MFA schützt nur die Konten, für die sie wirksam durchgesetzt wird
Eine bloße Registrierung einzelner Benutzer bedeutet noch nicht, dass jede Anmeldung geschützt ist. Entscheidend ist eine nachvollziehbare Richtlinie, die Benutzer, Administrationszugänge und verwendete Anwendungen umfasst. Ausnahmen müssen begründet, zeitlich begrenzt und regelmäßig geprüft werden.
Starke Faktoren wie Sicherheitsschlüssel oder passwortlose Verfahren sind gegenüber SMS robuster. Welche Methode geeignet ist, hängt von Geräten, Arbeitsabläufen und Wiederherstellungswegen ab. Wichtig ist, dass Mitarbeitende die Anmeldeaufforderung verstehen und unerwartete Freigaben ablehnen.
- MFA-Abdeckung für alle aktiven Benutzer und Administratoren prüfen
- veraltete Anmeldeverfahren und unnötige Ausnahmen identifizieren
- sichere Registrierung und Ersatzfaktoren dokumentieren
Tägliches Arbeiten und Administration gehören in getrennte Konten
Ein Konto mit weitreichenden Administratorrechten sollte nicht gleichzeitig für E-Mail, Webrecherche und tägliche Dokumentarbeit verwendet werden. Getrennte Administratorkonten verkleinern die Angriffsfläche und machen privilegierte Aktivitäten besser nachvollziehbar.
Das normale Benutzerkonto erhält nur die Rechte, die für den Arbeitsalltag notwendig sind. Das Administratorkonto wird ausschließlich für konkrete Verwaltungsaufgaben eingesetzt und ebenfalls mit einem starken Faktor geschützt. Namen und Zweck der Konten werden dokumentiert.
- persönliches Arbeitskonto ohne globale Administratorrolle betreiben
- separates, eindeutig benanntes Administratorkonto verwenden
- gemeinsam genutzte Admin-Konten vermeiden
Rollen sollten so eng wie möglich vergeben werden
Nicht jede Verwaltungsaufgabe benötigt die globale Administratorrolle. Microsoft 365 stellt spezialisierte Rollen für Benutzer, Exchange, Teams, Sicherheit oder Abrechnung bereit. Eine engere Rolle begrenzt mögliche Folgen bei Fehlbedienung oder Kontenmissbrauch.
Rollen werden nicht nur bei der Einrichtung geprüft. Austritte, Dienstleisterwechsel und Projektenden sind typische Zeitpunkte, an denen alte Berechtigungen zurückbleiben. Eine regelmäßige Liste privilegierter Konten mit Zweck und Verantwortlichem schafft Transparenz.
- Aufgabe und erforderliche Rolle vor Vergabe festhalten
- zeitlich begrenzte oder bedarfsgesteuerte Rechte bevorzugen, sofern verfügbar
- privilegierte Konten und Rollen regelmäßig rezertifizieren
Notfallzugänge brauchen besondere Schutzregeln
Wenn eine MFA-Richtlinie fehlerhaft ist oder der primäre Identitätsweg ausfällt, kann ein vollständig ausgesperrter Mandant den Wiederanlauf erschweren. Dafür werden wenige Notfallkonten vorgesehen. Sie sind nicht für den Alltag bestimmt und werden unabhängig von normalen Geräten und Personen verwahrt.
Ein Notfallkonto ist kein unkontrolliertes Hintertür-Konto. Nutzung und Anmeldeversuche werden überwacht, Zugangsdaten geschützt hinterlegt und regelmäßig auf Funktionsfähigkeit geprüft. Jede Verwendung löst eine dokumentierte Nachkontrolle und gegebenenfalls einen Austausch der Zugangsdaten aus.
- Notfallkonten eindeutig kennzeichnen und vom Tagesbetrieb ausschließen
- Anmeldungen und Änderungen gesondert alarmieren
- Zugriff und Wiederherstellbarkeit kontrolliert testen
Anmeldeprotokolle und Warnungen machen Schutzmaßnahmen überprüfbar
Ohne Protokolle bleibt unklar, ob Richtlinien greifen oder ungewöhnliche Zugriffe stattfinden. Relevante Signale sind fehlgeschlagene Anmeldungen, neue Standorte, veränderte MFA-Methoden, neu vergebene Rollen und Aktivitäten von Notfallkonten.
Warnungen benötigen einen Verantwortlichen und einen Bearbeitungsweg. Eine große Zahl ungeprüfter Meldungen schafft keine Sicherheit. Besser sind wenige verständliche Alarme mit festgelegter Priorität, Dokumentation und Eskalation.
- Aufbewahrung und Zugriff auf Anmelde- und Auditprotokolle klären
- Alarmwege für privilegierte Änderungen und Notfallkonten definieren
- verdächtige Ereignisse mit Uhrzeit, Konto und Maßnahme dokumentieren
Änderungen werden geplant und mit Rückfallweg umgesetzt
Neue MFA- oder Zugriffsrichtlinien sollten nicht ungetestet für alle Benutzer aktiviert werden. Eine Pilotgruppe prüft Registrierung, mobile Geräte, Remote-Arbeit und wichtige Anwendungen. Erst danach folgt eine schrittweise Ausweitung.
Vor jeder Änderung werden bestehende Administratoren, Notfallzugänge und ausgeschlossene Anwendungen kontrolliert. Anwender erhalten eine kurze Anleitung und einen erreichbaren Supportweg. Nach der Einführung zeigen Anmeldeprotokolle, welche Konten noch nicht den erwarteten Zustand erreichen.
- Pilotgruppe und Erfolgskriterien festlegen
- Rückfall- und Notfallzugang vor Aktivierung prüfen
- Ergebnis und verbleibende Ausnahmen nachhalten
Fazit: klare Zuständigkeiten und geprüfte Abläufe
Technische Maßnahmen entfalten ihren Nutzen erst dann zuverlässig, wenn Verantwortliche, Prüfschritte und Grenzen dokumentiert sind. Beginnen Sie mit den wichtigsten Risiken und erweitern Sie den Prozess anhand realer Tests und Veränderungen.