Darum geht es
Administratorrechte sind die wertvollsten Zugänge im Tenant. Mit der Zeit sammeln sich Rollen bei Personen an, die sie nicht mehr brauchen, etwa nach Projekten oder einem Wechsel des Dienstleisters. Eine regelmäßige Zugriffsüberprüfung zwingt dazu, jede Admin-Rolle bewusst zu bestätigen oder zu entziehen.
Was passieren kann
Überzählige Admin-Konten vergrößern die Angriffsfläche erheblich. Ein einziges kompromittiertes Admin-Konto kann den gesamten Tenant gefährden.
Schritt für Schritt
Prüfen Sie die Lizenz: Zugriffsüberprüfungen für Entra-Rollen erfordern Microsoft Entra ID P2 oder Microsoft Entra ID Governance.
Öffnen Sie ID Governance > Privileged Identity Management > Microsoft Entra-Rollen > Zugriffsüberprüfungen und wählen Sie „Neu“.
Nehmen Sie mindestens Globaler Administrator, Administrator für privilegierte Rollen sowie Exchange-, SharePoint-, Teams- und Sicherheitsadministrator auf.
Wählen Sie als Prüfer eine verantwortliche Person (z. B. Geschäftsführung oder IT-Leitung), Häufigkeit monatlich oder vierteljährlich, Dauer höchstens 14 Tage.
Aktivieren Sie „Ergebnisse automatisch auf Ressource anwenden“ und für fehlende Antworten „Zugriff entfernen“. Nehmen Sie Notfallkonten bewusst aus.
Prüfen Sie nach dem ersten Durchlauf, welche Zuweisungen entfernt wurden, und dokumentieren Sie das Ergebnis.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- ID Governance
- Privileged Identity Management
- Microsoft Entra-Rollen
- Zugriffsüberprüfungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Administratorrollen werden regelmäßig per Zugriffsüberprüfung bestätigt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Für diese Prüfung bräuchte Auditspiegel die zusätzliche Leseberechtigung „AccessReview.Read.All". Wir fragen sie bewusst nicht an, solange sie nicht für mehrere Prüfungen nötig ist.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell (Scope AccessReview.Read.All): Get-MgIdentityGovernanceAccessReviewDefinition | select DisplayName,Status. Eine aktive Definition sollte die Admin-Rollen abdecken.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A3: Dokumentation der Benutzendenkennungen und Rechteprofile
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. d: Regelmäßige Überprüfung der Maßnahmen
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.