Continuous Access Evaluation – wenn der Token vor dem Ablauf widerrufen wird

Ein Access Token gilt in Microsoft 365 standardmässig eine Stunde. In dieser Stunde fragt kein Dienst bei Entra ID nach: Ein deaktiviertes Konto liest weiter Mails, bis der Token abläuft. Continuous Access Evaluation (CAE) schliesst diese Lücke für Exchange Online, SharePoint Online, Teams und Microsoft Graph. Die Funktion läuft in jedem Tenant, ohne Lizenz und ohne Konfiguration.

Zwei Tokens, zwei Aufgaben

Wer von „dem Token“ spricht, meint meist zwei verschiedene Dinge. Entra ID entscheidet über den Zugriff, der Dienst prüft nur noch den vorgezeigten Token.

Token	Geht an	Laufzeit	Zweck
Access Token	den Dienst, etwa Exchange Online oder SharePoint Online	standardmässig 1 Stunde, mit CAE bis zu 28 Stunden	Zugriff auf den Dienst
Refresh Token	ausschliesslich Entra ID	deutlich länger als der Access Token	neuen Access Token holen

Auf in Entra ID eingebundenen Windows-Geräten kommt der Primary Refresh Token (PRT) hinzu. Ihn bindet Token Protection an das TPM, Thema von Folge 50. CAE wirkt eine Ebene darüber.

Die Stunde ohne Prüfung

Während der Laufzeit prüft der Dienst den Access Token nur auf Gültigkeit. Wird das Konto deaktiviert, das Passwort zurückgesetzt oder verlässt der Anwender das Firmennetz, funktioniert der Token weiter. Das ist kein Microsoft-spezifischer Fehler, sondern Folge des Designs.

Kürzere Laufzeiten verkleinern die Lücke nur und verschlechtern die Anwendererfahrung. CAE dreht das Prinzip um: Entra ID teilt den Diensten kritische Ereignisse mit, und der Dienst lehnt einen noch gültigen Token ab. Grundlage ist der offene Standard OpenID Continuous Access Evaluation Profile.

Was CAE auslöst

Zwei Mechanismen greifen unabhängig voneinander: kritische Ereignisse in jedem Tenant und, optional, die Standortprüfung aus Conditional Access.

Auslöser	Voraussetzung	Wirkung
Konto gelöscht oder deaktiviert	keine	bis zu 15 Minuten
Passwort geändert oder zurückgesetzt	keine	bis zu 15 Minuten
MFA für den Anwender aktiviert	keine	bis zu 15 Minuten
Administrator widerruft alle Refresh Tokens (Revoke Session)	keine	bis zu 15 Minuten
Identity Protection erkennt hohes Anwenderrisiko	Entra ID P2	bis zu 15 Minuten
Anwender verlässt eine IP-basierte Named Location	Conditional Access, Entra ID P1	sofort

Die bis zu 15 Minuten entstehen, weil das Ereignis erst den Dienst erreichen muss. Conditional Access fügt keine kritischen Ereignisse hinzu, sondern ergänzt sie um die Standortprüfung. Länder-Locations und die MFA Trusted IPs wertet CAE nicht aus.

Längere Laufzeit, schnellerer Widerruf

In einer CAE-Session gilt der Access Token bis zu 28 Stunden statt einer. Der Refresh Token bleibt unverändert, eine eigene Laufzeit über Configurable Token Lifetime ignorieren diese Sessions.

Das Problem war nie die Laufzeit, sondern die fehlende Prüfung während der Laufzeit. Läuft der Widerruf über Ereignisse, entfällt der Grund für kurze Tokens. Die Folge sind weniger Token-Aktualisierungen und stabilere Anwendungen, und ein kompromittiertes Konto ist trotzdem in Minuten ausgesperrt statt in einer Stunde. Voraussetzung: Client und Dienst beherrschen beide CAE. Sonst bleibt es bei einer Stunde.

Was abgedeckt ist und was nicht

Ebene	Abgedeckt	Nicht abgedeckt
Dienste	Exchange Online, SharePoint Online inklusive OneDrive, Teams, Microsoft Graph	Drittanbieter-SaaS mit Single Sign-on über Entra ID, Line-of-Business-Anwendungen
Clients	Outlook auf allen Plattformen, Office-Desktop- und Mobil-Apps, OneDrive im Web und mobil	Office Web Apps (Word, Excel, PowerPoint), OneDrive-Sync-Client unter Windows und macOS für SharePoint Online
Teams	auf allen Plattformen nur teilweise	Anrufe und Chat werten keine IP-basierten Richtlinien aus
Konten	Konten des eigenen Tenants	Gastkonten, weder Widerrufsereignisse noch Standortprüfung

Conditional Access schliesst diese Lücken nicht. Für Anwendungen ohne CAE gibt es keinen Schalter; die Richtlinie wird nur bei Ausstellung und Erneuerung des Access Tokens bewertet, also im Stundenrhythmus. Dort sind Sign-in Frequency und Token-Laufzeit die passenden Werkzeuge.

Offboarding: Revoke Session reicht

Konto deaktivieren und Revoke Session sind selbst kritische Ereignisse. Sie wirken in jedem Tenant ohne Lizenz und ohne weitere Richtlinie und sperren innerhalb von Minuten. Für Austritt und Freistellung ist die Standortprüfung damit nicht nötig.

Die Standortprüfung ist für einen anderen Fall gebaut: Ein Token wird abgegriffen und von woanders eingesetzt, ohne dass jemand davon weiss. Dann meldet keine Personalabteilung ein Ereignis, und nur der Wechsel des Standorts löst die Sperre aus.

Prüfen, ob CAE im eigenen Tenant greift

CAE ist in neuen Tenants standardmässig aktiv. Es gibt keinen Schalter zum Einschalten, nur eine Session Control in Conditional Access, die CAE gezielt deaktiviert. Die Frage ist also nicht, ob CAE aktiviert ist, sondern ob es wirkt.

• CAE fällt unbemerkt auf einen Ein-Stunden-Token zurück, wenn Entra ID und der Dienst unterschiedliche Quell-IP-Adressen sehen, typisch bei Split-Tunnel-VPN und Proxy-Diensten.
• Die Sign-in Logs im Entra Admin Center zeigen mit dem Filter Is CAE Token, welche Anmeldungen CAE-Tokens erhalten.

Fazit

CAE ist keine Funktion, die ein Administrator einschaltet, sondern eine Eigenschaft der Plattform. Kritische Ereignisse wirken in jedem Tenant, die Standortprüfung braucht Conditional Access mit Entra ID P1, das Anwenderrisiko zusätzlich P2. Im Gegenzug leben Access Tokens bis zu 28 Stunden, weil der Widerruf über Ereignisse statt über den Ablauf kommt. Zu prüfen bleibt, ob die eigenen Anwender tatsächlich CAE-Tokens erhalten.

Die Folge zum Artikel

Diesen Artikel gibt es auch als Podcast-Folge. Auf der Folgenseite findest Du den Player, die Shownotes und die Links zur Folge.