Break-Glass-Konten in Microsoft 365: die Versicherung der Firma

Selten ein ausgeklügelter Angriff. Fast immer etwas Triviales:

• Verlorener zweiter Faktor Das Smartphone des einzigen Administrators ist defekt, wurde getauscht oder ist verschwunden, und es war die einzige eingerichtete Methode.
• Falsch aktivierter bedingter Zugriff Eine Regel wie „nur aus Portugal“ oder „nur auf Firmengeräten“ wurde mit einem Fehler aktiviert und hat alle ausgesperrt, auch ihren Urheber.
• Austritt ohne Übergabe Ein Mitarbeiter oder der frühere Dienstleister ist gegangen und hat die Zugangsdaten mitgenommen.
• Übernommenes Konto Ein Angreifer hat sich als Administrator angemeldet und Passwort und Authentifizierungsmethoden geändert.

Die Frage ist immer dieselbe: Wer kommt jetzt hinein, ohne das ausgefallene Konto zu brauchen?

Ein einfaches Bild: Denken Sie an den Nothammer hinter der Scheibe in einem Zug. Niemand benutzt ihn im Alltag, jeder weiß, wo er ist, und das Einschlagen der Scheibe löst einen Alarm aus. Wird er benutzt, gab es einen Notfall, und es wird protokolliert.

Microsoft dokumentiert das Thema in Microsoft Entra, dem Identitätsdienst hinter Microsoft 365. In Entscheidungen übersetzt:

• Mindestens zwei Wird eines unbrauchbar oder kompromittiert, bleibt das andere.
• Nur Cloud, unter .onmicrosoft.com Unabhängig vom lokalen Server, von der Synchronisation und von der eigenen Domain.
• Kein persönlicher Besitzer Keine Konten mit dem Namen eines Mitarbeitenden und keine privaten Smartphones als Faktor.
• Phishing-resistente Authentifizierung ohne Passwort Physischer FIDO2-Schlüssel (die von Microsoft bevorzugte Option) oder Zertifikat, abweichend von der Methode der üblichen Administratorkonten.
• Außerhalb der Sperrregeln Vom bedingten Zugriff ausgenommen, damit ein Fehler sie nicht ebenfalls aussperrt.
• Permanenter Globaladministrator Rolle immer aktiv, nicht „berechtigt“ auf Aktivierungsanfrage.
• Physisch getrennte Zugangsdaten Verschiedene Tresore, nur für autorisierte Personen zugänglich.
• Alarm bei jeder Nutzung Jede Anmeldung löst eine kritische Warnung an die Entscheider aus.
• Vierteljährlicher Test Spätestens alle 90 Tage und immer, wenn sich das IT-Team oder das Abonnement ändert.

Nein. Diese Praxis endete, als Microsoft MFA für die Verwaltungsportale verpflichtend machte, im Microsoft 365 Admin Center seit Februar 2025. Die Dokumentation ist eindeutig: Notfallkonten sind keine Ausnahme.

Für diese Konten nennt Microsoft zwei Methoden: physischen FIDO2-Schlüssel oder zertifikatbasierte Authentifizierung. In einem KMU ist der praktischste Weg zwei physische Schlüssel pro Konto, an verschiedenen Orten. Die verfügbaren Methoden vergleichen wir im Leitfaden zur Multi-Faktor-Authentifizierung für Unternehmen.

Die Geschäftsleitung des Unternehmens, nie der IT-Dienstleister. Es ist eine Managemententscheidung, keine technische.

• Erster Schlüssel Im Tresor des Unternehmens, in Reichweite der Geschäftsleitung.
• Zweiter Schlüssel An einem anderen Ort: anderes Büro, privater Tresor eines Geschäftsführers oder Bankschließfach.
• Protokoll Wer Zugang hat, wo die Schlüssel liegen und Datum des letzten Tests, schriftlich.
• Zugehörige Passwörter In einem Passwortmanager für Unternehmen, in einem der Geschäftsleitung vorbehaltenen Tresor.

Der IT-Partner arbeitet mit namentlichen Administratorkonten, eines pro Techniker. Die Break-Glass-Konten garantieren, dass das Unternehmen nie von jemandem abhängig ist, uns eingeschlossen. Wir empfehlen, diesen Punkt in jedem Vertrag zu verankern, wie wir in was ein IT-Vertrag über Ausstieg und Daten sagen sollte ausführen.

1. Gibt es zwei oder mehr Notfallkonten unter .onmicrosoft.com?
2. Sind sie frei von jeder Bindung an Personen oder private Smartphones?
3. Authentifizieren sie mit physischem Schlüssel oder Zertifikat statt per SMS oder App?
4. Sind sie vom bedingten Zugriff ausgenommen, der Anmeldungen sperrt?
5. Kennt die Geschäftsleitung den Ort der Schlüssel, und liegen sie getrennt?
6. Löst eine Anmeldung bei einem dieser Konten sofort eine Warnung aus?
7. War der letzte Test vor weniger als 90 Tagen?
8. Hat jeder Techniker ein eigenes Administratorkonto, ohne geteilte Zugänge?

Zwei oder mehr „Nein“ oder „Weiß nicht“ bedeuten ein konkretes Risiko. Ein Großteil der Mängel, die wir beim Schutz der E-Mail in Microsoft 365 finden, entsteht genau in der Administration.

Bei der União das Freguesias de Massamá e Monte Abraão hat DataRoad rund 50 Postfächer zu Exchange Online migriert, mit vollständig übertragenen Inhalten, neu konfigurierten Arbeitsplätzen und Smartphones sowie abschließender Prüfung. In einer öffentlichen Einrichtung muss die Administration der Umgebung bei der Einrichtung bleiben, wer auch immer der Dienstleister ist.

Das ist der Standard in allen Microsoft-365-Umgebungen, die wir verwalten: namentliche Konten für die Techniker, Notfallkonten in der Hand des Kunden und ein eindeutiges Zugriffsprotokoll.

Wir prüfen Administrator- und Notfallkonten, Authentifizierungsmethoden und Zugriffsregeln und liefern die Korrekturen nach Priorität geordnet, unverbindlich. Sehen Sie unser Microsoft-365-Management und die Managed-Services-Pläne IT Unlimited.

Ab 10 Arbeitsplätzen · Wartungsvertrag · Remote-, Vor-Ort- und Telefon-Support. +351 211 459 950 * · sales@dataroad.pt

*Anruf ins portugiesische Festnetz.

• Microsoft Learn: Notfallzugriffskonten in Entra ID
• Microsoft Learn: verpflichtende MFA in den Verwaltungsportalen