Microsoft Entra Internet Access ist ein identitätszentriertes Secure Web Gateway, das Internet- und SaaS-Zugriff über dieselben Conditional-Access-Richtlinien steuert wie den Anwendungszugriff.
Was ist Microsoft Entra Internet Access?
Microsoft Entra Internet Access stellt eine identitätszentrierte Secure-Web-Gateway-Lösung (SWG) für Software-as-a-Service-Anwendungen und sonstigen Internet-Traffic bereit. Der Dienst schützt Nutzer, Geräte und Daten vor der breiten Bedrohungslandschaft des Internets und liefert über Traffic-Logs Sichtbarkeit über den Datenverkehr.
Gemeinsam mit Microsoft Entra Private Access bildet Internet Access Microsofts Security-Service-Edge-Lösung; der zusammenfassende Begriff für beide ist Global Secure Access. Beide Dienste sind laut Microsoft allgemein verfügbar.
Die zentrale Einstiegsfunktion ist Web Content Filtering. Sie erlaubt granulare Zugriffssteuerung nach Webkategorien und voll qualifizierten Domänennamen. Der entscheidende Unterschied zu klassischen Filterlösungen liegt im Bezugspunkt: Richtlinien basieren auf der Nutzeridentität und werden über Conditional Access zugewiesen, nicht über Netzwerksegmente.
Kernfunktionen
- Web Content Filtering: Zugriffssteuerung nach Webkategorien und FQDNs, wirksam für Remote- wie für Büroarbeitsplätze
- Security Profiles: Bündelung von Filterrichtlinien und Verknüpfung mit Conditional-Access-Richtlinien
- Prioritätsbasierte Verarbeitung: eindeutige Prioritäten von 100 bis 65.000, ähnlich klassischer Firewall-Logik
- Baseline Security Profile: wirkt als Catch-all auf sämtlichen über den Dienst geleiteten Internet-Traffic
- TLS-Inspektion und Threat Intelligence: zusätzliche Sicherheitskontrollen der Internet-Access-Lizenz
- Data Loss Prevention und Shadow AI Discovery: weitere Funktionen laut Microsofts Lizenzvergleich
- Traffic-Erfassung: über den Desktop-Client oder über ein Remote Network, etwa einen Standort
Typische Anwendungsfälle
Kategoriebasierte Sperrlisten
Bestimmte Webkategorien werden organisationsweit gesperrt, einzelne Ausnahmen über höher priorisierte Allow-Regeln freigegeben. Microsofts eigenes Beispiel: alle News-Seiten blockieren, msn.com jedoch erlauben.
Unterschiedliche Regeln je Nutzergruppe
Da Security Profiles mit Conditional-Access-Richtlinien verknüpft werden, lassen sich für Abteilungen oder Rollen unterschiedliche Filterprofile durchsetzen.
Absicherung von Remote-Arbeitsplätzen
Der Schutz wirkt unabhängig davon, ob sich das Gerät im Unternehmensnetz befindet, weil die Durchsetzung am Cloud-Edge erfolgt.
Standortanbindung
Über Remote Networks lässt sich der Traffic ganzer Standorte über den Dienst leiten, ohne auf jedem Gerät einen Client zu installieren.
Sichtbarkeit über den Datenverkehr
Detaillierte Traffic-Logs samt angewendeter Richtlinien und Dashboards zu Nutzern, Geräten und Zielen. Traffic Logs sind laut Microsoft in Preview.
Vorteile
- Identitätsbewusste Richtlinien statt reiner Netzwerkregeln
- Durchsetzung am Cloud-Edge und damit unabhängig vom Standort des Geräts
- Universelle Unterstützung aller Geräteplattformen
- Vereinfachte Richtlinienverwaltung, da alle Richtlinien auf der Nutzeridentität basieren
- Gemeinsame Verwaltung mit Entra Private Access über die Global-Secure-Access-Oberfläche
Integration mit innFactory
Als indirekter Microsoft-CSP-Partner unterstützt innFactory Sie beim Aufbau eines identitätszentrierten Web-Gateways: Definition der Filterrichtlinien, Schnitt der Security Profiles, Verknüpfung mit Ihren Conditional-Access-Richtlinien und Anbindung von Standorten über Remote Networks.
Für die Einordnung in Ihre Gesamtplattform beschreiben wir unser Vorgehen im Beitrag zu Azure Landing Zones.
Kontaktieren Sie uns für eine unverbindliche Beratung zu Secure Service Edge mit Microsoft Entra.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Ist Microsoft Entra Internet Access allgemein verfügbar?
Ja. Microsoft hält in der Global-Secure-Access-Dokumentation fest: „Microsoft Entra Internet Access, Microsoft Entra Internet Access for Microsoft services, and Microsoft Entra Private Access are now generally available.“
Was ist die zentrale Einstiegsfunktion?
Microsoft benennt Web Content Filtering als Schlüsselfunktion für alle Apps. Sie ermöglicht granulare Zugriffssteuerung nach Webkategorien und voll qualifizierten Domänennamen. Durch das explizite Blockieren bekannter unangemessener, schädlicher oder unsicherer Seiten werden Nutzer und Geräte unabhängig davon geschützt, ob sie remote oder im Unternehmensnetz arbeiten.
Wie werden Richtlinien verarbeitet?
Filterrichtlinien werden in Security Profiles gruppiert, die mit Conditional-Access-Richtlinien verknüpft werden. Innerhalb eines Security Profile gilt eine eindeutige Prioritätsnummer, wobei 100 die höchste und 65.000 die niedrigste Priorität ist. Microsoft empfiehlt als Best Practice einen Abstand von etwa 100 zwischen den Prioritäten. Das Baseline Security Profile wirkt als Catch-all auf sämtlichen über den Dienst geleiteten Internet-Traffic.
Wie werden verschlüsselte Verbindungen bewertet?
Wenn Traffic Microsofts Secure Service Edge erreicht, wertet Microsoft Entra Internet Access unverschlüsselten HTTP-Traffic anhand der URL aus und TLS-verschlüsselten HTTPS-Traffic anhand der Server Name Indication (SNI). Ergänzend nennt Microsoft TLS-Inspektion als Funktion der Internet-Access-Lizenz, unter anderem für eine höhere Genauigkeit der Webkategorisierung.
Worin unterscheidet sich der Dienst von Defender for Endpoint oder Azure Firewall?
Microsoft weist selbst darauf hin, dass ähnliche Filterfunktionen auch in anderen Produkten existieren. Den Mehrwert von Entra Internet Access sieht Microsoft in der identitätsbewussten Richtlinienintegration mit Microsoft Entra ID, der Durchsetzung am Cloud-Edge, der universellen Unterstützung aller Geräteplattformen sowie Sicherheitsverbesserungen durch TLS-Inspektion. Zudem vereinfacht der Ansatz die Richtlinienverwaltung, da alle Richtlinien auf der Nutzeridentität basieren.
Welche Lizenz wird benötigt?
Laut Microsoft sind die Funktionen von Entra Internet Access in der Microsoft Entra Suite enthalten und zusätzlich eigenständig erhältlich. Für die Nutzung benötigen Anwender eine Microsoft Entra ID P1 oder P2 Lizenz. Auf der Entra-Preisseite ist Entra Internet Access mit 5,00 US-Dollar pro Nutzer und Monat bei jährlicher Zahlung ausgewiesen. Netzwerkseitige Kontrollen für Agenten erfordern zusätzlich eine Microsoft-Agent-365-Lizenz.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
