Darum geht es
Mit dem externen Zugriff können Mitarbeitende per Teams mit Personen aus anderen Unternehmen chatten und telefonieren. Standardmäßig ist das mit jeder Organisation weltweit möglich. Angreifer nutzen das für Phishing per Teams-Chat, etwa als angeblicher IT-Support. Beschränken Sie den Austausch auf bekannte Partner.
Was passieren kann
Fremde können Mitarbeitende direkt per Teams anschreiben und zu Klicks auf Schadlinks oder zur Herausgabe von Zugangsdaten verleiten.
Schritt für Schritt
Ermitteln Sie mit den Fachabteilungen, mit welchen externen Organisationen regelmäßig per Teams kommuniziert wird.
Öffnen Sie im Teams Admin Center Benutzer > Externer Zugriff.
Wählen Sie bei „Teams- und Skype for Business-Benutzer in externen Organisationen“ die Option „Nur bestimmte externe Domänen zulassen“ und fügen Sie die Partnerdomains hinzu.
Speichern Sie und legen Sie fest, wie neue Partnerdomains beantragt werden.
Testen Sie: Chats mit einer nicht gelisteten Domain dürfen nicht mehr möglich sein. Prüfen Sie die Liste regelmäßig.
Hier finden Sie die Einstellung
- Teams Admin Center (admin.teams.microsoft.com)
- Benutzer
- Externer Zugriff
- Organisationseinstellungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Der externe Zugriff in Teams ist auf freigegebene Organisationen beschränkt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Diese Teams-Einstellung ist nur über Teams PowerShell auslesbar, nicht über die Microsoft-Schnittstelle, die Auditspiegel heute nutzt. Auditspiegel prüft sie in einer späteren Version automatisch. Bis dahin prüfen Sie sie bitte im Teams Admin Center (admin.teams.microsoft.com).
Für Ihre IT: per PowerShell nachsehen
Teams PowerShell: Get-CsTenantFederationConfiguration | fl AllowFederatedUsers,AllowedDomains,BlockedDomains. AllowedDomains sollte eine Liste statt „AllowAllKnownDomains“ enthalten.
Bezüge
- SCuBA-Baselines der CISA
- MS.TEAMS.2.1v2: Externer Zugriff nur für freigegebene Domains
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.5.4.A4: Deaktivierung nicht benötigter Funktionen und Dienste
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.