Wichtigste Punkte
- Nicht verwaltete Clients, die sich mit der ActiveSync-Umgebung eines Unternehmens verbinden, können Risiken und blinde Flecken in der Sicherheit verursachen.
- Begrenzen Sie mögliche Risiken mit einem Framework, das Gerätedaten verwaltet und pflegt, um die Compliance zu bewerten und zu entscheiden, welche Geräte aktualisiert, unter Quarantäne gestellt oder außer Betrieb genommen werden sollten.
- Schritte zum Abrufen von ActiveSync-Gerätedetails und zur Pflege dieser Dokumentation:
- Inventur aller ActiveSync-Geräte
- Anreicherung um Nutzungs- und Synchronisierungsdaten
- Identifikation veralteter oder nicht konformer Geräte
- Normalisierung, Protokollierung und Export der Daten
- Automatisierung und sicherer Betrieb der ActiveSync-Geräteverwaltung
- Anstoßen von Folgemaßnahmen
- Unterstützung durch NinjaOne beim Aufbau von ActiveSync-Gerätedaten: Job-Bereitstellung und -Planung, Verwaltung von Anmeldeinformationen, Export und Anhängen von Protokollen, Ticket-Automatisierung und Dashboard-Karten
- Pflegen Sie präzise ActiveSync-Gerätedaten, damit alle Geräte, die sich mit Ihren ActiveSync-Umgebungen verbinden, die definierten Zugriffs- und Richtlinienanforderungen Ihres Sicherheitsframeworks erfüllen.
Microsoft ActiveSync ist ein zentrales Tool, um die Lücke zwischen Microsoft Exchange und Mobilgeräten zu schließen. Angesichts immer ausgefeilterer Bedrohungen im Hintergrund ist eine sichere Verbindung zwischen Microsoft Exchange und Mobilgeräten jedoch entscheidend. Ein Weg zu mehr Schutz besteht darin, die Vertrauenswürdigkeit aller Clients sicherzustellen, indem Sie ein Framework aufbauen, das ActiveSync-Partnerschaften fortlaufend überprüft.
In diesem Leitfaden zeigen wir Ihnen, wie Sie mit Microsofts Get-ActiveSyncDevice und verwandten Cmdlets regelmäßige Audits durchführen. Sie erhalten dabei präzise, detaillierte Gerätedaten und kombinieren diese mit modernen Praktiken der Berichterstattung. Dieser Workflow unterstützt eine saubere Zugriffsverwaltung, die Durchsetzung von Richtlinien und die Abkündigung veralteter Clients.
Auf einen Blick
| Aufgabe | Zweck und Nutzen |
| Aufgabe 1: Alle ActiveSync-Geräte erfassen | Diese Aufgabe liefert einen Datensatz, der die Grundlage für Durchsetzungsmaßnahmen, Prüfungen auf Inaktivität und Reviews zur Abkündigung von Clients bildet. |
| Aufgabe 2: Daten um Nutzungs- und Synchronisierungsinformationen anreichern | Diese Aufgabe verwandelt rohe Geräteeinträge in konkrete Handlungsgrundlagen für Lifecycle- und Compliance-Entscheidungen. |
| Aufgabe 3: Veraltete oder nicht konforme Geräte identifizieren | Damit priorisieren Sie Maßnahmen wie eine erneute Registrierung durch die Benutzer:innen, das Entfernen von Geräten oder Client-Upgrades. |
| Aufgabe 4: Normalisieren, protokollieren und exportieren | So können Auditor:innen, Sicherheitsteams und MSP-Kund:innen mehrere Durchläufe über die Zeit vergleichen und den Rückgang riskanter Geräte belegen. |
| Aufgabe 5: Sicher automatisieren und betreiben | Diese Aufgabe stellt sicher, dass Ihnen jederzeit aktuelle Gerätedaten vorliegen, ohne zusätzlichen operativen Aufwand. |
| Aufgabe 6: Folgemaßnahmen anstoßen | Damit schließt sich der Kreis zwischen Berichterstattung, Compliance und Risikominderung. |
Voraussetzungen:
Bevor Sie mit den Aufgaben beginnen, sollten Sie die folgenden Punkte berücksichtigen:
- Exchange Online PowerShell-Modul und Rollen zum Abfragen von Mobilgeräten
- Sichere Anmeldeinformationen oder App-only-Authentifizierung für unbeaufsichtigte Durchläufe
- Zentraler Pfad für CSV, JSON und Ausführungsprotokolle
- Definierte Richtlinienmatrix für die Gerätezustände „zugelassen“, „unter Quarantäne“ und „blockiert“
Aufgabe 1: Alle ActiveSync-Geräte erfassen
Zunächst erstellen Sie eine Inventarisierung aller Geräte, die ActiveSync nutzen, indem Sie das Cmdlet Get-ActiveSyncDevice ausführen. Get-ActiveSyncDevice zeigt die direkten Beziehungen zwischen Geräten und Postfächern. So erhalten Sie einen verlässlichen Datensatz für alle nachgelagerten Analysen:
- Stellen Sie über PowerShell eine Verbindung zu Exchange Online her.
- Rufen Sie die vollständige Geräteliste mit dem Befehl für die vollständige Inventarisierung ab:
Get-ActiveSyncDevice -ResultSize Unlimited |
Select-Object Identity, UserDisplayName, DeviceType, DeviceModel, DeviceOS, DeviceAccessState, DeviceAccessStateReason, ClientVersion, WhenChanged
- Halten Sie die Gesamtzahlen fest und ergänzen Sie alle Datensätze um TenantId, einen AsOf-Zeitstempel und die Skriptversion.
- Dieses Cmdlet stellt eine direkte Verknüpfung zwischen Geräten und Postfächern her und dient als Basis für alle weiteren Analysen.
Aufgabe 2: Daten um Nutzungs- und Synchronisierungsinformationen anreichern
Für diese Aufgabe verwenden Sie das Cmdlet Get-MobileDeviceStatistics, um Details zum Synchronisierungs- und Richtlinienstatus der Mobilgeräte eines bestimmten Postfachs abzurufen. So reichern Sie jeden Datensatz um zusätzlichen Kontext an und erfassen detailliertere Informationen zu Aktivität, Inaktivität oder Aktualität der Richtlinien.
So gehen Sie vor:
- Stellen Sie eine Verbindung zu Exchange Online PowerShell her.
- Durchlaufen Sie jedes Postfach bzw. jedes Gerät mit diesem Befehl:
Get-MobileDeviceStatistics -Mailbox <user> |
Select-Object DeviceFriendlyName, LastSuccessSync, LastPolicyUpdateTime, ClientInformation
- Verknüpfen Sie die Ergebnisse über DeviceId und UserPrincipalName mit Ihrem Basisinventar (Aufgabe 1).
- Berechnen Sie die folgenden Kennzahlen:
- Gerätealter
- Zeitraum seit der letzten Synchronisierung
- Inaktivitätskategorie (30/60/90+ Tage)
Aufgabe 3: Veraltete oder nicht konforme Geräte identifizieren
In diesem Schritt bewerten Sie jedes Gerät daraufhin, ob es die Compliance-Anforderungen noch erfüllt. Diese Maßnahmen sind dafür nötig:
- Markieren Sie Geräte, wenn:
- sie veraltete Betriebssystemversionen nutzen
- sie alte ClientVersion-Strings verwenden
- Kennzeichnen Sie Geräte, die weiterhin Basic- oder Legacy-Authentifizierung nutzen (gleichen Sie dies mit Ihrer Baseline zum Deaktivieren der Legacy-Authentifizierung ab).
- Identifizieren Sie inaktive Geräte sowie Geräte, die sich dauerhaft in Quarantäne oder im blockierten Zustand befinden.
- Priorisieren Sie Bereinigung oder erneute Registrierung durch die Benutzer:innen gemäß Ihrer Richtlinie.
Aufgabe 4: Normalisieren, protokollieren und exportieren
In den nächsten Schritten geht es um konsistente Audits: Sie normalisieren jedes Ausgabefeld, wenden einheitliche Namenskonventionen an und exportieren die Daten in mehreren Formaten.
So funktioniert es:
- Standardisieren Sie alle Felder:
- DeviceOSVersion
- LastSuccessSync
- State
- ActionRequired
- Exportieren Sie die Ergebnisse:
- CSV für operative Reviews
- JSON für Dashboards oder Tools zur Log-Erfassung
- Schreiben Sie ein Ausführungsprotokoll, das Folgendes zusammenfasst:
- Parameter
- Anzahl der Datensätze
- Dauer
- Bewahren Sie die Ergebnisse mindestens 12 Monate lang auf, um Muster analysieren zu können.
Aufgabe 5: Sicher automatisieren und betreiben
Diese Aufgabe richtet sich an MSP-Betriebe mit Mehrmandantenfähigkeit auf Enterprise-Niveau, denn manuelle Audits sind für große Umgebungen nicht zu empfehlen. So bauen Sie ein Automatisierungs-Framework für die Verwaltung von ActiveSync-Geräten auf:
- Authentifizieren Sie sich app-only und seitenweise große Ergebnismengen, um Drosselung zu vermeiden.
- Ergänzen Sie eine Wiederholungslogik für vorübergehende Fehler und sorgen Sie für idempotente Ausgaben.
- Planen Sie wöchentliche Inventarisierungsläufe und monatliche Deltas, um das Wachstum zu verfolgen.
- Binden Sie Compliance- oder Alarmierungs-Workflows für veraltete und inaktive Geräte ein.
Aufgabe 6: Folgemaßnahmen anstoßen
Zum Abschluss des Frameworks setzen Sie Governance durch und stärken damit sowohl die Sicherheit als auch die operativen Workflows. Diese Maßnahmen sind dafür nötig:
- Kommunikation mit Benutzer:innen: Informieren Sie Benutzer:innen, deren Geräte ein Upgrade oder eine erneute Registrierung benötigen, und stellen Sie Einrichtungsinformationen bereit.
- Behebung: Entfernen Sie inaktive Partnerschaften oder wenden Sie nach Freigabe eine automatisierte Quarantäne-Richtlinie an.
- Sicherheitsvalidierung: Gleichen Sie die Ergebnisse mit Conditional Access und den Backup-Prüfungen für Exchange Online ab.
- Governance: Verknüpfen Sie die Kennzahlen mit Maßnahmen gegen Password Spraying und mit Einschränkungen für freigegebene Postfächer.
Best Practices im Überblick
| Praxis | Zweck | Nutzen |
| Get-ActiveSyncDevice und Get-MobileDeviceStatistics kombinieren | Vollständiger Kontext | Abdeckung von Gerät, Betriebssystem und Aktivität |
| Inaktive und veraltete Clients markieren | Risikominderung | Weniger Angriffswege und Synchronisierungsprobleme |
| Normalisieren und exportieren | Nachvollziehbarkeit | Einfache Vergleiche und Compliance-Berichterstattung |
| App-basierte Authentifizierung | Sicherheit | Sichere Automatisierung im großen Maßstab |
| Trendanalyse | Kontinuierliche Verbesserung | Nachweisbarer Rückgang riskanter Geräte |
Beispiel für einen Automatisierungs-Touchpoint
Mit Automatisierung können Sie die Erstellung, Verwaltung und Pflege von ActiveSync-Gerätedaten vereinfachen. Hier einige Beispiele:
- Ein geplanter Job durchläuft alle Postfächer
- Die Erfassung der Gerätedaten über Get-ActiveSyncDevice und Get-MobileDeviceStatistics
- Zusammenführen und Normalisieren der Ergebnisse
- Berechnung der Risikokategorien sowie Schreiben von CSV, JSON und einer Protokolldatei
- Versand einer Zusammenfassung per E-Mail mit veralteten Clients, inaktiven Geräten und Quarantäne-Kandidaten
NinjaOne-Integration
NinjaOne bietet Tools und Funktionen, die der Prävention von Datendiebstahl durch Beschäftigte zugutekommen.
| NinjaOne-Service | Was es ist | So hilft es bei der Prävention von Datendiebstahl durch Beschäftigte |
| Job-Bereitstellung und -Planung | PowerShell-Jobs planen und ausführen | Automatisiert die Erfassung von Gerätedaten über alle Postfächer hinweg |
| Verwaltung von Anmeldeinformationen | Anmeldeinformationen sicher speichern | Sorgt für sicheren Zugriff auf Postfächer beim Abruf von Gerätedaten |
| Ticket-Erstellung | Workflows zur Ticket-Erstellung für markierte Geräte aktivieren | Unterstützt skript- oder berichtsgesteuerte Ticket-Erstellung für inaktive, veraltete oder unter Quarantäne gestellte Geräte |
| Dashboard-Karten | Visuelle Karten im NinjaOne-Dashboard | Zeigen Gerätezahlen, die Aktualität der Synchronisierung aus skriptgesteuerten ActiveSync-Audits sowie den Rückgang riskanter Endpunkte pro Mandant |
Quick-Start-Guide
Um ActiveSync-Gerätedetails mit PowerShell in NinjaOne im großen Maßstab abzurufen, gehen Sie in der Regel so vor:
- Erstellen Sie ein eigenes PowerShell-Skript in der Automation Library
- Fragen Sie ActiveSync-Geräte mit Cmdlets der Exchange Management Shell ab
- Planen Sie die Ausführung des Skripts in Ihrer gesamten Exchange-Umgebung
- Speichern Sie die Ergebnisse in benutzerdefinierten Feldern oder exportieren Sie sie zur Auswertung als CSV
ActiveSync-Gerätedaten verwalten und pflegen
Eine gut gepflegte Dokumentation der ActiveSync-Gerätedaten hilft MSPs und IT-Teams dabei, zu bestimmen, welche Geräte ausgemustert werden sollten, und so ein präzises Geräteinventar zu führen. Außerdem unterstützt sie eine saubere Exchange-Online-Umgebung und damit eine sicherere und verlässlichere Sicherheitslage.
Wichtigste Erkenntnisse
- Nutzen Sie Get-ActiveSyncDevice und Get-MobileDeviceStatistics für einen vollständigen Überblick über alle Geräte.
- Identifizieren Sie veraltete Clients, überholte Betriebssystem-Builds und inaktive Partnerschaften, um sie zu bereinigen.
- Normalisieren und exportieren Sie mit Zeitstempeln und Mandanten-IDs, damit Audits wiederholbar bleiben.
- Automatisieren Sie mit app-basierter Authentifizierung und Fehlerbehandlung.
- Lassen Sie die Ergebnisse in eine bessere Sicherheitslage und in Compliance-Dashboards einfließen.
Nutzen Sie Microsofts Cmdlet Get-ActiveSyncDevice und befolgen Sie weitere Best Practices, um ein konformes ActiveSync-Geräteinventar sicherzustellen.
Verwandte Themen:
