Darum geht es
Notfallzugangs-Konten (Break-Glass) sind zwei reservierte Administratorkonten, mit denen Sie wieder in Ihren Tenant gelangen, wenn alle anderen Admins ausgesperrt sind, etwa durch eine fehlerhafte Richtlinie oder einen MFA-Ausfall. Ohne sie kann eine Fehlkonfiguration Sie dauerhaft aus Ihrer eigenen Umgebung aussperren.
Was passieren kann
Bei einer Fehlkonfiguration des bedingten Zugriffs oder einer Störung des MFA-Dienstes verlieren Sie den Admin-Zugang und sind tagelang auf den Microsoft-Support angewiesen.
Das Ziel
Es gibt zwei erkennbare Notfallzugangs-Konten (Break-Glass) mit Globaler-Administrator-Rolle.
Schritt für Schritt
Legen Sie zwei reine Cloud-Konten auf der Domain <firma>.onmicrosoft.com an, z. B. breakglass01@ und breakglass02@ oder mit Anzeigename „Notfallzugang 1/2“. Daran erkennt Auditspiegel sie automatisch.
Weisen Sie beiden Konten dauerhaft die Rolle „Globaler Administrator“ zu; vergeben Sie keine Lizenzen.
Vergeben Sie lange, zufällige Kennwörter und schützen Sie die Konten mit phishingresistenten Methoden (z. B. FIDO2-Sicherheitsschlüssel); Microsoft verlangt für Admin-Portale ohnehin MFA.
Schließen Sie mindestens ein Notfallkonto aus allen Richtlinien für bedingten Zugriff aus, damit es bei Fehlkonfigurationen funktioniert.
Verwahren Sie Zugangsdaten und Schlüssel getrennt und versiegelt (z. B. Tresor), dokumentieren Sie, wer sie im Notfall nutzen darf.
Testen Sie die Anmeldung beider Konten mindestens halbjährlich und richten Sie eine Warnung für jede Anmeldung dieser Konten ein.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Benutzer
- Alle Benutzer
- Neuer Benutzer
oder
- danach Entra ID
- Rollen und Administratoren
- Globaler Administrator
- Zuweisungen hinzufügen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Es gibt zwei erkennbare Notfallzugangs-Konten (Break-Glass) mit Globaler-Administrator-Rolle
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Auditspiegel erkennt Notfallkonten am Namen (UPN beginnt z. B. mit „breakglass“, „emergency“, „notfall“ oder Anzeigename enthält „Notfallzugang“). Anders benannte Konten bitte manuell bestätigen.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A20: Notfallvorsorge für das Identitäts- und Berechtigungsmanagement-System
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. c: Wiederherstellbarkeit nach Zwischenfall
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.