Darum geht es
Auch auf SharePoint-Websites, die Mitarbeitende selbst anlegen, sollten keine benutzerdefinierten Skripte laufen. Moderne Erweiterungen funktionieren über das SharePoint Framework ohne dieses Risiko. Microsoft setzt Freigaben für einzelne Websites inzwischen nach spätestens 24 Stunden automatisch auf „Blockiert“ zurück; prüfen Sie dennoch, ob ältere Websites Skripte erlauben.
Was passieren kann
Wer Websitebesitzer ist, kann Schadcode einbauen, der bei allen Besuchern der Seite ausgeführt wird, z. B. um Anmeldedaten abzugreifen.
Schritt für Schritt
Öffnen Sie im SharePoint Admin Center Websites > Aktive Websites und wählen Sie die Ansicht für Websites mit erlaubtem benutzerdefiniertem Skript („Custom script allowed sites“) oder blenden Sie die Spalte „Benutzerdefiniertes Skript“ ein.
Klären Sie mit den Websitebesitzern, ob alte Skript-Webparts noch gebraucht werden, und planen Sie Ersatz über das SharePoint Framework.
Setzen Sie die Websites unter Website auswählen > Einstellungen > Benutzerdefinierte Skripte auf „Blockiert“ oder per PowerShell mit -DenyAddAndCustomizePages $true.
Aktivieren Sie im Microsoft 365 Admin Center unter Einstellungen > Organisationseinstellungen > Sicherheit und Datenschutz > Baseline Security Mode die Einstellung „Don't allow new custom scripts in SharePoint sites“.
Prüfen Sie die Ansicht erneut; sie sollte leer sein. Kommunizieren Sie die Änderung vorab, da alte Webparts dann nicht mehr angezeigt werden.
Hier finden Sie die Einstellung
- SharePoint Admin Center (<tenant>-admin.sharepoint.com)
- Websites
- Aktive Websites
- Website
- Einstellungen
- Benutzerdefinierte Skripte
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Benutzerdefinierte Skripte auf selbst erstellten Websites sind gesperrt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Microsoft stellt diese SharePoint-Einstellung nur im SharePoint Admin Center und über SharePoint PowerShell bereit, nicht über die Microsoft-Graph-Schnittstelle, die Auditspiegel liest. Bitte prüfen Sie sie im SharePoint Admin Center anhand der Empfehlung; Ihr IT-Dienstleister kann dafür auch den PowerShell-Befehl aus dem technischen Hinweis verwenden.
Für Ihre IT: per PowerShell nachsehen
SharePoint Online PowerShell: Get-SPOSite -Limit All | ? DenyAddAndCustomizePages -ne 'Enabled' | select Url. Erwartet: keine Treffer. Korrektur: Set-SPOSite -Identity <URL> -DenyAddAndCustomizePages $true
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.6.A4: Regelung für die Installation und Konfiguration von Software
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.