Darum geht es
Bleibt ein Browser mit geöffnetem Outlook oder SharePoint auf einem fremden oder gemeinsam genutzten Rechner angemeldet, kann jeder Nächste auf Ihre Firmendaten zugreifen. Eine automatische Abmeldung nach Inaktivität schließt diese Lücke.
Was passieren kann
Unbefugte erhalten über vergessene Browsersitzungen auf Gemeinschafts- oder Privatrechnern Zugriff auf E-Mails und Dokumente.
Das Ziel
Inaktive Sitzungen in Microsoft-365-Webanwendungen werden nach höchstens drei Stunden beendet.
Schritt für Schritt
Öffnen Sie im Microsoft 365 Admin Center Einstellungen > Organisationseinstellungen > Sicherheit und Datenschutz > Timeout für Leerlaufsitzungen (Erstaktivierung erfordert die Rolle Globaler Administrator).
Aktivieren Sie die Einstellung und wählen Sie einen Zeitraum von höchstens 3 Stunden.
Speichern Sie; die Aktivierung dauert einige Minuten. Die Einstellung ersetzt ältere Timeouts für Outlook im Web und SharePoint.
Optional mit Entra ID P1: Beschränken Sie das Timeout per bedingtem Zugriff („Von der App erzwungene Einschränkungen verwenden“) auf nicht verwaltete Geräte.
Testen Sie: Nach Ablauf der Zeit muss im Browser die Meldung „Ihre Sitzung läuft bald ab“ erscheinen.
Dokumentieren Sie die Prüfung, da Auditspiegel diese Einstellung nicht automatisch lesen kann.
Hier finden Sie die Einstellung
- Microsoft 365 Admin Center (admin.microsoft.com)
- Einstellungen
- Organisationseinstellungen
- Sicherheit und Datenschutz
- Timeout für Leerlaufsitzungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Inaktive Sitzungen in Microsoft-365-Webanwendungen werden nach höchstens drei Stunden beendet
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Für diese Einstellung bietet Microsoft keine auslesbare Schnittstelle (nur im Admin-Center sichtbar). Bitte prüfen Sie sie manuell anhand der Empfehlung.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- SYS.2.1.A1: Sichere Authentisierung von Benutzenden
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.