Darum geht es
Bei sogenannten MFA-Ermüdungsangriffen schicken Angreifer so lange Anmeldeanfragen aufs Handy, bis jemand genervt auf „Genehmigen“ tippt. Zeigt die Authenticator-App an, welche Anwendung sich anmeldet und von welchem Ort aus, fällt eine fremde Anfrage, etwa aus dem Ausland, sofort auf.
Was passieren kann
Ohne diese Zusatzinformationen genehmigen Mitarbeitende fremde Anmeldungen leichter. Der Angreifer umgeht so die MFA und übernimmt das Konto.
Schritt für Schritt
Öffnen Sie Entra ID > Authentifizierungsmethoden > Richtlinien > Microsoft Authenticator.
Stellen Sie sicher, dass die Methode aktiviert ist und für „Alle Benutzer“ gilt.
Setzen Sie auf der Registerkarte „Konfigurieren“ „Anwendungsname in Pushbenachrichtigungen anzeigen“ auf Status „Aktiviert“ für alle Benutzer, nicht auf „Von Microsoft verwaltet“.
Setzen Sie ebenso „Geografischen Standort in Pushbenachrichtigungen anzeigen“ auf „Aktiviert“ und speichern Sie.
Testen Sie mit einer Anmeldung, dass die App beides anzeigt, und bitten Sie Mitarbeitende, unerwartete Anfragen abzulehnen und zu melden.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Authentifizierungsmethoden
- Richtlinien
- Microsoft Authenticator
- Konfigurieren
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Microsoft Authenticator zeigt App-Name und Standort an (Schutz vor MFA-Ermüdungsangriffen)
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `(Get-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration -AuthenticationMethodConfigurationId MicrosoftAuthenticator).AdditionalProperties.featureSettings`
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.3.3v2: Microsoft Authenticator zeigt Anmeldekontext an
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13: Geeignete Auswahl von Authentisierungsmechanismen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.