Darum geht es
Microsoft erkennt Hinweise auf übernommene Konten, etwa Kennwörter in Datenlecks, Anmeldungen von ungewöhnlichen Orten oder bekannte Angreifer-Infrastruktur. Ein als gefährdet eingestuftes Konto braucht sofortige Aufmerksamkeit.
Was passieren kann
Ein Angreifer nutzt das Konto möglicherweise bereits, um E-Mails mitzulesen oder Rechnungen umzuleiten.
Schritt für Schritt
Öffnen Sie im Entra Admin Center ID Protection > Riskante Benutzer und prüfen Sie für jedes Konto die Risikoerkennungen.
Setzen Sie bei echtem Verdacht das Kennwort zurück und widerrufen Sie alle Sitzungen („Sitzungen widerrufen“).
Prüfen Sie Posteingangsregeln und Weiterleitungen des Kontos auf Manipulationen.
Bestätigen Sie anschließend die Kompromittierung des Benutzers oder verwerfen Sie das Benutzerrisiko, wenn sich der Verdacht nicht bestätigt.
Lassen Sie hohe Benutzerrisiken künftig per Richtlinie automatisch behandeln (Prüfpunkt AS-AN-019).
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- ID Protection
- Riskante Benutzer
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Kein Konto ist von Microsoft als mittel oder hoch gefährdet eingestuft
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/identityProtection/riskyUsers?$filter=riskState eq atRisk (Entra ID P2, IdentityRiskyUser.Read.All).
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- DER.1.A5: Einsatz von mitgelieferten Systemfunktionen zur DetektionORP.4.A9: Identifikation und Authentisierung
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.