Was tun, wenn ein Office 365-Konto kompromittiert ist?

Der Zugriff auf Office365 wird durch einen Benutzerprinzipalnamen (UPN) und ein Passwort gesteuert. Mit diesen Anmeldeinformationen erhalten reguläre Benutzer Zugriff auf Office 365-Dienste, einschließlich Exchange, SharePoint, OneDrive, Teams und mehr.

Benutzeranmeldeinformationen können über Azure Active Directory oder einen lokalen Active Directory-Domänencontroller festgelegt werden, wenn Sie ein Hybrid-Setup verwenden. In jedem Fall besteht die Gefahr, dass ein Angreifer großen Schaden anrichtet, wenn er Zugriff auf eines Ihrer Benutzerkonten erhält, selbst wenn das Konto über eingeschränkte Berechtigungen verfügt. Aus diesem Grund ist es von entscheidender Bedeutung, dass Sie wissen, wie Sie die Warnsignale dafür erkennen, dass eines Ihrer O365-Konten kompromittiert wurde.

Anzeichen für kompromittierte Office 365-Konten

In den meisten Fällen versuchen Angreifer, Zugriff auf das E-Mail-Konto eines Benutzers zu erhalten, das sie für verschiedene schändliche Aktivitäten nutzen. Nachfolgend finden Sie einige Beispiele für verdächtige Aktivitäten, auf die wir achten können, um festzustellen, ob ein Konto kompromittiert wurde.

E-Mails sind auf verdächtige Weise verschwunden.
E-Mails, die von einem Benutzer empfangen wurden, sind nicht im Ordner „Gesendete Objekte“ des Absenders vorhanden.
Der Ordner „Gesendete oder gelöschte Elemente“ eines Benutzers enthält Nachrichten, die Sie normalerweise mit Phishing-Betrug in Verbindung bringen würden, und enthalten häufig Wörter, die ein Gefühl der Dringlichkeit vermitteln.
Verdächtige E-Mail-Weiterleitungsregeln, beispielsweise solche, die E-Mails automatisch an eine unbekannte Adresse oder den Junk-E-Mail-Ordner weiterleiten oder an einen verdächtigen Speicherort kopieren.
Ein E-Mail-Konto ist für den Versand von E-Mails gesperrt.
Verdächtige Änderungen am Profil eines Benutzers, einschließlich mehrfacher Passwortänderungen sowie Änderungen an seinem Namen und seinen Kontaktdaten.
Verdächtige Signaturänderungen, die darauf hindeuten könnten, dass das Konto dazu verwendet wird, sich als Führungskraft oder eine andere vertrauenswürdige Autorität auszugeben.

Was sollten Sie tun, wenn eines Ihrer Office 365-Konten kompromittiert ist?

Setzen Sie die relevanten Passwörter zurück

Der globale Administrator muss sich beim Microsoft 365 Admin Center anmelden und alle relevanten Kennwörter zurücksetzen. Wenn es so aussieht, als ob mehrere Konten kompromittiert wurden, müssen Sie möglicherweise einen globalen Reset durchführen. Stellen Sie sicher, dass Sie über eine sichere Passwortrichtlinie verfügen und nutzen Sie nach Möglichkeit die Multi-Faktor-Authentifizierung. Es kann auch sinnvoll sein, Passwörter regelmäßig zu wechseln, wozu auch die Einführung einer Lösung gehört, die automatische Erinnerungen beim Ablaufen von Passwörtern ermöglicht.

Deaktivieren Sie die E-Mail-Weiterleitung

Der globale Administrator muss sich beim Exchange Online Admin Center anmelden und die E-Mail-Weiterleitung für die entsprechenden Postfächer deaktivieren. Gehen Sie dazu zu Empfänger > Postfächer und doppelklicken Sie auf das entsprechende Postfach. Sie können dann auf Mailbox-Funktionen > Zustellungsoptionen > Details anzeigen klicken und die Weiterleitung für dieses Konto deaktivieren. Alternativ können Sie die E-Mail-Weiterleitung über PowerShell entfernen.

Suchen Sie nach verdächtigen Posteingangsregeln

Angreifer versuchen oft, ihre Spuren zu verwischen, wenn sie böswillige Aktivitäten im Zusammenhang mit manipulierten E-Mail-Konten durchführen. Dazu gehört oft die Einrichtung von Regeln zum Löschen neuer Nachrichten, wodurch es für den rechtmäßigen Besitzer des Kontos schwieriger wird, herauszufinden, ob sein Konto kompromittiert wurde. Der globale Administrator kann eine Liste dieser Regeln im Abschnitt Regeln und Warnungen verwalten in Outlook überprüfen und alle Regeln löschen, die verdächtig erscheinen. Wie immer können Sie Regeln und Warnungen über PowerShell verwalten.

Aktivieren Sie die Multi-Faktor-Authentifizierung

Wie bereits erwähnt, ist es eine gute Idee, nicht nur sicherzustellen, dass Sie über eine sichere Passwortrichtlinie verfügen, sondern auch die Multi-Faktor-Authentifizierung (MFA) zu implementieren, die ein zusätzliches Maß an Sicherheit bietet. MFA in Office365 erfolgt über Azure Active Directory und bietet Ihnen mehrere Optionen zur Auswahl. Sie können einen Anruf, eine SMS oder eine E-Mail erhalten, in der Sie um die Bestätigung Ihrer Identität gebeten werden. Die empfohlene Option ist jedoch die Verwendung der Microsoft Authenticator-App, die Sie auffordert, die Authentifizierungsanfrage entweder zu genehmigen oder abzulehnen. Klicken Sie hier für weitere Informationen zum Einrichten der Multi-Faktor-Authentifizierung in Office365.

Aktivieren Sie die Postfachüberwachung

Ab Januar 2019 ist die Postfachüberwachung in Office 365 standardmäßig aktiviert. Dies ist jedoch möglicherweise nicht der Fall für Konten, die vor diesem Datum eingerichtet wurden. In diesem Fall müssen Sie PowerShell verwenden, um die Überwachung für alle Postfachkonten zu aktivieren. Weitere Informationen zum Aktivieren der nativen Postfachüberwachung in Office 365 mithilfe von PowerShell.

Es ist nichts wert, dass es auch Lösungen von Drittanbietern gibt, die eine Echtzeitprüfung von Office 365-Postfächern ermöglichen. Einer der vielen Vorteile der Einführung einer Drittanbieterlösung besteht darin, dass sie Ereignisdaten von mehreren Plattformen - sowohl vor Ort als auch „in der Cloud“ - aggregieren und korrelieren und eine Zusammenfassung dieser Ereignisse über ein intuitives Dashboard anzeigen können. Sie bieten außerdem Tools zur Datenerkennung und -klassifizierung, Schwellenwertwarnungen, die Verwaltung inaktiver Benutzerkonten und automatische Erinnerungen beim Ablaufen von Passwörtern. Die meisten hochentwickelten Lösungen von Drittanbietern verwenden Algorithmen für maschinelles Lernen zur erweiterten Anomalieerkennung und können Echtzeitwarnungen an Ihre E-Mail-Adresse oder Ihr Mobiltelefon senden.

„Schwellenwertalarmierung“ einrichten

Wie oben kurz erwähnt, können Sie mit einigen Echtzeit-Überwachungslösungen Ereignisse erkennen und darauf reagieren, die einer vordefinierten Schwellenwertbedingung entsprechen - eine Technik, die als „Schwellenwertwarnung“ bezeichnet wird. Dies kann sehr nützlich sein, um bestimmte Anomalien zu identifizieren, beispielsweise wenn ein Benutzer mehrmals versucht (und fehlschlägt), sich bei seinem Konto anzumelden, oder wenn er sein Passwort innerhalb kurzer Zeit mehrmals ändert. Wenn die Schwellenwertbedingung erfüllt ist, kann ein benutzerdefiniertes Skript ausgeführt werden, das ein Benutzerkonto deaktivieren, einen bestimmten Prozess stoppen, die Postfacheinstellungen ändern oder in einigen Fällen den betroffenen Server herunterfahren kann.

Verwenden Sie Defender für Office 365 (ehemals Advanced Threat Protection)

Microsoft Defender für Office 365 ist ein E-Mail-Filterdienst, der dazu beiträgt, Ihr Unternehmen vor verschiedenen Formen von Malware und Viren zu schützen. Es ist in den Plänen Office 365 Enterprise E5 und Microsoft 365 Business Premium enthalten und kann zu mehreren anderen Office 365-Abonnementplänen hinzugefügt werden. Defender bietet die folgenden Funktionen:

Sichere Anhänge - Überprüft alle E-Mail-Anhänge, die in Ihrem Posteingang eingehen, um sicherzustellen, dass sie nicht schädlich sind.
Sichere Links - Bietet die Überprüfung von Website-Adressen zum Zeitpunkt des Klicks sowohl in E-Mail-Nachrichten als auch in Office-Dokumenten.
Spoof Intelligence - Ermöglicht Ihnen die Einrichtung von Spoof-Filtern, die den Unterschied zwischen legitimer und böswilliger Aktivität feststellen können.
Anti-Phishing - Verwendet Modelle des maschinellen Lernens, um potenzielle Phishing-Angriffe zu identifizieren.

Abschluss

Defender bietet jetzt außerdem Echtzeitwarnungen, SIEM-Integration, Schutz vor Benutzer- und Domänenidentitätsbetrug und mehr. Weitere Informationen zu den neuesten Funktionen von Microsoft Defender für Office 365 finden Sie auf der Website von Microsoft. Wenn Sie alternativ sehen möchten, wie die Lepide Data Security Platform Ihnen dabei helfen kann, Ihre Office 365-Konten zu schützen, vereinbaren Sie eine Demo mit einem unserer Mitarbeiter Ingenieure oder starten Sie noch heute Ihre kostenlose Testversion.