Darum geht es
Ältere Anmeldeverfahren wie POP, IMAP oder SMTP-Auth übertragen nur Benutzername und Kennwort und können keine zweite Anmeldemethode abfragen. Angreifer nutzen genau diese Hintertür, um MFA zu umgehen. Laut Microsoft laufen über 99 % der Password-Spray-Angriffe über solche Protokolle.
Was passieren kann
Trotz eingerichteter MFA können Angreifer mit einem erratenen Kennwort Postfächer auslesen und Betrugs-Mails im Namen der Firma versenden.
Schritt für Schritt
Prüfen Sie in Entra ID > Überwachung und Integrität > Anmeldeprotokolle (Filter „Client-App“ auf ältere Protokolle), wer noch Altprotokolle nutzt, z. B. Scanner oder alte Mailprogramme.
Stellen Sie diese Geräte und Programme auf moderne Authentifizierung um oder auf einen SMTP-Relay-Connector.
Ohne Entra ID P1: Aktivieren Sie unter Entra ID > Übersicht > Eigenschaften > „Sicherheitsstandards verwalten“ die Sicherheitsstandards.
Mit Entra ID P1: Erstellen Sie unter Bedingter Zugriff eine Richtlinie: Alle Benutzer (Notfallkonto ausnehmen), Alle Ressourcen, Client-Apps „Exchange ActiveSync-Clients“ und „Andere Clients“, Zugriff blockieren.
Starten Sie die Richtlinie im Modus „Nur Bericht“, werten Sie die Auswirkungen aus und schalten Sie sie dann auf „Ein“ – erst dann gilt die Prüfung als bestanden.
Deaktivieren Sie zusätzlich SMTP-Auth organisationsweit in Exchange Online.
Hier finden Sie die Einstellung
Mit P1
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Bedingter Zugriff
- Richtlinien
oder ohne P1
- Entra ID
- Übersicht
- Eigenschaften
- Sicherheitsstandards verwalten
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Veraltete Anmeldeprotokolle (POP, IMAP, SMTP-Auth) sind tenantweit gesperrt
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Graph PowerShell: (Get-MgPolicyIdentitySecurityDefaultEnforcementPolicy).IsEnabled; Exchange Online PowerShell: Set-TransportConfig -SmtpClientAuthenticationDisabled $true
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.1.1v1 – Veraltete Authentifizierung blockieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13 – Geeignete Auswahl von AuthentisierungsmechanismenAPP.5.3.A2 – Sicherer Betrieb von E-Mail-Servern
- DSGVO Art. 32 Abs. 1
- lit. b – Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.