Kontotyp und mögliche Reichweite bestimmen

Ein Administratorzugang hat eine andere Reichweite als ein gewöhnliches Benutzerkonto. Auch ein technisch unscheinbares Dienstkonto kann umfangreiche Daten abrufen. Stellen Sie zusammen, für welche Anwendungen der Zugang gilt, ob gemeinsame Anmeldung verwendet wird und welche privilegierten Rollen zugeordnet sind.

Bei gemeinsam genutzten Passwörtern muss die Untersuchung mehrere Personen und Systeme berücksichtigen. Dokumentieren Sie die legitimen Nutzer, anstatt allein aus einem bekannten Kontonamen auf die handelnde Person zu schliessen. Zeitstempel und Geräteinformationen helfen, ungewöhnliche Aktivitäten von normalem Betrieb zu unterscheiden.

Kontrolle zurückgewinnen, ohne sich selbst auszusperren

Die Eindämmung sollte von einer vertrauenswürdigen administrativen Umgebung aus erfolgen. Vor Änderungen wird geklärt, welche sicheren Ersatzkonten verfügbar sind. Bei kritischen Identitätsdiensten kann ein unkoordinierter Eingriff alle Verantwortlichen aussperren und die Bearbeitung des eigentlichen Vorfalls zusätzlich erschweren.

Zum Prüfauftrag gehören je nach Plattform aktive Sitzungen, neu registrierte Anmeldemethoden, Wiederherstellungsoptionen und erteilte App-Zugriffe. Das Vorgehen orientiert sich an der aktuellen Herstellerdokumentation. Ein Passwortwechsel ohne diese Zusammenhänge kann einen Teil der fortbestehenden Zugriffsmöglichkeiten übersehen.

Den ursprünglichen Verlust verstehen

War Phishing, Schadsoftware, eine versehentliche Veröffentlichung oder eine fremde Geräteanmeldung der Auslöser? Diese Frage beeinflusst die Nacharbeit. Bei einem kompromittierten Arbeitsplatz können neu eingegebene Geheimnisse erneut offengelegt werden. Bei einem veröffentlichten API-Schlüssel müssen die tatsächlich berechtigten Integrationen berücksichtigt werden.

Eine sinnvolle Abnahme prüft, ob reguläre Nutzer wieder arbeiten können, unerwünschte Zugriffswege geschlossen sind und verdächtige Folgeaktivitäten bewertet wurden. Für die Anfrage benötigen wir zunächst Dienst, Kontotyp, beobachtetes Ereignis und Zeitpunkt. Passwörter werden dafür nicht im Klartext benötigt.

Ihre Checkliste für den nächsten Schritt

  • Betroffenen Dienst und Kontorechte benennen.
  • Sicheren administrativen Ersatzweg vor Änderungen prüfen.
  • Sitzungen, App-Zugriffe und Wiederherstellungsoptionen berücksichtigen.

Häufige Fragen

Schützt vorhandene MFA vor jedem Kontodiebstahl?

Nein. Art und Umsetzung der Anmeldung sowie missbrauchte Sitzungen müssen berücksichtigt werden. MFA bleibt dennoch eine wichtige Schutzmassnahme.

Müssen alle Unternehmenspasswörter geändert werden?

Der Umfang richtet sich nach Befund und Reichweite. Eine abgestimmte Priorisierung ist sinnvoller als eine unkoordinierte Massenänderung.

Quellen & weiterführende Informationen

Microsoft: Reaktion auf kompromittierte Cloudkonten ↗

Fachliche Orientierung, Stand 25.10.2026. Der konkrete Befund erfordert Zugriff auf die betroffene Umgebung und eine abgestimmte Prüfung.