Neun Umgebungen
Wo Entra ID am Anmeldebildschirm nicht die Antwort ist.
Jede dieser Umgebungen ist ein wiederkehrendes Gespräch mit Security-Architekten, deren
Führung Entra ID standardisiert hat und unterwegs feststellt, dass Teile der Umgebung
nicht passen. Das Muster ist immer gleich: Das Cloud-Modell funktioniert auf dem
Notebook der Vertrieblerin perfekt und verliert mit jedem Schritt vom Büro weg an Halt.
01 / Geteilte Arbeitsplätze
Viele Anwender, eine Tastatur, Roaming unter einer Sekunde.
Ein Stations-Terminal in der Klinik, eine Fertigungslinien-Station, ein Helpdesk-PC:
Dutzende Identitäten teilen eine Workstation pro Schicht. Windows Hello ist
pro Anwender, pro Gerät — jede Pflegekraft müsste sich auf jeder Workstation
registrieren, die sie anfasst. CodeB stellt eine NFC-Karte zentral aus, und diese
Karte öffnet jeden Arbeitsplatz im Geltungsbereich in unter einer Sekunde — mit
voller Pro-Anwender-Zuordnung.
02 / OT & Fertigung
Anlagen-Netze, die nie mit der Firmen-Cloud sprechen.
OT-Segmente sind typischerweise vom Firmennetz abgeschottet und dürfen Microsoft-Tenants
ausdrücklich nicht erreichen. Die Windows-Maschinen in diesen Segmenten brauchen
trotzdem eine zuordenbare Anmeldung — für NIS2, IEC 62443 und die interne
Incident-Response. CodeB läuft als Software innerhalb des Segments und authentifiziert
gegen lokale oder AD-Konten, ohne die Grenze zu verlassen.
03 / Offline-Systeme
Windows auf Geräten ohne Route nach draußen.
Ein mobiler Bildgebungs-Wagen auf der Station, eine Forensik-Arbeitsstation, ein
Strahlentherapie-Planungs-PC, ein Vermessungs-Notebook auf See. Der Endpunkt ist
Windows; das Netz ist manchmal nichts. Entra ID braucht weiterhin periodische
Token-Refreshes gegen die Cloud; CodeB ist dafür ausgelegt, ohne diese Verbindungen zu arbeiten.
04 / Getrennte und lückenhaft verbundene Standorte
Der Betrieb darf nicht stehenbleiben, wenn die Anbindung steht.
Außenkliniken, Praxen, Schiffe, Offshore-Plattformen, Filialen am Ende einer marginalen
DSL-Leitung. Wenn das Internet ausfällt — und das tut es — müssen Ihre
Operatoren sich an der Workstation vor ihnen weiterhin anmelden können. CodeB
authentifiziert lokal; der SaaS-Identity-Provider-Ausfall wird nicht zum Anmelde-Ausfall.
05 / HMIs & Embedded Windows
Druckerpressen, Verpackungslinien, CNC-Maschinen, Laboranalyzer.
Eingebettete Windows-HMIs laufen oft zehn bis fünfzehn Jahre innerhalb größerer
Maschinen und waren nie für Cloud-Identität gedacht. Sie zu ersetzen, nur um ein
Identity-Refresh zu ermöglichen, ist nicht realistisch. CodeB härtet die Anmeldung
am vorhandenen HMI, ohne die Operator-Software umzubauen oder das signierte OEM-Image
anzufassen.
06 / Alte Domänen und nicht stillgelegte AD-Forests
Das Verzeichnis, von dem Sie weiter abhängen, das aber nicht in die Cloud kommt.
Die meisten Unternehmen haben mindestens einen AD-Forest, der eine Klinik-Anwendung,
ein ERP, eine Akten-Verwaltung oder eine alte ICS-Konsole trägt — und dieser
Forest wird im Planungshorizont nicht nach Entra ID gehen. CodeB authentifiziert
gegen dieses AD wie es ist, ohne Schema-Änderungen, ohne Entra Connect, ohne Hybrid-Join.
07 / Klinik-Terminals und Roaming-Sitzungen
Karte auflegen zum Anmelden. Karte abziehen zum Sperren oder Abmelden. Nächstes Bett.
Bettkanten-Terminals und mobile klinische Workstations brauchen Sub-Sekunden-Anmeldung,
konfigurierbares Verhalten beim Karten-Entfernen und ein Sitzungsmodell, das den
Stationswechsel beherrscht. Entra ID kann den Anwender authentifizieren, liefert aber
diesen Endpunkt-Workflow nicht. Die Karten-Entfernen-Aktion von CP V2 ist per Policy
konfigurierbar: nichts tun, die Workstation sperren oder den Anwender abmelden —
je nach Stations-Policy.
08 / Operator-Zuordnung auf Sammelkonten
Ein geteiltes Konto, ein Operator pro Zeitpunkt.
Deutsche Kliniken und Fertigungslinien halten historisch gewachsene Sammelkonten für
klinische Anwendungs-Gründe, die Auditoren nicht einfach beiseite schieben. NIS2 und
KRITIS-Regulierer erwarten trotzdem Zuordnung. CodeB legt pro-Anwender-NFC- oder
TOTP-Authentifizierung über das geteilte Windows-Konto, sodass jede Handlung auf eine
reale Person zurückführbar bleibt — auch wenn das Konto darunter geteilt ist.
Bei NFC geht CP V2 einen Schritt weiter: Bei Anmeldung und Entsperren wird die ID der
authentifizierenden Karte an das Office-Author-Profil angehängt, z. B.
username (EA35CF34). Jede Änderung, jeder Kommentar und jeder
Metadaten-Eintrag in Word, Excel und PowerPoint trägt dann dieses Karten-Token, das
mit derselben ID im Windows-Anmelde-Event korreliert — volle Zuordnung auf
Dokument-Ebene auf einem Sammelkonto.
09 / Air-Gap-Umgebungen
Für den Betrieb ohne ausgehenden Verkehr konzipiert.
Industrielle OT-Umgebungen, regulierte Forschungs-Settings, kritisch-infrastrukturelle
SCADA-Netze und vergleichbare Bereiche sind häufig physisch oder logisch luftgetrennt:
kein Entra-Tenant erreichbar, kein Microsoft-Lizenzserver, kein Telemetrie-Pfad. CodeB
ist für diesen Fall von Tag eins gebaut und wird auf Segmenten eingesetzt, in denen
„ausgehend“ keine Einstellung, sondern eine Netzgrenze ist.