Darum geht es
Ältere Anmeldeverfahren (z. B. POP, IMAP, SMTP-Authentifizierung, alte Office-Versionen) kennen keine Multifaktor-Anmeldung. Angreifer nutzen sie gezielt, um MFA zu umgehen und massenhaft Passwörter auszuprobieren. Eine Sperre schließt diese Hintertür.
Was passieren kann
Solange veraltete Protokolle erlaubt sind, nützt MFA wenig: Ein Angreifer mit Passwort meldet sich einfach über ein altes Protokoll an.
Schritt für Schritt
Prüfen Sie im Anmeldeprotokoll (Filter „Client-App“, ältere Authentifizierungsclients), wer noch alte Verfahren nutzt, z. B. Scanner mit SMTP-Versand.
Stellen Sie betroffene Geräte und Programme auf moderne Anmeldung oder einen SMTP-Relay-Connector um.
Legen Sie unter Bedingter Zugriff > Richtlinien eine neue Richtlinie an; Benutzer: „Alle Benutzer“, Notfallkonten und Entra-Connect-Konto ausgeschlossen.
Zielressourcen: „Alle Ressourcen“. Bedingungen > Client-Apps: nur „Exchange ActiveSync-Clients“ und „Andere Clients“. Gewähren: „Zugriff blockieren“.
Aktivieren Sie die Richtlinie zunächst im Modus „Nur Bericht“ und werten Sie das Anmeldeprotokoll einige Tage aus.
Schalten Sie die Richtlinie auf „Ein“ und prüfen Sie im Anmeldeprotokoll, dass Anmeldungen über ältere Clients mit Fehler 53003 abgewiesen werden.
Ohne Microsoft Entra ID P1 (oder ohne eigene Richtlinien) erreichen Sie diesen Schutz auch mit den Sicherheitsstandards (Security Defaults): Sie blockieren alle Anmeldungen über veraltete Protokolle. Einschalten unter Entra ID > Übersicht > Eigenschaften > „Sicherheitsstandards verwalten“; das geht nur, solange keine Richtlinie für bedingten Zugriff aktiv ist.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Bedingter Zugriff
- Richtlinien
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Veraltete Authentifizierung ist für alle Benutzer blockiert (Sicherheitsstandards oder bedingter Zugriff)
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `Get-MgIdentityConditionalAccessPolicy | ? { $_.Conditions.ClientAppTypes -contains 'other' -and $_.GrantControls.BuiltInControls -contains 'block' } | ft DisplayName,State`Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.1.1v1: Veraltete Authentifizierung blockieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13: Geeignete Auswahl von Authentisierungsmechanismen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.