Darum geht es
Freigegebene Postfächer wie info@ oder buchhaltung@ werden von mehreren Personen über deren eigene Konten genutzt. Das dahinterliegende Benutzerkonto braucht keine eigene Anmeldung. Ist sie trotzdem möglich, entsteht ein Konto mit Kennwort, das oft niemand im Blick hat.
Was passieren kann
Über ein vergessenes Kennwort eines freigegebenen Postfachs können Angreifer unbemerkt Mails lesen und Rechnungsbetrug im Namen der Firma begehen.
Schritt für Schritt
Ermitteln Sie alle freigegebenen Postfächer im Microsoft 365 Admin Center unter Teams & Gruppen > Freigegebene Postfächer.
Öffnen Sie für jedes Postfach unter Benutzer > Aktive Benutzer das zugehörige Konto und wählen Sie „Anmeldung blockieren“.
Die Nutzung über die Mitglieder mit Vollzugriff funktioniert weiterhin. Testen Sie das mit einem Mitglied in Outlook.
Prüfen Sie, ob Geräte (z. B. Scanner) oder Anwendungen sich direkt mit dem Postfachkonto anmelden, und stellen Sie diese vorher um.
Wiederholen Sie die Prüfung bei jedem neu angelegten freigegebenen Postfach.
Hier finden Sie die Einstellung
- Microsoft 365 Admin Center (admin.microsoft.com)
- Benutzer
- Aktive Benutzer
- [Konto des freigegebenen Postfachs]
- Anmeldung blockieren
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die direkte Anmeldung an freigegebenen Postfächern ist gesperrt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Welche Konten freigegebene Postfächer sind, lässt sich nur über Exchange Online PowerShell ermitteln, nicht über die Microsoft-Schnittstelle, die Auditspiegel heute nutzt. Auditspiegel prüft diesen Punkt in einer späteren Version automatisch. Bis dahin sehen Sie die Konten im Microsoft 365 Admin Center (admin.microsoft.com) unter Teams & Gruppen > Freigegebene Postfächer und blockieren unter Benutzer > Aktive Benutzer für jedes die Anmeldung.
Für Ihre IT: per PowerShell nachsehen
Exchange Online + Graph PowerShell: Get-EXOMailbox -RecipientTypeDetails SharedMailbox -ResultSize Unlimited | % { Update-MgUser -UserId $_.ExternalDirectoryObjectId -AccountEnabled:$false }Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A1: Regelung für die Einrichtung und Löschung von Benutzenden und Benutzendengruppen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.