Darum geht es
Verschickt ein Konto auffällig viel Spam, sperrt Microsoft es automatisch für den Mailversand und führt es unter „Eingeschränkte Entitäten“. Das ist fast immer ein Zeichen für ein übernommenes Konto. Ein wöchentlicher Blick stellt sicher, dass solche Fälle nicht übersehen werden.
Was passieren kann
Ein übernommenes Konto bleibt unbemerkt; der Angreifer kann weiter Mails lesen, und Mitarbeitende können plötzlich keine Mails mehr senden.
Schritt für Schritt
Legen Sie einen festen wöchentlichen Termin und eine verantwortliche Person fest.
Öffnen Sie im Defender-Portal E-Mail & Zusammenarbeit > Überprüfen > Eingeschränkte Entitäten.
Behandeln Sie jedes gelistete Konto als möglicherweise kompromittiert: Kennwort zurücksetzen, Sitzungen widerrufen, Weiterleitungs- und Posteingangsregeln prüfen.
Heben Sie die Sperre erst nach der Bereinigung auf.
Dokumentieren Sie Datum, Befund und Maßnahmen.
Hier finden Sie die Einstellung
- Microsoft Defender Portal (security.microsoft.com)
- E-Mail & Zusammenarbeit
- Überprüfen
- Eingeschränkte Entitäten
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Der Bericht „Eingeschränkte Entitäten" wird wöchentlich gesichtet
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Organisatorische Maßnahme: Hier geht es um die regelmäßige Sichtung eines Berichts durch Ihr Team. Das lässt sich technisch nicht prüfen; bitte legen Sie dafür einen festen Termin fest.
Für Ihre IT: per PowerShell nachsehen
Exchange Online PowerShell: Get-BlockedSenderAddress; Freigabe nach Bereinigung mit Remove-BlockedSenderAddress -SenderAddress <adresse>
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- DER.1.A5: Einsatz von mitgelieferten Systemfunktionen zur Detektion
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. d: Regelmäßige Überprüfung der Maßnahmen
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.