Nicht jede Administratorrolle in Microsoft 365 wiegt gleich schwer. Einige bedeuten volle Kontrolle über Ihr gesamtes Unternehmen, andere erlauben nur das Lesen von Berichten. Dieses Werkzeug ordnet Ihre Rollen in drei Ebenen ein.
Über die Jahre bekommt der eine Kollege Rechte für ein Projekt, der Dienstleister für eine Umstellung, der Praktikant für einen Test. Zurückgenommen wird selten etwas.
Die Frage ist nicht, wie viele Administratoren Sie haben. Die Frage ist, wie viele davon Ihr Unternehmen vollständig übernehmen könnten, wenn ihr Konto in fremde Hände gerät.
Für die Übernahme eines Microsoft 365 genügt ein einziges Konto der obersten Ebene. Wer es hat, kann Postfächer lesen, Zugänge anlegen, Schutzfunktionen abschalten und Protokolle löschen. Je mehr solcher Konten existieren, desto größer die Fläche, die ein Angreifer treffen kann.
Fügen Sie die Rollenbezeichnungen aus Ihrem Microsoft-365-Verwaltungsbereich ein, eine pro Zeile. Die Auswertung läuft vollständig in Ihrem Browser. Ihre Eingaben werden nicht übertragen und nicht gespeichert.
Einstufung wird von AzTier geladen.
Zwei Wege, je nachdem, was Sie zur Hand haben.
Exchange Administrator: 2.Braucht das Modul Microsoft.Graph (Install-Module Microsoft.Graph) und Leserechte auf das Verzeichnis. Der Befehl liest nur, er ändert nichts. Die Ausgabe können Sie direkt hier einfügen.
Connect-MgGraph -Scopes "RoleManagement.Read.Directory","Directory.Read.All"
Get-MgDirectoryRole -All | ForEach-Object {
$n = (Get-MgDirectoryRoleMember -DirectoryRoleId $_.Id -All).Count
"$($_.DisplayName): $n"
}
Der Befehl zählt aktive Zuweisungen. Berechtigungen, die über PIM nur bei Bedarf aktiviert werden, erscheinen darin nicht. Die Portalansicht zeigt beides getrennt.
Angreifer suchen den kürzesten Weg zur größten Kontrolle. Die Einteilung folgt genau diesem Weg. Damit wissen Sie, wo Schutzmaßnahmen zuerst wirken.
Diese Rollen können das gesamte Unternehmen übernehmen, direkt oder über einen bekannten Umweg. Dazu zählen auch Rollen, die harmlos klingen, etwa für Postfächer, Geräte oder das Zurücksetzen von Kennwörtern. Sie gehören auf eigene Konten, die nicht für die tägliche Arbeit benutzt werden, mit Rechten nur bei Bedarf und einem zweiten Sicherheitsschritt, der sich nicht abfangen lässt.
Voller Zugriff auf einzelne Dienste, eingeschränkte Verwaltung der Anmeldung oder Leserechte auf alles. Nach heutigem Wissen führt von hier kein Weg zur vollen Kontrolle. Trotzdem gehören diese Rechte befristet vergeben und nur an Personen, die sie tatsächlich brauchen.
Meist reine Leserechte für Berichte und Übersichten. Das Risiko ist gering. Trotzdem gilt auch hier: vergeben wird, was gebraucht wird.
Wie es um Anmeldungen, Geräte, Daten und E-Mail in Ihrem Haus steht, beantwortet er nicht. In der Sammlung finden Sie weitere Werkzeuge, die andere Ecken ausleuchten.
Weitere Werkzeuge ansehenAlle kostenfrei, ohne Anmeldung.