Incident Response im Microsoft-365-Tenant: Was Unternehmen vorbereiten sollten

Die meisten Unternehmen haben ein Dokument mit dem Titel „Notfallplan“. Im Ernstfall zeigt sich, ob es trägt: ob klar ist, wer entscheidet, ob die IT weiß, was in welcher Reihenfolge zu tun ist, und ob sich hinterher belegen lässt, was passiert ist. Dieser Beitrag beschreibt, was Sie in einer Microsoft-365-Umgebung vorbereiten sollten, zuerst für die Geschäftsführung, dann für die IT.

Welche Entscheidungen muss die Geschäftsführung vor einem Vorfall treffen?

Die Geschäftsführung muss vorab festlegen, wer einen Sicherheitsvorfall erklärt, wer nach außen kommuniziert und wer über Eingriffe in den Betrieb entscheidet. Wer das erst im Vorfall klärt, verliert die Stunden, in denen sich der Schaden noch begrenzen lässt.

Klären Sie schriftlich, jeweils mit Stellvertretung:

• Erklärung des Vorfalls: Wer stuft ein Ereignis als Vorfall ein, nach welchem Schweregradmodell mit drei oder vier Stufen?
• Betriebsentscheidungen: Wer darf Konten sperren, Systeme vom Netz nehmen oder den Mailverkehr einschränken, auch wenn das den Umsatz trifft?
• Kommunikation: Wer informiert Mitarbeitende, Kunden und Partner, mit welchen Textvorlagen?
• Versicherer: Welche Meldepflichten und Fristen stehen in Ihrer Police, und welche Dienstleister sind dort benannt?
• Behörden: Die NIS2-Richtlinie (Art. 23) sieht bei erheblichen Vorfällen eine Frühwarnung innerhalb von 24 Stunden, eine Meldung innerhalb von 72 Stunden nach Kenntnis und einen Abschlussbericht spätestens einen Monat nach dieser Meldung vor. Maßgeblich ist für deutsche Unternehmen die nationale Umsetzung im BSI-Gesetz. Sind personenbezogene Daten betroffen, gilt zusätzlich die 72-Stunden-Frist der DSGVO (Art. 33).

Vorbeugen, erkennen, wiederherstellen: Was heißt das in der Praxis?

Kein Schutz ist lückenlos. Entscheidend ist, wie schnell Sie einen Angriff bemerken und wie zuverlässig Sie danach weiterarbeiten können.

• Vorbeugen senkt die Wahrscheinlichkeit: phishing-resistente Anmeldung, verwaltete Geräte, wenige und zeitlich begrenzte Administratorrechte.
• Erkennen und reagieren begrenzt den Schaden: Jemand bewertet Alarme in vereinbarter Zeit und handelt nach einem Ablauf.
• Wiederherstellen sichert den Betrieb: Daten und Konfigurationen lassen sich aus manipulationssicheren Sicherungen zurückholen, und das wurde getestet.

Was tut die IT in der ersten Stunde nach einer vermuteten Kontoübernahme?

Die IT sperrt den Zugang des Angreifers vollständig; ein neues Passwort allein reicht dafür nicht. In der Praxis hat sich diese Reihenfolge bewährt:

1. Konto deaktivieren oder Passwort zurücksetzen. Das neue Passwort nicht per E-Mail übermitteln; das Postfach könnte mitgelesen werden. Bei synchronisierten Konten das Passwort im lokalen Active Directory ändern.
2. Sitzungen widerrufen. Im Microsoft Entra Admin Center beim Benutzer „Sitzungen widerrufen“ ausführen, damit bestehende Aktualisierungstoken ungültig werden.
3. Authentifizierungsmethoden prüfen. Vom Angreifer registrierte MFA-Methoden oder Geräte entfernen.
4. App-Zustimmungen prüfen. Unter Unternehmensanwendungen nachsehen, welchen Apps der Benutzer Zugriff erteilt hat (OAuth-Zustimmungen), und unbekannte widerrufen. Solche Zustimmungen bleiben nach einem Passwortwechsel bestehen.
5. Postfachregeln und Weiterleitungen prüfen. Regeln, die Mails löschen, verschieben oder nach außen weiterleiten, sind ein typisches Zeichen.
6. Rollen und Anmeldeprotokolle auswerten. Wurden Administratorrollen vergeben? Von wo und mit welcher Methode wurde angemeldet? Die Anmelde- und Überwachungsprotokolle in Entra ID zeigen den Zeitraum, den Sie untersuchen müssen.

Halten Sie jeden Schritt mit Uhrzeit fest. Diese Zeitleiste brauchen Sie für Meldung, Versicherer und Nachbereitung.

Wie unterstützen Defender XDR und Sentinel im Ernstfall?

Im Defender-Portal führt Defender XDR zusammengehörige Alarme zu einem Incident zusammen. Die automatische Angriffsunterbrechung sperrt bei eindeutigen Angriffsmustern kompromittierte Konten oder dämmt betroffene Geräte ein, bevor ein Mensch eingreift. Jede Aktion ist im Action Center protokolliert und kann rückgängig gemacht werden. Legen Sie fest, wer das nach der Untersuchung freigibt.

Mit Microsoft Sentinel ergänzen Sie Automatisierungsregeln und Playbooks: etwa die Bereitschaft benachrichtigen, ein Ticket anlegen oder nach Freigabe ein Konto sperren. Wann sich Sentinel lohnt, beschreibt der Beitrag Defender XDR und Microsoft Sentinel.

Warum gehören Notfallkonten in den Plan?

Wenn eine fehlerhafte Conditional-Access-Richtlinie oder ein Angreifer alle Administratoren aussperrt, sind Notfallkonten (Break-Glass-Konten) der einzige Weg zurück. Dazu gehören mindestens zwei reine Cloud-Konten, phishing-resistente Anmeldung per FIDO2-Schlüssel oder Zertifikat, Ausnahme von sperrenden Conditional-Access-Richtlinien, Alarm bei jeder Anmeldung und eine Funktionsprüfung mindestens alle 90 Tage. Jede Nutzung außerhalb einer Übung ist selbst ein Vorfall.

Woran erkennen Sie, dass die Wiederherstellung funktioniert?

Nur an einem Test. Für Exchange Online, OneDrive und SharePoint bietet Microsoft 365 Backup Wiederherstellungspunkte in einem Speicher, der bestehende Sicherungen nicht überschreibt. Für Server und Azure-Ressourcen schützen Azure Backup mit unveränderlichem Tresor und Mehrbenutzerautorisierung die Sicherungen vor Löschung. Stellen Sie regelmäßig ein Postfach, eine SharePoint-Website und einen Server testweise wieder her und messen Sie die Dauer. Erst dann wissen Sie, ob Ihre Wiederherstellungsziele realistisch sind.

Ergänzend gehört eine Tabletop-Übung dazu: ein durchgespieltes Szenario am Tisch, bei dem Geschäftsführung und IT ihre Entscheidungen treffen, ohne Systeme anzufassen.

Was sollten Sie als Nachweis dokumentieren?

• Den freigegebenen Plan mit Rollen, Stellvertretungen und Schweregradmodell
• Zeitleiste und Entscheidungen jedes Vorfalls, einschließlich Incident-Klassifizierung im Defender-Portal
• Meldungen an Behörden, Versicherer und Betroffene mit Zeitstempel
• Protokolle von Übungen und Wiederherstellungstests mit gemessenen Zeiten
• Maßnahmen aus der Nachbereitung mit verantwortlicher Person und Termin

Der nächste Schritt

In Security Assessments prüfen wir Ihren Notfallplan, Ihre Notfallkonten und Ihre Wiederherstellung im Tenant und führen auf Wunsch eine Tabletop-Übung mit Geschäftsführung und IT durch. Mit Managed Security & SOC übernehmen wir Triage und Erstreaktion nach abgestimmten Runbooks und liefern die Nachweise.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Reicht es, nach einer Kontoübernahme das Passwort zu ändern?

Nein. Bestehende Sitzungen, vom Angreifer registrierte MFA-Methoden, erteilte App-Zustimmungen und Postfachregeln bleiben nach einem Passwortwechsel bestehen. Sitzungen müssen widerrufen und alle diese Punkte geprüft werden.

Wie oft sollten wir den Notfallplan üben?

Wir empfehlen mindestens eine Tabletop-Übung im Jahr sowie nach größeren Änderungen an Organisation oder IT. Notfallkonten prüfen Sie mindestens alle 90 Tage, Wiederherstellungstests planen Sie fest ein.

Wer muss bei einem Sicherheitsvorfall informiert werden?

Intern Geschäftsführung, IT-Leitung und Datenschutzbeauftragte. Extern je nach Lage die zuständige Behörde nach NIS2, die Datenschutzaufsicht bei personenbezogenen Daten, der Versicherer sowie betroffene Kunden und Partner. Die Wege legen Sie vorab im Plan fest.

Brauchen wir dafür ein eigenes SOC?

Nicht zwingend. Entscheidend ist, dass Alarme in vereinbarter Zeit bewertet werden. Das kann intern, durch einen Dienstleister oder hybrid geschehen, solange Zuständigkeiten, Befugnisse und Nachweise geregelt sind.