Darum geht es
Globale Administratoren dürfen in Microsoft 365 alles. Gibt es nur einen, fehlt bei Krankheit oder Urlaub die Vertretung. Gibt es zu viele, steigt die Zahl der Konten, über die ein Angreifer die volle Kontrolle erlangen kann. Mehr als acht sollten es nie sein; in kleinen Unternehmen genügen meist zwei bis vier.
Was passieren kann
Zu viele Global-Admins vergrößern die Angriffsfläche für eine vollständige Tenant-Übernahme; nur ein Global-Admin kann bei Ausfall dieser Person den Betrieb blockieren.
Das Ziel
Zwischen zwei und acht Globale Administratoren sind benannt.
Schritt für Schritt
Öffnen Sie die Rolle „Globaler Administrator“ und listen Sie alle aktiven Zuweisungen auf.
Prüfen Sie für jedes Konto, welche Aufgaben die Person tatsächlich erledigt.
Ersetzen Sie die Rolle, wo möglich, durch eingeschränkte Rollen wie „Benutzeradministrator“, „Exchange-Administrator“, „Teams-Administrator“ oder „Helpdeskadministrator“.
Behalten Sie insgesamt zwei bis acht Global-Admins, in kleinen Unternehmen meist zwei bis vier; die Notfallkonten zählen dabei mit.
Entziehen Sie deaktivierten Konten die Rolle. Sie zählen in dieser Prüfung nicht mit, werden aber im Befund genannt.
Wenn nur ein Global-Admin existiert, ernennen Sie eine zweite, vertrauenswürdige Person bzw. legen Sie ein Notfallkonto an.
Prüfen Sie die Rollenzuweisungen künftig mindestens vierteljährlich.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Rollen und Administratoren
- Globaler Administrator
So prüfen Sie es selbst
In Ordnung ist die Einstellung, wenn gilt:
Zwischen zwei und acht Globale Administratoren sind benannt
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell prüfen
Prüfen
Connect-MgGraph -Scopes RoleManagement.Read.Directory,Directory.Read.All$ga = "roleDefinitionId eq '62e90394-69f5-4237-9190-012177145e10'"$zuweisungen = @(Get-MgRoleManagementDirectoryRoleAssignment -All -Filter $ga) + @(Get-MgRoleManagementDirectoryRoleEligibilityScheduleInstance -All -Filter $ga)$ids = $zuweisungen | ForEach-Object { $o = Get-MgDirectoryObject -DirectoryObjectId $_.PrincipalId; switch ($o.AdditionalProperties['@odata.type']) { '#microsoft.graph.user' { $o.Id } '#microsoft.graph.group' { (Get-MgGroupTransitiveMemberAsUser -GroupId $o.Id -All).Id } } } | Sort-Object -Unique@($ids | Where-Object { (Get-MgUser -UserId $_ -Property AccountEnabled).AccountEnabled }).CountErwartet: Ein Wert zwischen 2 und 8. Gezählt werden aktivierte Konten mit aktiver oder berechtigter (PIM) Zuweisung, auch über Gruppen; deaktivierte Konten zählen nicht; ohne Microsoft Entra ID P2 entfällt die Abfrage der berechtigten Zuweisungen. Anwendungen (Dienstprinzipale) mit der Rolle zählen nicht als Person.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.7.1v1: Zwei bis acht Globale Administratoren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.2.A21: Regelung der IT-Administrationsrollen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.