Microsoft 365 & Entra ID Sicherheitsaudit: Die 7 häufigsten Fehlkonfigurationen in Schweizer Unternehmen

1. Das Einbruchsmuster der Gegenwart: Identität statt Firewall

Früher hackten Angreifer Firewalls; heute loggen sie sich einfach mit gestohlenen Anmeldedaten ein. Microsoft 365 mit Entra ID ist die zentrale Identitätsverwaltung für Millionen Schweizer Nutzer. Ein einziger kompromittierter Account genügt, um E-Mails zu lesen, Dateien herunterzuladen und interne Phishing-Nachrichten an Kollegen zu verschicken.

Im Folgenden analysieren wir die sieben häufigsten Schwachstellen, die wir bei der Bedrohungsanalyse von Suisse Guard in Schweizer Microsoft-365-Tenants feststellen.

2. Die 7 gefährlichsten Fehlkonfigurationen

1. Veraltete Authentifizierungsprotokolle (Legacy Authentication) nicht blockiert

Auch wenn Sie für alle Benutzer MFA aktiviert haben: Wenn Legacy-Protokolle wie Basic Auth über IMAP4, POP3 oder Exchange ActiveSync nicht explizit per Conditional Access gesperrt sind, können Angreifer mit einem einfachen Passwort ohne zweiten Faktor zugreifen. Täter nutzen automatisierte Credential-Stuffing-Tools, die gezielt über diese alten Endpunkte anfragen.

# PowerShell: Conditional Access Policy prüfen
Get-MgIdentityConditionalAccessPolicy | Where-Object {
    $_.Conditions.ClientAppTypes -contains "exchangeActiveSync" -or
    $_.Conditions.ClientAppTypes -contains "other"
}

2. Illegitimes App-Consent (Consent Phishing) erlaubt

Standardmässig dürfen Benutzer in vielen Tenants Drittanbieter-Apps die Berechtigung erteilen, in ihrem Namen auf E-Mails, Kontakte und OneDrive-Dateien zuzugreifen. Angreifer schicken eine E-Mail mit der Aufforderung: «Klicken Sie hier, um das Dokument in Tool XYZ anzuzeigen». Der Nutzer klickt auf «Zustimmen» (Consent). Fortan hat der Angreifer über eine offizielle Azure-App permanenten Lesezugriff auf das Postfach – selbst wenn der Nutzer sein Passwort ändert oder MFA aktiviert hat!

3. Zu viele Konten mit globalen Administratorrechten

Wir treffen regelmässig Tenants an, in denen fünf, acht oder mehr Personen die Rolle «Global Administrator» besitzen – oft sogar für den täglichen E-Mail- und Surfbetrieb. Wird einer dieser Rechner durch Phishing infiziert, gehört dem Angreifer der gesamte Tenant.

4. Anonyme SharePoint- und OneDrive-Freigabelinks aktiv

Wenn die Freigabeeinstellung auf «Jeder mit dem Link kann anzeigen/bearbeiten» steht, können Dateien unkontrolliert abfliessen. Wenn ein Link einmal geteilt wurde, kann er an Dritte weitergeleitet oder von Suchmaschinen indiziert werden.

5. Fehlende Session-Timeout- und Token-Schutz-Richtlinien

Moderne Infostealer-Malware stiehlt keine Passwörter, sondern aktive Session-Cookies aus dem Webbrowser. Mit dem Session-Cookie kann der Angreifer MFA komplett umgehen. Ohne strenge Session-Lifetime-Limits und Continuous Access Evaluation (CAE) bleibt die gestohlene Session oft wochenlang gültig.

6. Gast-Benutzer ohne Ablaufdatum (Guest Sprawl)

In Teams werden externe Partner, Berater oder Lieferanten als Gäste eingeladen. Nach Projektende bleiben diese Konten jahrelang aktiv. Wird das Konto des externen Partners kompromittiert, hat der Täter sofort Zugriff auf Ihre internen Teams-Kanäle und Dokumente. Richten Sie Microsoft Entra Access Reviews ein, um inaktive Gäste automatisch zu entfernen.

7. Mailweiterleitungsregeln (Auto-Forwarding) an externe Adressen erlaubt

Einer der ersten Schritte eines Angreifers nach einem Postfacheinbruch: Er richtet eine unauffällige Posteingangsregel ein, die jede eingehende E-Mail mit Begriffen wie «Rechnung», «Zahlung», «Vertrag» oder «Geheim» automatisch an eine externe Adresse weiterleitet.

# Externe Weiterleitungen in Exchange Online deaktivieren
Set-RemoteDomain Default -AutoForwardEnabled $false