Microsoft Entra ID Beratung

Microsoft Entra ID — Beratung, die deinen Tenant kennt

Konzepte, Reviews und Projektbegleitung für Microsofts Cloud-Identitätsplattform. Mit eigenen Werkzeugen, 30 Jahren Microsoft-Enterprise-Praxis und ohne Marketing-Bingo.

Entra ID ist mächtig — und genau deshalb ein Problemkind. Conditional Access kann deinen Tenant absichern, oder dich aussperren. PIM räumt mit ausufernden Admin-Rechten auf, oder verwandelt jede Routineaufgabe in einen Genehmigungs-Marathon. Identity Governance bringt Compliance, oder produziert Karteileichen von Access Packages. Die Frage ist nie: „Welche Features hat Entra ID?“ Die Frage ist: „Was davon ergibt für genau deinen Tenant Sinn — und in welcher Reihenfolge?“

Genau das ist die Aufgabe der Beratung: deinen konkreten Tenant verstehen, Risiken priorisieren und einen Plan bauen, den dein IT-Team auch tatsächlich umsetzen kann.

Typische Anlässe

Drei Sorten von Anrufen kommen regelmäßig rein. Vielleicht erkennst du dich wieder.

Die drei Beratungs-Varianten

Damit du nicht für jede Frage gleich einen mehrwöchigen Auftrag erteilen musst, gibt es drei skalierende Formate. Vom kompakten Health Check bis zur strategischen Mehrmonats-Begleitung.

Abbildung 1 Die drei Beratungs-Varianten im Überblick. Jede hat einen klaren Output und einen definierten Aufwand.

Quick Health Check

Der häufigste Einstieg — und für viele auch der einzig nötige Schritt. Eine kompakte, sehr fokussierte Tenant-Analyse mit einem konkreten Aktionsplan am Ende. Wenn du nicht weißt, wo du anfangen sollst, fängst du hier an.

Was passiert

• Auslesen deines Tenants mit dem Entra Diagnostiker (eigenes Werkzeug, .NET 10, lokal). Daten bleiben bei dir — keine Cloud-Übertragung, kein externes Backend.
• Analyse in 14 Modulen: Conditional Access, MFA-Abdeckung, Guest-Hygiene, App Registrations, PIM-Konfiguration, Identity Protection, Sign-in-Anomalien, Lizenz-Auslastung, NIS2-Mapping und mehr.
• Befundbericht als DOCX, mit Priorisierung in drei Stufen (kritisch / mittel / niedrig) und konkreten Click-by-Click-Maßnahmen.
• Walkthrough-Termin von etwa einer Stunde — wir gehen die Befunde gemeinsam durch, dein Team kann Fragen stellen, Prioritäten verschieben.

Abbildung 2 Ablauf des Quick Health Checks. Die Datenerhebung läuft autonom — dein Team ist nur für Kickoff und Walkthrough geblockt.

Strategische Begleitung

Wenn aus dem Health Check ein konkretes Projekt wird — oder wenn du von vornherein weißt, dass du Unterstützung über mehrere Monate brauchst — kommt die strategische Begleitung ins Spiel. Tagessatz statt Festpreis, flexibel skalierbar, vom punktuellen Sparringspartner bis zum eingebetteten Architekten.

Typische Projekte

• MFA- und Passkey-Rollout inklusive Conditional-Access-Strategie: Authentication-Strength-Profile, Break-Glass-Konfiguration, schrittweise Wellen-Aktivierung, Helpdesk-Vorbereitung.
• ADFS-Ablösung: Migrationspfade von Federation zu Cloud-Authentication, Bewertung der App-Landschaft, Cutover-Planung. Microsoft empfiehlt offen den Weg von ADFS weg — wir gestalten ihn so, dass nichts unterwegs verloren geht.
• Identity Governance einführen: Access Reviews für privilegierte Rollen, Entitlement Management für Standard-Berechtigungen, Lifecycle Workflows für Joiner-Mover-Leaver.
• Tenant-Konsolidierung nach Übernahme oder Spin-off — von der Bestandsaufnahme bis zur Migration einzelner Workloads.
• NIS2- und DORA-Vorbereitung: Mapping der gesetzlichen Anforderungen auf konkrete Entra-Features, Dokumentations-Pakete für den Audit, Aufbau wirksamer Kontroll-Routinen.

Abbildung 3 Typischer Phasenplan für einen MFA-Rollout in einer 500–2.000-Benutzer-Organisation. Andere Projekte folgen ähnlichen Mustern — Assessment vor Konfiguration, Pilot vor Welle, Hardening am Ende.

Workshop — vor Ort oder remote

Wenn das Ziel nicht „Uli macht das“ ist, sondern „mein Team kann das selbst“, ist der Workshop das richtige Format. Keine MOC-Folienschlacht, kein Theorie-Frontalunterricht — sondern am eigenen Tenant, mit Übungen, die nach dem Workshop weiterlaufen.

Bewährte Themen

• Conditional Access — Basis-Set bauen: In einem Tag entsteht das Grundgerüst aus 5 Policies, getestet im Report-only-Modus, mit klarem Rollout-Plan.
• Passkeys & FIDO2 im Unternehmen: Wie der Umstieg von App-MFA zu phishing-resistenten Methoden im Alltag wirklich gelingt.
• PIM-Einführung ohne Praxisschock: Welche Rollen werden eligible, welche bleiben permanent, wo brauchst du Approver?
• Identity Governance Quick Wins: Access Reviews und Entitlement Management — in einem Tag startklar, mit ersten echten Reviews im Tenant.
• NIS2/DORA Mapping-Workshop: Anforderungen auf Entra-Features übersetzen, Lücken identifizieren, Maßnahmen priorisieren.

Werkzeuge, die im Einsatz sind

Beratung läuft nicht auf nackten Folien, sondern mit Werkzeugen, die im Beratungsalltag entstanden sind und ständig weiterentwickelt werden. Die wichtigsten:

Wie ich arbeite

Damit du weißt, was dich erwartet — und was du nicht bekommst:

• Keine Schubladenkonzepte. Microsoft-Referenzarchitekturen sind Ausgangspunkt, nicht Endzustand. Jeder Tenant ist anders, und genau deshalb braucht es individuelle Analyse statt Best-Practice-Folienkino.
• Schreiben statt Quatschen. Jedes Beratungsergebnis wird verschriftlicht — Berichte mit Skizzen, Tabellen und Aktionsplänen. Damit dein Team weiterarbeiten kann, auch wenn ich nicht mehr im Raum bin.
• Click-by-Click-Aktionspläne. Empfehlungen kommen nicht als „Sie sollten erwägen…“, sondern als konkrete Schritte mit Erfolgskriterium und Rollback-Anleitung. Damit auch der Werkstudent im Helpdesk weiß, was zu tun ist.
• Wissens-Transfer ist eingebaut. Jede Empfehlung wird so dokumentiert, dass dein Team sie versteht. Lock-in-Strategien sind keine.
• Klare Sprache, kein Marketing-Bingo. „Synergien heben“ sagt niemand, der weiß was er tut. Bei mir kommt „das funktioniert, weil…“ oder „das wird Schmerzen bereiten, deshalb…“

Wie es nach der ersten Mail weitergeht

Damit du weißt, mit welchem Aufwand du rechnen musst — vom ersten Kontakt bis der Projekt-Kalender geblockt ist:

Abbildung 4 Vom Erstgespräch zum Projektstart. Bei Brennfällen geht es schneller, beim normalen Onboarding sind 2–4 Wochen realistisch.

Über mich — kurz und knapp

Uli Boddenberg, unabhängiger IT-Consultant aus Dortmund. Seit fast 30 Jahren im Microsoft-Enterprise-Umfeld unterwegs — Active Directory, Exchange, SharePoint, SQL Server, ADFS, Entra ID, Microsoft 365, PKI. Vor der IT war ich einige Jahre bei der Luftwaffe — vielleicht erklärt das die Vorliebe für klar definierte Verantwortlichkeiten und durchgespielte Notfallszenarien.

Über zwanzig Fachbücher, das erste über SharePoint im Jahr 2003. Heute publiziere ich unabhängig im eigenen Verlag, weil ich Tempo, Tiefe und Tonalität selbst bestimmen will. Auf dieser Website findest du viele dieser Inhalte kostenfrei lesbar — das ist ausdrücklich gewollt.

Was ich nicht bin: ein Vollservice-Systemhaus. Ich bin kein Cloud-Reseller, biete keinen 24/7-Support, kein Managed Services. Wenn du das brauchst, vermittle ich gerne. Wenn du Beratung, Architektur und Sparring brauchst, bist du hier richtig.

Häufige Fragen