Darum geht es
Benutzerdefinierte Skripte erlauben es, beliebigen Programmcode in SharePoint-Seiten einzubauen. Auf persönlichen OneDrive-Websites ist das ein unnötiges Einfallstor für Schadcode. Microsoft blockiert solche Skripte inzwischen standardmäßig; Sie sollten das prüfen und dauerhaft festschreiben.
Was passieren kann
Eingeschleuster Skriptcode kann Anmeldedaten abgreifen oder Inhalte im Namen der Benutzer verändern, ohne dass es auffällt.
Schritt für Schritt
Öffnen Sie im SharePoint Admin Center Websites > Aktive Websites und nutzen Sie die Ansicht „Custom script allowed sites“ bzw. die Spalte „Benutzerdefiniertes Skript“.
Prüfen Sie per PowerShell, ob persönliche Websites mit erlaubten Skripten existieren (siehe technischer Hinweis).
Setzen Sie betroffene Websites auf „Blockiert“, z. B. Set-SPOSite -Identity <URL> -DenyAddAndCustomizePages $true.
Aktivieren Sie im Microsoft 365 Admin Center unter Einstellungen > Organisationseinstellungen > Sicherheit & Datenschutz > Baseline Security Mode die Einstellung, die neue benutzerdefinierte Skripte dauerhaft verhindert.
Wiederholen Sie die Abfrage und bestätigen Sie, dass keine persönliche Website mehr Skripte erlaubt.
Hier finden Sie die Einstellung
- SharePoint Admin Center (<tenant>-admin.sharepoint.com)
- Websites
- Aktive Websites
- Spalte „Benutzerdefiniertes Skript“
oder
- Microsoft 365 Admin Center (admin.microsoft.com)
- Einstellungen
- Organisationseinstellungen
- Sicherheit & Datenschutz
- Baseline Security Mode
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Benutzerdefinierte Skripte auf persönlichen Websites sind gesperrt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Diese SharePoint-Einstellung ist nur über SharePoint Online PowerShell auslesbar, nicht über die Microsoft-Schnittstelle, die Auditspiegel heute nutzt. Auditspiegel prüft sie in einer späteren Version automatisch. Bis dahin prüfen Sie sie bitte im SharePoint Admin Center (Adresse: <Ihr Mandantenname>-admin.sharepoint.com).
Für Ihre IT: per PowerShell nachsehen
SharePoint Online PowerShell: Get-SPOSite -IncludePersonalSite $true -Limit All -Filter "Url -like '-my.sharepoint.com/personal/'" | ? DenyAddAndCustomizePages -ne 'Enabled' | select Url. Erwartet: keine Treffer.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.6.A4: Regelung für die Installation und Konfiguration von Software
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.