Multi-Faktor-Authentifizierung in Microsoft 365

Mehr Schutz für Identitäten und Unternehmensdaten

Mit Multi-Faktor-Authentifizierung den Zugriff auf Microsoft 365 absichern und Identitäten zuverlässig vor unberechtigten Zugriffen schützen

Schutz von Identitäten und Unternehmensdaten

Die Multi-Faktor-Authentifizierung als Teil von Microsoft Office 365 bzw. Azure Active Directory ist ein fundamentaler Schutzfaktor für Unternehmensdaten. Als Office 365 Administrator kann die Multi-Faktor-Authentifizierung mit wenigen Klicks bzw. per PowerShell für einzelne oder alle Anwender aktiviert werden.

Absicherung von Benutzername und Passwort

Nehmen wir an, dass wichtige Geschäftsdaten in einer Anwendung abgelegt sind und dass die Anwendung keine Sicherheitslücken hat und technisch bestmöglich abgesichert ist. In diesem Fall ist der Zugriff auf die Daten nur durch die Identität möglich, mit der auf die Anwendung zugegriffen wird. Die Authentifizierung erfolgt üblicherweise mittels Benutzername und Passwort. Wer Benutzername und Passwort kennt, hat damit Zugriff auf die Unternehmensdaten. Warum durch Firewalls, Netzwerkzonen und Systemschwachstellen hacken, wenn Identitäten - also Benutzernamen und Passwörter - durch Social Engineering bzw. Social Hacking, zum Beispiel Phishing, Brute-Force-Attacken, Keylogger und Co. herauszubekommen sind?

Erhöhung des Schutzes durch MFA

Es ist also im Interesse einer IT-Security Strategie, Identitäten bestmöglich zu schützen. Ein sehr bewährter Ansatz, um den Schutz von Identitäten deutlich zu erhöhen, sind sogenannte Zwei-Faktor- bzw. Multi-Faktor-Authentifizierungen (MFA), welche uns zum Beispiel aus dem Onlinebanking schon lange vertraut sind. Durch einen zusätzlichen Authentifizierungsfaktor reicht die alleinige Kenntnis von Benutzername und Passwort nicht mehr aus, um sich an der jeweiligen Anwendung anzumelden.

Absicherung des Zugriffs auf Office 365

In diesem Beitrag zeige ich, wie der Zugriff auf Unternehmensdaten in Office 365 durch die integrierte Multi-Faktor-Authentifizierung sicherer gemacht werden kann. Dabei geht es sowohl um die Aktivierung der Multi-Faktor-Authentifizierung durch den Administrator als auch um die erstmalige Einrichtung und spätere Nutzung aus Sicht des Anwenders.

Aktivierung der Multi-Faktor-Authentifizierung

Im Prinzip ist die Multi-Faktor-Authentifizierung ein Self-Service, allerdings ist dieser standardmäßig deaktiviert und muss für die Anwender erst aktiviert werden. Startpunkt ist die Benutzerverwaltung im Office 365 Mandant.

Aktivierung für einzelne oder mehrere Benutzer

Die eigentliche Konfiguration der Multi-Faktor-Authentifizierung erfolgt über den Office 365 Mandant im dazugehörigen Azure Active Directory. Dort kann die Multi-Faktor-Authentifizierung für einzelne oder mehrere Benutzer aktiviert werden. Das war's schon. Der Status "aktiviert" bedeutet, dass die MFA aktiviert wurde, aber noch nicht durch den Anwender konfiguriert wurde. Nach Abschluss der Konfiguration durch den Anwender wechselt der Status in "erzwungen".

Konfiguration erweiterter MFA Einstellungen

Natürlich können diese Einstellungen auch mittels PowerShell gesetzt werden. In Azure Active Directory gibt es noch erweiterte Multi-Faktor-Diensteinstellungen, welche bei Bedarf konfiguriert werden können. Im Azure Active Directory Portal können noch weitere Einstellungen vorgenommen werden. Sehr sinnvoll ist unter anderem die Konfigurationsmöglichkeit für vertrauenswürdige IP-Adressen, oft IP Whitelist genannt. Damit können IP-Adressbereiche definiert werden.

Definition vertrauenswürdiger IP-Adressen

Erfolgt eine Anmeldung an Office 365 von einer vertrauenswürdigen IP, so ist keine Multi-Faktor-Authentifizierung nötig. Hier kann, nach Abwägung der Vor- und Nachteile, zum Beispiel die Outbound IP-Adresse eines Unternehmens eingetragen werden. Vorher sollte sichergestellt sein, dass Angriffspotenziale wie Social Hacking, Brute-Force-Attacken oder Keylogger anderweitig im Unternehmensnetzwerk unterbunden sind.

Einrichtung durch den Anwender

Nachdem die Multi-Faktor-Authentifizierung für einen Account aktiviert wurde, muss der Anwender diese für sich einmalig einrichten. Nach aktivierter MFA ist der erste Schritt bei der Authentifizierung die sogenannte Identifizierung. Der Anwender muss sich identifizieren, damit anhand der definierten Einstellungen die Authentifizierung mittels zweiten Faktors durchgeführt werden kann.

Auswahl des zweiten Authentifizierungsfaktors

Für die Registrierung des zweiten Faktors gibt es verschiedene Möglichkeiten. Ich persönlich bevorzuge die Authentifizierung mittels der Mobile App und zeige die Funktionsweise hier. Alternativ kann ein 6-stelliger One Time PIN auf ein Handy geschickt werden bzw. ein automatisierter Telefonanruf ausgelöst werden, welcher dann entgegenzunehmen und mit der Raute (#) zu bestätigen ist. Natürlich ist es möglich, jederzeit die bevorzugte Möglichkeit zur Zwei-Faktor-Authentifizierung zu ändern bzw. weitere Mobile Devices zu registrieren.

Authentifizierung über die Mobile App

Bei Nutzung der Mobile App zur Authentifizierung gibt es zwei Varianten:

Bestätigen einer Benachrichtigung: Das ist die bequemste und schnellste Art der Multi-Faktor-Authentifizierung. Nach der Identifikation erfolgt eine Benachrichtigung auf der Mobile App, welche zu bestätigen ist.
Verwenden eines Prüfcodes: Bei diesem Verfahren muss - ähnlich wie bei klassischen hardwarebasierten Token-Lösungen, ein auf der Mobile App generierter, nach 30 Sekunden ablaufender One Time PIN (OTP) als zweiter Authentifizierungsfaktor genutzt werden.

Beide Varianten setzen voraus, dass die Mobile App auf einem Smartphone (Windows Phone, iOS oder Android) registriert wird.

Registrierung der Mobile App

Zunächst erfolgt die Auswahl zwischen Benachrichtigung oder Prüfcode. Anschließend muss die Azure Authenticator App aus dem App Store auf das jeweilige Smartphone geladen werden. Danach kann die App bequem über das Abfotografieren eines QR-Codes oder über die Eingabe eines Codes, falls das Scannen des QR-Codes nicht möglich ist, die Verbindung zum entsprechenden Benutzerprofil herstellen. Nach Registrierung der Mobile App erfolgt eine zusätzliche Sicherheitsüberprüfung. Hier wird die Mobile App erstmalig zur Authentifizierung verwendet.

Abschluss der MFA-Einrichtung

Nach der Registrierung der Mobile App sind noch weitere Schritte erforderlich, um die Einrichtung der Multi-Faktor-Authentifizierung vollständig abzuschließen. Dazu gehören eine zusätzliche Sicherheitsüberprüfung sowie die Konfiguration einer weiteren Sicherheitsinformation.

Durchführung der zusätzlichen Sicherheitsüberprüfung

Nach Registrierung der Mobile App erfolgt eine zusätzliche Sicherheitsüberprüfung. Hier wird die Mobile App erstmalig zur Authentifizierung verwendet. Die Sprache der Azure Authenticator App richtet sich automatisch nach der Sprache des Anmeldedialogs in Office 365. Die Azure Authenticator App ist zudem mandantenfähig, d. h. die Mobile App kann zur Authentifizierung an verschiedenen Office 365 Mandanten bzw. Azure Active Directory basierten Anwendungen genutzt werden.

Konfiguration zusätzlicher Sicherheitsinformationen

Sofern noch nicht geschehen, ist eine zusätzliche Sicherheitsüberprüfung zu konfigurieren. Dies ist nötig, um bei Bedarf zum Beispiel einen Self Service Password Reset durchzuführen. Damit werden neben der eigentlichen Multi-Faktor-Authentifizierung weitere Informationen hinterlegt, die für entsprechende Self Service Funktionen verwendet werden können.

Bereitstellung eines App-Kennworts

Vor Fertigstellung wird noch ein App Kennwort angezeigt. Dies ist eine Art Fallback- bzw. Kompatibilitätsfeature, um klassische Anwendungen, welche keine Multi-Faktor-Authentifizierung unterstützen, weiterhin nutzen zu können. Bei Nutzung des App Passworts erfolgt keine Multi-Faktor-Authentifizierung, allerdings erfolgt eine Authentifizierung mittels des generierten, starken App Kennworts.

Anpassung der Multi-Faktor-Authentifizierung

Natürlich kann der Anwender die Einstellungen der Multi-Faktor-Authentifizierung auch nachträglich ändern. Dies ist nötig, wenn man zum Beispiel ein anderes Smartphone verwenden oder eine andere Telefonnummer für die SMS basierte Authentifizierung verwenden möchte. Die MFA-Einstellungen sind in den Office 365 Settings im Bereich Settings zu finden.

Änderung der persönlichen MFA-Einstellungen

Die Einstellungen der Multi-Faktor-Authentifizierung können vom Anwender nach der erstmaligen Einrichtung angepasst werden. Dies betrifft beispielsweise die bevorzugte Authentifizierungsmethode oder die hinterlegte Telefonnummer. Auch beim Wechsel auf ein anderes Smartphone müssen die entsprechenden Einstellungen angepasst und das neue Gerät für die Multi-Faktor-Authentifizierung eingerichtet werden.

Verwendung von App-Kennwörtern

Das App-Kennwort wird benötigt für die Anwendungen, die eine Multi-Faktor-Authentifizierung (noch) nicht unterstützen. Eine dieser Anwendungen ist Skype for Business in der Desktop-Version. Versucht man sich dort mit seinem normalen Passwort anzumelden, erscheint eine Fehlermeldung. App-Kennwörter können in den Office 365 Settings > Settings erstellt werden. Mit dem App-Kennwort funktioniert der Login für Skype for Business.

Zugriff über PowerShell

Die Nutzung der Multi-Faktor-Authentifizierung für den Zugriff auf Office 365 bzw. Azure Active Directory mittels PowerShell ist nicht möglich.

Fragen zur Multi-Faktor-Authentifizierung

Bei der Nutzung der Multi-Faktor-Authentifizierung ergeben sich verschiedene Fragen zu den unterstützten Identitätstypen, zur Verwendung der Mobile App und zum App Kennwort. Entscheidend ist dabei unter anderem, welcher Authentifizierungs- bzw. Identity Provider für die jeweilige Identität verwendet wird.

Unterstützung verschiedener Identitätstypen

Generell ist zu sagen, dass eine Multi-Faktor-Authentifizierung nur vom jeweiligen Authentifizierungs- bzw. Identity Provider bereitgestellt werden kann. Im Office 365 Umfeld wird zwischen drei Identitätstypen unterschieden:

Cloud Identity: Identitätsprovider für diese Identities ist Azure Active Directory. Die Multi-Faktor-Authentifizierung von Office 365 / Azure Active Directory kann für diese Identitäten genutzt werden.
Federated Identity: Diese Identitäten authentifizieren gegen einen anderen Identity Provider, z. B. gegen den unternehmenseigenen ADFS Service. Die Office 365 / Azure Active Directory Multi-Faktor-Authentifizierung kann nicht verwendet werden. Allerdings kann auch ein ADFS Server eine Multi-Faktor-Authentifizierung durchführen, sofern er entsprechend konfiguriert wurde. Um die Azure Active Directory Multi-Faktor-Authentifizierung für einen ADFS Service zu verwenden, muss allerdings ein sogenannter Multi-Faktor-Authentifizierungsserver installiert werden.
Synchronized Identity: Diese Identitäten nutzen ein Same Sign-On, d. h. der Anwender authentifiziert mit seinem Unternehmenspasswort gegen Azure Active Directory. In diesem Fall kann die Office 365 / Azure Active Directory Multi-Faktor-Authentifizierung verwendet werden.

Mandantenfähigkeit der Mobile App

Die Mobile App ist mandantenfähig. Das bedeutet, dass die Azure Authenticator App für die Authentifizierung an verschiedenen Office 365 Mandanten genutzt werden kann. Damit kann die Mobile App für mehrere entsprechende Benutzerkonten bzw. Umgebungen zur Authentifizierung eingesetzt werden.

Bedeutung des App-Kennworts

Das App-Kennwort (App-Password) wird benötigt, da derzeit nicht alle Anwendungen eine Multi-Faktor-Authentifizierung unterstützen. Das App-Kennwort wird generiert und ist in den meisten Fällen deutlich stärker als ein Kennwort, welches sich der Anwender selbst ausdenkt.

Grenzen der Multi-Faktor-Authentifizierung

Die Multi-Faktor-Authentifizierung erhöht den Schutz von Identitäten und Unternehmensdaten, deckt jedoch nicht alle Sicherheitsrisiken ab. Neben der MFA sind deshalb weitere Maßnahmen erforderlich, um Daten zu schützen und Identitäten über ihren gesamten Lebenszyklus hinweg zu verwalten.

Änderung der Authentifizierungseinstellungen

Die Einstellungen, wie zum Beispiel die bevorzugte Authentifizierungsmethode, sind in den Office 365 Settings änderbar. Anwender können damit ihre Einstellungen bei Bedarf nachträglich anpassen. Dies ist beispielsweise erforderlich, wenn eine andere Authentifizierungsmethode verwendet oder die hinterlegten Informationen geändert werden sollen.

Begrenzung des Schutzes durch MFA

Die Multi-Faktor-Authentifizierung verhindert lediglich, dass sich jemand mit Login und Passwort an einer Anwendung anmelden kann. Die MFA schützt zum Beispiel nicht davor, dass ein authentifizierter und autorisierter Anwender Daten aus der Anwendung herausnimmt und an Dritte weitergibt. Hierfür sind Lösungen wie Information Rights Management in SharePoint bzw. Azure Rights Management zu empfehlen.

Ergänzung durch Identity Lifecycle Management

Ebenso schützt die MFA nicht, wenn ein Anwender aus dem Unternehmen ausscheidet und die Identität nicht deaktiviert wird. Auch eine Multi-Faktor-Authentifizierung benötigt deshalb ein Identity Lifecycle Management, damit Identitäten und deren Zugriffsberechtigungen entsprechend verwaltet werden.

Fazit und Empfehlung

Die Multi-Faktor-Authentifizierung als Teil von Office 365 bzw. Azure Active Directory ist ein fundamentaler Schutzfaktor für Unternehmensdaten. Als Office 365 Administrator kann die Multi-Faktor-Authentifizierung mit wenigen Klicks bzw. per PowerShell für einzelne oder alle Anwender aktiviert werden.

Einfache Einrichtung der Authentifizierung

Die einmalige Registrierung des zweiten Authentifizierungsfaktors durch den Anwender ist in wenigen Minuten abgeschlossen und selbsterklärend. Zusätzlich wird aber auch eine umfangreiche Hilfe und Videos von Microsoft in den Dialogen angeboten. Ich selbst schütze meine Office 365 Identität und damit den Zugriff auf die Unternehmensdaten durch die Multi-Faktor-Authentifizierung und habe mich schnell an das Bestätigen der Authentifizierungsanforderung via Mobile App gewöhnt.

Nutzung in verschiedenen Anwendungen

Die Multi-Faktor-Authentifizierung funktioniert einwandfrei in den Anwendungen Office, OneDrive, Skype, OneNote etc. sowohl auf Desktop und Smartphones, intensiv getestet mit iOS und Windows Phone. Der Zeitverlust pro Authentifizierung beträgt weniger als 10 Sekunden - das ist mir der Schutz meiner Identität wert. Allerdings sollte man nicht sein Smartphone zu Hause liegen lassen.

Einschränkungen bei einzelnen Anwendungen

Einziger Kritikpunkt ist, dass aktuell zwar die meisten, aber nicht alle Microsoft Anwendungen die Microsoft Multi-Faktor-Authentifizierung unterstützen. Outlook 2016 und Skype for Business benötigen derzeit das App Passwort. Das sorgt bei der Einrichtung gerne etwas für Verwirrung.

Wie netunite Sie unterstützt

Eine sichere Authentifizierung ist ein wichtiger Bestandteil zum Schutz von Identitäten und Unternehmensdaten in Microsoft 365. netunite unterstützt Sie bei der Analyse Ihrer bestehenden Umgebung sowie bei der Planung, Konfiguration und Integration der Multi-Faktor-Authentifizierung in Ihre Sicherheitsstrategie.

Analyse der bestehenden Sicherheitskonfiguration

Wir analysieren gemeinsam mit Ihnen die bestehende Microsoft 365 Umgebung und betrachten die aktuelle Konfiguration der Identitäten und Authentifizierung. Dabei werden bestehende Anforderungen und mögliche Optimierungspotenziale berücksichtigt.

Konfiguration der Multi-Faktor-Authentifizierung

Wir unterstützen Sie bei der Planung und Einrichtung der Multi-Faktor-Authentifizierung für Ihre Microsoft 365 Umgebung und begleiten die technische Konfiguration entsprechend Ihren Anforderungen.

Integration in die Sicherheitsstrategie

Neben der technischen Einrichtung betrachten wir die Multi-Faktor-Authentifizierung im Zusammenspiel mit weiteren Sicherheitsmaßnahmen. So kann die Absicherung von Identitäten sinnvoll in Ihre bestehende Microsoft 365 Sicherheitsstrategie integriert werden.

Sicher in Microsoft 365 arbeiten

Schützen Sie Identitäten und Unternehmensdaten mit einer passend konfigurierten Authentifizierung. Wir unterstützen Sie bei der Planung und sicheren Umsetzung in Ihrer Microsoft 365 Umgebung.

Jetzt Kontakt aufnehmen

Weiterführende Links & Ressourcen

Ergänzend zur Multi-Faktor-Authentifizierung finden Sie hier weiterführende Praxisbeispiele, Fachbeiträge und Microsoft-Dokumentationen rund um Identitätsschutz, Authentifizierung und die Absicherung von Microsoft 365.

Microsoft Links

netunite Linktipp

Schützen Sie Ihre Microsoft 365 Umgebung mit einer Multi-Faktor-Authentifizierung oder mit Passkeys. Wir unterstützen Sie bei der Umsetzung der neuesten Authentifizierungsmöglichkeiten.

Schreiben Sie uns gerne direkt an: vertrieb@netunite.eu.