen.
3. Optional: Einbindung der Entra-ID-Protection-Risikoberichte bei vorhandener P2-Lizenz.
4. Festlegung der Reaktionsstufen – automatisiert oder mit Freigabe durch das eigene IT-Team.
5. Laufender Betrieb mit Alarmen im WithSecure-Portal oder per Weiterleitung ins bestehende Monitoring.

Ein Rollout ist damit deutlich schneller umgesetzt als bei Lösungen, die zusätzliche Software auf jedem Endgerät voraussetzen.

Für wen lohnt sich WithSecure Identity Security Entra?

Besonders relevant ist die Lösung für Unternehmen, die Microsoft 365 als zentrale Arbeitsumgebung nutzen und entweder keine Entra-ID-P2-Lizenz besitzen oder deren P2-Funktionen allein nicht ausreichen. Wer bereits den Leitfaden zu Conditional Access für KMU umgesetzt hat, schließt mit WithSecure Identity Security die verbleibende Lücke bei der Erkennung nach dem Login. Für Unternehmen ohne dediziertes SOC ist außerdem relevant, dass sich die automatisierten Reaktionsregeln so konfigurieren lassen, dass keine 24/7-Besetzung notwendig ist, um im Ernstfall schnell zu reagieren.

In der Praxis passt die Lösung vor allem zu drei Konstellationen:

• KMU mit reinem Microsoft-365-Stack, die keine eigene SOC-Mannschaft haben, aber trotzdem eine Alarmierung bei Kontoübernahmen wollen.
• Unternehmen mit sensiblen Fachabteilungen (Finanzbuchhaltung, Personalwesen, Geschäftsführung), deren Konten ein bevorzugtes Angriffsziel für Business Email Compromise sind.
• Betriebe mit hybriden Teams und häufig wechselnden Standorten, bei denen reine Standort- oder Geräteregeln in Conditional Access an ihre Grenzen stoßen, weil sich normales und verdächtiges Verhalten kaum noch anhand des Login-Orts unterscheiden lässt.

Für stark regulierte Branchen mit eigenem Security-Team kann eine vollwertige Identity-Threat-Detection-and-Response-Plattform mit breiterem Funktionsumfang sinnvoller sein. Für den klassischen Mittelstand liefert WithSecure Identity Security Entra jedoch bereits einen spürbaren Sicherheitsgewinn zu überschaubaren Kosten.

Was kostet WithSecure Identity Security für Entra ID?

Die Lösung wird pro Nutzer und Jahr lizenziert, Listenpreis ab 18,92 Euro netto (Stand Juli 2026), mit Staffelpreisen ab höheren Stückzahlen im Konfigurator. Ein konkretes Angebot inklusive Rollout-Beratung liefert der Produktberater von Cyber Shop.

Häufige Fragen zu WithSecure Identity Security für Entra ID

Ersetzt WithSecure Identity Security Conditional Access?

Nein. Conditional Access steuert, wer sich unter welchen Bedingungen anmelden darf. WithSecure Identity Security überwacht zusätzlich, was nach einer erfolgreichen Anmeldung im Verzeichnisdienst passiert, und ergänzt damit die native Zugriffssteuerung.

Braucht man dafür eine Entra-ID-P2-Lizenz?

Nein, die Grundfunktionen laufen auch mit einer P1-Lizenz oder ohne Premium-Lizenz. Eine vorhandene P2-Lizenz erweitert die Erkennung um zusätzliche native Risikoberichte, ist aber keine Voraussetzung.

Wie lange dauert der Rollout?

Da keine Software auf Endgeräten installiert wird, ist die Basis-Einrichtung typischerweise innerhalb weniger Stunden abgeschlossen. Die Feinjustierung der Reaktionsregeln kann je nach Unternehmensgröße zusätzlich mehrere Tage in Anspruch nehmen.

Erkennt die Lösung auch Angriffe auf lokale Active-Directory-Konten?

Nein, der Fokus liegt auf Microsoft Entra ID als Cloud-Verzeichnisdienst. Für hybride Umgebungen mit lokalem Active Directory sind zusätzliche Schutzmaßnahmen auf Server-Ebene sinnvoll.

Kann man Alarme in ein bestehendes SIEM einbinden?

Ja, Alarme lassen sich über das WithSecure-Portal an bestehende Monitoring- und SIEM-Umgebungen weiterleiten, sodass sich Identitäts-Ereignisse zusammen mit anderen Sicherheitsdaten auswerten lassen.

Hilft die Lösung bei der NIS2-Umsetzung?

Sie deckt einen Teilbereich der NIS2-Anforderungen an technisches Risikomanagement ab, konkret die Erkennung und den Umgang mit Sicherheitsvorfällen im Identitätsbereich. Eine vollständige NIS2-Umsetzung erfordert darüber hinaus organisatorische Maßnahmen wie Meldeprozesse und Dokumentation, die die Software allein nicht ersetzt.

Wer nach der Einführung von Conditional Access prüfen möchte, ob die Erkennung nach dem Login noch eine Lücke offenlässt, findet im Produktberater eine kostenlose Einschätzung für die eigene Microsoft-365-Umgebung.