Darum geht es
Apps mit Rechten wie „alle Postfächer lesen und schreiben“ oder „alle Dateien schreiben“ können auf Firmendaten zugreifen, ohne dass sich ein Mitarbeiter anmeldet oder es bemerkt. Solche Zustimmungen werden oft einmal erteilt und dann vergessen.
Was passieren kann
Eine kompromittierte oder bösartige App liest unbemerkt E-Mails und Dateien aller Mitarbeiter oder verändert das Verzeichnis.
Schritt für Schritt
Öffnen Sie im Entra Admin Center Entra ID > Unternehmensanwendungen und wählen Sie die genannte App.
Prüfen Sie unter „Berechtigungen“, welche Rechte per Administratorzustimmung erteilt sind.
Klären Sie mit dem Fachbereich, ob die App noch genutzt wird; entfernen Sie nicht mehr genutzte Apps.
Entziehen Sie überzogene Rechte oder ersetzen Sie sie durch engere (z. B. Sites.Selected statt Sites.ReadWrite.All).
Lassen Sie neue Zustimmungen nur noch über den Admin-Zustimmungs-Workflow zu (Prüfpunkte AS-AP-006 und AS-AP-007).
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Unternehmensanwendungen
- [App]
- Berechtigungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Keine App eines Drittanbieters hat tenantweit weitreichende Rechte auf Postfächer, Dateien oder das Verzeichnis
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/oauth2PermissionGrants?$filter=consentType eq AllPrincipals (delegiert) und GET /v1.0/servicePrincipals(appId=00000003-0000-0000-c000-000000000000)/appRoleAssignedTo (Anwendungsberechtigungen). Apps von Microsoft werden nicht gewertet.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.6.A4: Regelung für die Installation und Konfiguration von SoftwareORP.4.A2: Einrichtung, Änderung und Entzug von Berechtigungen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.