Microsoft 365 kompromittiert – was tun?

Ein Kunde meldet seltsame Mails, ein Anmeldealarm schlägt an, oder Kontakte erhalten Phishing aus einem eurer Postfächer: Ein Microsoft-365-Konto ist offenbar kompromittiert. Jetzt zählt die richtige Reihenfolge – falsch sortiert, und der Angreifer bleibt trotz Passwortwechsel drin. Dieser Leitfaden ist die Sofort-Checkliste für die Kontoübernahme in Microsoft 365.

Zuerst: Angreifer aussperren, in der richtigen Reihenfolge

Der häufigste Fehler ist, nur das Passwort zu ändern. Ein aktives Sitzungstoken und eine erteilte App-Zustimmung überleben den Passwortwechsel – der Zugriff läuft weiter. Deshalb gilt diese Reihenfolge:

• 1. Sitzungen widerrufen: Alle aktiven Tokens des Kontos ungültig machen (Revoke Sign-in Sessions), damit bestehende Zugriffe sofort abreißen.
• 2. Passwort zurücksetzen: erst nach dem Widerruf, sonst meldet sich der Angreifer über die noch offene Sitzung neu an.
• 3. MFA-Methoden prüfen: Hat der Angreifer eine eigene Authenticator-App oder Telefonnummer hinterlegt? Solche manipulierten Methoden entfernen und MFA neu registrieren lassen.

Dann: Persistenz-Mechanismen entfernen

Ein routinierter Angreifer sorgt vor, um auch nach dem Aussperren weiterzulesen. Diese vier Punkte gehören ausnahmslos geprüft:

• Weiterleitungs- und Inbox-Regeln: Der Klassiker nach einer Übernahme ist eine stille Regel, die Mails an eine externe Adresse weiterleitet. Wie du sie findest und stoppst, zeigt der Leitfaden zu Mail-Weiterleitungsregeln erkennen & stoppen.
• App-Zustimmungen (OAuth): Kürzlich erteilte App-Berechtigungen entziehen – ein OAuth-Token ist eine Hintertür, die kein Passwortwechsel schließt. Siehe riskante OAuth-Apps finden und entfernen.
• Postfach-Weiterleitung: Zusätzlich zur Inbox-Regel auf Postfachebene konfigurierte Weiterleitung prüfen und deaktivieren.
• Delegierte Zugriffe: neu vergebene Postfach-Berechtigungen oder Stellvertreter kontrollieren.

Danach: Audit-Log prüfen und Umfang klären

Bevor du aufräumst, sichere die Spuren. Das Entra-Anmeldeprotokoll zeigt, von wo und wie zugegriffen wurde; das Überwachungsprotokoll (Audit-Log) zeigt, was verändert wurde – neue Regeln, erteilte Zustimmungen, geänderte MFA-Methoden. Kläre dabei drei Fragen: Seit wann besteht der Zugriff? Wurde von diesem Konto aus intern weiter-phisht? Sind weitere Konten betroffen? Erst mit dieser Antwort kennst du den echten Umfang des Vorfalls.

Nachbereitung: aus dem Vorfall härten

Ein bereinigtes Konto ist nicht das Ende. Damit derselbe Weg nicht erneut offensteht:

• MFA erzwingen, falls das Konto keines hatte – die naheliegendste Lehre. Siehe MFA in Microsoft 365 erzwingen.
• Legacy-Authentifizierung blockieren, damit MFA nicht über alte Protokolle umgangen wird.
• Nutzer-Zustimmung einschränken, damit nicht der nächste Klick die nächste Consent-Hintertür öffnet.
• Vorfall dokumentieren – Zeitpunkt, betroffene Konten, Maßnahmen. Das ist zugleich der Beleg für die Behandlung von Vorfällen in eurer NIS2-Dokumentation.

Wie TenantSecure hilft – vor und im Vorfall

Am besten bemerkst du eine Übernahme, bevor der Kunde sie meldet. TenantSecure erkennt verdächtige Anmeldungen und neue Weiterleitungsregeln alle 5 Minuten – über alle Mandanten hinweg und ausschließlich anhand von Metadaten, nie anhand von Nachrichteninhalten. Und im Ernstfall lässt sich direkt aus dem Cockpit reagieren: Sitzungen widerrufen, eine Weiterleitungsregel entfernen oder eine App-Zustimmung entziehen – als One-Click-Remediation, ohne pro Tenant ins Portal zu wechseln.

Mit TenantSecure

Kontoübernahmen früh erkennen und mit einem Klick stoppen, statt sie mühsam pro Portal aufzuräumen – über dein ganzes Portfolio. Sieh dir an, wie das aussieht: die Live-Demo ansehen. Wie du einem nächsten Vorfall systematisch vorbeugst, zeigt der Microsoft-365-Security-Audit für MSPs.