Darum geht es
Ältere Programme und Werkzeuge melden sich bei SharePoint noch mit veralteten Verfahren an, bei denen keine Mehrfaktor-Authentifizierung möglich ist. Angreifer nutzen diese Hintertür gezielt, um mit erbeuteten Kennwörtern trotz MFA an Dateien zu kommen.
Was passieren kann
Mit einem gestohlenen Kennwort können Angreifer über veraltete Protokolle auf SharePoint und OneDrive zugreifen und die MFA-Pflicht umgehen.
Schritt für Schritt
Prüfen Sie, ob noch sehr alte Office-Versionen (2010 oder älter) oder Drittanbieter-Tools mit Kennwortanmeldung auf SharePoint zugreifen.
Öffnen Sie im SharePoint Admin Center Richtlinien > Zugriffssteuerung > „Apps, die keine moderne Authentifizierung verwenden“.
Wählen Sie „Zugriff blockieren“ und speichern Sie. Die Änderung kann bis zu 24 Stunden dauern.
Ergänzend sperren Sie veraltete Authentifizierung tenantweit per Conditional Access oder über Baseline Security Mode im Microsoft 365 Admin Center.
Prüfen Sie danach in den Entra-Anmeldeprotokollen (Filter „Client-App“), ob noch Anmeldungen mit Legacy-Clients auftreten.
Hier finden Sie die Einstellung
- SharePoint Admin Center (<tenant>-admin.sharepoint.com)
- Richtlinien
- Zugriffssteuerung
- Apps, die keine moderne Authentifizierung verwenden
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
SharePoint akzeptiert keine veralteten Anmeldeprotokolle
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
SharePoint Online PowerShell: Get-SPOTenant | fl LegacyAuthProtocolsEnabled. Erwartet: False. Setzen: Set-SPOTenant -LegacyAuthProtocolsEnabled $false
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13: Geeignete Auswahl von Authentisierungsmechanismen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.