Folge 60 · 21. September 2026 · 12 Minuten
Ein Kollege wird freigestellt, das Konto ist deaktiviert und eine halbe Stunde später schreibt er noch Mails in Outlook ?!? Kein Bug, sondern by Design. Ein Access Token gilt bis zu seinem Ablauf.
Continuous Access Evaluation (CAE) dreht das um. Exchange Online, SharePoint Online, Teams und Graph lehnen einen Token ab, sobald Entra ID ein kritisches Ereignis meldet. Der Nebeneffekt: Access Tokens leben bis zu 28 Stunden, weil der Widerruf über Ereignisse läuft statt über die Lifetime.
Die Folge zum Nachhören
Den Leitartikel zur Folge liest Du unter Artikel: Continuous Access Evaluation – wenn der Token vor dem Ablauf widerrufen wird
Shownotes
Die wichtigsten Punkte
- Access Token und Refresh Token: zwei Tokens, zwei Aufgaben
- Kritische Ereignisse laufen in jedem Tenant, ohne Richtlinie und ohne Lizenz
- Standortprüfung nur mit Conditional Access und IP-basierten Named Locations
- Abgedeckt sind nur Microsofts Core-Services – Office Web Apps, Gastkonten und Drittanbieter-Apps nicht
- CAE muss nicht in Conditional Access eingeschalten werden
- Revoke Session reicht für das Offboarding
- Prüfen im Sign-in Log mit dem Filter „Is CAE Token“
Links zur Folge
- Continuous access evaluation: Microsoft Learn
- CAE überwachen und Fehler suchen: Microsoft Learn
- Standortbedingung in Conditional Access: Microsoft Learn
- Strict Location Enforcement (Preview): Microsoft Learn
PowerShell Commands
- Revoke-MgUserSignInSession -UserId <UPN> [Alle Refresh Tokens eines Anwenders widerrufen]
Passende Folgen
- Folge 50 | Token Protection – wenn MFA nicht mehr reicht
- Folge 54 | Conditional Access Templates – die Microsoft-Baseline aus dem Baukasten
Fragen, Anregungen oder Unterstützung bei der Umsetzung?
Schreib mir an kontakt@buerk.cloud oder über LinkedIn.