Microsoft 365 · Kontokompromittierung · Sofortmaßnahmen
Bei einem kompromittierten Microsoft-365-Konto reicht ein neues Passwort nicht aus. Das Konto kann aktive Sitzungen, fremde MFA-Methoden, schädliche Postfachregeln, externe Weiterleitungen oder genehmigte Anwendungen enthalten. Die Reaktion muss deshalb in fester Reihenfolge Zugang stoppen, Spuren sichern, Persistenz entfernen, Auswirkungen untersuchen und erst danach die Arbeit wieder freigeben.
Sofortregel: Die betroffene Person verwendet das verdächtige Gerät und Konto nicht weiter. Ein getrenntes, vertrauenswürdiges Administratorkonto sperrt die Anmeldung und widerruft Sitzungen. Zahlungs-, Bankdaten- und Rechnungsänderungen werden unabhängig vom betroffenen Postfach telefonisch über eine bereits bekannte Rufnummer geprüft.
Die ersten 15 Minuten: Schaden begrenzen, ohne die Untersuchung zu zerstören
Eine unerwartete MFA-Anfrage, eine fremde Postfachregel oder eine betrügerische Nachricht aus dem eigenen Konto ist ein Verdachtsmoment. Mehrere zusammenpassende Befunde oder eine bestätigte fremde Anmeldung rechtfertigen sofortige Eindämmung. Die Person meldet nur Beobachtungen; sie experimentiert nicht im Konto und löscht keine Nachrichten.
| Beobachtung | Einordnung | Sofortmaßnahme |
|---|---|---|
| Unaufgeforderte MFA-Anfrage | Jemand kennt möglicherweise das Passwort oder versucht einen bereits begonnenen Anmeldevorgang zu bestätigen. | Nicht bestätigen, Uhrzeit und Anzeige sichern, IT über einen anderen Kanal verständigen. |
| Fremde Nachricht in „Gesendet“ | Starker Hinweis auf Postfachzugriff oder missbräuchlichen Versand. | Konto sperren, Sitzungen widerrufen, Empfänger- und Nachrichtenumfang untersuchen. |
| Unbekannte Weiterleitung oder Regel | Mögliche Persistenz und verdeckte Kopie oder Unterdrückung eingehender Nachrichten. | Vor Änderung Bestand und Auditdaten sichern, anschließend schädliche Regel entfernen. |
| Nur ungewöhnlicher Standort | IP-Ortung ist ungenau und kann durch Mobilfunk, VPN oder zentrale Netzausgänge abweichen. | Zeit, Anwendung, Gerät, Authentifizierung und Benutzerangabe zusammen bewerten. |
| Rechnung mit geänderter Bankverbindung | Möglicher Business-Email-Compromise mit unmittelbarem Zahlungsrisiko. | Zahlung stoppen und Geschäftspartner über bekannte Rufnummer verifizieren; Postfach nicht zur Bestätigung verwenden. |
| Gerät verloren oder gestohlen | Konto-, Token- und lokales Datenrisiko sind gemeinsam zu behandeln. | Konto- und Gerätezustand eindämmen, Standort-/Löschfunktionen nach Richtlinie einsetzen, Verlust dokumentieren. |
Schritt für Schritt: Die erste Meldung verwertbar aufnehmen
- Betroffene Identität: Vollständigen Anmeldenamen und primäre E-Mail-Adresse nennen; ähnlich benannte Konten nicht verwechseln.
- Erstes sichtbares Ereignis: Datum, Uhrzeit, Zeitzone, Anwendung und genaue Beobachtung festhalten.
- Letzte sicher normale Nutzung: Den letzten bekannten Zeitpunkt ohne Auffälligkeit bestimmen. Er bildet den vorläufigen Beginn des Untersuchungsfensters.
- Verdächtige Aktion sichern: Bildschirmfoto, Nachrichtenkopf, Betreff, Absender, Empfänger, Linkziel oder MFA-Anzeige erhalten. Keine verdächtige Anlage erneut öffnen.
- Geräte benennen: Firmen-PC, privates Gerät, Smartphone und Browser aufführen, mit denen das Konto zuletzt verwendet wurde.
- Benutzerhandlung klären: Wurde ein Link geöffnet, Kennwort eingegeben, MFA bestätigt, App-Zugriff genehmigt, Datei gestartet oder QR-Code gescannt?
- Geschäftliche Dringlichkeit erfassen: Laufende Zahlungen, Rechnungen, vertrauliche Anhänge, Personal- oder Kundendaten und privilegierte Rollen feststellen.
- Alternativen Kontakt festlegen: Telefon oder ein nicht betroffenes Konto verwenden. Neue Zugangsdaten werden niemals an das möglicherweise mitgelesene Postfach gesendet.
Was die betroffene Person bis zur Freigabe unterlässt
- Keine MFA-Anfrage bestätigen und keinen angezeigten Zahlencode weitergeben.
- Keine verdächtigen Nachrichten, Regeln oder Apps eigenmächtig löschen; ihr Zustand wird zuerst dokumentiert.
- Keine Warnmail über das möglicherweise kompromittierte Konto an Kunden oder Kollegen versenden.
- Kein neues Kennwort auf einem möglicherweise infizierten oder fremdgesteuerten Gerät setzen.
- Keine Zahlung oder Kontodatenänderung ausschließlich per E-Mail bestätigen.
- Das Gerät nicht zurücksetzen, solange noch entschieden werden muss, ob lokale Spuren oder Schadsoftware untersucht werden.
1. Der Zugang wird mit einem unabhängigen Administratorkonto eingedämmt
Microsoft empfiehlt bei einem kompromittierten cloudbasierten E-Mail-Konto, die betroffene Identität während der Untersuchung zu deaktivieren. Das verhindert neue Tokenanforderungen. Der zusätzliche Sitzungswiderruf entwertet Refresh-Token und zwingt unterstützte Anwendungen zur erneuten Authentifizierung.
Schritt für Schritt: Konto, Sitzungen und Anmeldemethoden sichern
- Sauberen Verwaltungsweg wählen: Mit getrenntem Administratorkonto auf einem vertrauenswürdigen Gerät am Microsoft-Entra-Admincenter anmelden.
- Richtiges Benutzerobjekt öffnen: Unter Entra ID → Benutzer → Alle Benutzer den vollständigen Anmeldenamen, die Objekt-ID und vorhandene Rollen abgleichen.
- Anmeldung sperren: Im Kontostatus das Konto deaktivieren. Bei synchronisierter oder föderierter Identität zusätzlich den maßgeblichen lokalen Verzeichnis- und Kennwortweg berücksichtigen.
- Sitzungen widerrufen: Auf der Benutzerübersicht Sitzungen widerrufen ausführen. Zeitpunkt und ausführendes Administratorkonto protokollieren.
- Bestehende Authentifizierungsmethoden sichern: Namen und letzte Änderung der registrierten Methoden dokumentieren. Telefonnummern, Authenticator-Registrierungen, Passkeys, Sicherheitsschlüssel und gegebenenfalls App-Kennwörter auf unbekannte Einträge prüfen.
- Unvertrauenswürdige Methoden entfernen: Fremde oder nicht zweifelsfrei bestätigte Verfahren löschen. Bei unklarem Gesamtzustand die erneute MFA-Registrierung verlangen; dadurch werden unter anderem registrierte Telefonnummern, Authenticator-Apps und Software-OATH-Methoden entfernt beziehungsweise deaktiviert.
- App-Zustimmungen prüfen: Vom Benutzer genehmigte Anwendungen und deren Berechtigungen inventarisieren. Unbekannte oder für die Arbeit nicht erforderliche Zustimmungen widerrufen.
- Gerätebezug bewerten: Registrierte und verwaltete Geräte abgleichen. Ein verlorenes, fremdes oder nachweislich kompromittiertes Gerät nach dem vorgesehenen Verwaltungsverfahren sperren, zurücksetzen oder aus dem Zugriff nehmen.
- Neues Kennwort erzeugen: Ein eindeutiges, bisher unbenutztes Kennwort über den maßgeblichen Identitätsdienst setzen. Es wird der verifizierten Person über einen unabhängigen Kanal übergeben und nicht auf einem verdächtigen Gerät eingegeben.
- Konto noch nicht vorschnell freigeben: Postfachpersistenz, Protokolle, Rollen, Apps und Geschäftsfolgen werden zuerst untersucht. Ein erfolgreiches Passwortreset belegt keine vollständige Bereinigung.
| Maßnahme | Wirkung | Verbleibende Prüfung |
|---|---|---|
| Konto deaktivieren | Verhindert, dass die Identität neue Microsoft-Entra-Token erhält. | Bereits ausgegebene Token, anwendungsinterne Sitzungen und fremde Zugangspfade beachten. |
| Sitzungen widerrufen | Entwertet Refresh-Token und erzwingt bei unterstützten Diensten eine erneute Anmeldung. | Access-Token oder Sitzungen fremder Anwendungen können bis zur eigenen Neubewertung fortbestehen. |
| Kennwort zurücksetzen | Das bekannte Kennwort kann nicht erneut für eine neue Anmeldung verwendet werden. | MFA-Methoden, App-Kennwörter, Sitzungen, OAuth-Zustimmungen und Endgerät bleiben separat. |
| MFA neu registrieren | Entfernt beziehungsweise deaktiviert vorhandene registrierte Verfahren und schafft einen neuen vertrauenswürdigen Bestand. | Identität der Person vor der Registrierung sicher prüfen. |
| App-Zustimmung widerrufen | Entzieht der betroffenen Anwendung delegierte Berechtigungen. | Tenantweite App-Zustimmung und mögliche Anwendungs-Sitzungen gesondert bewerten. |
| Postfachregeln entfernen | Stoppt verdecktes Weiterleiten, Verschieben oder Löschen neuer Nachrichten. | Historische Nachrichten, Auditspur, externe Weiterleitung und bereits abgeflossene Daten untersuchen. |
Ein Sitzungswiderruf wirkt nicht in jedem Dienst augenblicklich. Microsoft-Entra-Zugriffstoken sind standardmäßig häufig etwa eine Stunde gültig; Continuous Access Evaluation kann den Entzug bei unterstützten Microsoft-365-Diensten schneller wirksam machen. Anwendungen mit eigenen Sitzungscookies oder direkter Anmeldung müssen ihren Zugriff selbst neu bewerten. Deshalb werden Konto, Token, Anwendungen und Geräte als getrennte Zugangsebenen behandelt.
2. Die Untersuchung beginnt vor dem ersten bekannten Symptom
Der sichtbare Betrugsversuch kann Tage nach dem ersten Zugriff auftreten. Das Untersuchungsfenster beginnt deshalb vor der letzten sicher normalen Nutzung und reicht bis zum Abschluss der Bereinigung. Rohdaten werden exportiert oder anderweitig unverändert gesichert, bevor Regeln und Methoden entfernt werden.
| Quelle | Zu sichern | Beantwortete Frage |
|---|---|---|
| Entra-Anmeldeprotokolle | Zeit, Status, Anwendung, Ressource, IP, Gerät, Client, interaktiv/nicht interaktiv, Authentifizierungsdetails | Wer griff wann, womit und worauf zu? |
| Entra-Auditprotokoll | Änderungen an Benutzer, Methoden, Rollen, Gruppen, Anwendungen und Richtlinien | Welche Zugangs- oder Berechtigungsstruktur wurde verändert? |
| Microsoft-365-Audit | Aktivitäten ab vorläufigem Startzeitpunkt ohne anfänglich zu engen Aktionstypfilter | Welche Dienste und Objekte wurden verwendet oder geändert? |
| Exchange-Nachrichtenablauf | Nachrichtenverfolgung, interne und externe Empfänger, Versandzeiten und Zustellstatus | Welche Nachrichten verließen das Konto und wer erhielt sie? |
| Postfachzustand | Regeln, Weiterleitungen, Delegierungen, automatische Antworten, Signaturen und verdächtige Ordner | Wie wurde Kommunikation verborgen, kopiert oder manipuliert? |
| Endgerät | Browser, Erweiterungen, Downloads, Schutzmeldungen, Remotezugriffe und lokale Anmeldeereignisse | Kam der Zugriff über ein kompromittiertes Gerät oder nur über gestohlene Zugangsdaten? |
Standortangaben sind ein Indiz und kein Herkunftsnachweis
Die geografische Zuordnung einer IP-Adresse ist nur eine bestmögliche Näherung. Mobilfunk, Unternehmens-VPN, Sicherheitsdienste und zentrale Provider-Ausgänge können weit entfernt vom tatsächlichen Gerät liegen. Bewertet werden deshalb Zeit, Anwendung, Ressource, Gerät, Client, Authentifizierungsfolge, Benutzerangabe und ähnliche Ereignisse gemeinsam.
3. Eine Zeitleiste verbindet Anmeldung, Änderung und Datenzugriff
Einzelne Protokolle beantworten nur Teilfragen. Die Untersuchung setzt Anmeldungen, Änderungen am Konto, Postfachaktivitäten, Dateizugriffe und geschäftliche Nachrichten auf eine gemeinsame Zeitachse. Zuerst wird breit gesucht; erst nach dem Erkennen des verdächtigen Zeitraums werden Aktivitäten und Objekte enger gefiltert.
Schritt für Schritt: Den tatsächlichen Umfang des Zugriffs bestimmen
- Vorläufiges Zeitfenster setzen: Mindestens ab der letzten sicher normalen Nutzung bis nach Abschluss der Eindämmung suchen; bei frühen Auffälligkeiten weiter zurückgehen.
- Benutzeraussage aufnehmen: Reale Arbeitsorte, Geräte, VPN-Nutzung, Reisen, neue Apps und bestätigte MFA-Vorgänge für denselben Zeitraum festhalten.
- Interaktive Anmeldungen prüfen: Erfolgreiche und fehlgeschlagene Ereignisse nach Benutzer filtern und Zeit, Anwendung, Ressource, IP, Client, Gerät sowie Authentifizierungsdetails exportieren.
- Nicht interaktive Anmeldungen ergänzen: Tokenbasierte Zugriffe von Outlook, Teams, mobilen Apps und Hintergrunddiensten separat prüfen. Das Fehlen einer sichtbaren Kennworteingabe macht einen Zugriff nicht unverdächtig.
- Ereignisse clustern: Gleiche IP, Anwendung, Gerät, Request- oder Korrelations-ID zeitlich zusammenführen. IP-Geografie nie allein als Beweis verwenden.
- Authentifizierung nachvollziehen: Prüfen, ob MFA tatsächlich neu ausgeführt, durch einen vorhandenen Tokenanspruch erfüllt, abgelehnt oder über eine andere Methode bestanden wurde.
- Verzeichnisänderungen suchen: Auditprotokoll auf Kennwort-, MFA-, Benutzer-, Gruppen-, Rollen-, Geräte-, App- und Richtlinienänderungen im Zeitfenster prüfen.
- App-Zugriffe untersuchen: Neue Benutzerzustimmungen, Berechtigungen, Dienstprinzipale und ungewöhnliche Anwendungen identifizieren; Berechtigungsumfang und Zeitpunkt mit den Anmeldungen verbinden.
- Postfachaktivität auswerten: Regeln, Weiterleitung, Delegierungen, Versand, Löschung, Ordnerbewegungen und gegebenenfalls Nachrichtenzugriffe prüfen.
- Dateidienste einbeziehen: OneDrive- und SharePoint-Aktivitäten auf ungewöhnliche Downloads, Freigaben, Löschungen oder Änderungen untersuchen, soweit Protokollierung und Lizenz dies hergeben.
- Weitere Identitäten suchen: Empfänger verdächtiger interner Nachrichten, gemeinsam genutzte Geräte und ähnliche Anmeldemuster auf Folgekompromittierungen prüfen.
- Endgerät korrelieren: Zeitpunkt des vermuteten Phishings mit Browserhistorie, Download, Erweiterung, Schutzmeldung, Remotezugriff und lokaler Ausführung abgleichen.
- Umfang begründen: Für Konto, E-Mail, Dateien, Anwendungen, Rollen und Gerät jeweils „betroffen“, „nicht betroffen“ oder „noch ungeklärt“ mit Nachweis festhalten.
| Merkmal | Für legitime Nutzung spricht | Für Missbrauch spricht |
|---|---|---|
| Zeit | Passt zu Arbeitszeit, Benutzerangabe und bekanntem Vorgang. | Liegt während Schlaf, Abwesenheit oder unmittelbar nach Phishing. |
| Anwendung und Ressource | Gehören zum üblichen Arbeitsprofil. | Unbekannte App, ungewöhnlicher Verwaltungsdienst oder neue Ressource. |
| Gerät und Client | Bekannte Geräte-ID, verwalteter Zustand und üblicher Client. | Unbekannter Browser, nicht verwaltetes Gerät oder widersprüchliche Merkmale. |
| IP und Netz | Bekannter Büro-, Heim-, Mobilfunk- oder VPN-Ausgang. | Passt mit weiteren Merkmalen nicht zum Benutzer und erscheint in verdächtiger Ereigniskette. |
| Authentifizierung | Erwartete Methode und nachvollziehbare Benutzerbestätigung. | Neue Methode, ungewöhnliche MFA-Folge oder Erfolg ohne erklärbaren Benutzerbezug. |
| Folgeaktivität | Normale Arbeit ohne Konto- oder Datenänderung. | Regel, Weiterleitung, App-Zustimmung, Massendownload, Rollen- oder Stammdatenänderung. |
Fehlende Protokolltreffer beweisen keine fehlende Aktivität. Aufbewahrungszeit, Lizenz, Dienst, Protokolltyp und Zeitpunkt der Aktivierung bestimmen, welche Daten verfügbar sind. Der Abschlussbericht benennt diese Grenzen ausdrücklich und trennt „nicht gefunden“ von „ausgeschlossen“.
4. Das Postfach wird auf Weiterleitung, Verbergen und Stellvertretung geprüft
Angreifer müssen nicht jede Nachricht selbst lesen. Eine Regel kann Rechnungen an externe Adressen weiterleiten, Warnungen in selten beachtete Ordner verschieben oder Antworten löschen. Zusätzlich können eine postfachweite Weiterleitung oder eine fremde Delegierung den Zugriff aufrechterhalten.
Schritt für Schritt: Exchange-Postfach und Nachrichtenfluss bereinigen
- Aktuelle Posteingangsregeln mit Name, Priorität, Bedingung, Aktion, Zieladresse, Ausnahme und Aktivstatus exportieren oder vollständig dokumentieren.
- Regeln im Microsoft-Purview-Audit gegen Erstellungs-, Änderungs- und Löschzeitpunkt prüfen; eine heute nicht mehr sichtbare Regel kann zuvor aktiv gewesen sein.
- Regeln untersuchen, die externe Weiterleitung, Löschung, „Als gelesen markieren“, Umleitung oder Verschiebung in Archiv, RSS, Notizen, Junk oder ungewöhnliche Ordner auslösen.
- Postfachweite SMTP-Weiterleitung und die Einstellung kontrollieren, ob zusätzlich eine Kopie im ursprünglichen Postfach verbleibt.
- Vollzugriff, „Senden als“ und „Senden im Auftrag von“ mit den vorgesehenen Stellvertretungen abgleichen.
- Automatische Antworten, Antwortadressen, sichtbare Absenderinformationen und serverseitige Signatur- oder Transportregeln prüfen, soweit sie den Benutzer betreffen.
- „Gesendet“, „Gelöscht“, wiederherstellbare Elemente und auffällige Ordner im verdächtigen Zeitraum untersuchen. Sichtbare Ordner sind nur eine Quelle.
- Nachrichtenverfolgung für interne und externe Empfänger auswerten; Versandzeit, Zustellung, Umleitung und Rückläufer sichern.
- Verdächtige Nachrichten mit Betreff, Message-ID, Empfängern, Anhängen und Linkzielen erfassen. Originale zur Analyse erhalten, statt nur Bildschirmfotos zu verwenden.
- Schädliche Regeln, Weiterleitungen und Delegierungen nach der Beweissicherung entfernen. Jede Änderung mit Vorherzustand, Zeitpunkt und ausführender Person protokollieren.
- Vom Konto versandte Phishingnachrichten nach verfügbarer Microsoft-365-Funktion suchen und entfernen beziehungsweise Empfänger gezielt warnen.
- Nach Bereinigung Testnachricht intern und extern senden, Antworten empfangen und prüfen, dass keine unerwartete Kopie, Umleitung oder Ordneraktion erfolgt.
| Stelle | Missbrauch | Abnahmenachweis |
|---|---|---|
| Posteingangsregel | Nachrichten weiterleiten, verbergen, löschen oder als gelesen markieren | Vollständige Regelliste mit freigegebenen Bedingungen und Aktionen |
| Postfachweiterleitung | Alle eingehenden Nachrichten extern kopieren oder umleiten | Forwarding-Adresse und Kopie-Einstellung geprüft |
| Delegierung | Lesen oder Senden über ein anderes Konto | Vollzugriff und Senderechte gegen Soll-Liste abgeglichen |
| App-Zugriff | E-Mail über Graph oder andere Schnittstelle lesen und versenden | Benutzer- und Administratorzustimmungen geprüft |
| Transportregel | Nachrichten organisationsweit verändern, umleiten oder blockieren | Änderungen und Geltungsbereich im Exchange-Admincenter geprüft |
| Mobiles Gerät | Mit bestehender Sitzung weiter synchronisieren | Bekannte Geräte bestätigt, fremde Partnerschaften entfernt oder gesperrt |
5. Technische Bereinigung und geschäftlicher Schaden werden parallel bearbeitet
Bei Business Email Compromise liegt der größte Schaden häufig außerhalb des Tenants: Ein Kunde überweist auf ein fremdes Konto, ein Lieferant erhält manipulierte Stammdaten oder ein Beschäftigter öffnet die Phishingnachricht eines vertrauten Absenders. Diese Folgen warten nicht auf den technischen Abschlussbericht.
| Risiko | Unmittelbare Handlung | Beleg |
|---|---|---|
| Geänderte Bankverbindung | Zahlung intern stoppen; Geschäftspartner und Bank über bereits bekannte Kontaktdaten anrufen. | Zahlungsstatus, Gesprächspartner, Uhrzeit und Ergebnis |
| Falsche Rechnung versandt | Empfänger gezielt informieren, Nachricht und Anhänge eindeutig benennen und sichere Ersatzrechnung bereitstellen. | Empfängerliste und bestätigte Rückmeldung |
| Internes Phishing | Empfänger warnen, Link-/Anlagenkontakt erfassen und betroffene Folgekonto- oder Endgeräteprüfung beginnen. | Empfänger, Benutzerhandlung und Folgemaßnahme |
| Vertrauliche Daten eingesehen oder versandt | Datenschutz- und Rechtsverantwortliche mit Datenarten, Personenbezug, Umfang und Empfängern einbeziehen. | Bewertung, Entscheidung und gegebenenfalls Meldungsweg |
| Rollen- oder Stammdaten geändert | Änderungen zurücksetzen und abhängige Systeme, Freigaben sowie Zahlungsprozesse kontrollieren. | Vorher-/Nachherzustand und Vier-Augen-Bestätigung |
| Externe App erhielt Zugriff | Zustimmung widerrufen, Berechtigungsumfang und mögliche Datenaktion untersuchen. | App-ID, Publisher, Berechtigungen, Zeitfenster und Widerruf |
Eine Warnung muss eindeutig, knapp und handlungsfähig sein
Empfänger erfahren Absenderkonto, verdächtigen Betreff, Versandzeitraum und konkrete Handlung: Nachricht nicht öffnen, Link oder Anlage nicht verwenden, Zahlungsdaten nicht übernehmen und bereits ausgeführte Schritte sofort über einen sicheren Kanal melden. Spekulationen über Täter oder Ursache helfen nicht. Die Mitteilung kommt aus einem nachweislich sicheren Konto oder über einen anderen verifizierten Weg.
Ob eine Datenschutzmeldung oder Benachrichtigung erforderlich ist, wird anhand der tatsächlich betroffenen personenbezogenen Daten, Zugriffsmöglichkeiten, Risiken und geltenden Vorgaben beurteilt. Der technische Bericht liefert dafür Zeitfenster, Datenarten, betroffene Personen, Empfänger, Schutzmaßnahmen und verbleibende Unsicherheiten; er ersetzt keine rechtliche Entscheidung.
6. Das verwendete Endgerät erhält eine eigene Sicherheitsentscheidung
Gestohlene Zugangsdaten können von einer überzeugenden Phishingseite stammen, ohne dass der Rechner Schadsoftware ausführt. Umgekehrt kann ein Infostealer gespeicherte Kennwörter, Browsercookies und Sitzungstoken entwendet haben. Das Konto wird daher nicht auf demselben Gerät wieder freigegeben, bevor dessen Zustand geklärt ist.
Schritt für Schritt: Das betroffene Gerät untersuchen und entscheiden
- Inventarnummer, Person, Betriebssystem, Zeitpunkt und Art der verdächtigen Handlung erfassen.
- Bei vermuteter aktiver Fernsteuerung oder Schadsoftware Netzwerkverbindung kontrolliert trennen, ohne das Gerät vorschnell zurückzusetzen.
- Browserhistorie, Downloadpfad, Erweiterungen, gespeicherte Zugangsdaten und aufgerufene Domain zum Meldezeitpunkt sichern.
- Geöffnete oder ausgeführte Datei mit Name, Hash beziehungsweise Originalquelle und Schutzmeldung dokumentieren; sie nicht erneut starten.
- Microsoft-Defender- oder vorhandene Endpoint-Sicherheitsmeldungen, Quarantäne, Prozess- und Netzwerkhinweise für denselben Zeitraum prüfen.
- Installierte Programme, neue Autostarts, geplante Aufgaben, Fernwartungssoftware und unbekannte Benutzerprofile gegen den bekannten Sollbestand abgleichen.
- Bei reinem Web-Phishing ohne Ausführung den Browser- und Sitzungspfad bereinigen, Updates einspielen und vollständige Schutzprüfung durchführen.
- Bei bestätigter Schadsoftware, gestohlenen Browserdaten oder ungeklärter Systemintegrität Daten nach Freigabe sichern und das Gerät aus vertrauenswürdiger Quelle neu bereitstellen.
- Weitere auf dem Gerät verwendete Konten und gespeicherte Geheimnisse bestimmen; ihre Kennwörter und Sitzungen vom sauberen Gerät aus behandeln.
- Erst nach bestandenem Schutz-, Update-, Verwaltungs- und Funktionstest das Gerät wieder für die Kontoanmeldung zulassen.
Ein unauffälliger Schnellscan beweist keine vollständige Systemintegrität. Die Entscheidung berücksichtigt Benutzerhandlung, Dateiausführung, Schutztelemetrie, vorhandene Administratorrechte, Browserdaten und die Verlässlichkeit des bekannten Ausgangszustands. Je weniger davon nachweisbar ist, desto eher ist eine standardisierte Neuinstallation wirtschaftlicher und sicherer als eine offene Fehlersuche.
7. Die Wiederfreigabe baut die Identität aus einem vertrauenswürdigen Zustand neu auf
Das Konto wird nicht allein deshalb aktiviert, weil keine neuen Warnungen erscheinen. Vorher sind Kennwort, Methoden, Anwendungen, Postfach, Rollen und Endgerät bereinigt. Die Identität der Person wird über bekannte organisatorische Merkmale und einen unabhängigen Kontaktweg bestätigt.
Schritt für Schritt: Das Konto kontrolliert wieder in Betrieb nehmen
- Bereinigung bestätigen: Schädliche Regeln, Weiterleitungen, Delegierungen, Authentifizierungsmethoden und App-Zustimmungen sind entfernt.
- Rollen prüfen: Administrative Rollen, Gruppen, Postfachrechte und Dateifreigaben entsprechen dem dokumentierten Sollzustand.
- Person verifizieren: Rückruf über bekannte Nummer, persönliche Prüfung oder festgelegtes internes Verfahren verwenden; keine Kontaktdaten aus der verdächtigen Nachricht übernehmen.
- Sauberes Gerät bereitstellen: Verwalteten, aktualisierten und geprüften Firmenrechner oder einen anderen vertrauenswürdigen Zugang verwenden.
- Neues Geheimnis übergeben: Temporäres Kennwort oder vorgesehenen Wiederherstellungsweg über einen unabhängigen Kanal bereitstellen und sofortige Änderung kontrollieren.
- MFA neu registrieren: Nur bestätigte Geräte und Methoden aufnehmen. Wo betrieblich möglich, phishingresistente Verfahren wie Passkey, FIDO2-Sicherheitsschlüssel oder Windows Hello for Business bevorzugen.
- Methodenliste gegenprüfen: Nach der Registrierung Telefonnummern, Authenticator, Passkeys und Sicherheitsschlüssel nochmals im Admincenter mit der Person abgleichen.
- Konto aktivieren: Anmeldesperre erst jetzt aufheben und Zeitpunkt sowie ausführende Administration dokumentieren.
- Erste Anmeldung beobachten: Anmeldung, MFA-Folge, Gerät, Anwendung und Ressource im Entra-Protokoll mit dem tatsächlichen Vorgang vergleichen.
- Microsoft 365 testen: Outlook, Teams, OneDrive, SharePoint und erforderliche Fachanwendungen öffnen; Senden, Empfangen, Synchronisieren und Freigaben praktisch prüfen.
- Postfachtest abschließen: Interne und externe Testnachricht senden und beantworten; Regeln, Weiterleitung und Delegierungen danach erneut kontrollieren.
- Geschäftsprozesse freigeben: Zahlungs- und Stammdatenänderungen zunächst im Vier-Augen-Prinzip behandeln, wenn das Konto daran beteiligt war.
- Nachkontrollen terminieren: Anmelde-, Audit-, Versand- und Sicherheitsmeldungen nach dem ersten Arbeitstag und erneut im festgelegten Beobachtungsfenster prüfen.
- Vorfall abschließen: Ursache, Zeitfenster, betroffene Daten und Personen, Maßnahmen, Restunsicherheiten und dauerhafte Verbesserungen dokumentieren.
| Bereich | Musskriterium | Nachweis |
|---|---|---|
| Identität | Person unabhängig verifiziert, neues Kennwort gesetzt, nur vertrauenswürdige MFA-Methoden vorhanden | Methodenliste und protokollierte Erst-Anmeldung |
| Sitzungen | Sitzungen widerrufen und keine unerklärte Folgeaktivität sichtbar | Widerrufszeitpunkt und Nachkontrolle der Anmeldungen |
| Postfach | Regeln, Weiterleitung, Delegierung und Versand bereinigt | Soll-Liste und erfolgreicher Ein-/Ausgangstest |
| Anwendungen | Unbekannte Zustimmungen entfernt, notwendige Apps bestätigt | App- und Berechtigungsinventar |
| Endgerät | Vertrauenswürdiger, aktualisierter und geprüfter Zustand | Schutz- und Funktionstest oder Neuaufsetzprotokoll |
| Geschäft | Empfänger, Zahlungen, Datenabfluss und Folgekonten bewertet | Maßnahmenliste mit Zuständigkeit und Abschluss |
8. Der Vorfall endet mit technischer und geschäftlicher Abnahme
Abnahmeprotokoll für ein kompromittiertes Microsoft-365-Konto
- Zeitachse: Letzte sicher normale Nutzung, erster Verdacht, Eindämmung, Bereinigung und Wiederfreigabe sind belegt.
- Zugang: Konto wurde gesperrt, Sitzungen wurden widerrufen und ein neues Kennwort wurde sauber gesetzt.
- Methoden: MFA-, Passkey-, Telefon-, OATH- und App-Kennwortbestand ist bestätigt.
- Berechtigungen: Rollen, Gruppen, Delegierungen und App-Zustimmungen entsprechen dem Soll.
- Postfach: Regeln, Weiterleitung, Nachrichten und Empfänger wurden vollständig geprüft.
- Dateien: OneDrive- und SharePoint-Aktivitäten wurden nach verfügbarer Protokollierung bewertet.
- Gerät: Phishing-, Token- und Schadsoftwarepfad ist untersucht; der zugelassene Endpunkt ist vertrauenswürdig.
- Geschäftsfolgen: Zahlungen, Rechnungen, Empfänger, Daten und Folgekonten besitzen dokumentierte Maßnahmen.
- Kommunikation: Betroffene interne und externe Stellen erhielten konkrete, sichere Handlungsanweisungen.
- Wiederanlauf: Erste Anmeldung, MFA, Outlook, Teams, Dateien, Freigaben und Nachrichtenfluss wurden praktisch getestet.
- Nachkontrolle: Verantwortliche Person, Zeitraum und auszuwertende Protokolle sind festgelegt.
- Verbesserung: Ursache und wirksame Schutzmaßnahme wurden in Richtlinie, Schulung oder Technik übernommen.
Häufige Fragen nach einem gehackten Microsoft-365-Konto
Reicht es, sofort das Passwort zu ändern?
Nein. Zusätzlich werden Anmeldung gesperrt, Sitzungen widerrufen, MFA-Methoden, App-Zustimmungen, Regeln, Weiterleitungen, Delegierungen und Endgeräte geprüft. Erst diese Kombination entfernt die üblichen Zugangspfade und Persistenzmechanismen.
Soll das Konto während der Untersuchung gesperrt bleiben?
Bei bestätigter Kompromittierung ist die Sperre der bevorzugte Zustand, bis Zugang und Persistenz bereinigt sind. Geschäftliche Erreichbarkeit wird vorübergehend über einen kontrollierten Vertreter oder anderen sicheren Kommunikationsweg organisiert.
Warum müssen auch erfolgreiche Anmeldungen geprüft werden?
Ein Angreifer kann sich mit richtigem Kennwort, bestätigter MFA oder bestehendem Token erfolgreich anmelden. Status „Erfolgreich“ beschreibt nur das technische Ergebnis; Zeit, Anwendung, Gerät, Authentifizierung und Folgeaktivität entscheiden über die Legitimität.
Wann müssen Kunden oder Lieferanten informiert werden?
Unverzüglich, wenn sie eine konkrete betrügerische Nachricht, Zahlungsaufforderung oder gefährliche Anlage erhalten haben. Umfang und Form weiterer Datenschutz- oder Vertragspartnerinformationen richten sich nach den tatsächlich betroffenen Daten und Pflichten.
Muss der PC immer neu installiert werden?
Nicht bei jedem Web-Phishing. Wurde jedoch Schadsoftware ausgeführt, wurden Browserdaten entwendet oder lässt sich die Systemintegrität nicht belastbar beurteilen, schafft eine standardisierte Neuinstallation meist den verlässlicheren Ausgangszustand.
Wann gilt der Vorfall als beendet?
Nach technischer Bereinigung, geschäftlicher Folgenbewertung, erfolgreicher Wiederfreigabe und einem definierten Beobachtungszeitraum ohne unerklärte Folgeaktivität. Offene Punkte besitzen weiterhin Verantwortung und Termin.
Technische Grundlagen und weiterführende Dokumentation
- Microsoft Learn: Respond to a compromised email account – Eindämmung, Sitzungswiderruf, Methoden-, App-, Protokoll- und Nachrichtenprüfung.
- Microsoft Learn: Revoke user access in Microsoft Entra ID – Wirkung und Grenzen von Konto- und Tokenentzug.
- Microsoft Learn: Manage authentication methods – Methodenprüfung, erneute MFA-Registrierung und Sitzungswiderruf.
- Microsoft Learn: Sign-in log activity details – Interpretation von Benutzer, Anwendung, Ressource, Gerät, IP und Authentifizierung.
- Microsoft Learn: Identify who modified mailbox rules – Aktuelle Regeln und historische Änderungen im Auditprotokoll.
Ein kompromittiertes Microsoft-365-Konto geordnet bereinigen
fra.digital unterstützt kleine Unternehmen bei Eindämmung, Protokollauswertung, Postfachbereinigung, Endgeräteprüfung, geschäftlicher Folgenbewertung und kontrollierter Wiederfreigabe.
