Darum geht es
Teams-Apps können Zugriff auf Chats, Dateien und Kalender erhalten. Statt allen Mitarbeitenden alle Apps zu erlauben, sollte festgelegt sein, welche Apps für wen verfügbar sind. Microsoft-Apps sind in der Regel unkritisch, Drittanbieter- und selbst entwickelte Apps sollten nur gezielt freigegeben werden.
Was passieren kann
Ungeprüfte Apps können Firmendaten an Dritte übermitteln oder über Schwachstellen Angreifern Zugriff verschaffen.
Schritt für Schritt
Prüfen Sie im Teams Admin Center unter Teams-Apps > Berechtigungsrichtlinien, ob Ihr Tenant bereits auf die App-zentrierte Verwaltung umgestellt ist.
Bei App-zentrierter Verwaltung: Öffnen Sie Apps verwalten > Aktionen > Organisationsweite App-Einstellungen und deaktivieren Sie die Standardverfügbarkeit für Drittanbieter- und benutzerdefinierte Apps.
Noch mit Berechtigungsrichtlinien: Stellen Sie in der globalen Richtlinie Drittanbieter-Apps und benutzerdefinierte Apps auf „Bestimmte Apps zulassen und alle anderen blockieren“.
Geben Sie benötigte Apps einzeln frei (Verfügbarkeit „Jeder“ oder bestimmte Gruppen) und dokumentieren Sie, wer die Freigabe geprüft hat.
Testen Sie mit einem normalen Benutzer, dass nicht freigegebene Apps nicht installiert werden können. Änderungen wirken nach bis zu 24 Stunden.
Hier finden Sie die Einstellung
- Teams Admin Center (admin.teams.microsoft.com)
- Teams-Apps
- Apps verwalten
- Aktionen
- Organisationsweite App-Einstellungen (bzw. Teams-Apps
- Berechtigungsrichtlinien vor der Umstellung)
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Richtlinien für Teams-App-Berechtigungen sind eingeschränkt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Diese Teams-Einstellung ist nur über Teams PowerShell auslesbar, nicht über die Microsoft-Schnittstelle, die Auditspiegel heute nutzt. Auditspiegel prüft sie in einer späteren Version automatisch. Bis dahin prüfen Sie sie bitte im Teams Admin Center (admin.teams.microsoft.com).
Für Ihre IT: per PowerShell nachsehen
Teams PowerShell vor der Umstellung: Get-CsTeamsAppPermissionPolicy -Identity Global | fl DefaultCatalogAppsType,GlobalCatalogAppsType,PrivateCatalogAppsType. Danach je App: Get-M365TeamsApp -Id <AppId> | fl AvailableTo
Bezüge
- SCuBA-Baselines der CISA
- MS.TEAMS.5.2v2: Nur freigegebene Drittanbieter-Apps installierbarMS.TEAMS.5.3v2: Nur freigegebene benutzerdefinierte Apps installierbar
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.6.A11: Verwendung von Plug-ins und Erweiterungen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.