Darum geht es
Wer Administratorrechte nutzt, sollte das nicht auf demselben Rechner tun, auf dem auch E-Mails gelesen und im Internet gesurft wird. Ein separates, abgesichertes Gerät mit getrenntem Admin-Konto verhindert, dass Schadsoftware aus einer Phishing-Mail direkt Admin-Zugänge abgreift.
Was passieren kann
Wird ein Admin auf seinem Alltagsgerät infiziert, können Angreifer Sitzungen und Zugangsdaten stehlen und so den gesamten Tenant übernehmen.
Schritt für Schritt
Prüfen Sie, ob Administratoren getrennte, reine Cloud-Admin-Konten ohne Postfach nutzen. Falls nicht, legen Sie solche Konten an.
Bestimmen Sie Admin-Geräte: per Intune verwaltet, aktuelle Updates, BitLocker, keine lokalen Adminrechte für Alltagskonten, kein E-Mail-Client und kein privates Surfen.
Erstellen Sie unter Entra ID > Bedingter Zugriff eine Richtlinie für Admin-Rollen, die ein in Intune als konform markiertes Gerät verlangt (erfordert Entra ID P1 und Intune).
Testen Sie die Richtlinie zunächst im Modus „Nur Bericht“ und nehmen Sie Notfallkonten aus, bevor Sie sie einschalten.
Dokumentieren Sie die Regel in Ihrer Admin-Richtlinie und prüfen Sie in den Anmeldeprotokollen stichprobenartig, von welchen Geräten sich Admins anmelden.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Bedingter Zugriff
- Richtlinien
oder
- Microsoft Intune Admin Center (intune.microsoft.com)
- Geräte
- Konformität
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Administratoren arbeiten auf besonders gesicherten Admin-Arbeitsplätzen
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Ob Administratoren dedizierte, gehärtete Arbeitsplätze nutzen, ist eine organisatorische Maßnahme und technisch nicht aus Microsoft 365 auslesbar.
Für Ihre IT: per PowerShell nachsehen
Organisatorische Maßnahme, nicht direkt auslesbar. Stichprobe über Entra-Anmeldeprotokolle: Get-MgAuditLogSignIn -Filter "userPrincipalName eq 'admin@firma.de'" -Top 50 | select CreatedDateTime -ExpandProperty DeviceDetail. Prüfen Sie, ob nur verwaltete Admin-Geräte erscheinen.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.2.A16: Erweiterte Sicherheitsmaßnahmen für Administrationszugänge
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.