Darum geht es
Hoch privilegierte Adminrollen (z. B. Globaler Administrator, Administrator für privilegierte Rollen, Benutzer-, Exchange- und SharePoint-Administrator) haben weitreichenden Zugriff auf Daten und Einstellungen in Microsoft 365. Werden diese Konten aus dem lokalen Active Directory synchronisiert, kann ein Angreifer, der Ihr Firmennetz oder Ihren Server übernimmt, damit auch Ihre gesamte Cloud übernehmen. Reine Cloud-Konten trennen diese beiden Welten.
Was passieren kann
Ein kompromittierter lokaler Server oder Domänencontroller führt direkt zur vollständigen Übernahme des Microsoft-365-Tenants inklusive E-Mails, Dateien und Benutzerkonten.
Schritt für Schritt
Öffnen Sie im Microsoft Entra Admin Center die im Befund genannten Rollen (geprüft werden Globaler Administrator, Administrator für privilegierte Rollen, Benutzeradministrator, SharePoint-Administrator, Exchange-Administrator, Administrator für Hybrididentität, Anwendungsadministrator und Cloudanwendungsadministrator) und prüfen Sie bei jedem Mitglied die Spalte bzw. Eigenschaft „Lokal synchronisiert“ (On-premises sync enabled).
Legen Sie für jede betroffene Person ein neues reines Cloud-Konto an, z. B. admin.nachname@<firma>.onmicrosoft.com, und schützen Sie es mit MFA.
Weisen Sie dem neuen Cloud-Konto die benötigte Rolle zu und testen Sie die Anmeldung im Admin Center.
Entfernen Sie danach die Rolle vom synchronisierten Konto. Nutzen Sie das synchronisierte Konto nur noch für die tägliche Arbeit.
Prüfen Sie, ob Skripte oder Dienste das alte Konto verwenden, und stellen Sie diese vorher um.
Kontrollieren Sie abschließend, dass kein Mitglied dieser Rollen mehr „onPremisesSyncEnabled = true“ aufweist.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Rollen und Administratoren
- [Rolle]
- Aktive Zuweisungen
So prüfen Sie es selbst
In Ordnung ist die Einstellung, wenn gilt:
Konten mit hoch privilegierten Adminrollen sind reine Cloud-Konten (nicht aus dem lokalen AD synchronisiert)
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell prüfen
Prüfen
Connect-MgGraph -Scopes RoleManagement.Read.Directory,Directory.Read.All$rollen = '62e90394-69f5-4237-9190-012177145e10','e8611ab8-c189-46e8-94e1-60213ab1f814','fe930be7-5e62-47db-91af-98c3a49a38b1','f28a1f50-f6e7-4571-818b-6a12f2af6b6c','29232cdf-9323-42fd-ade2-1d097af3e4de','8ac3fc64-6eca-42ea-9e69-59f4c7b60eb2','9b895d92-2cd3-44c7-9d02-a6ac2d5ea5c3','158c047a-c907-4556-b7ef-446551a6b5f7'$zuweisungen = @(Get-MgRoleManagementDirectoryRoleAssignment -All) + @(Get-MgRoleManagementDirectoryRoleEligibilityScheduleInstance -All) | Where-Object { $rollen -contains $_.RoleDefinitionId }$ids = $zuweisungen | ForEach-Object { $o = Get-MgDirectoryObject -DirectoryObjectId $_.PrincipalId; switch ($o.AdditionalProperties['@odata.type']) { '#microsoft.graph.user' { $o.Id } '#microsoft.graph.group' { (Get-MgGroupTransitiveMemberAsUser -GroupId $o.Id -All).Id } } } | Sort-Object -Unique$ids | ForEach-Object { Get-MgUser -UserId $_ -Property UserPrincipalName,OnPremisesSyncEnabled } | Format-Table UserPrincipalName,OnPremisesSyncEnabledErwartet: OnPremisesSyncEnabled ist bei keinem Inhaber der acht hoch privilegierten Rollen True (leer oder False: reines Cloud-Konto). Gezählt werden aktive und berechtigte (PIM) Zuweisungen, auch über Gruppen; ohne Microsoft Entra ID P2 entfällt die Abfrage der berechtigten Zuweisungen. Anwendungen (Dienstprinzipale) mit der Rolle zählen nicht als Person.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.7.3v1: Privilegierte Benutzer als reine Cloud-Konten
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.2.A22: Trennung von administrativen und anderen TätigkeitenOPS.1.1.2.A6: Schutz administrativer Tätigkeiten
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.