Video-Tipp: Break Glass Account in Microsoft 365 Notfallzugriff für Microsoft 365 einrichten

Schnell ist es passiert, dass ein Admin-Konto in Microsoft 365 durch Angreifer übernommen wurde oder gesperrt oder so falsch konfiguriert wurde, dass ein Zugriff nicht mehr möglich ist. Um solchen massiven Problemen zu entgegnen, hilft ein Notfall-Konto. Ein solcher Break Glass Account kann Zugriff gewähren, um die Probleme zu lösen.

Durch falsche Konfigurationen, durch Übernahme eines Hackers oder aus einer Vielzahl an weiteren Gründen kann es schnell passieren, dass sich Administratoren aus der Verwaltung von Microsoft 365 aussperren. Nutzen Unternehmen die vielfältigen Möglichkeiten zur Optimierung von Rechten in Azure AD und Microsoft 365, kann es ebenfalls schnell passieren, dass Berechtigungen verloren gehen. Schon alleine aus diesen Gründen ist ein Konto für Notfälle ein wichtiges Sicherheitsnetz. Da ein solches Konto nur für Administrationszwecke genutzt wird, benötigt es auch keine kostenpflichtige Lizenz.

Wie man für Microsoft 365 ein Notfallkonto einrichtet, zeigen unsere Kollegen aus der Security-Insider-Redaktion hier im Video-Tipp und in der Bildergalerie.

Bildergalerie

Bildergalerie mit 5 Bildern

Ansonsten besteht die Gefahr, dass sich Benutzer und sogar Administratoren nicht mehr an Microsoft 365 und Azure AD anmelden können. Dazu kommen mögliche Störungen bei Sicherheitsdiensten von Microsoft, die ebenfalls darin resultieren, dass keine Anmeldung möglich ist. Break Glass Accounts können von vorneherein so angelegt werden, dass Störungen oder Fehlkonfigurationen das Konto nicht betreffen.

Konten für die Notfallanmeldung können schnell zum Retter in der Not werden

Wenn in einem solchen Fall ein „Break Glass Account“ vorhanden ist, also ein Notfallbenutzer, der nur in solchen Fällen zum Einsatz kommt, lassen sich die Probleme oft schneller beheben, als das Einschalten des Benutzersupport von Microsoft. Ein solches Konto ist relativ einfach angelegt, bringt im Notfall aber einen hohen Nutzen. Microsoft empfiehlt das Anlegen eines oder mehrerer Konten, die als „Konten für den Notfallzugriff“ bezeichnet werden.

Voraussetzungen und Grundlagen von Konten für den Notfallzugriff

Natürlich müssen auch die Konten für den Notfallzugriff so sicher wie möglich konfiguriert sein, müssen gleichzeitig aber sicherstellen, dass auch bei Fehlkonfigurationen oder Ausfall von Diensten wie der Multifaktor-Authentifizierung weiter ein Zugriff möglich ist. Daher sollte mindestens ein Konto angelegt sein, dass nicht nur MFA geschützt ist und idealerweise auch nicht durch Richtlinien für den bedingten Zugriff (Conditional Access). Natürlich wäre es in diesem Fall auch möglich ein Konto für den Notfallzugriff ohne MFA aber mit Conditional Access und eines mit MFA aber ohne Conditional Access zu erstellen. Das hängt von den Anforderungen der jeweiligen Organisation ab.

Das Kennwort für das Konto muss über eine maximale Sicherheit verfügen, darf aber nicht ablaufen, damit eine Anmeldung jederzeit möglich ist. Das Kennwort können Admins schriftlich in einem Tresor ablegen oder besonders geschützt in Programmen zur Kennwortverwaltung. Grundsätzlich kann es sinnvoll sein das Kennwort in mehrere Teile aufzusplitten und an getrennten Orten durch getrennte Personen nutzen zu können, sodass eine einzelne Person keinen Zugriff erhalten kann.

Idealerweise sollte der Name der Konten für den Notfallzugriff so gewählt sein, dass Angreifer diese nicht erraten und gezielt attackieren können. Wichtig ist es beim Anlegen alle Dienste auszuschließen, die ausfallen und damit Zugriffe verhindern können. Durch eine Kombination ist es mit mehreren Konten möglich, wie bereits oben beschrieben, auf jeweils unterschiedliche Anmeldetechnologien zu setzen.

Achtung: Überwachung von Konten für den Notfallzugriff

Es muss in jedem Fall ausgeschlossen werden, dass Admins die Break Glass Accounts für Anmeldungen nutzen oder sogar missbrauchen. Die Konten sollten speziell überwacht werden, damit sichergestellt ist, dass diese ausschließlich nur im Notfall eingesetzt werden. Dazu kommt eine umfassende und entsprechend zu schützende Dokumentation für das Konto.

Praxis: Anlegen eines Kontos für den Notfallzugriff - Break Glass-Account einrichten

Die Erstellung eines Break Glass-Accounts beginnt im Microsoft 365 Admin Center bei „Benutzer -> Aktive Benutzer -> Benutzer hinzufügen“. Hier kann zunächst ein normaler Benutzer angelegt werden, dessen Bezeichnung aber nicht gleich auf ein mächtiges Adminkonto schließen sollte. Bei der Auswahl der Domäne sollte die *.onmicrosoft.com-Domäne verwendet werden, da es bei eigenen Domänen ebenfalls zu Verbindungsproblemen kommen kann.

Das Kennwort sollte so sicher wie nur möglich konfiguriert werden. Auf der Seite „Zuweisen von Produktlizenzen“ kann die Option „Benutzer ohne Produktlizenz erstellen“ ausgewählt werden. Bei „Optionale Einstellungen“ wird bei „Rollen“ die Option „Admin Center-Zugriff“ und „Globaler Administrator. Auf der letzten Seite erscheint eine Zusammenfassung und mit „Hinzufügen fertig stellen“ wird das Konto schließlich erstellt. Danach sollte noch das Ablaufen des Kennwortes für diesen Benutzer deaktiviert werden.

Die Verwaltung dafür lässt sich am besten mit der PowerShell durchführen. Dazu muss das entsprechende Modul zuvor installiert werden. Das erfolgt mit:

Danach erfolgt die Anmeldung an Microsoft 365 mit:

Jetzt können die Benutzerkonten in Microsoft 365 in der PowerShell verwaltet werden. Um zu verhindern, dass für das Konto für den Notfallzugriff das Kennwort abläuft, kann folgender Befehl genutzt werden. Dazu wird zuerst überprüft, wie die entsprechende Einstellung für den Benutzer aussieht, zum Beispiel mit:

Hier wird normalerweise als Wert „False“ für „PasswordNeverExpires“ festgelegt. Um die Einstellung auf True zu setzen, kommt der folgende Befehl zum Einsatz:

Darüber hinaus sollte der Benutzer von anderen Sicherheitsoptionen wie MFA und Conditionale Access befreit sein. Alternativ werden verschiedene Benutzer angelegt.

(ID:49196902)