Darum geht es
Wenn Ihre Benutzer aus einem lokalen Active Directory in Microsoft 365 übertragen werden, kann Microsoft mit der Kennwort-Hash-Synchronisierung erkennen, ob ein Passwort in bekannten Datenlecks auftaucht. Außerdem bleibt die Anmeldung an Microsoft 365 möglich, wenn der lokale Server ausfällt.
Was passieren kann
Ohne Synchronisierung bleiben geleakte Passwörter unentdeckt, und bei einem Ausfall oder Verschlüsselungsangriff auf das lokale Netz kann sich niemand mehr bei Microsoft 365 anmelden.
Schritt für Schritt
Melden Sie sich am Server mit Microsoft Entra Connect an und starten Sie den Konfigurationsassistenten.
Wählen Sie „Synchronisierungsoptionen anpassen“ und aktivieren Sie unter „Optionale Features“ die „Kennwort-Hash-Synchronisierung“.
Schließen Sie den Assistenten ab. Die erste Synchronisierung der Kennwort-Hashes startet automatisch.
Prüfen Sie im Entra Admin Center unter Entra ID > Entra Connect > Connect Sync, dass „Kennwort-Hash-Synchronisierung“ als aktiviert angezeigt wird.
Bei Verbundanmeldung (AD FS) bleibt die Anmeldemethode unverändert; die Hashes dienen dann der Leck-Erkennung und als Notfallweg.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Entra Connect
- Connect Sync (Statusanzeige)
oder
- Einrichtung im Entra-Connect-Assistenten auf dem Synchronisierungsserver
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Bei Synchronisation aus dem lokalen AD ist die Kennwort-Hash-Synchronisierung aktiv
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Auf dem Entra-Connect-Server: `Get-ADSyncAADPasswordSyncConfiguration -SourceConnector '<AD-Connector-Name>'`. Enabled muss True sein.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A23: Regelung für passwortverarbeitende Anwendungen und IT-SystemeORP.4.A20: Notfallvorsorge für das Identitäts- und Berechtigungsmanagement-System
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. c: Wiederherstellbarkeit nach Zwischenfall
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.