Darum geht es
Konten ausgeschiedener Mitarbeiter, Praktikanten oder Testkonten bleiben oft aktiv. Niemand bemerkt, wenn sich darüber jemand anmeldet, denn das Konto hat keinen Besitzer mehr.
Was passieren kann
Ein vergessenes Konto mit gültigem Kennwort ist ein unbemerkter Zugang zu E-Mails, Dateien und Teams.
Schritt für Schritt
Öffnen Sie die Benutzerliste und fügen Sie die Spalte „Letzte Anmeldung“ hinzu (oder nutzen Sie den Hinweis unten).
Klären Sie für jedes Konto mit der Personalabteilung, ob es noch gebraucht wird.
Deaktivieren Sie nicht mehr benötigte Konten („Anmeldung blockieren“) und entziehen Sie die Lizenzen.
Löschen Sie die Konten nach Ihrer Aufbewahrungsfrist.
Verankern Sie im Austrittsprozess, dass Konten am letzten Arbeitstag deaktiviert werden.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Benutzer
- Alle Benutzer
- Spalte „Letzte erfolgreiche Anmeldung“
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Kein aktives Mitarbeiterkonto ist seit mehr als 90 Tagen ungenutzt
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Graph: GET /v1.0/users?$select=displayName,accountEnabled,userType,createdDateTime,signInActivity (Entra ID P1, AuditLog.Read.All). Gewertet: aktiv, angelegt vor über 90 Tagen, letzte interaktive und nicht interaktive Anmeldung vor über 90 Tagen oder nie.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A1: Regelung für die Einrichtung und Löschung von Benutzenden und BenutzendengruppenORP.4.A2: Einrichtung, Änderung und Entzug von Berechtigungen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.