Darum geht es
Ältere Anmeldeverfahren (z. B. POP, IMAP, SMTP-Authentifizierung, alte Office-Versionen) kennen keine Multifaktor-Anmeldung. Angreifer nutzen sie gezielt, um MFA zu umgehen und massenhaft Passwörter auszuprobieren. Exchange Online hat die Standardauthentifizierung für POP, IMAP und ActiveSync bereits abgeschaltet, SMTP-Auth und ältere Clients anderer Dienste bleiben offen. Eine Sperre schließt diese Hintertür.
Was passieren kann
Solange veraltete Protokolle erlaubt sind, hat MFA eine Lücke: Ein Angreifer mit Passwort meldet sich über ein altes Protokoll ohne zweite Methode an, etwa für den Mailversand per SMTP-Auth.
Schritt für Schritt
Prüfen Sie im Anmeldeprotokoll (Filter „Client-App“, ältere Authentifizierungsclients), wer noch alte Verfahren nutzt, z. B. Scanner mit SMTP-Versand.
Stellen Sie betroffene Geräte und Programme auf moderne Anmeldung oder einen SMTP-Relay-Connector um.
Legen Sie unter Bedingter Zugriff > Richtlinien eine neue Richtlinie an; Benutzer: „Alle Benutzer“, zwei Notfallkonten und, falls vorhanden, das Entra-Connect-Konto ausgeschlossen. Benennen Sie Notfallkonten eindeutig (z. B. notfall-01@<Ihr-Tenant>.onmicrosoft.com); weitere Ausnahmen für lizenzierte Konten wertet Auditspiegel als Lücke in der Abdeckung.
Zielressourcen: „Alle Ressourcen“. Bedingungen > Client-Apps: „Konfigurieren“ auf „Ja“, nur „Exchange ActiveSync-Clients“ und „Andere Clients“ markieren. Gewähren: „Zugriff blockieren“.
Aktivieren Sie die Richtlinie zunächst im Modus „Nur Bericht“ und werten Sie das Anmeldeprotokoll einige Tage aus.
Schalten Sie die Richtlinie auf „Ein“ und prüfen Sie im Anmeldeprotokoll, dass Anmeldungen über ältere Clients mit Fehler 53003 abgewiesen werden.
Ohne Microsoft Entra ID P1 (oder ohne eigene Richtlinien) erreichen Sie diesen Schutz auch mit den Sicherheitsstandards (Security Defaults): Sie blockieren alle Anmeldungen über veraltete Protokolle. Einschalten unter Entra ID > Übersicht > Eigenschaften > „Sicherheitsstandards verwalten“; das geht nur, solange keine Richtlinie für bedingten Zugriff aktiv ist.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Bedingter Zugriff
- Richtlinien
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Veraltete Authentifizierung ist für alle Benutzer blockiert (Sicherheitsstandards oder bedingter Zugriff)
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `Get-MgIdentityConditionalAccessPolicy | ? { $_.Conditions.ClientAppTypes -contains 'other' -and $_.GrantControls.BuiltInControls -contains 'block' } | ft DisplayName,State`Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.1.1v1: Veraltete Authentifizierung blockieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13: Geeignete Auswahl von Authentisierungsmechanismen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.