M365-Sicherheit: die 5 Einstellungen, die in fast jedem Tenant fehlen
Aus der Monitoring-Praxis: fuenf Einstellungen, die in fast jeder Microsoft-365-Umgebung fehlen und die meisten Vorfaelle verhindern.
Wir betreuen und überwachen Microsoft-365-Umgebungen unterschiedlichster Größe. Dabei fällt auf: Es sind fast immer dieselben fünf Einstellungen, die fehlen. Keine davon kostet extra Lizenzgebühren in nennenswerter Höhe, keine braucht ein Großprojekt. Zusammen verhindern sie einen Großteil der Vorfälle, die uns in der Praxis begegnen. Hier sind sie, in der Reihenfolge ihrer Wichtigkeit.
1. Conditional Access: Anmelderegeln statt Hoffnung
Conditional Access (bedingter Zugriff) ist das Regelwerk, das bei jeder Anmeldung prüft: Wer meldet sich an, von wo, mit welchem Gerät, und ist eine zweite Bestätigung nötig? Ohne diese Regeln entscheidet allein das Passwort über den Zugang, und Passwörter werden gestohlen, täglich und automatisiert.
Das Minimum, das in jedem Tenant (so heißt die eigene Microsoft-365-Umgebung) eingerichtet sein sollte: Mehrfaktor-Anmeldung für alle Benutzer verpflichtend, strengere Regeln für Administratoren, und Anmeldungen aus Ländern, mit denen man geschäftlich nichts zu tun hat, blockieren. Wichtig: Microsofts Standardvorgaben ("Security Defaults") sind besser als nichts, aber ein Ersatz für durchdachte Regeln sind sie nicht, weil sie sich nicht auf die eigene Arbeitsweise zuschneiden lassen.
2. Legacy-Authentifizierung abschalten
Alte Anmeldeverfahren wie IMAP, POP3 oder SMTP-Basic-Auth stammen aus einer Zeit vor der Mehrfaktor-Anmeldung. Sie kennen nur Benutzername und Passwort, und genau deshalb lieben Angreifer sie: Über diese Protokolle lässt sich jede noch so gute Mehrfaktor-Regel umgehen. Man probiert einfach gestohlene Passwörter durch, ganz ohne zweiten Faktor.
Microsoft hat vieles davon inzwischen selbst deaktiviert, aber eben nicht alles und nicht überall. In den Anmeldeprotokollen sieht man schnell, ob noch alte Clients zugreifen. Typische Kandidaten sind ein alter Kopierer, der Scans per Mail verschickt, oder eine Fachanwendung von 2015. Für diese Fälle gibt es saubere Lösungen, etwa dedizierte Versandwege mit modernem Verfahren. Danach gehört Legacy-Auth per Richtlinie komplett blockiert, nicht nur "nicht genutzt".
3. App-Registrierungen aufräumen
Der unterschätzteste Punkt auf dieser Liste. Jede App, die je mit dem Tenant verbunden wurde, jedes ausprobierte Tool, jedes "Mit Microsoft anmelden" hinterlässt eine Berechtigung. Über die Jahre sammeln sich Dutzende Einträge an, viele mit weitreichenden Rechten: Postfächer lesen, Dateien schreiben, als Benutzer handeln. Angreifer nutzen genau das: Statt ein Konto zu knacken, kapern sie eine vergessene App mit fetten Berechtigungen, denn die fällt niemandem auf.
Die Abhilfe ist unspektakulär: einmal im Quartal die Liste der App-Registrierungen und Unternehmensanwendungen durchgehen. Was nicht mehr gebraucht wird, fliegt raus. Was bleibt, wird auf die minimal nötigen Berechtigungen gestutzt. Und die Zustimmung der Benutzer zu neuen Apps ("User Consent") gehört eingeschränkt, damit nicht jeder Mitarbeiter versehentlich einer fremden App Postfachzugriff gewährt.
4. Mail-Forwarding-Regeln prüfen
Ein Klassiker aus der Vorfallsbearbeitung: Ein Konto wird kompromittiert, und das Erste, was der Angreifer tut, ist eine unauffällige Weiterleitungsregel anzulegen. Jede eingehende Mail geht ab sofort still an eine externe Adresse. So liest der Angreifer wochenlang mit, lernt Zahlungsabläufe kennen und schlägt im richtigen Moment zu, etwa mit einer gefälschten Rechnung, deren Kontonummer "aktualisiert" wurde.
Zwei Maßnahmen dagegen: Erstens automatische Weiterleitungen an externe Adressen zentral unterbinden, das geht in Exchange Online mit wenigen Klicks. Zweitens bestehende Postfachregeln einmal komplett durchsehen, denn die Regel von gestern übersteht auch den Passwortwechsel von heute. Wer das noch nie geprüft hat, findet erfahrungsgemäß mindestens eine Überraschung.
5. Ein Break-Glass-Konto einrichten
Je strenger die Anmelderegeln, desto wichtiger der Notausgang. Ein Break-Glass-Konto ist ein Notfall-Administratorkonto für den Fall, dass alle regulären Admin-Zugänge nicht mehr funktionieren: weil eine Conditional-Access-Regel fehlerhaft ist, der einzige Admin sein Telefon verloren hat oder ein Dienst zur Mehrfaktor-Anmeldung gestört ist.
Die Eckpunkte: ein eigenes Konto mit sehr langem, zufälligem Passwort, verwahrt an einem sicheren Ort außerhalb der IT-Systeme, zum Beispiel im Tresor. Es ist von den Anmelderegeln ausgenommen, hat aber eine Überwachung: Jede Anmeldung mit diesem Konto löst einen Alarm aus. So bleibt der Notausgang nutzbar, ohne zur Hintertür zu werden. Ohne dieses Konto ist jede Verschärfung der Anmelderegeln ein Spiel mit dem Feuer.
Fazit
Keiner dieser fünf Punkte ist exotisch. Trotzdem fehlt in fast jedem Tenant, den wir neu übernehmen, mindestens die Hälfte davon. Der Aufwand für alle fünf zusammen liegt bei ein bis zwei Arbeitstagen, einmalig, plus einer kurzen Kontrollroutine pro Quartal. Gemessen daran, was ein einziger erfolgreicher Angriff auf das E-Mail-System kostet, an Geld, Zeit und Vertrauen, ist das eine der besten Investitionen, die ein Unternehmen in seine IT machen kann.
Fragen dazu? [email protected]