Bei der Analyse von mehr als einem Dutzend unserer jüngsten Microsoft 365-Mandantenbewertungen stach ein Aspekt als die am weitesten verbreitete Schwachstelle in der Cloud-Sicherheit hervor: das Identitäts- und Zugriffsmanagement. In Unternehmen jeder Größe stellten wir fest, dass wiederkehrende Fehlkonfigurationen selbst gut gemeinte Teams unnötigen Risiken aussetzen.
Wir bei TrustedTech sind der Überzeugung, dass Technologie zwar komplex ist, Ihre Sicherheit es jedoch nicht sein sollte. Als Microsoft Solutions Partner haben wir die sechs häufigsten Schwachstellen identifiziert, die das „schwächste Glied“ in Ihrer Mandantenumgebung darstellen, und – was noch wichtiger ist – Wege aufgezeigt, wie Sie diese beheben können, damit Ihre Mitarbeiter selbstbewusst arbeiten können.
Zusammenfassung häufiger Schwachstellen
| Thema | Prävalenz | Risikozusammenfassung |
|---|---|---|
| Fehlende CA-Richtlinien | Nahezu universell | Es gibt keine dynamischen „Regeln“, um riskante Anmeldungen zu blockieren. |
| Inkonsistente MFA | Weit verbreitet | Konten ohne MFA sind leichte Ziele für Hackerangriffe. |
| Altes Authentifizierungsverfahren aktiviert | Sehr häufig | Ermöglicht es Angreifern, die Zwei-Faktor-Authentifizierung vollständig zu umgehen. |
| Zu viele Administratoren | Hoch | Erweitert die Angriffsfläche für die Übernahme von Mandanten. |
| Schwache MFA (SMS) | Hoch | Anfällig für SIM-Swapping und Social Engineering. |
| Konto ohne Notfallzugang | Allgemein | Risiko einer vollständigen Abschottung während eines Ausfalls oder einer Krise. |
1. Fehlende oder unzureichende Richtlinien für den bedingten Zugang
Richtlinien für den bedingten Zugriff (Conditional Access, CA) bilden die dynamischen Leitplanken einer modernen Zero-Trust-Strategie. Sie überprüfen jede Zugriffsanfrage anhand von Faktoren wie Standort, Gerätestatus und Anmelderisiko, bevor sie den Zugriff gewähren.
Die Lücke: Viele Unternehmen verlassen sich ausschließlich auf die grundlegenden „Sicherheitsstandards“ von Microsoft, wodurch sie nicht in der Lage sind, kontextbezogene Kontrollen durchzusetzen. Häufig beobachten wir, dass „Nur-Bericht“-Modi versehentlich aktiviert bleiben oder weitreichende Ausnahmen festgelegt werden, die es Administratoren ermöglichen, wichtige Prüfungen zu umgehen.
Der „Human-First“-Ansatz: Gehen Sie über die Standardeinstellungen hinaus. Führen Sie Basisrichtlinien ein, die eine MFA für alle Benutzer vorschreiben und den Zugriff von nicht vertrauenswürdigen Netzwerkstandorten oder nicht verwalteten Geräten blockieren.
Der Vorteil: Die Umsetzung dieser „Verhaltensregeln“ erhöht Ihren Identity Secure Score erheblich und nimmt Ihnen sofort die Angst vor dem Diebstahl Ihrer Zugangsdaten.
2. Uneinheitliche Durchsetzung der MFA
Die Multi-Faktor-Authentifizierung (MFA) ist unverzichtbar, doch unsere Untersuchungen zeigen, dass sie selten flächendeckend eingesetzt wird.
Die Lücke: Wir haben festgestellt, dass etwa 17 % der Benutzer in einer repräsentativen Mandantenumgebung keine MFA-Registrierung vorweisen konnten. Noch besorgniserregender ist, dass einige globale Administratoren und Gastbenutzer häufig von den MFA-Anforderungen ausgenommen waren.
Das Risiko: Ein Konto ohne MFA ist ein „leichtes Ziel“. Durch die flächendeckende Einführung von MFA lassen sich schätzungsweise 99,9 % der Angriffe zur Kontoübernahme verhindern.
Der TrustedTech-Ansatz: Setzen Sie die mehrstufige Authentifizierung (MFA) für alle durch – ohne Ausnahmen für Administratoren oder externe Partner. Nutzen Sie den bedingten Zugriff, um dies zu einem obligatorischen Bestandteil des Anmeldevorgangs zu machen.
3. Veraltete Authentifizierung: Eine offene Hintertür
Ältere Protokolle (wie POP, IMAP oder SMTP) sind veraltete Verfahren, die keine Zwei-Faktor-Authentifizierung (MFA) unterstützen.
Die Lücke: Viele Mieter lassen aufgrund alter Dienstkonten oder falsch konfigurierter Richtlinien nach wie vor „Legacy“-Datenverkehr zu.
Das Risiko: Angreifer zielen gezielt auf diese Protokolle ab, um die MFA zu umgehen. Ist IMAP aktiviert, reicht bereits ein einziges gestohlenes Passwort aus, um ein Postfach zu kapern.
Die Lösung: Deaktivieren Sie die Legacy-Authentifizierung mandantenweit. Wenn Sie ältere Hardware (z. B. Drucker) haben, die SMTP benötigt, richten Sie nur eng gefasste, überwachte Ausnahmen ein.
4. Zu viele globale Administratoren und die Notwendigkeit eines PIM
Die Rolle des Global-Administrators ist sozusagen der „Schlüssel zum Königreich“.
Die Lücke: Microsoft empfiehlt maximal fünf globale Administratoren; wir stellen jedoch häufig fest, dass mittelständische Unternehmen neun oder mehr haben. Darüber hinaus versäumen es die meisten Unternehmen, Privileged Identity Management (PIM) für den „Just-in-Time“-Zugriff einzusetzen.
Das Risiko: Ständig aktive Administratorkonten sind besonders attraktive Ziele. Wenn ein IT-Experte dasselbe Konto sowohl für die tägliche E-Mail-Korrespondenz als auch für Administrationsaufgaben nutzt, könnte bereits ein einziger Phishing-Link zur vollständigen Übernahme des Mandanten führen.
Die Strategie: Begrenzen Sie die Anzahl der globalen Administratoren auf 2 bis 4 Personen. Nutzen Sie PIM (verfügbar mit Entra ID P2 / M365 E5), um sicherzustellen, dass Administratorrechte nur bei Bedarf aktiv sind und anschließend automatisch widerrufen werden.
5. Über SMS hinaus: Nicht verwaltete Authentifizierungsmethoden
Nicht alle MFA-Verfahren sind gleich. Sich auf SMS oder Sprachanrufe zu verlassen, vermittelt ein falsches Gefühl der Sicherheit.
Die Lücke: Die SMS-basierte MFA ist anfällig für SIM-Swapping und das Abfangen von Nachrichten. Viele Anbieter lassen den Nutzern die Wahl ihrer eigenen (oft schwachen) Methoden, ohne diese zu standardisieren.
Die Lösung: Setzen Sie einheitlich auf Phishing-sichere Methoden wie die Microsoft Authenticator-App, FIDO2-Sicherheitsschlüssel oder die zertifikatsbasierte Authentifizierung.
Das Ergebnis: Durch die Modernisierung Ihrer Authentifizierungsfaktoren werden die Schwachstellen beseitigt, die Angreifer am häufigsten ausnutzen.
6. Der fehlende „Break Glass“-Bericht
Eine der überraschendsten Lücken, die wir feststellen, ist das Fehlen eines Notfallzugangsplans.
Die Lücke: Viele Mandanten verfügen nicht über ein „Break-Glass“-Konto, also ein spezielles Global-Admin-Konto, das offline geführt wird und von den CA-Richtlinien ausgenommen ist.
Das Risiko: Sollte ein MFA-Dienst ausfallen oder eine CA-Richtlinie falsch konfiguriert sein, könnte Ihr gesamtes IT-Team aus dem Mandanten ausgesperrt werden.
Das Sicherheitsnetz: Richten Sie ein Notfallkonto mit einer komplexen Passphrase ein und bewahren Sie diese in einem physischen Tresor auf. Verwenden Sie ein hardwarebasiertes MFA-Token und schließen Sie dieses von allen CA-Richtlinien aus, um sicherzustellen, dass Sie immer wieder Zugriff erhalten.
Ihr Partner für moderne Sicherheit
Fehler bei der Identitätskonfiguration sind die Achillesferse der Cloud, lassen sich jedoch vollständig beheben. Indem Sie diese sechs Bereiche stärken, verwandeln Sie Ihr schwächstes Glied in eine robuste erste Verteidigungslinie.
Bei TrustedTech verkaufen wir nicht einfach nur Lizenzen – wir sind Ihre strategischen Partner für langfristiges Wachstum. Wir stärken die Menschheit, eine IT-Entscheidung nach der anderen, indem wir Ihnen helfen, die Komplexität von Microsoft mit Klarheit und fachkundiger Betreuung zu meistern.
