Darum geht es
Globale Administratoren haben vollen Zugriff auf alle Daten und Einstellungen in Microsoft 365. Werden diese Konten aus dem lokalen Active Directory synchronisiert, kann ein Angreifer, der Ihr Firmennetz oder Ihren Server übernimmt, damit auch Ihre gesamte Cloud übernehmen. Reine Cloud-Konten trennen diese beiden Welten.
Was passieren kann
Ein kompromittierter lokaler Server oder Domänencontroller führt direkt zur vollständigen Übernahme des Microsoft-365-Tenants inklusive E-Mails, Dateien und Benutzerkonten.
Schritt für Schritt
Öffnen Sie im Microsoft Entra Admin Center die Rolle „Globaler Administrator“ und prüfen Sie bei jedem Mitglied die Spalte bzw. Eigenschaft „Lokal synchronisiert“ (On-premises sync enabled).
Legen Sie für jede betroffene Person ein neues reines Cloud-Konto an, z. B. admin.nachname@<firma>.onmicrosoft.com, und schützen Sie es mit MFA.
Weisen Sie dem neuen Cloud-Konto die Rolle „Globaler Administrator“ zu und testen Sie die Anmeldung im Admin Center.
Entfernen Sie danach die Rolle vom synchronisierten Konto. Nutzen Sie das synchronisierte Konto nur noch für die tägliche Arbeit.
Prüfen Sie, ob Skripte oder Dienste das alte Konto verwenden, und stellen Sie diese vorher um.
Kontrollieren Sie abschließend, dass kein Mitglied der Rolle mehr „onPremisesSyncEnabled = true“ aufweist.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Rollen und Administratoren
- Globaler Administrator
- Aktive Zuweisungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Globale Administratoren sind reine Cloud-Konten (nicht aus dem lokalen AD synchronisiert)
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: Get-MgDirectoryRoleMember -DirectoryRoleId (Get-MgDirectoryRole -Filter "roleTemplateId eq '62e90394-69f5-4237-9190-012177145e10'").Id | % { Get-MgUser -UserId $_.Id -Property UserPrincipalName,OnPremisesSyncEnabled }Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.7.3v1: Privilegierte Benutzer als reine Cloud-Konten
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.2.A22: Trennung von administrativen und anderen TätigkeitenOPS.1.1.2.A6: Schutz administrativer Tätigkeiten
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.