Notfallaccounts überwachen und absichern MFA-Pflicht für Break Glas-Accounts in Azure und Microsoft 365

Um sicherzustellen, dass ein Unternehmen selbst keinen Zugriff auf Microsoft 365 oder Azure verliert, gibt es Break Glas-Accounts. Diese lassen sich auch mit MFA absichern, was seit Juli 2024 Pflicht in Azure ist. Allerdings gilt hier besondere Vorsicht walten zu lassen, um sich nicht selbst aus der Cloud auszusperren.

Beim Einsatz von Azure und Microsoft 365 ist die Einrichtung vo Notfallaccounts, sogenannter "Break Glass"-Accounts eine wichtige Maßnahme zur Gewährleistung der kontinuierlichen Administrationsfähigkeit, auch in Notfällen. Diese speziellen, hoch privilegierten Konten dienen dazu, im Falle eines Verlusts des Zugangs zu regulären Administrator-Accounts, etwa durch Fehlkonfigurationen oder Cyberangriffe, weiterhin kritische Systemzugriffe sicherzustellen. Break Glass-Accounts sollten nicht dem normalen Authentifizierungs- oder Multifaktor-Authentifizierungs­prozess unterliegen, um sicherzustellen, dass sie im Notfall sofort verfügbar sind. Gleichzeitig müssen diese Accounts streng überwacht und nur in Ausnahmefällen verwendet werden, um Missbrauch zu verhindern.

Bildergalerie

Bildergalerie mit 5 Bildern

Video-Tipp #58: Break Glass Account in Microsoft 365

Notfallzugriff für Microsoft 365 einrichten

Wir haben uns bereits in einem eigenen Beitrag mit dem Thema auseinandergesetzt. In einem Video zu dem Thema zeigen wir ebenfalls die Möglichkeiten eines Break Glas-Kontos.

Microsoft hat seit Juli 2024 MFA-Pflicht eingeführt und bis Ende 2024 sollten alle Unternehmen spätestens ihre Break Glas-Accounts auf MFA umgestellt haben. Im folgenden Beitrag gehen wir darauf ein, was dabei wichtig ist.

Benachrichtigung aktivieren bei Break Glas-Accounts

Break Glas-Accounts sollten nur in Ausnahmen zum Einsatz kommen, zum Beispiel wenn es keine Möglichkeit mehr gibt sich mit herkömmlich Admin-Konten zu verbinden. Aus diesem Grund ist es auch sinnvoll Benachrichtigungen zu konfigurieren, die automatisch auslösen, wenn das Konto zum Einsatz kommt. Das kann Missbrauch deutlich eindämmen. Für die Überwachung kopiert man zunächst den Anmeldenamen des entsprechenden Nutzerkontos im Microsoft 365 Admin Center, zum Beispiel bei „Benutzer -> Aktive Benutzer“. Das Break Glas-Konto braucht keinerlei Lizenzen, da es sich nur anmelden muss, um im Notfall wieder Zugang zur Umgebung zu erhalten.

Benachrichtigungen für Break Glas-Accounts lassen sich nur umsetzen, wenn ein Entra ID P1- oder P2-Abonnement vorliegt. Für die Überwachung wird in Azure ein Log Analytics Workspace benötigt. Die weitere Einrichtung findet danach im Azure-Portal (portal.azure.com) über „Microsoft Entra ID“ und der Auswahl von „Diagnoseeinsteellungen“ bei „Überwachung“ statt. Wenn ein Log-Analytics-Arbeitsbereich vorliegt, lassen sich die im Fenster angezeigten Informationen mit dem Link „Diagnoseeinstellung hinzufügen“. Im neuen Fenster sollten bei „Protokolle“ alle Protokolle aktiviert sein und bei „Zieldetails“ die Option „An Log Analytics-Arbeitsbereich senden“.

Im Anschluss können im ausgewählten Log-Analytics-Arbeitsbereich bei „Überwachung“ Alarme eingerichtet werden. Dazu wird der Anmeldenamen des Break Glas-Accounts benötigt, der in die Abfrage der Protokolle durch den Alarm abgefragt wird. Sobald dann in den Protokollen der Anmeldename des Brea Glas-Accounts auftaucht.

Bildergalerie

Bildergalerie mit 5 Bildern

Microsoft Entra Privileged Identity Management

Admin-Konten in Azure, Entra ID und Microsoft 365 schützen

Macht MFA mit dem Break Glas-Account Sinn?

Wenn der Break Glas-Account in Azure/Microsoft 365 nicht über MFA abgesichert ist, besteht durchaus die Gefahr, dass Angreifer das Konto leichter kapern können. Auf der anderen Seite besteht aber die Gefahr, dass kein Zugang zu Azure/Microsoft 365 aufgebaut werden kann, weil MFA nicht funktioniert, falsch konfiguriert ist, oder die Dienste und Zugänge zu MFA Probleme haben.

Microsoft verlangt jetzt auch bei Break Glas-Accounts MFA. Aus diesem Grund müssen auch diese Konten mit MFA abgesichert werden.

FIDO2-Keys sind ideal für Break Glas-Accounts in Azure und Microsoft 365

Sinnvoll ist die Verwendung von FIDO2-Keys in den Authentifizierungsmethoden. Dadurch lassen sich die Break Glas-Accounts mit MFA absichern, ohne komplett auf Clouddienste oder Apps angewiesen zu sein. FIDO-Keys (Fast Identity Online) bieten eine starke und phishing-resistente Multifaktor-Authentifizierung (MFA) für Azure und Microsoft 365. Im Gegensatz zu herkömmlichen MFA-Methoden wie SMS oder Authenticator-Apps, die anfällig für verschiedene Angriffsvektoren sind, basieren FIDO-Keys auf hardwarebasierter Authentifizierung.

Diese Schlüssel speichern kryptografische Schlüssel lokal auf einem physischen Gerät, etwa einem USB- oder NFC-Token, was bedeutet, dass Angreifer keinen direkten Zugang zu den Anmeldeinformationen erhalten können. Für Unternehmen, die Azure und Microsoft 365 einsetzen, bieten FIDO-Keys eine sichere Möglichkeit, den Zugang zu sensiblen Cloud-Diensten zu schützen sowie den Schutz von Break-Glas-Accounts zu gewährleisten. Die Einrichtung in Entra ID ermöglicht eine einfache Verwaltung.

Bildergalerie

Bildergalerie mit 5 Bildern

Phishing-Angriffe minimieren und Benutzeranmeldungen schützen

Kennwortlose Authentifizierung in Entra ID/Azure AD

Die Einrichtung von MFA für das Break Glas-Konto erfolgt über die Seite https://aka.ms/mfasetup. Hier erfolgt die Einrichtung von mindestens zwei FIDO-Keys sowie des notwendigen PINs. Die PINs sollten natürlich notiert werden. Da MFA in Azure und Microsoft 365 unumgänglich ist, macht der Einsatz eines Hardware-Keys durchaus Sinn. Der Schlüssel kann in einem Safe eingeschlossen werden. Der Einsatz von zwei Schlüsseln ist sinnvoll, um den Ausfall eines Schlüssels abzufangen.

Die Verwendung von FIDO2-Keys für die Absicherung von Break Glass-Accounts ist besonders ideal, da diese Authentifizierungsmethode ein hohes Maß an Sicherheit und Verfügbarkeit bietet. Break Glass-Accounts müssen in Krisensituationen sofort und zuverlässig zugänglich sein, ohne dabei Kompromisse bei der Sicherheit einzugehen. FIDO2-Keys sind hardwarebasiert und widerstehen gängigen Angriffsmethoden wie Phishing oder Man-in-the-Middle-Angriffen, da sie keine wiederverwendbaren Anmeldeinformationen übertragen. Gleichzeitig bieten sie eine einfache, schnelle und sichere Authentifizierung, die unabhängig von externen Faktoren wie der Erreichbarkeit von Mobilfunknetzen funktioniert. Dadurch sind FIDO2-Keys für Break Glass-Accounts eine optimale Wahl, da sie die notwendige Sicherheit und Verfügbarkeit in kritischen Momenten garantieren.

Bildergalerie

Bildergalerie mit 5 Bildern

MFA schützt nicht vor Tycoon 2FA mit PaaS-Ansatz

Gezielte Phishing-Angriffe auf Gmail und Microsoft 365

Zertifikatsbasierte Authentifizierung als Alternative zu FIDO2-Keys

Zertifikatsbasierte Authentifizierung (CBA) stellt eine alternative Lösung zur Verwendung von Hardware-FIDO2-Keys dar, insbesondere in Umgebungen, in denen physische Geräte unpraktisch oder schwer zu verwalten sind. Bei CBA werden digitale Zertifikate verwendet, die auf dem Client-Gerät oder einer Smartcard gespeichert sind, um eine sichere Authentifizierung zu ermöglichen. Der Vorteil dieser Methode liegt in der bereits weit verbreiteten Infrastruktur, da viele Unternehmen ohnehin ein Public Key Infrastructure (PKI)-System zur Verwaltung von Zertifikaten einsetzen. Zudem sind keine zusätzlichen Hardware-Keys erforderlich, was die Verwaltung vereinfachen kann.

Auf der anderen Seite birgt die zertifikatsbasierte Authentifizierung einige Risiken. Zertifikate können ablaufen, kompromittiert oder gestohlen werden, insbesondere wenn sie auf lokalen Geräten gespeichert sind. Zudem erfordert die Verwaltung einer PKI-Lösung erhebliche personelle und technische Ressourcen, um sicherzustellen, dass Zertifikate stets aktuell und sicher sind. Im Vergleich zu FIDO2-Keys, die eine physische Komponente für erhöhte Sicherheit bieten, kann CBA anfälliger für Missbrauch sein, vor allem, wenn Geräte oder Zertifikate kompromittiert werden.

Bildergalerie

Bildergalerie mit 5 Bildern

Rollenverwaltung im Entra Admin Center

Benutzerkonten in Entra ID und Microsoft 365 verwalten und schützen

(ID:50218135)