Welche App, welches Konto oder welche Ausnahme im Conditional Access führt bei Ihnen zum Global Admin?
Im Angriffspfad-Workshop analysieren wir gemeinsam mit Ihrem Team, über welche Konten, Apps und Richtlinien ein Angreifer in Microsoft 365 bis zum Global Admin und in Azure bis zu Owner-Rechten kommt. Grundlage ist eine vorab mit lesenden Rollen erhobene Pfadanalyse: privilegierte Rollen, Service Principals mit Graph-Berechtigungen, Conditional-Access-Ausnahmen, Entra Connect als Tier-0-Komponente sowie PIM, RBAC und Custom Roles in Azure. Bewertet wird nach MITRE ATT&CK Cloud Matrix, Microsoft Cloud Security Benchmark und CIS Microsoft 365 Foundations Benchmark.
Entra ID ist als Identitätsbasis von Microsoft 365 in vielen Unternehmen das zentrale Identitätssystem, übernommene Konten sind ein häufiger Einstieg für Angreifer. Hybride Identitäten verbinden On-Premises und Cloud. Microsoft stuft den Entra-Connect-Server als Tier-0-Komponente ein.
Im Workshop machen wir die Wege über Rollen, App-Berechtigungen, Conditional Access, Synchronisation und Azure-Zuweisungen sichtbar. Ihr Team versteht die Mechanismen dahinter und schließt die kritischsten Pfade gemeinsam mit uns.
Anzahl, Zuschnitt und Schutz privilegierter Rollen.
Abdeckung und Ausnahmen in Richtlinien.
Berechtigungen von Anwendungen.
Synchronisation und Schutz der Verbindungskomponenten.
Wir zeigen, wo Konten in Azure dauerhaft privilegiert sind oder sich selbst mehr Rechte verschaffen können: Owner- und Contributor-Rechte ohne Befristung, lückenhafte PIM-Einstellungen zu Genehmigung und MFA sowie zu weit gefasste Custom Roles.
Die kritischsten Pfade schließt Ihr Team mit uns, etwa über Conditional Access, App-Berechtigungen oder PIM, und prüft die Wirkung direkt.
Der Angriffspfad-Workshop für Entra ID, Microsoft 365 und Azure zeigt gemeinsam mit Ihrem Team, wie ein Angreifer über Benutzerkonten, App-Registrierungen, synchronisierte Konten, Conditional-Access-Ausnahmen oder dauerhafte Azure-Rechte privilegierte Rollen erreicht, und schließt die kritischsten Pfade. Gedacht ist er für Unternehmen mit Microsoft 365, hybriden Identitäten und Azure; analysiert wird mit lesenden Rollen. Einen aktiven Test der Cloud liefert Cloud & Microsoft 365, das lokale AD der Workshop zu Active-Directory-Angriffspfaden.
Wir stimmen lesende Rollen, Umfang und Teilnehmende ab und erheben Konfiguration und Beziehungen vorab.
Gemeinsame Analyse der Pfade mit Ihrem Identitäts- und Cloud-Team, vor Ort oder remote.
Die Erhebung läuft nur lesend, etwa mit den Rollen Global Reader oder Security Reader. Die kritischsten Pfade schließt Ihr Team im Workshop mit eigenen Rechten, die Wirkung prüfen wir gemeinsam direkt im Tenant.
Für alle verbleibenden Pfade erhalten Sie einen Plan je Richtlinie, Rolle und App-Berechtigung mit Verantwortlichkeiten.
Zuerst die gemeinsam analysierten und zum Teil bereits geschlossenen Angriffspfade für Ihr IT-Team, dann der Behebungsplan für die eigenständige Umsetzung.
Die Wege zu Global Admin und Owner-Rechten, gemeinsam ausgewertet und priorisiert. Die kritischsten Pfade sind geschlossen und im Tenant nachgeprüft.
Maßnahmen je Richtlinie, Rolle und App-Berechtigung, sortiert nach Wirkung, mit Verantwortlichkeiten und Folgeschritten für die eigenständige Umsetzung.
Die häufigsten Fehlkonfigurationen und drei essenzielle Maßnahmen für Ihre Cloud-Umgebung.
Sie erhalten: Microsoft Entra ID Cloud Security Checkliste
„Hier wird man nicht nur getestet und beraten, sondern aktiv gelehrt, welche Lücken existieren und wie diese auch zu schließen sind.“
David Werling, Head of IT, SELECT Aktiengesellschaft
Die Analyse betrachtet Wege zu privilegierten Rollen in Entra ID, Microsoft 365 und Azure. Das lokale AD und die breite Konfiguration Ihrer Cloud lassen sich einbeziehen.
Wenn Ihre Identitäten hybrid synchronisiert werden, zeigt der Workshop zu AD-Angriffspfaden, ob Pfade aus dem lokalen Verzeichnis in die Cloud weiterführen.
Zur LeistungWenn Sie die Schließung der Pfade formal belegen müssen, prüft der Retest die wichtigsten Pfade nach.
Zur LeistungWenn neben den Berechtigungspfaden auch die Konfiguration Ihrer Cloud-Dienste in der Breite geprüft werden soll, schließt Cloud & Microsoft 365 an.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Lesende Rollen wie Global Reader und Security Reader. Die Erhebung erfolgt nur lesend; Änderungen im Workshop nimmt Ihr Team mit eigenen Rechten vor.
Die Personen, die Berechtigungen später ändern: Administratoren, Identitäts- oder Cloud-Verantwortliche und IT-Leitung, bei ausgelagertem Betrieb auch Ihr Dienstleister. So findet der Wissenstransfer dort statt, wo die Umsetzung erfolgt.
Nur mit Ihrer Freigabe. Die Analyse arbeitet mit lesenden Rollen. Pfade, die wir im Workshop schließen, setzt Ihr Team nach Freigabe und im regulären Change-Prozess um.
Auf Wunsch ja, zusammen mit dem Workshop zu Active-Directory-Angriffspfaden. Bei hybriden Identitäten ist das sinnvoll, weil Pfade aus dem lokalen AD über Entra Connect in die Cloud weiterführen können.
Ein Konfigurationsaudit vergleicht Einstellungen mit einer Referenz, die Angriffspfadanalyse verknüpft Rollen, Apps und Richtlinien zu konkreten Wegen zu privilegierten Rechten. Einzeln unauffällige Einstellungen können zusammen einen Pfad ergeben. Beide Sichten ergänzen sich.
Wer den Entra-Connect-Server kontrolliert, kann Identitäten zwischen lokalem AD und Cloud manipulieren. Microsoft stuft ihn deshalb als Tier-0-Komponente ein, auf einer Ebene mit Domänencontrollern. Wir prüfen, ob Zugriff und Administration dieses Servers entsprechend geschützt sind.
Kritisch sind Anwendungsberechtigungen, mit denen eine App ohne angemeldeten Benutzer Rollen vergeben oder Berechtigungen ändern kann, etwa RoleManagement.ReadWrite.Directory oder AppRoleAssignment.ReadWrite.All. Solche Service Principals sind faktisch privilegierte Konten, werden aber selten so geschützt. Wir zeigen, welche Apps diese Rechte haben und wer die Apps verwalten kann.
Security Defaults bieten einen Grundschutz mit MFA, lassen sich aber nicht auf einzelne Konten, Apps oder Standorte zuschneiden. Sobald Ausnahmen oder abgestufte Anforderungen nötig sind, braucht es Conditional Access. Wir bewerten, ob Ihre Konfiguration zu Ihrer Umgebung passt und wo Ausnahmen Pfade öffnen.
Der Microsoft Secure Score bewertet einzelne Einstellungen gegen Microsoft-Empfehlungen, der Workshop verknüpft Rollen, Apps und Richtlinien zu konkreten Wegen zum Global Admin. Ein hoher Score schließt solche Pfade nicht aus, weil einzeln unauffällige Einstellungen zusammen einen Weg ergeben können.
Entra-ID-Rollen steuern die Verwaltung von Identitäten und Diensten wie Benutzern, Gruppen und Apps, Azure-RBAC-Rollen steuern den Zugriff auf Azure-Ressourcen. Beide werden getrennt vergeben, sind aber verbunden: Ein Global Administrator kann sich über Elevate Access die Rolle User Access Administrator auf alle Subscriptions geben. Deshalb betrachten wir beide Seiten zusammen.
PIM wirkt erst, wenn privilegierte Rollen berechtigt statt dauerhaft zugewiesen sind. Die Aktivierung sollte an MFA, Begründung und Befristung gebunden sein, bei kritischen Rollen auch an eine Genehmigung. Typische Lücken sind dauerhafte Owner- oder Contributor-Zuweisungen neben PIM, Rollen außerhalb von PIM auf Subscription-Ebene und Custom Roles mit weitreichenden Actions. Die Bewertung zeigt, welche dieser Punkte bei Ihnen zutreffen.
Die Analyse ist auf Microsoft zugeschnitten, weil Entra ID, PIM und Azure RBAC Microsoft-spezifisch sind. Ob eine vergleichbare Prüfung der IAM-Berechtigungen in AWS oder Google Cloud passt, klären wir im Beratungsgespräch.
Vor allem von der Zahl der Tenants, privilegierten Rollen, App-Registrierungen und Conditional-Access-Richtlinien. Hinzu kommt, ob hybride Identitäten und Azure-Ressourcen einbezogen werden. Nach dem Scoping erhalten Sie ein Angebot mit festem Umfang.
