Quellenprüfung: 18. September 2026. Tenant-Validierung ausstehend.
Werkzeuge und Dokumentdetails
Die ersten 10 Minuten
Wenn der Angriff noch aktiv ist, führen Sie diese Schritte zuerst aus. Details und Sonderfälle folgen in den acht Phasen.
Diese Reaktion gilt für bestätigte oder glaubhafte Kontokompromittierung. Bei einer lediglich ungeklärten Anmeldung oder einem fehlgeschlagenen Versuch beginnen Sie mit Verdächtige Anmeldungen. Aktiver Angreiferzugriff oder laufender Schaden erfordert zügige, verhältnismäßige Eindämmung während der weiteren Untersuchung.
Holen Sie eine ausdrückliche Freigabe ein, wenn das Konto Notfallzugriff, Automatisierung, einen kritischen Dienst oder eine privilegierte Identität unterstützt.
Ausgangspunkt: Microsoft 365 Business Standard. Prüfen Sie vor dem Incident, welche Zusatzlizenzen und Rollen im Tenant vorhanden sind.
Least Privilege: Geben Sie nur die Rolle und API-Berechtigung, die für den konkreten Schritt nötig ist. Entfernen Sie temporäre Zuweisungen nach dem Incident.
Lizenzmatrix: Business Standard als Basis
Status und Aufbewahrung können sich ändern. Prüfen Sie die verlinkte Microsoft-Dokumentation für Ihren Tenant und Ihre Region.
| Funktion | Business Standard | Praktische Grenze | Microsoft Learn |
|---|---|---|---|
| Konto sperren, Kennwort zurücksetzen, Sitzungen widerrufen | Verfügbar | Basisreaktion in Entra ID; die erforderliche Administratorrolle bleibt Pflicht. | Zugriff widerrufen |
| Postfach, Regeln, Weiterleitung, Delegierung und Message Trace | Verfügbar | Exchange Online ist enthalten. Erweiterte Defender-Untersuchungen sind davon getrennt. | Kompromittiertes Postfach |
| Microsoft Purview Audit Standard | Nach Aktivierung verfügbar | Business Standard enthält Suche, CSV, Search-UnifiedAuditLog und 180 Tage Standardaufbewahrung. Bei SMB-Plänen ist die einheitliche Audit-Erfassung nicht standardmäßig aktiviert. Aktivieren Sie sie vor einem Incident; frühere Ereignisse werden nicht nachträglich erfasst. | Audit aktivieren |
| Mailbox-Audit-Ereignis MailItemsAccessed | Zusatzlizenz | Business Standard enthält nicht die erforderliche E3/E5-Berechtigung. Nutzen Sie stattdessen allgemeine Mailbox-Audit-Ereignisse und Message Trace; diese zeigen nicht denselben Nachrichtenzugriff. | Mailbox-Zugriff untersuchen |
| Entra Anmeldeprotokolle | Eingeschränkt | Portalansicht und kurze Standardaufbewahrung sind verfügbar; Graph-Zugriff und erweiterte Aufbewahrung setzen Entra ID P1 oder P2 voraus. | Aufbewahrung |
| Identity Protection: Risky users und Risk detections | Eingeschränkt | Entra ID Free zeigt begrenzte Risikosignale. Vollständige Untersuchung und risikobasierte Behebung benötigen Entra ID P2. Bei Graph-Lesezugriffen die Lizenzanforderung des jeweiligen Endpunkts und gelieferte Details prüfen. | Identity Protection |
| Conditional Access | Zusatzlizenz | Benötigt Microsoft Entra ID P1; risikobasierte Richtlinien benötigen P2. Business Premium enthält P1. | Conditional Access |
| Threat Explorer, Defender XDR und automatisierte E-Mail-Bereinigung | Zusatzlizenz | Vollständiger Explorer, Incidents und automatisierte Untersuchung benötigen eine passende Defender for Office 365- beziehungsweise Microsoft Defender-Lizenz. | Defender for Office 365 |
| Purview eDiscovery-Fälle, Suche und Bereinigung | Zusatzlizenz | Business Standard darf nicht als ausreichend angenommen werden. Die aktuelle Purview-Falldokumentation nennt Microsoft 365 Enterprise E3 oder E5 für Administratoren und Fallbenutzer. Vor einer Lizenzänderung die konkrete Funktion und Benutzerberechtigungen anhand der aktuellen Dienstbeschreibung prüfen. Nutzen Sie Message Trace als Basis und Defender for Office 365 Plan 2 für die operative E-Mail-Bereinigung. | eDiscovery-Anforderungen Purview-Dienstbeschreibung |
| OneDrive, SharePoint, Teams und Power Automate | Eingeschränkt | Workloads sind je nach Plan enthalten; zentrale, langfristige oder erweiterte Untersuchungen hängen von Audit-, Defender- und Power-Platform-Lizenzen ab. | Workload-Audit |
Führen Sie Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled in Exchange Online PowerShell aus. Bei False muss ein Operator mit der Rolle Audit Logs in Exchange Online Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true ausführen. Purview-Suchen bleiben bis zur Aktivierung leer; nur künftige Aktivitäten werden erfasst.
Verwenden Sie die Exchange-Online-Sitzung: Security & Compliance meldet unabhängig vom Status False. Die Aktivierung kann 60 Minuten dauern; durchsuchbare Ereignisse können mehrere Stunden benötigen.
Aktionsmatrix: kleinste passende Rolle
Die Rollen gelten für den Zielbenutzer und die jeweilige Aktion. Bei privilegierten Zielkonten ist häufig eine höher privilegierte Rolle erforderlich.
| Aktion | Minimale Rolle | Graph / Exchange | Business Standard | Microsoft Learn |
|---|---|---|---|---|
| Risky users und Risk detections lesen | Security Reader | Graph: IdentityRiskyUser.Read.All für Benutzer; IdentityRiskEvent.Read.All für Erkennungen. | Eingeschränkt; vollständige Untersuchung erfordert P2. Endpunkt und tatsächlich gelieferte Details prüfen. | Risikobenutzer Risikoerkennungen |
| Kompromittierung bestätigen oder Risiko verwerfen | Portal: Security Operator. Graph: Security Administrator. | IdentityRiskyUser.ReadWrite.All | Erfordert P2. | Risiko beheben Graph: bestätigen Graph: verwerfen |
| Aktive Entra Rollenzuweisungen prüfen | Directory Readers | Graph: RoleManagement.Read.Directory | Verfügbar | Zuweisungen anzeigen |
Benutzer deaktivieren oder wieder aktivieren; Update-MgUser | User Administrator für nicht privilegierte Benutzer; Privileged Authentication Administrator für privilegierte Administratoren | Graph: User.EnableDisableAccount.All und User.Read.All | Verfügbar | Notfallzugriff widerrufen |
Sitzungen widerrufen; Revoke-MgUserSignInSession | Helpdesk Administrator für unterstützte Benutzer ohne Administratorrolle; Privileged Authentication Administrator (PAA) für privilegierte Ziele. Die Rollenhierarchie prüfen. | Graph: User.RevokeSessions.All | Verfügbar; die Widerrufung kann einige Minuten dauern und gilt nicht für externe Sitzungen im Home-Tenant. | Graph-Methode Rollenberechtigungen |
Interaktive und nicht interaktive Anmeldungen lesen und exportieren; Get-MgAuditLogSignIn | Reports Reader | Graph: AuditLog.Read.All | Portal und CSV sind 7 Tage verfügbar; Get-MgAuditLogSignIn und anderer Graph-Zugriff auf Anmeldeprotokolle benötigen Entra ID P1/P2. | Logs herunterladen |
Inbox Rules lesen; Get-InboxRule -IncludeHidden | Passgenaue Exchange-RBAC-Zuweisung mit Get-InboxRule; andernfalls Exchange Administrator | Exchange Online RBAC; keine Graph-Berechtigung. View-Only Organization Management und Global Reader reichen nicht. | Verfügbar | Get-InboxRule |
Weiterleitung und Postfacheigenschaften lesen; Get-Mailbox | Passgenaue Exchange-RBAC-Zuweisung mit Get-Mailbox; andernfalls Exchange Administrator | Exchange Online RBAC; keine Graph-Berechtigung | Verfügbar | Get-Mailbox |
| Weiterleitung, Full Access, Send As oder Send on behalf ändern | Exchange-RBAC-Rolle Mail Recipients; andernfalls Exchange Administrator | Exchange Online RBAC | Verfügbar | Empfängerberechtigungen |
| Message Trace ausführen und exportieren | Exchange-RBAC-Rolle Message Tracking; andernfalls Exchange Administrator | Exchange Online RBAC | Verfügbar | Message Trace |
Einheitliche Audit-Erfassung prüfen oder aktivieren; Get-AdminAuditLogConfig / Set-AdminAuditLogConfig | Exchange-Online-Rolle Audit Logs zum Aktivieren oder Deaktivieren | Exchange Online PowerShell; Format-List ist lokal. | Pflichtprüfung für Business Standard; nicht rückwirkend. | Audit aktivieren |
Purview Audit durchsuchen und exportieren; Search-UnifiedAuditLog | Audit Reader mit View-Only Audit Logs-Rolle | Purview / Exchange RBAC | Audit Standard nach Aktivierung verfügbar | Audit Search |
| Enterprise Apps und Grants prüfen; verdächtige Grants widerrufen | Directory Readers zum Lesen; Cloud Application Administrator zum Widerrufen; Privileged Role Administrator bei Microsoft Graph-Anwendungsberechtigungen | Delegierte Grants lesen: Directory.Read.All; App-Rollenzuweisungen lesen: Application.Read.All. Widerruf je nach Typ mit DelegatedPermissionGrant.ReadWrite.All oder AppRoleAssignment.ReadWrite.All. | Grundfunktionen verfügbar; das Löschen eines Grants macht bestehende Zugriffstoken nicht sofort ungültig. | App-Berechtigungen Delegierte Grants lesen App-Rollenzuweisungen lesen |
| Defender XDR Incidents und Alerts untersuchen | Security Reader | Defender XDR RBAC | Zusatzlizenz je Workload | Incidents untersuchen |
| Threat Explorer verwenden und schädliche E-Mail bereinigen | Security Reader zum Lesen; Search and Purge-Rolle für Bereinigung | Microsoft Defender / Purview RBAC | Vollständige Funktionen benötigen Defender for Office 365 Plan 2 | E-Mail bereinigen |
| OneDrive- und SharePoint-Aktivität prüfen oder wiederherstellen | SharePoint Administrator | SharePoint Admin Center; Graph nur bei Automatisierung, dann passend begrenzte Sites-Berechtigung | Workloads verfügbar; erweiterte Auditdaten eingeschränkt | OneDrive wiederherstellen |
| Power Automate Flows und Aktivität prüfen oder zurücksetzen | Environment Admin; tenantweit Power Platform Administrator | Power Platform RBAC | Abhängig von Environment, Connectoren und Auditlizenz | Flow-Aktivität |
| Kennwort zurücksetzen | Portal: Password Administrator für unterstützte Benutzer ohne Administratorrolle. Graph-Änderung von passwordProfile: User Administrator für Nichtadministratoren. PAA deckt Administratorziele unter Beachtung der Rollenhierarchie ab. | Graph bei Automatisierung: User-PasswordProfile.ReadWrite.All | Cloud-Reset verfügbar; hybrides Writeback benötigt Zusatzlizenz | Kennwort zurücksetzen Kennwortänderung mit Graph |
| Authentifizierungsmethoden entfernen und MFA-Neuregistrierung verlangen | Authentication Administrator; für privilegierte Administratoren Privileged Authentication Administrator | API der gewählten Methode verwenden und prüfen, ob das Ziel der angemeldete oder ein anderer Benutzer ist. Für das Löschen einer Telefonmethode ist beispielsweise UserAuthMethod-Phone.ReadWrite dokumentiert. Die Neuregistrierung im Portal kombiniert mehrere Aktionen. | Grundfunktionen verfügbar | Methoden verwalten API für Telefonmethoden |
| Unberechtigte Entra Rollen oder Gruppenmitgliedschaften entfernen | Privileged Role Administrator für Rollen; User Administrator oder Gruppen-Owner für Gruppen | Graph: RoleManagement.ReadWrite.Directory beziehungsweise GroupMember.ReadWrite.All | Verfügbar; PIM benötigt P2 | Rollenzuweisungen |
| Restricted Sender-Sperre entfernen | Security Administrator oder Exchange-RBAC-Rolle Organization Management | Defender / Exchange RBAC | Verfügbar | Benutzer entsperren |
| Conditional Access Richtlinien lesen oder ändern | Conditional Access Administrator | Graph: Policy.Read.All oder Policy.ReadWrite.ConditionalAccess | P1-Zusatzlizenz; risikobasiert P2 | Conditional Access |
| Phishing-resistente Methoden und Authentifizierungsrichtlinien konfigurieren | Authentication Policy Administrator | Graph: Policy.ReadWrite.AuthenticationMethod | Methoden- und Lizenzumfang prüfen | Phishing-resistente MFA |
| Benutzerzustimmung und Admin Consent Workflow konfigurieren | Cloud Application Administrator | Graph: Policy.ReadWrite.Authorization | Grundkonfiguration verfügbar; Workflow- und Governance-Funktionen können Zusatzlizenz benötigen | Consent konfigurieren |
| Externe automatische Weiterleitung blockieren | Security Administrator oder Exchange-RBAC-Rolle Organization Management | Defender / Exchange RBAC | Verfügbar | Weiterleitung kontrollieren |
| Self-help Diagnostic „Compromised Account“ ausführen | Jede Microsoft 365-Administratorrolle | Keine dokumentierte Graph- oder Exchange-Berechtigung; Ausführung im Microsoft 365 Admin Center. | Optional; nicht in GCC High, DoD oder Microsoft 365 operated by 21Vianet verfügbar. | Diagnoserollen |
Global Administrator ist für diese SOP nicht die Standardlösung. Nutzen Sie getrennte, zeitlich begrenzte Rollen und dokumentieren Sie jede Aktivierung und Freigabe.
Offizielle Microsoft-Rollenübersicht
Ziel: Einen glaubwürdigen Hinweis schnell in einen formellen Incident umwandeln.
Abgeschlossen, wenn: Ein Incident Owner, Startzeit und betroffene Identität dokumentiert sind.
Verdächtige Anmeldung
Beispiel: Erfolgreiche Anmeldung aus einem unbekannten Land, die der Benutzer nicht erkennt.
Unerwartete MFA-Aktivität
Beispiel: Der Benutzer erhält MFA-Anfragen oder entdeckt eine neue Authentifizierungsmethode.
Unbekannte E-Mail-Aktivität
Beispiel: Nachrichten im Ordner Gesendet, neue Weiterleitung oder eine Regel zum Löschen von Antworten.
Unbekannte App
Beispiel: Eine Anwendung erhält Mail-, Datei- oder Verzeichniszugriff ohne bewusste Zustimmung.
Microsoft Alert
Beispiel: Risky user, impossible travel, atypical token oder restricted sender.
Externer Hinweis
Beispiel: Ein Kunde meldet Phishing oder eine geänderte Zahlungsanweisung vom Benutzerkonto.
Privilegiertes Konto, Finanzbetrug, mehrere Betroffene, Datenabfluss, unbekannte Tenant-weite Zustimmung oder ein kompromittiertes Endgerät.
Offizielle Microsoft-Anleitungen
Ziel: Bestätigen, ob die Aktivität bösartig ist und welche Systeme zuerst geprüft werden müssen.
Abgeschlossen, wenn: Aussage des Benutzers, Zeitraum, Kontotyp, Rollen und erste Angriffshypothese feststehen.
1. Den Benutzer unabhängig verifizieren
Nutzen Sie eine bekannte Telefonnummer, den Vorgesetzten oder den etablierten Helpdesk-Prozess. Verwenden Sie keine Kontaktdaten aus einer verdächtigen Nachricht.
Erkennen Sie die Anmeldung, das Gerät, die MFA-Anfrage, die gesendete Nachricht oder die App-Zustimmung?
Aussage des Benutzers, Interviewzeit in UTC und Name des Responders.
2. Risky users und Rollen prüfen
Microsoft Entra Admin Center > Entra ID > Protection > Identity Protection > Risky users
- Benutzer öffnen und Risk detections, Risk level und Risk state prüfen.
- Unter Entra ID > Roles and administrators nach aktiven privilegierten Zuweisungen suchen.
- Startzeit vor das früheste verdächtige Ereignis legen.
3. Beweise vor Änderungen sichern
- Originale CSV- oder JSON-Exporte unverändert speichern.
- Incident- und Alert-IDs sowie Untersuchungszeitraum in UTC notieren.
- Vor dem Löschen Screenshots von Regeln, Grants und Methoden erstellen.
Containment hat Vorrang. Dokumentieren Sie, welche Beweise wegen der Dringlichkeit erst danach gesichert wurden.
Offizielle Microsoft-Anleitungen
Ziel: Neue Anmeldungen blockieren und erneuerbare Sitzungen ungültig machen.
Abgeschlossen, wenn: Konto deaktiviert, Sitzungen widerrufen und Sonderfälle dokumentiert sind.
1. Konto deaktivieren und Sitzungen widerrufen
Entra ID > Users > All users > Benutzer > Account status > Edit > Account enabled deaktivieren > Save. Danach Overview > Revoke sessions.
- Mit einem separaten vertrauenswürdigen Administratorkonto arbeiten.
- Konto deaktivieren.
- Direkt danach alle Sitzungen widerrufen.
- UTC-Zeit und ausführenden Administrator notieren.
Neue Entra-Anmeldungen sind blockiert und Refresh Tokens wurden widerrufen.
Der Widerruf beendet nicht jeden Anwendungszugriff sofort. Zugriff kann bis zum Ablauf des aktuellen Tokens bestehen bleiben; Anwendungsverhalten und Continuous Access Evaluation beeinflussen die Dauer. Anwendungseigene Sitzungen können eine separate Deprovisionierung erfordern. Die betroffenen Dienste prüfen.
PowerShell Alternative anzeigen
Eingreifendes Beispiel für einen autorisierten Incident Responder. Kontosensibilität, delegierte Rollen und betriebliche Auswirkungen vorher prüfen. Bei synchronisierten oder externen Identitäten den oben beschriebenen Ablauf der zuständigen Identitätsquelle verwenden. Quellengeprüft, ohne Ausführung in einem Tenant.
# Cloud member users only. Run after incident authorization and evidence capture.
$ErrorActionPreference = 'Stop'
Import-Module Microsoft.Graph.Users
Import-Module Microsoft.Graph.Users.Actions
$tenantId = [guid](Read-Host 'Tenant ID (GUID)')
if ($tenantId -eq [guid]::Empty) { throw 'A tenant ID is required.' }
$targetUpn = (Read-Host 'Exact user principal name to disable').Trim()
if (-not $targetUpn) { throw 'A target user is required.' }
$connected = $false
try {
Connect-MgGraph -TenantId $tenantId -ContextScope Process -Scopes 'User.EnableDisableAccount.All','User.Read.All','User.RevokeSessions.All'
$connected = $true
if ([guid](Get-MgContext).TenantId -ne $tenantId) { throw 'Wrong tenant context.' }
$target = Get-MgUser -UserId $targetUpn -Property Id,UserPrincipalName,UserType,OnPremisesSyncEnabled,AccountEnabled
if (-not $target.Id -or $target.UserPrincipalName -ne $targetUpn -or $target.UserType -ne 'Member' -or $target.OnPremisesSyncEnabled) {
throw 'Stop: target mismatch, guest or synchronized account. Use the appropriate workflow.'
}
$target | Select-Object Id,UserPrincipalName,AccountEnabled
if ((Read-Host 'Confirm authorized action by typing the exact UPN again') -cne $target.UserPrincipalName) {
throw 'Confirmation did not match.'
}
Update-MgUser -UserId $target.Id -AccountEnabled:$false
$state = Get-MgUser -UserId $target.Id -Property AccountEnabled
if ($state.AccountEnabled -ne $false) { throw 'Disable was not verified. Escalate before continuing.' }
$revoked = Revoke-MgUserSignInSession -UserId $target.Id
if ($revoked -ne $true) { throw 'Account disabled, but session revocation was not confirmed. Keep it blocked and verify in the portal.' }
} finally {
if ($connected) { Disconnect-MgGraph }
}
# Record UTC time and action results in the incident. Existing app sessions may remain.Für einen Standardbenutzer: User Administrator. Für ein privilegiertes Administratorkonto: Privileged Authentication Administrator. Die delegierten Graph-Berechtigungen sind User.EnableDisableAccount.All, User.Read.All und User.RevokeSessions.All. Verwenden Sie den UPN direkt und trennen Sie die Rechte nach Möglichkeit auf zwei Operatoren oder zeitlich begrenzte Aktivierungen.
2. Sonderfälle korrekt behandeln
- Privilegierter Benutzer: Privileged Authentication Administrator oder ausreichend privilegierte Rolle einsetzen.
- Hybrid: Konto auch im lokalen Active Directory deaktivieren. Bei Pass-the-Hash-Risiko kann Microsoft zwei Kennwortresets empfehlen.
- Föderiert: Kennwort im führenden Identitätssystem zurücksetzen.
- Gast: Das Kennwort wird im Heimmandanten verwaltet.
Offizielle Microsoft-Anleitungen
Zeitlinie und Auswirkung ermitteln
Arbeiten Sie von der Identität nach außen. Entscheiden Sie zuerst, was die verdächtige Anmeldung bedeutet. Untersuchen Sie danach Persistenz, E-Mail, Anwendungen, Geräte und Daten.
Verdächtige Anmeldungen untersuchenSichern Sie das genaue Ereignis, vergleichen Sie interaktive und nicht interaktive Aktivität, prüfen Sie Authentifizierung und Conditional Access und kehren Sie mit einer dokumentierten Entscheidung zurück.Was ist zu tun?
Befehle für Postfachpersistenz
Inbox-Regeln einschließlich ausgeblendeter RegelnGet-InboxRule -Mailbox <UPN> -IncludeHidden |
Format-List Name,Enabled,Description,RedirectTo,ForwardTo,ForwardAsAttachmentTo,DeleteMessage,MoveToFolder,IdentityGet-Mailbox -Identity <UPN> |
Format-List ForwardingAddress,ForwardingSmtpAddress,DeliverToMailboxAndForwardGet-MailboxPermission <UPN> |
Where-Object {$_.AccessRights -like "Full*"} |
Format-Table User,Deny,IsInherited,AccessRights -Auto
Get-RecipientPermission -Identity <UPN>
Get-Mailbox -Identity <UPN> | Format-List GrantSendOnBehalfToConnect-ExchangeOnline. View-Only Recipients deckt Weiterleitungs- und Delegierungsabfragen ab, jedoch nicht Get-InboxRule. Verwenden Sie eine empfängerbezogene benutzerdefinierte Rolle mit nur dem benötigten Cmdlet. Prüfen Sie die Zuweisung mit Get-ManagementRole.Audit- und Auswirkungspfade
Microsoft Purview Portal → Lösungen → Überwachung → betroffener Benutzer und UTC-Zeitraum
Exchange Admin Center → Nachrichtenfluss → Nachrichtenablaufverfolgung → Absender ist das betroffene Postfach. Die Anleitung zur Nachrichtenablaufverfolgung erklärt Zeitfenster und Ergebnisse.
Entra ID → Benutzer → Alle Benutzer → Benutzer → Anwendungen, danach Entra ID → Unternehmensanwendungen → Alle Anwendungen → Anwendung → Berechtigungen
MailItemsAccessed: ein Sync-Ereignis kann bedeuten, dass der gesamte synchronisierte Ordner offengelegt wurde. Ein Bind-Ereignis kann einzelne Nachrichten über InternetMessageId identifizieren. Wenn sich die Offenlegung nicht eingrenzen lässt, nehmen Sie eine Offenlegung an und eskalieren Sie.
Abgeschlossen, wenn
- Die SOP für verdächtige Anmeldungen enthält eine Entscheidung und Originalexporte.
- Das erste und letzte verdächtige Ereignis sind identifiziert oder als unbekannt markiert.
- Einstiegsmethode und Persistenz sind identifiziert oder als ungeklärt dokumentiert.
- Betroffene Identitäten, Nachrichten, Dateien, Anwendungen, Geräte und externe Empfänger sind aufgelistet.
Ziel: Alle bekannten Zugriffswege entfernen und das Konto kontrolliert wieder freigeben.
Abgeschlossen, wenn: Kennwort, MFA, Rollen, Regeln, Grants und betroffene Daten bereinigt und validiert sind.
1. Kennwort und Authentifizierungsmethoden ersetzen
Entra ID > Users > All users > Benutzer > Reset password. Danach Authentication methods.
- Kennwort nach unabhängiger Benutzerverifikation zurücksetzen.
- Unbekannte Telefonnummern, Authenticator-Registrierungen, Passkeys und OATH-Methoden entfernen.
- Require re-register multifactor authentication ausführen.
- Sitzungen erneut widerrufen und alte App Passwords entfernen.
2. Persistenz entfernen
Für die Rückkehr zum Betrieb gilt die kontrollierte Reihenfolge unten. Prüfen Sie vorhandene Identity-Protection-Risikoeinträge nach der Bereinigung; das Verwerfen eines Risikos bereinigt keinen Zugriff. Fehlende Nachweise und die Restrisikoentscheidung des Incident Owners bleiben dokumentiert.
Offizielle Microsoft-Anleitungen
Bei einer einzelnen fehlenden oder überschriebenen Datei zuerst die Anleitung zur OneDrive-Dateiwiederherstellung verwenden. Vor einer umfassenden Wiederherstellung Eigentümer, verfügbare Historie und laufenden Schaden prüfen; auch spätere berechtigte Änderungen können rückgängig werden.
Kontrollierte Rückkehr zum Betrieb
- Beweise sichern, Kennwort und MFA bereinigen, Persistenz entfernen und das vertrauenswürdige Gerät prüfen, während das Konto gesperrt bleibt.
- Der Incident Owner genehmigt eine kontrollierte Freigabe. Administrator und UTC-Zeit dokumentieren; eine erneute Sperre muss möglich bleiben.
- Vom vertrauenswürdigen Gerät Anmeldung, erforderliche MFA und gegebenenfalls konfigurierte Conditional-Access-Kontrollen testen. Betroffene Dienste prüfen und interaktive sowie nicht interaktive Aktivität überwachen.
- Bei erneutem unerklärtem Zugriff oder wiederkehrender Persistenz das Konto sperren, Sitzungen widerrufen und die Untersuchung fortsetzen. Eine Restricted-Sender-Sperre erst nach Absicherung des Kontos aufheben.
Ziel: Erkenntnisse in konkrete Tenant-Kontrollen umwandeln.
Abgeschlossen, wenn: Verbesserungen Owner, Frist, Testplan und messbares Ergebnis haben.
Phishing-resistente MFA
Mit Administratoren und wertvollen Konten beginnen. Mindestens zwei nutzbare Methoden für Wiederherstellung sicherstellen.
Risk-based Conditional Access
User risk und sign-in risk in getrennten Richtlinien behandeln. Änderungen zuerst im Report-only Modus prüfen.
Legacy Authentication blockieren
Alle Benutzer und Ressourcen abdecken, Notfallkonten kontrolliert ausnehmen und Ergebnisse überwachen.
Consent einschränken
Verifizierte Publisher und ausgewählte risikoarme Berechtigungen zulassen. Admin Consent Workflow verwenden.
Weiterleitung begrenzen
Automatische externe Weiterleitung standardmäßig blockieren und nur dokumentierte Ausnahmen erlauben.
Erkennung verbessern
Alerts für Regeln, Consent, Authentifizierungsmethoden, Rollen und ungewöhnliche Token-Aktivität testen.
Ziel: Eine andere Fachkraft muss Entscheidungen und Zeitlinie ohne mündliche Erklärung nachvollziehen können.
Abgeschlossen, wenn: Originalexporte, UTC-Zeitlinie, Aktionen, Freigaben und Ergebnis sicher gespeichert sind.
Mindestens sichern
- Incident- und Alert-IDs
- Benutzerstatement und Bestätigungsweg
- Interaktive und nicht interaktive Sign-in Exporte
- Purview Audit und Message Trace Exporte
- Vorher- und Nachher-Zustand von Regeln, Grants, Rollen und Methoden
- Alle Containment- und Remediation-Aktionen mit UTC-Zeit, Owner und Freigabe
- Liste betroffener Identitäten, Nachrichten, Dateien, Apps und externer Empfänger
Kopierbare Evidenzvorlage
Incident ID: UTC date and time: Responder and role: Affected UPN and object ID: Evidence source: Reviewed time range: Export filename: Collection method: Collected at UTC / by: Storage location: Observation: Action taken: Owner / approver: Before and after state: Related Microsoft alert or incident:
Speichern Sie keine Benutzernamen, Tenant-Daten oder Beweise in dieser öffentlichen Webseite. Die Häkchen bleiben nur in der aktuellen Browser-Sitzung.
Offizielle Microsoft-Anleitungen
Ziel: Jede Entscheidung hat einen Owner und jeder Risikofall einen klaren Eskalationsweg.
Abgeschlossen, wenn: Incident Owner den Abschluss freigibt und Folgeaufgaben zugewiesen sind.
Incident Commander / Security
Zeitlinie, Umfang, Entscheidungen, Koordination und Abschluss.
Identity
Konto, Sitzungen, Kennwort, MFA, Rollen, Conditional Access und Risiko.
Exchange
Regeln, Weiterleitung, Delegierung, Message Trace und Restricted Sender.
App / Cloud Security
OAuth, Enterprise Apps, Consent und Tenant-weite Grants.
Endpoint und Workload Owner
Geräte, OneDrive, SharePoint, Teams und Power Automate.
Legal / Privacy / Business
Datenexposition, Meldepflicht, Betrug und externe Kommunikation.
Privilegierte oder Notfallidentität, BEC oder Zahlungsumleitung, mehrere Benutzer, Tenant-weite Zustimmung, möglicher Datenabfluss, kompromittiertes Gerät oder regulierte Daten.
Abschlusskriterien
Dokumentkontrolle
- Owner
- CODWEBPRO Team
- Geltungsbereich
- Microsoft Entra ID, Exchange Online und verbundene Microsoft 365 Workloads
- Quellenprüfung und Teststatus
- Siehe die aktuellen Dokumentdetails am Anfang dieser Anleitung.
- Nächste Prüfung
- Bei relevanter Microsoft-Änderung oder spätestens quartalsweise