Drittanbieter-Anwendungen erweitern Microsoft 365 um zusätzliche Funktionen. Dafür benötigen sie häufig Zugriff auf Benutzerprofile, Dateien, Kalender, E-Mails oder andere Unternehmensdaten.
Werden solche Berechtigungen unkontrolliert erteilt, können unsichere oder bösartige Anwendungen auf sensible Informationen zugreifen. Administratoren sollten deshalb festlegen, welche Apps verwendet werden dürfen und wer die benötigten Berechtigungen genehmigen kann.
Warum Drittanbieter-Apps ein Sicherheitsrisiko darstellen können
Viele Cloud-Anwendungen verwenden OAuth, um auf Microsoft-365-Dienste zuzugreifen. Der Benutzer muss dabei kein Passwort an die Anwendung übermitteln. Stattdessen erteilt er bestimmte Berechtigungen über einen Zustimmungsdialog.
Dieses Verfahren ist grundsätzlich sicher und komfortabel. Problematisch wird es, wenn Benutzer die angeforderten Rechte nicht prüfen oder eine Anwendung mehr Zugriff verlangt, als sie für ihre eigentliche Funktion benötigt.
Mögliche Risiken sind unter anderem:
- Zugriff auf E-Mails, Dateien, Kontakte oder Kalender,
- dauerhafter Zugriff über OAuth-Token,
- Versand von Nachrichten im Namen eines Benutzers,
- Weitergabe von Unternehmensdaten an externe Anbieter,
- missbräuchliche oder manipulierte Anwendungen,
- ungenutzte Apps mit weiterhin aktiven Berechtigungen und
- Angriffe durch gefälschte Zustimmungsanfragen.
Was ist Consent Phishing?
Beim Consent Phishing versucht ein Angreifer nicht unbedingt, das Kennwort seines Opfers zu stehlen. Stattdessen bringt er die Person dazu, einer manipulierten Anwendung Zugriffsrechte zu erteilen.
Die angezeigte Microsoft-Anmeldeseite kann dabei echt sein. Gefährlich ist die Anwendung, für die der Zugriff genehmigt werden soll. Nach der Zustimmung kann sie – abhängig von den erteilten Rechten – auf Daten und Funktionen des Kontos zugreifen.
Eine Mehrfaktor-Authentifizierung verhindert diesen Angriff nicht automatisch, da sich der Benutzer regulär anmeldet und die Berechtigung anschließend selbst bestätigt.
Benutzerzustimmungen kontrollieren
Microsoft Entra ermöglicht verschiedene Richtlinien für die Zustimmung zu Anwendungen. Unternehmen können die Benutzerzustimmung vollständig deaktivieren oder nur unter bestimmten Bedingungen erlauben.
Welche Einstellung geeignet ist, hängt von den Sicherheitsanforderungen und Arbeitsabläufen der Organisation ab. Eine vollständige Sperre bietet viel Kontrolle, erhöht aber den administrativen Aufwand. Differenzierte Richtlinien können ausgewählte Zustimmungen erlauben und risikoreichere Anfragen an Administratoren weiterleiten.
Benutzerzustimmung im Microsoft Entra Admin Center konfigurieren
- Melden Sie sich mit einem ausreichend berechtigten Administratorkonto am Microsoft Entra Admin Center an.
- Öffnen Sie Entra ID.
- Navigieren Sie zu Unternehmensanwendungen beziehungsweise Enterprise applications.
- Öffnen Sie unter Zustimmung und Berechtigungen die Einstellungen für die Benutzerzustimmung.
- Wählen Sie die für Ihre Organisation geeignete Zustimmungsrichtlinie.
- Speichern Sie die Änderung.
Welche Zustimmungsrichtlinie sollte gewählt werden?
Microsoft Entra stellt je nach Mandant und Konfiguration mehrere Optionen bereit. Dazu können folgende Modelle gehören:
Von Microsoft verwaltete Einstellungen
Microsoft passt die Bedingungen anhand seiner aktuellen Empfehlungen an. Bestimmte risikoarme Berechtigungen können durch Benutzer genehmigt werden, während sensible Zugriffsrechte eine administrative Freigabe benötigen.
Eingeschränkte Benutzerzustimmung
Benutzer dürfen nur unter festgelegten Bedingungen zustimmen – beispielsweise für ausgewählte Berechtigungen oder Anwendungen verifizierter Herausgeber. Dadurch bleiben einfache Integrationen möglich, während risikoreiche Anfragen stärker kontrolliert werden.
Benutzerzustimmung vollständig deaktivieren
Wenn Benutzer keiner Anwendung selbst Berechtigungen erteilen dürfen, ist für jede neue App eine administrative Genehmigung erforderlich. Diese Einstellung bietet eine hohe Kontrolle, sollte aber mit einem funktionierenden Antragsverfahren kombiniert werden.
Workflow für Administratorzustimmungen aktivieren
Wird die Benutzerzustimmung eingeschränkt oder deaktiviert, benötigen Beschäftigte einen geregelten Weg, um erforderliche Anwendungen anzufordern. Dafür kann der Workflow für Administratorzustimmungen aktiviert werden.
- Öffnen Sie im Microsoft Entra Admin Center Entra ID > Unternehmensanwendungen.
- Wählen Sie Zustimmung und Berechtigungen > Einstellungen für die Administratorzustimmung.
- Aktivieren Sie die Option, mit der Benutzer eine Administratorzustimmung für Anwendungen anfordern können.
- Legen Sie Benutzer, Gruppen oder Rollen als Prüfer der Anfragen fest.
- Konfigurieren Sie Benachrichtigungen, Erinnerungen und die Gültigkeitsdauer offener Anfragen.
- Speichern Sie die Einstellungen.
Nach der Aktivierung können Benutzer eine Freigabe anfordern, wenn sie einer Anwendung nicht selbst zustimmen dürfen. Die zuständigen Prüfer erhalten die Anfrage und können die Anwendung sowie deren Berechtigungen untersuchen.
Was sollte vor einer Freigabe geprüft werden?
Eine App sollte nicht allein deshalb freigegeben werden, weil ein Mitarbeiter sie benötigt oder der Name des Anbieters bekannt erscheint. Vor der Genehmigung sollten mindestens folgende Fragen beantwortet werden:
- Wer ist Herausgeber und Betreiber der Anwendung?
- Ist der Herausgeber in Microsoft Entra verifiziert?
- Welchen konkreten geschäftlichen Zweck erfüllt die App?
- Welche delegierten oder Anwendungsberechtigungen werden verlangt?
- Sind sämtliche angeforderten Rechte wirklich erforderlich?
- Erhält die App Zugriff auf E-Mails, Dateien oder Verzeichniseinträge?
- Darf die App im Namen eines Benutzers Aktionen ausführen?
- Wie speichert und verarbeitet der Anbieter Unternehmensdaten?
- Welche Datenschutz- und Vertragsbedingungen gelten?
- Kann der Zugriff auf bestimmte Benutzer oder Gruppen begrenzt werden?
Delegierte Berechtigungen und Anwendungsberechtigungen
Delegierte Berechtigungen
Bei delegierten Berechtigungen handelt die Anwendung im Kontext eines angemeldeten Benutzers. Der tatsächlich mögliche Zugriff hängt von den erteilten Berechtigungen und den Rechten des Benutzers ab.
Anwendungsberechtigungen
Anwendungsberechtigungen ermöglichen einer App einen Zugriff ohne aktiv angemeldeten Benutzer. Solche Berechtigungen können sehr weitreichend sein und beispielsweise den Zugriff auf zahlreiche Postfächer oder SharePoint-Inhalte erlauben.
Anwendungsberechtigungen sollten daher besonders sorgfältig geprüft und nur nach dem Prinzip der minimal erforderlichen Rechte vergeben werden.
Zugriff auf ausgewählte Benutzer beschränken
Eine genehmigte Anwendung muss nicht automatisch von allen Beschäftigten verwendet werden dürfen. Für viele Unternehmensanwendungen kann die Benutzerzuweisung verpflichtend aktiviert werden.
Anschließend werden nur diejenigen Benutzer oder Gruppen zugewiesen, die die Anwendung tatsächlich benötigen. Dies reduziert die Angriffsfläche und erleichtert die Verwaltung.
Bestehende Anwendungen regelmäßig kontrollieren
Die Prüfung darf nicht mit der erstmaligen Genehmigung enden. Anforderungen, Anbieter und Berechtigungen können sich ändern. Außerdem bleiben Anwendungen häufig registriert, obwohl sie im Unternehmen nicht mehr verwendet werden.
Ein regelmäßiger Review sollte untersuchen:
- ob die Anwendung noch benötigt wird,
- welche Benutzer oder Gruppen Zugriff besitzen,
- ob neue Berechtigungen hinzugekommen sind,
- wann die Anwendung zuletzt verwendet wurde,
- ob der Anbieter weiterhin vertrauenswürdig ist,
- ob auffällige Anmelde- oder Zugriffsereignisse vorliegen und
- ob nicht mehr benötigte Zustimmungen widerrufen werden können.
Prinzip der minimalen Rechte anwenden
Drittanbieter-Apps sollten nur die Berechtigungen erhalten, die für ihren vorgesehenen Zweck notwendig sind. Eine Anwendung zur Terminplanung benötigt beispielsweise nicht automatisch Zugriff auf sämtliche Dateien oder Postfachinhalte.
Verlangt eine Anwendung unverhältnismäßig weitreichende Rechte, sollte die Anfrage abgelehnt oder mit dem Anbieter geklärt werden. Gegebenenfalls ist eine alternative Anwendung mit geringerem Berechtigungsbedarf die bessere Wahl.
Beschäftigte für Zustimmungsanfragen sensibilisieren
Technische Richtlinien sollten durch Security-Awareness-Schulungen ergänzt werden. Beschäftigte müssen verstehen, dass auch eine echte Microsoft- Anmeldeseite Bestandteil eines Angriffs sein kann.
Wichtige Warnsignale sind:
- unerwartete Aufforderungen zur App-Freigabe,
- unbekannte oder nicht verifizierte Herausgeber,
- eine auffällig große Anzahl angeforderter Berechtigungen,
- Zugriff auf E-Mails oder Dateien ohne erkennbaren Grund,
- künstlicher Zeitdruck und
- Links aus unerwarteten E-Mails oder Chatnachrichten.
Empfohlene Schutzmaßnahmen im Überblick
- Benutzerzustimmungen über Richtlinien kontrollieren,
- einen geregelten Workflow für App-Anfragen einrichten,
- Freigaben nur durch ausreichend berechtigte Personen durchführen,
- Herausgeber, Berechtigungen und Geschäftszweck sorgfältig prüfen,
- Zugriffe nach dem Prinzip der minimalen Rechte vergeben,
- Anwendungen auf benötigte Benutzer und Gruppen beschränken,
- bestehende App-Zustimmungen regelmäßig überprüfen,
- nicht mehr benötigte Anwendungen und Berechtigungen entfernen und
- Beschäftigte über Consent Phishing informieren.
Fazit
Drittanbieter-Anwendungen sind aus modernen Microsoft-365-Umgebungen kaum wegzudenken. Ihre Berechtigungen müssen jedoch genauso sorgfältig verwaltet werden wie Benutzerkonten und administrative Zugänge.
Mit kontrollierten Benutzerzustimmungen, einem nachvollziehbaren Genehmigungsprozess, minimalen Berechtigungen und regelmäßigen Überprüfungen lässt sich das Risiko deutlich reduzieren. So bleiben notwendige Integrationen möglich, ohne externen Anwendungen unkontrollierten Zugriff auf Unternehmensdaten zu gewähren.