Darum geht es
Gastkonten für Kunden, Partner oder Freiberufler bleiben oft bestehen, lange nachdem die Zusammenarbeit beendet ist. Eine regelmäßige Zugriffsüberprüfung fragt die Verantwortlichen automatisch, ob ein Gast noch Zugriff braucht, und entfernt nicht mehr benötigte Zugänge.
Was passieren kann
Vergessene Gastkonten behalten Zugriff auf Teams, Dateien und Kundendaten. Wird so ein externes Konto kompromittiert, fällt der Zugriff lange nicht auf.
Schritt für Schritt
Prüfen Sie die Lizenz: Zugriffsüberprüfungen erfordern Microsoft Entra ID P2 oder Microsoft Entra ID Governance.
Öffnen Sie im Microsoft Entra Admin Center ID Governance > Zugriffsüberprüfungen und prüfen Sie, ob bereits eine aktive Überprüfung für Gäste existiert.
Wählen Sie „Neue Zugriffsüberprüfung“, Typ „Teams + Gruppen“, Bereich alle Microsoft 365-Gruppen mit Gastbenutzern und „Nur Gastbenutzer“.
Legen Sie als Prüfer die Gruppenbesitzer fest (Fallback: eine IT-verantwortliche Person), Wiederholung monatlich oder vierteljährlich, Dauer z. B. 14 Tage.
Aktivieren Sie „Ergebnisse automatisch auf Ressource anwenden“, für fehlende Antworten „Zugriff entfernen“ sowie E-Mail-Benachrichtigungen.
Informieren Sie die Gruppenbesitzer vorab und kontrollieren Sie nach dem ersten Durchlauf die Ergebnisse unter „Zugriffsüberprüfungen“.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- ID Governance
- Zugriffsüberprüfungen
- Neue Zugriffsüberprüfung
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Gastkonten werden regelmäßig per Zugriffsüberprüfung bestätigt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Für diese Prüfung bräuchte Auditspiegel die zusätzliche Leseberechtigung „AccessReview.Read.All". Wir fragen sie bewusst nicht an, solange sie nicht für mehrere Prüfungen nötig ist.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell (Scope AccessReview.Read.All): Get-MgIdentityGovernanceAccessReviewDefinition | select DisplayName,Status. Prüfen Sie, ob eine aktive Definition Gastbenutzer abdeckt.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A3: Dokumentation der Benutzendenkennungen und Rechteprofile
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. d: Regelmäßige Überprüfung der Maßnahmen
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.