Darum geht es
Auch auf SharePoint-Websites, die Mitarbeitende selbst anlegen, sollten keine benutzerdefinierten Skripte laufen. Moderne Erweiterungen funktionieren über das SharePoint Framework ohne dieses Risiko. Microsoft setzt Ausnahmen inzwischen nach 24 Stunden automatisch zurück; prüfen Sie dennoch, ob ältere Websites Skripte erlauben.
Was passieren kann
Wer Websitebesitzer ist, kann Schadcode einbauen, der bei allen Besuchern der Seite ausgeführt wird, z. B. um Anmeldedaten abzugreifen.
Schritt für Schritt
Öffnen Sie im SharePoint Admin Center Websites > Aktive Websites und filtern Sie über die Ansicht „Custom script allowed sites“.
Klären Sie mit den Websitebesitzern, ob alte Skript-Webparts noch gebraucht werden, und planen Sie Ersatz über das SharePoint Framework.
Setzen Sie die Websites unter Website auswählen > Einstellungen > Benutzerdefinierte Skripte auf „Blockiert“ oder per PowerShell mit -DenyAddAndCustomizePages $true.
Aktivieren Sie im Microsoft 365 Admin Center unter Baseline Security Mode die Einstellung gegen neue benutzerdefinierte Skripte.
Prüfen Sie die Ansicht erneut; sie sollte leer sein. Kommunizieren Sie die Änderung vorab, da alte Webparts dann nicht mehr angezeigt werden.
Hier finden Sie die Einstellung
- SharePoint Admin Center (<tenant>-admin.sharepoint.com)
- Websites
- Aktive Websites
- Website
- Einstellungen
- Benutzerdefinierte Skripte
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Benutzerdefinierte Skripte auf selbst erstellten Websites sind gesperrt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Diese SharePoint-Einstellung ist nur über SharePoint Online PowerShell auslesbar, nicht über die Microsoft-Schnittstelle, die Auditspiegel heute nutzt. Auditspiegel prüft sie in einer späteren Version automatisch. Bis dahin prüfen Sie sie bitte im SharePoint Admin Center (Adresse: <Ihr Mandantenname>-admin.sharepoint.com).
Für Ihre IT: per PowerShell nachsehen
SharePoint Online PowerShell: Get-SPOSite -Limit All | ? DenyAddAndCustomizePages -ne 'Enabled' | select Url. Erwartet: keine Treffer. Korrektur: Set-SPOSite -Identity <URL> -DenyAddAndCustomizePages $true
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.6.A4: Regelung für die Installation und Konfiguration von Software
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.