Darum geht es
Sprachanrufe und Einmalcodes per E-Mail gelten als schwache Methoden: Anrufe lassen sich umleiten, und ein E-Mail-Code hilft wenig, wenn das Postfach selbst angegriffen wird. Mitarbeitende nutzen den E-Mail-Code für die Kennwortzurücksetzung, Gäste zur Anmeldung. Moderne Methoden wie die Authenticator App oder Passkeys sind deutlich sicherer und für Mitarbeitende ebenso einfach.
Was passieren kann
Angreifer können schwache Methoden etwa über Rufumleitung oder ein bereits übernommenes Postfach aushebeln und so die MFA oder die Kennwortzurücksetzung missbrauchen.
Schritt für Schritt
Prüfen Sie unter Authentifizierungsmethoden > Benutzerregistrierungsdetails, wer nur Sprachanruf als Methode hat, und lassen Sie diese Personen vorher die Authenticator App einrichten.
Klären Sie, ob Gäste den E-Mail-Einmalcode zur Anmeldung nutzen. Microsoft empfiehlt ihn für Gäste ohne eigenes Microsoft-Konto; solange er für externe Benutzer eingeschaltet ist, lässt sich die Methode nicht abschalten, und Auditspiegel wertet das nicht als Befund. Gäste, die sich per E-Mail-Code anmelden, kommen nach dem Abschalten nicht mehr herein, bis Sie ihren Einlösestatus zurücksetzen.
Öffnen Sie Entra ID > Authentifizierungsmethoden > Richtlinien > Sprachanruf und setzen Sie „Aktivieren“ auf „Aus“.
Brauchen Gäste den Einmalcode nicht: Öffnen Sie „E-Mail-Einmalkennung“, setzen Sie auf der Registerkarte „Konfigurieren“ die Option für externe Benutzer auf „Nein“, stellen Sie dann „Aktivieren“ auf „Aus“ und speichern Sie. Brauchen Gäste ihn, beschränken Sie die Methode für Mitarbeitende auf eine leere Gruppe, damit niemand sein Kennwort per E-Mail-Code zurücksetzt.
Prüfen Sie, dass die Self-Service-Kennwortzurücksetzung weiterhin mit den verbleibenden Methoden funktioniert.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Authentifizierungsmethoden
- Richtlinien
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Sprachanruf ist deaktiviert, der E-Mail-Einmalcode höchstens für Gäste eingeschaltet
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `(Get-MgPolicyAuthenticationMethodPolicy).AuthenticationMethodConfigurations | ? Id -in 'Voice','Email' | ft Id,State,AllowExternalIdToUseEmailOtp`. Sollwert: Voice disabled; Email disabled oder AllowExternalIdToUseEmailOtp enabled/default (Gäste).
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.3.5v2: SMS, Sprachanruf und E-Mail-Einmalcode deaktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A13: Geeignete Auswahl von Authentisierungsmechanismen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.