Darum geht es
Wird an einem fremden oder gemeinsam genutzten Rechner vergessen, sich abzumelden, bleibt der Zugriff auf SharePoint und OneDrive offen. Die automatische Abmeldung nach Inaktivität schließt solche Sitzungen. Sie greift im Browser auf nicht verwalteten Geräten, also typischerweise auf privaten oder fremden PCs.
Was passieren kann
Eine offene Sitzung an einem Hotel-, Messe- oder Privat-PC erlaubt Dritten den Zugriff auf Firmendateien, ohne dass ein Kennwort nötig ist.
Schritt für Schritt
Prüfen Sie die Voraussetzung: Die Funktion nutzt Conditional Access und erfordert Microsoft Entra ID P1 oder P2.
Öffnen Sie im SharePoint Admin Center Richtlinien > Zugriffssteuerung > Abmeldung bei Leerlaufsitzung.
Aktivieren Sie „Inaktive Benutzer automatisch abmelden“ und wählen Sie z. B. Warnung nach 45 Minuten und Abmeldung nach 1 Stunde. Speichern Sie.
Beachten Sie: Auf verwalteten (konformen oder domänengebundenen) Geräten und bei „Angemeldet bleiben“ greift die Abmeldung nicht. Blenden Sie diese Option ggf. über das Unternehmensbranding aus.
Testen Sie nach etwa 15 Minuten Wartezeit auf einem nicht verwalteten Gerät, ob die Warnung erscheint.
Hier finden Sie die Einstellung
- SharePoint Admin Center (<tenant>-admin.sharepoint.com)
- Richtlinien
- Zugriffssteuerung
- Abmeldung bei Leerlaufsitzung
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Inaktive Sitzungen in SharePoint und OneDrive werden automatisch abgemeldet
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
SharePoint Online PowerShell: Get-SPOBrowserIdleSignOut. Erwartet: Enabled = True. Setzen: Set-SPOBrowserIdleSignOut -Enabled $true -WarnAfter (New-TimeSpan -Minutes 45) -SignOutAfter (New-TimeSpan -Hours 1)
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- SYS.2.1.A1: Sichere Authentisierung von Benutzenden
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.