Privilegierte Rollen in Microsoft 365

In jedem Microsoft-365-Tenant gibt es einige wenige Konten, die praktisch alles dürfen – allen voran der Global Administrator. Genau diese privilegierten Rollen sind das lohnendste Ziel eines Angreifers: Wer sie übernimmt, kontrolliert MFA-Einstellungen, Anmelderichtlinien, Postfächer und App-Zustimmungen im ganzen Tenant. Dieser Leitfaden zeigt, wie MSPs privilegierte Rollen nach dem Prinzip der geringsten Rechte absichern.

Warum privilegierte Rollen das Hauptziel sind

Ein normales Nutzerkonto gibt einem Angreifer ein Postfach. Ein Global-Admin-Konto gibt ihm den ganzen Tenant: Er kann MFA für andere zurücksetzen, Conditional-Access-Richtlinien abschalten, sich selbst Rechte über Apps verschaffen und Spuren verwischen. Deshalb gilt: Je weniger dauerhaft privilegierte Konten existieren, desto kleiner die Angriffsfläche – und desto weniger Konten müssen wirklich lückenlos überwacht werden.

Least Privilege: Anzahl der Global Admins begrenzen

Der wichtigste Hebel ist der einfachste: so wenige globale Administratoren wie möglich. Microsoft empfiehlt, die Zahl bewusst klein zu halten und für Alltagsaufgaben stattdessen rollenspezifische Administratoren zu vergeben – etwa nur die Exchange- oder die Helpdesk-Rolle statt gleich Global Admin. Zwei Grundsätze:

• Minimalprinzip: Jede Person bekommt nur die Rolle, die sie für ihre Aufgabe wirklich braucht – nicht die bequemste.
• Getrennte Konten: Administrative Tätigkeit läuft über ein eigenes Admin-Konto, nicht über das Postfach, mit dem täglich Mails gelesen werden.

Break-Glass-Konten als Notfallzugang

Wer MFA und Conditional Access streng erzwingt, braucht einen bewusst ausgenommenen Notfallzugang (Break-Glass-Konto) – damit eine fehlerhafte Richtlinie oder ein MFA-Ausfall nicht alle aussperrt. Ein solches Konto ist hoch privilegiert und wird deshalb besonders eng geführt: ein sehr langes, offline hinterlegtes Passwort, keine Alltagsnutzung und ein Alarm bei jeder Anmeldung. Warum genau dieses eine Konto von MFA ausgenommen wird, vertieft der Leitfaden MFA in Microsoft 365 erzwingen.

Just-in-Time mit PIM (Entra ID P2)

Am wirksamsten wird Least Privilege, wenn privilegierte Rollen gar nicht mehr dauerhaft aktiv sind. Genau das leistet Privileged Identity Management (PIM): Eine Rolle wird nur auf Anforderung und zeitlich begrenzt aktiviert – optional mit Genehmigung, Begründung und zusätzlicher MFA. Zwischen den Einsätzen ist das Konto ein normaler Nutzer, und es gibt schlicht keinen dauerhaft übernehmbaren Global Admin.

Ehrlich eingeordnet: PIM setzt Entra ID P2 voraus (früher Azure AD Premium P2). Ohne diese Lizenz bleibt Just-in-Time-Zugriff nicht verfügbar – dann zählen umso mehr die Basismaßnahmen: wenige Global Admins, getrennte Admin-Konten und ein sauberes Break-Glass-Konto. Verkaufe einem Kunden also keine PIM-Strategie, ohne die Lizenzfrage vorher zu klären.

Rollenänderungen laufend überwachen

Least Privilege ist kein Zustand, sondern ein Prozess: Rollen werden im Alltag zugewiesen, vergessen und selten wieder entzogen. Deshalb gehört jede neue Zuweisung einer privilegierten Rolle überwacht – vor allem, wenn sie außerhalb eines geplanten Change-Fensters passiert. Eine plötzlich vergebene Global-Admin-Rolle ist eines der stärksten Signale für eine laufende Kontoübernahme. Das Entra-Überwachungsprotokoll (Audit-Log) hält solche Änderungen fest; die Kunst ist, sie über viele Mandanten hinweg nicht zu übersehen.

Wie TenantSecure privilegierte Rollen prüft

TenantSecure betrachtet privilegierte Rollen von zwei Seiten. Im Härtungs-Score jedes Mandanten fließt ein, ob die Verteilung privilegierter Rollen kontrolliert ist – also ob die Anzahl der Global Admins im vernünftigen Rahmen bleibt und ob ein sauber konfiguriertes Break-Glass-Konto existiert. So siehst du über dein ganzes Portfolio, welche Kunden zu viele Vollzugriffe verteilt haben, statt jeden Tenant einzeln durchzuklicken.

Zusätzlich erkennt TenantSecure neue Admin-Rollen-Zuweisungen als verdächtige Aktivität – eine frisch vergebene privilegierte Rolle taucht im Aktivitäts-Feed auf, nicht erst im nächsten Quartals-Audit. Wie der Score im Detail entsteht, steht in der Doku zu Härtung und Score. Der Zusammenhang mit einer portfolioweiten Baseline und dem wiederkehrenden Prüfprozess steht im Leitfaden zur Sicherheits-Baseline über alle Kunden und im Microsoft-365-Security-Audit für MSPs.

Für dein eigenes Team gilt derselbe Least-Privilege-Gedanke: TenantSecure kennt abgestufte Rollen – Owner steuert Abo und Partner-Einstellungen, Admin arbeitet operativ in den Mandanten, und Readonly (Nur-Lesen) sieht alles, ohne etwas zu verändern. So bekommt auch intern niemand mehr Rechte als nötig.

Mit TenantSecure

Wenige, gut überwachte privilegierte Konten sind die halbe Miete der Tenant-Sicherheit. TenantSecure macht die Global-Admin-Anzahl und den Break-Glass-Status im Härtungs-Score sichtbar und meldet neue Rollen-Zuweisungen sofort – über alle Mandanten in einer Ansicht. Sieh dir an, wie das aussieht: die Live-Demo ansehen. Ist eine privilegierte Rolle bereits missbraucht worden, hilft der Leitfaden Microsoft 365 kompromittiert – was tun?