Darum geht es
Gastkonten für Kunden, Partner und Freiberufler bleiben bestehen, wenn die Zusammenarbeit endet. Sie behalten Zugriff auf Teams und geteilte Dateien.
Was passieren kann
Ein kompromittiertes Konto beim Partner führt direkt in Ihre Teams und Dateien, ohne dass es jemand bemerkt.
Schritt für Schritt
Öffnen Sie die Benutzerliste, filtern Sie auf „Gast“ und blenden Sie „Letzte Anmeldung“ ein.
Klären Sie mit den Teambesitzern, ob die Gäste noch Zugriff brauchen.
Löschen Sie nicht mehr benötigte Gastkonten.
Richten Sie für Gäste eine wiederkehrende Zugriffsüberprüfung ein (Prüfpunkt AS-ID-019).
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Benutzer
- Alle Benutzer
- Filter „Benutzertyp: Gast“
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Kein Gastkonto ist seit mehr als 90 Tagen ungenutzt
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/users?$select=displayName,accountEnabled,userType,createdDateTime,signInActivity (Entra ID P1).
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A1: Regelung für die Einrichtung und Löschung von Benutzenden und BenutzendengruppenORP.4.A2: Einrichtung, Änderung und Entzug von Berechtigungen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.