Ein Benutzerkonto ist kompromittiert, wenn jemand Zugang dazu hat, der das eigentlich nicht haben sollte. In der Praxis bedeutet das meistens: Ein Angreifer kennt das Passwort und hat sich bereits eingeloggt – oft ohne, dass der eigentliche Kontoinhaber oder das Unternehmen dies bemerkt hat.
In Microsoft 365 Umgebungen ist das kein theoretisches Szenario. Wir erleben es bei Kunden, und wir sehen es in den Daten, die uns als Managed Service Provider zur Verfügung stehen. Dieser Artikel erklärt, wie es dazu kommt, welche Signale auf ein kompromittiertes Konto hindeuten und was hilft.
_________________________________________________________________
Wie Konten kompromittiert werden
Die häufigsten Wege sind wenig überraschend: Phishing, schwache oder wiederverwendete Passwörter und Datenlecks bei anderen Diensten.
Phishing bedeutet in diesem Zusammenhang nicht zwingend eine schlecht geschriebene E-Mail mit offensichtlichen Fehlern. Moderne Phishing-Angriffe sind täuschend echt gestaltet und imitieren Microsoft-Kommunikation oder interne Absender. Ein Klick auf einen Link, eine Eingabe der Zugangsdaten auf einer gefälschten Seite und das Konto ist in fremden Händen.
Ein weiteres Thema ist Device Code Phishing. Dabei nutzen Angreifer eine legitime Microsoft-Funktion aus, mit der sich Geräte oder Anwendungen über einen Code bei Microsoft registrieren lassen. Was ursprünglich für bestimmte Anwendungsfälle gedacht war, wird heute von Angreifern genutzt, um sich in Microsoft 365 Umgebungen einzuschleusen. Wir haben diese Funktion bei allen Kunden, die unseren Managed Service nutzen, standardmäßig deaktiviert.
_________________________________________________________________
Woran man ein kompromittiertes Konto erkennt
Microsoft erkennt bestimmte Risikomuster automatisch und klassifiziert Konten entsprechend als risikobehaftet. Dazu gehören unter anderem:
- Anmeldungen aus Ländern, in denen der Benutzer nachweislich nicht ist
- Impossible Travel – also eine Anmeldung aus Hamburg, gefolgt von einer Anmeldung aus einem anderen Land innerhalb weniger Minuten
- Passwörter, die in bekannten Datenlecks aufgetaucht sind
- Anmeldeversuche, die typische Muster automatisierter Angriffe zeigen
Das Problem: Diese Erkenntnisse sind standardmäßig nicht einfach zugänglich. Um risikobehaftete Benutzer systematisch zu überwachen, ist eine Zusatzlizenz erforderlich – oder ein Managed Service Provider, der als solcher Zugang zu diesen Daten hat.
Als Managed Service Provider sehen wir diese Signale für alle Tenants, die wir betreuen. Wenn ein Konto als risikobehaftet eingestuft wird, sprechen wir den Kunden proaktiv an.
_________________________________________________________________
Was passiert, wenn niemand reagiert
Ein kompromittiertes Konto, das unbemerkt bleibt, ist ein ernstes Problem. Angreifer, die Zugang zu einem Microsoft 365 Konto haben, können E-Mails lesen, Daten herunterladen, Weiterleitungsregeln einrichten, die interne Kommunikation mitlesen – und das über Wochen hinweg, ohne dass es auffällt.
Wir hatten Kunden, die monatlich einen Security-Vorfall hatten. Jeweils ein kompromittiertes Konto, jeweils behoben, aber das zugrunde liegende Problem war die fehlende Schutzarchitektur. Als wir die Umgebung schließlich neu aufgesetzt haben, waren diese Vorfälle behoben.
_________________________________________________________________
Was konkret schützt
Kein einzelnes Mittel macht eine Microsoft 365 Umgebung vollständig sicher. Es ist eine Kombination aus mehreren Maßnahmen, die zusammen wirken:
Multi-Faktor-Authentifizierung ist die wichtigste Einzelmaßnahme. Wer ein Passwort kennt, kommt damit allein nicht mehr rein. Welche MFA-Methode empfehlenswert ist, hängt vom Schutzbedarf ab – von einfachen Authenticator-Apps bis hin zu Phishing-resistenten Hardware-Token wie FIDO-Keys.
Conditional Access steuert, unter welchen Bedingungen Zugriff gewährt wird. Unbekannte Geräte, auffällige Anmeldeorte, riskante Anmeldemuster – all das lässt sich mit Conditional Access automatisch steuern.
Aktives Monitoring erkennt Risikosignale, bevor ein Schaden entsteht. Das setzt voraus, dass jemand diese Signale auch tatsächlich sieht und bewertet – sei es intern oder über einen externen Dienstleister.
Und schließlich hilft Security Awareness – also das Bewusstsein der Mitarbeitenden für aktuelle Angriffsmethoden. Wer weiß, wie Phishing-Angriffe heute aussehen, klickt seltener auf einen eingeschleusten Link.
_________________________________________________________________
Was ein Security-Vorfall auslöst
Leider beobachten wir immer wieder, dass Unternehmen erst dann ernsthaft über Sicherheit nachdenken, wenn etwas passiert ist. Ein kompromittiertes Konto, ein Datenleck, eine Erpressungssoftware – das sind die Momente, die zu einem Umdenken führen.
Die Kosten eines Security-Vorfalls – Ausfallzeiten, Wiederherstellung, möglicherweise Datenverlust oder Reputationsschaden – übersteigen in der Regel deutlich die Kosten einer angemessenen Schutzarchitektur im Vorfeld.
Wenn Sie wissen möchten, wie es um die Sicherheit Ihrer Microsoft 365 Umgebung steht, schauen wir uns das gerne an.
_________________________________________________________________
CTA: Wie gut ist Ihre Microsoft 365 Umgebung gegen kompromittierte Konten geschützt? Wir geben Ihnen eine ehrliche Einschätzung.
