Darum geht es
Globale Administratoren dürfen in Microsoft 365 alles. Gibt es nur einen, fehlt bei Krankheit oder Urlaub die Vertretung. Gibt es zu viele, steigt die Zahl der Konten, über die ein Angreifer die volle Kontrolle erlangen kann. Zwei bis vier sind ein guter Kompromiss.
Was passieren kann
Zu viele Global-Admins vergrößern die Angriffsfläche für eine vollständige Tenant-Übernahme; nur ein Global-Admin kann bei Ausfall dieser Person den Betrieb blockieren.
Das Ziel
Zwischen zwei und vier Globale Administratoren sind benannt.
Schritt für Schritt
Öffnen Sie die Rolle „Globaler Administrator“ und listen Sie alle aktiven Zuweisungen auf.
Prüfen Sie für jedes Konto, welche Aufgaben die Person tatsächlich erledigt.
Ersetzen Sie die Rolle, wo möglich, durch eingeschränkte Rollen wie „Benutzeradministrator“, „Exchange-Administrator“, „Teams-Administrator“ oder „Helpdeskadministrator“.
Behalten Sie insgesamt zwei bis vier Global-Admins; die Notfallkonten zählen dabei mit.
Wenn nur ein Global-Admin existiert, ernennen Sie eine zweite, vertrauenswürdige Person bzw. legen Sie ein Notfallkonto an.
Prüfen Sie die Rollenzuweisungen künftig mindestens vierteljährlich.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Rollen und Administratoren
- Globaler Administrator
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Zwischen zwei und vier Globale Administratoren sind benannt
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: (Get-MgDirectoryRoleMember -DirectoryRoleId (Get-MgDirectoryRole -Filter "roleTemplateId eq '62e90394-69f5-4237-9190-012177145e10'").Id).Count
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.7.1v1: Zwei bis acht Globale Administratoren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.2.A21: Regelung der IT-Administrationsrollen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.