Darum geht es
Veraltete Protokolle wie POP, IMAP, SMTP AUTH oder Exchange ActiveSync mit Basisauthentifizierung prüfen nur Benutzername und Kennwort. Wer sich darüber anmeldet, kommt an der Multifaktor-Anmeldung vorbei. Exchange Online hat die Basisauthentifizierung für POP, IMAP und ActiveSync bereits abgeschaltet; offen ist sie vor allem noch für den Mailversand per SMTP AUTH.
Was passieren kann
Angreifer probieren erbeutete Kennwörter gezielt über diese Protokolle aus; eine erfolgreiche Anmeldung öffnet das Postfach ohne zweiten Faktor.
Schritt für Schritt
Öffnen Sie die Anmeldeprotokolle und filtern Sie nach „Client-App“ auf die veralteten Protokolle der letzten 30 Tage.
Ordnen Sie jede Anmeldung einem Gerät oder Programm zu (z. B. Scanner, alte Mail-App, Warenwirtschaft).
Stellen Sie diese auf moderne Anmeldung (OAuth) oder einen Connector um.
Blockieren Sie danach veraltete Authentifizierung per bedingtem Zugriff (Prüfpunkt AS-AN-020) und SMTP AUTH organisationsweit (Prüfpunkt AS-AN-037).
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Überwachung und Integrität
- Anmeldeprotokolle
- Filter „Client-App“
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
In den letzten 30 Tagen hat sich niemand erfolgreich über veraltete Anmeldeprotokolle angemeldet
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/auditLogs/signIns?$filter=createdDateTime ge <Datum> and status/errorCode eq 0 and clientAppUsed eq 'IMAP4' … (Entra ID P1). Microsoft liefert die Protokolle 30 Tage lang.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13: Geeignete Auswahl von AuthentisierungsmechanismenAPP.5.3.A2: Sicherer Betrieb von E-Mail-Servern
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.