Credential Theft in Microsoft-365-Umgebungen erkennen und darauf reagieren

Immer mehr Unternehmen und Betriebe setzen für ihre Produktivität auf Cloud-Plattformen. Mit der weiten Verbreitung der Cloud rücken diese Plattformen aber auch stärker ins Visier von Cyberangreifern. Ein häufiges Mittel dabei: Credential Theft, also der Diebstahl von Anmeldeinformationen. Ein in Microsoft 365 kompromittiertes Benutzerkonto kann zu unbefugtem Postfachzugriff, zum Abfluss sensibler SharePoint- und OneDrive-Daten, zu Business E-Mail Compromise (BEC) und sogar zu einer Rechteausweitung innerhalb des Unternehmens führen.

Zum Glück bietet Microsoft 365 mehrere integrierte Werkzeuge, mit denen Managed Service Provider (MSPs) oder Systemadministrator:innen Credential Theft begegnen können. Dazu zählen Anmeldeprotokolle, Audit-Trails und Richtlinien für bedingten Zugriff. Sie helfen dabei, Anzeichen einer Kompromittierung zu erkennen und in Echtzeit auf Bedrohungen zu reagieren. In diesem Leitfaden zeigen wir Ihnen Strategien, mit denen Sie Credential Theft in Microsoft-365-Umgebungen erkennen und darauf reagieren.

Sie brauchen mehr Details zum Thema? Sehen Sie sich unser Video „Credential Theft in Microsoft-365-Umgebungen erkennen und darauf reagieren“ an.

Aufgabe	Zweck
Schritt 1: Audit-Protokollierung und Anmelde-Alarmierungen aktivieren	Stellt sicher, dass kritische Benutzer- und Adminaktivitäten aufgezeichnet werden und Alarmierungen auslösen können
Schritt 2: Verdächtige Aktivitäten in den Anmeldeprotokollen erkennen	Identifiziert potenziell kompromittierte Konten anhand riskanter Anmeldemuster
Schritt 3: Verdächtige Postfachaktivitäten untersuchen	Verfolgt Kontomissbrauch wie Weiterleitungsregeln oder ungewöhnliche Zugriffe
Schritt 4: Betroffene Konten isolieren und zurücksetzen	Begrenzt den Vorfall, indem Sitzungen widerrufen und Anmeldeinformationen zurückgesetzt werden
Schritt 5: Zugriffsrichtlinien härten	Verhindert künftigen Credential Theft durch strengere Zugriffskontrollen
Schritt 6: Wiederholungen überwachen und Reaktion automatisieren	Erkennt wiederkehrende Bedrohungen und automatisiert die Behebung über Tools und Skripte

Voraussetzungen für den Umgang mit Credential Theft in Microsoft-365-Umgebungen

Bevor Sie mit der Reaktion auf Credential Theft beginnen, stellen Sie sicher, dass Ihre Umgebung die folgenden Anforderungen erfüllt:

• Microsoft-365-Tenant mit Azure AD Premium P1 oder höher
• Microsoft Defender for Cloud Apps oder Microsoft Entra ID Protection (empfohlen)
• Audit-Protokollierung und einheitliches Überwachungsprotokoll (Unified Audit Log, UAL) aktiviert
• Administratorkonto mit der Rolle Globaler Administrator oder Sicherheitsadministrator
• PowerShell-Zugriff mit den Modulen für Microsoft Graph oder Exchange Online
• (Optional) SIEM-Integration für ein zentrales Alarmierungsmanagement

Schritt 1: Audit-Protokollierung und Anmelde-Alarmierungen aktivieren

📌 Anwendungsfall:

Dieser Schritt stellt sicher, dass Aktivitätsprotokolle für kritische Benutzer:innen und Admins aufgezeichnet werden und Alarmierungen auslösen können.

Audit-Protokollierung aktivieren:

1. Öffnen Sie das Microsoft 365 Compliance Center.
2. Gehen Sie zu Überwachung > Überwachungssuche.
3. Falls die Audit-Protokollierung nicht aktiviert ist, klicken Sie auf Aufzeichnung der Benutzer- und Administratoraktivität starten.

Azure-AD-Anmeldeprotokolle prüfen

1. Gehen Sie zu Azure AD > Überwachung > Anmeldungen.
2. Nutzen Sie Filter, um Folgendes zu identifizieren:
   • Riskante Anmeldungen
   • Unbekannte Standorte
   • Nutzung der Legacy-Authentifizierung

Diese Filter bringen Ereignisse ans Licht, etwa Anmeldungen von ungewöhnlichen IP-Adressen oder Anwendungen, die veraltete Protokolle verwenden.

Schritt 2: Verdächtige Aktivitäten in den Anmeldeprotokollen erkennen

📌 Anwendungsfall:

In diesem Schritt analysieren Sie die Anmeldeprotokolle, um auffällige Aktionen zu erkennen, die auf möglichen Credential Theft hindeuten.

Achten Sie auf die folgenden Warnsignale:

• Unmögliche Reisen: Ein gutes Beispiel sind Anmeldungen aus New York und Singapur innerhalb weniger Minuten.
• Mehrere fehlgeschlagene Anmeldeversuche: Das kann harmlos sein, weil jemand das Passwort vergessen hat. Es kann aber auch auf einen Brute-Force-Angriff hindeuten.
• Nutzung veralteter Protokolle: Ältere Protokolle wie IMAP oder POP unterstützen weder moderne Authentifizierung noch MFA und sind damit ein beliebter Einstiegspunkt für Angreifer.
• Browserbasierte Anmeldungen: Anmeldungen von verdächtigen IP-Adressen können auf einen unbefugten Anmeldeversuch mit gestohlenen Anmeldeinformationen hindeuten.

Um die Anmeldeprotokolle auszuwerten, fragen Sie die Anmeldungen per PowerShell ab. Führen Sie die folgenden Befehle aus:

• Für Microsoft Graph:

Connect-MgGraph -Scopes "AuditLog.Read.All"
Get-MgAuditLogSignIn -Top 50 | Where-Object
{$_.RiskLevelAggregated -ne „none“}

• Für das AzureAD-Modul:

Connect-AzureAD
Get-AzureADAuditSignInLogs | Where-Object
{$_.Status.ErrorCode -ne 0}

Diese Abfragen ermöglichen eine feinere Filterung und lassen sich über mehrere Tenants hinweg skripten, was für MSPs besonders nützlich ist.

Schritt 3: Verdächtige Postfachaktivitäten untersuchen

📌 Anwendungsfall:

Mit diesem Schritt verfolgen Sie Kontomissbrauch wie Weiterleitungsregeln oder ungewöhnliche Zugriffe. Bedrohungsakteure richten häufig Weiterleitungsregeln ein, um unbemerkt Daten abzuziehen.

1. Öffnen Sie PowerShell als Administrator. Drücken Sie die Windows-Taste, geben Sie PowerShell ein, klicken Sie mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
2. Führen Sie den folgenden Befehl aus:

• • So durchsuchen Sie Audit-Protokolle mit PowerShell:

Connect-ExchangeOnline
Search-MailboxAuditLog -Mailboxes [email protected] –
ShowDetails -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date)

• • So prüfen Sie auf bösartige Posteingangsregeln:

Get-InboxRule -Mailbox [email protected] | Where-Object
{$_.RedirectTo -ne $null -or $_.ForwardTo -ne $null}

Schritt 4: Betroffene Konten isolieren und zurücksetzen

📌 Anwendungsfall:

Dieser Schritt reagiert unverzüglich auf bestätigten Credential Theft, indem Sitzungen widerrufen und Anmeldeinformationen zurückgesetzt werden.

1. Öffnen Sie PowerShell als Administrator. Drücken Sie die Windows-Taste, geben Sie PowerShell ein, klicken Sie mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
2. Führen Sie die folgenden Befehle aus:

• • So widerrufen Sie Sitzungen:

Revoke-AzureADUserAllRefreshToken -ObjectId <UserObjectId>

• • So erzwingen Sie ein Passwort-Reset:

Set-AzureADUserPassword -ObjectId <UserObjectId> –
Password „NewTempPassword123!“
-ForceChangePasswordNextLogin $true

• • So sperren Sie die Anmeldung vorübergehend:

Set-MsolUser -UserPrincipalName
[email protected] -BlockCredential $true

Schritt 5: Zugriffsrichtlinien härten

📌 Anwendungsfall:

Diesen Schritt sollten Sie gehen, um eine Wiederholung des Angriffs zu verhindern. Dabei verschärfen Sie die Zugriffskontrollen mit Werkzeugen wie Gruppenrichtlinienobjekten (GPOs), bedingtem Zugriff in Azure und Registrierungsänderungen.

Empfehlungen für Gruppenrichtlinien:

• Erzwingen Sie strenge Passwortrichtlinien über:
  Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinie
• Aktivieren Sie die Unterstützung für Smartcards oder Multi-Faktor-Authentifizierung (MFA).
• Erzwingen Sie einen Kennwortchronik und stellen Sie sicher, dass Passwörter die Komplexitätsanforderungen erfüllen.

Richtlinien für bedingten Zugriff in Azure AD:

• Fordern Sie MFA für alle Benutzer:innen.
• Blockieren Sie die Legacy-Authentifizierung.
• Erzwingen Sie standortbasierte Zugriffsbeschränkungen.

Schritt 6: Wiederholungen überwachen und Reaktion automatisieren

📌 Anwendungsfall:

Auch dieser Schritt soll eine Wiederholung verhindern, indem Sie Alarmierungen und Automatisierung mit Werkzeugen wie Gruppenrichtlinienobjekten (GPOs), bedingtem Zugriff in Azure und Registrierungsänderungen einrichten.

Geeignete Werkzeuge:

• Alarmierungen von Microsoft Defender for Identity oder Cloud App Security
• Aktivieren Sie Alarmierungen zur E-Mail-Weiterleitung im Exchange Admin Center.

Ereignisüberwachung mit PowerShell:

1. Öffnen Sie PowerShell als Administrator. Drücken Sie die Windows-Taste, geben Sie PowerShell ein, klicken Sie mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.
2. Führen Sie den folgenden Befehl aus:

Get-WinEvent -LogName Security | Where-Object {$_.Id -eq 4625 -or $_.Id -eq 4624}

Dieser Befehl hilft dabei, fehlgeschlagene und erfolgreiche Anmeldungen auf lokalen Rechnern oder Servern zu erkennen.

SIEM- oder RMM-Integration:

Wenn Sie mehrere Tenants betreuen, sollten Sie eine Anbindung an ein SIEM-Tool in Betracht ziehen oder eine RMM-Plattform wie NinjaOne nutzen, um Erkennung und Alarmierung zu verschlanken.

⚠️ Worauf Sie achten sollten

Risiken	Mögliche Folgen	Gegenmaßnahmen
MFA wird umgangen	Benutzer:innen können sich ohne MFA authentifizieren, wodurch Konten anfällig für Credential Theft bleiben.	Prüfen Sie, ob die Legacy-Authentifizierung noch aktiviert ist, und blockieren Sie sie über Richtlinien für bedingten Zugriff.
Wiederholter Credential Theft	Deutet darauf hin, dass kompromittierte Passwörter erneut verwendet werden und damit mehrere Konten gefährdet sind.	Erzwingen Sie strengere Passwortrichtlinien und aktivieren Sie die Self-Service-Kennwortzurücksetzung (SSPR), um Wiederherstellung und Passworthygiene zu verbessern.
Kontosperrungen	Benutzer:innen werden fälschlicherweise blockiert, was zu Störungen und möglichen Sicherheitslücken führt.	Überprüfen Sie die Konfiguration der Richtlinien für bedingten Zugriff und stellen Sie sicher, dass Notfallkonten („Break-Glass“-Konten) definiert sind.
Audit-Protokolle zeigen keine Aktivitäten	Fehlende Transparenz über Benutzeraktionen erschwert Untersuchung und Reaktion auf Vorfälle.	Aktivieren Sie das einheitliche Überwachungsprotokoll und die Postfachüberwachung bei Bedarf manuell über das Compliance Center und PowerShell.

Weitere Überlegungen zur Reaktion auf Credential Theft

Um das Risiko von Credential Theft weiter zu senken und die Wiederherstellung zu beschleunigen, können Sie Folgendes einführen:

• Self-Service-Kennwortzurücksetzung (SSPR): Wenn Benutzer:innen ihre Passwörter ohne Eingriff der Administration zurücksetzen können, lässt sich schneller auf Credential Theft reagieren, noch bevor die IT-Administration kontaktiert wird.
• Just-in-Time (JIT): Zeitlich begrenzter Zugriff für hoch privilegierte Konten verkleinert die Angriffsfläche.
• Privileged Access Workstations (PAWs): PAWs beschränken administrative Aufgaben auf gehärtete, isolierte Geräte und verringern so das Risiko durch Credential Theft und Malware.
• Regelmäßige Prüfung der Postfachzugriffe: Eine konsequente Überprüfung der Postfachzugriffe, insbesondere bei freigegebenen Postfächern, minimiert Credential Theft und stellt sicher, dass nur autorisierte Personen auf die E-Mails des Unternehmens zugreifen können.

NinjaOne-Services für die Reaktion auf Credential Theft

NinjaOne und seine Werkzeuge unterstützen Sie dabei, Credential Theft proaktiver zu erkennen und darauf zu reagieren.

NinjaOne-Service	Was es ist	So hilft es bei Erkennung und Reaktion auf Credential Theft
Protokollüberwachung auf Endpunkten	Überwacht Windows-Ereignisprotokolle, etwa die Ereignis-IDs 4624 (erfolgreiche Anmeldung) und 4625 (fehlgeschlagene Anmeldung)	Erkennt Brute-Force-Angriffe und verdächtige Anmeldeaktivitäten auf allen verwalteten Geräten nahezu in Echtzeit
PowerShell-Automatisierung	Führt eigene PowerShell-Skripte aus, um Azure-AD-Anmeldungen abzufragen, Sitzungen zu widerrufen oder Konten zu markieren	Ermöglicht eine schnelle Untersuchung und automatisierte Maßnahmen zur Minderung, etwa das Widerrufen von Token oder das Erzwingen von Passwort-Resets
Alarmierung bei Hochrisiko-Anmeldungen	Sendet Alarmierungen bei Anmeldungen von verdächtigen IP-Adressen, ungewöhnlichen Standorten oder riskantem Benutzerverhalten	Informiert IT-Teams über möglichen Missbrauch von Anmeldeinformationen und ermöglicht eine schnellere Eindämmung
Endpunkt-Isolierung	Markiert betroffene Geräte oder stellt sie unter Quarantäne, um den Netzwerkzugriff während eines Credential-Theft-Vorfalls einzuschränken	Hilft, die Bedrohung einzudämmen, indem der kompromittierte Endpunkt von der Kommunikation mit anderen Systemen abgeschnitten wird
Workflows zur Bereinigung von Anmeldeinformationen	Automatisiert Aufgaben wie das Erzwingen von Passwort-Resets, das Sperren von Konten oder das Entfernen von Posteingangsregeln	Verschlankt die Reaktion auf Vorfälle, verkürzt die Zeit bis zur Maßnahme und begrenzt die Verweildauer der Angreifer

Credential Theft mit der nötigen Dringlichkeit begegnen

Credential Theft kann ein Unternehmen empfindlich stören, wenn ihm nicht mit wirksamen Strategien begegnet wird. Die oben beschriebenen Schritte helfen Ihnen, dieses dringende Problem mit verschiedenen Methoden zu erkennen und darauf zu reagieren: durch die Prüfung von Anmeldeprotokollen, die Untersuchung von Postfach- und Audit-Aktivitäten, den Entzug von Zugriffen und strengere Kontrollen über bedingten Zugriff und durchgesetzte Richtlinien.

Credential Theft lässt sich außerdem begegnen, indem Sie die integrierten Schutzmechanismen von Microsoft 365 mit automatisierten Lösungen wie NinjaOne kombinieren. Das optimiert die Arbeit von MSPs und Systemadministrator:innen nicht nur bei der Reaktion, sondern auch bei der Erkennung von Credential Theft, bevor großer Schaden entsteht.

Verwandte Themen:

• Was ist Credential Management? Definition und Best Practices
• Google Workspace vs. Microsoft 365: Was ist besser für Unternehmen?
• So prüfen Sie, ob Credential Guard unter Windows aktiviert oder deaktiviert ist
• Angriffsketten mit 5 Tools durchbrechen
• 10 beste Lösungen zum Schutz vor Malware