Microsoft 365 Consent Phishing

Von Mirko Peters · 2026-04-26 · Aktualisiert 2026-07-18

Erfahren Sie, wie Microsoft 365 Consent Phishing klassische MFA-Schutzmaßnahmen umgeht, OAuth-Berechtigungen missbraucht und wie Sie es erkennen und verhindern.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Cover: Stop OAuth Consent Attacks in Microsoft Entra ID

Consent Phishing zählt zu den am schnellsten wachsenden Bedrohungen in Microsoft 365- und Azure-Umgebungen. Es trifft Organisationen oft unvorbereitet, weil es selbst die stärksten Authentifizierungsmechanismen umgeht. Anders als klassisches Phishing, das Ihr Passwort stehlen will, verschafft sich der Angreifer über eine „Hintertür“ Zugang. Er nutzt dafür genau die Mechanismen aus, die die Anmeldung sicher machen sollen. Die Methode setzt auf das Vertrauen der Benutzer und nutzt OAuth, dasselbe Autorisierungsframework, auf dem auch legitime Single-Sign-on-Lösungen und App-Integrationen in der Cloud beruhen.

Angreifer können Consent Phishing nutzen, um dauerhaft und unbemerkt Zugriff auf sensible Geschäftsdaten zu behalten, selbst in Umgebungen, die durch Multi-Faktor-Authentifizierung (MFA) geschützt sind. Dieser Leitfaden zeigt im Detail, wie und warum Consent Phishing klassische Sicherheitsmaßnahmen umgeht, analysiert reale Angriffe und beschreibt praxisnahe Schritte, um Consent-bezogene Bedrohungen zu erkennen, zu verhindern und einzudämmen. Ob Sie Microsoft 365 für ein kleines Team betreiben oder die Sicherheit für Tausende Benutzer verantworten: Wer versteht, wie Angreifer innerhalb von OAuth-Zustimmungsabläufen vorgehen, verfügt heute über eine unverzichtbare Fähigkeit.

Consent Phishing verstehen und warum MFA versagt

Bevor Sie in die technischen Details einsteigen, lohnt sich der Blick auf das große Ganze: Warum Consent Phishing in der Cloud-Sicherheit immer wieder für Schlagzeilen sorgt. Hier geht es nicht um die üblichen Phishing-Tricks, die Ihre Anmeldedaten abgreifen und Schutzmechanismen durch Brute-Force-Angriffe aushebeln wollen. Consent Phishing gehört zu einer neueren, subtileren Angriffsklasse. Es kehrt die Bequemlichkeit gegen Sie, indem es legitime App-Berechtigungen und Autorisierungsabläufe als Waffe einsetzt.

Mit Cloud-Plattformen wie Microsoft 365 und Azure ist OAuth allgegenwärtig. Darüber verbinden Benutzer Drittanbieter-Apps, teilen Daten und automatisieren Aufgaben, oft mit einem einzigen Klick. Leider wissen Angreifer, dass Benutzer dem vertrauen, was offiziell aussieht. Sie nutzen gezielt Momente aus, in denen eine Berechtigungsabfrage nur kurz aufblitzt und niemand allzu genau hinschaut. Entscheidend ist: Diese Angriffe stützen sich nicht auf gestohlene Passwörter. Stattdessen bringen sie echte Benutzer dazu, die Schlüssel zum Königreich selbst herauszugeben. Gehackt werden muss dafür nichts, es braucht nur etwas Social Engineering und clevere Verkleidungen.

Besonders gefährlich an Consent Phishing ist die Fähigkeit, Multi-Faktor-Authentifizierung (MFA) und klassische Sicherheitsmaßnahmen zu umgehen. Statt einzubrechen, bitten Angreifer höflich um Zugriff. Benutzer, die in Eile sind oder die Gefahr nicht erkennen, gewähren der schädlichen App dann bereitwillig Zugang. Dieser Leitfaden hilft Ihnen zu verstehen, wie und warum diese Angriffe funktionieren und was sie für Microsoft-Identitätssysteme besonders riskant macht. Mit dieser Perspektive wird klar, dass die Abwehr von Consent Phishing ein grundlegend anderes Denken erfordert als der klassische Schutz von Zugangsdaten.

Was ist Consent Phishing und warum umgeht es die Multi-Faktor-Authentifizierung?

Consent Phishing ist eine Angriffsart, bei der Benutzer dazu gebracht werden, einer vom Angreifer kontrollierten Anwendung Zugriff auf ihre Cloud-Ressourcen zu gewähren. Dafür bestätigen sie eine scheinbar legitime OAuth-Berechtigungsanfrage. Anders als beim klassischen Phishing werden keine Zugangsdaten gestohlen oder erraten. Consent Phishing setzt darauf, dass Benutzer die schädliche App selbst autorisieren. Gerade in einer Cloud-first-Welt ist das besonders gefährlich.

Und hier liegt der Knackpunkt: Wenn Sie einen Zustimmungsdialog bestätigen, erhält die App vom Identitätsanbieter (etwa Microsoft Entra ID, früher Azure AD) Zugriffs- und Aktualisierungstoken. Mit diesen Token lässt sich auf Ihre Microsoft-365-Daten zugreifen, also auf E-Mails, Dateien, Kalender und mehr. Dazu muss das Passwort nicht bekannt sein, und die MFA wird nicht ausgelöst. Der Angreifer muss Ihre Anmeldesicherheit nicht umgehen. Er nutzt einfach den Zugriff, den Sie freiwillig erteilt haben und den die Plattform als vollkommen legitim betrachtet.

Der Unterschied zwischen Credential Phishing und Consent Phishing ist subtil, aber enorm. Credential Phishing zielt darauf ab, Benutzername und Passwort abzugreifen, wobei die MFA oft schützt. Consent Phishing dagegen läuft im offiziellen OAuth-2.0-Autorisierungscodefluss ab. Selbst bei konsequent erzwungener MFA umgeht der Angreifer diese vollständig, indem der Benutzer den Zustimmungsablauf innerhalb seiner bestehenden Sitzung abschließt. Sobald die OAuth-Token ausgestellt sind, bleibt der Zugriff des Angreifers bestehen, selbst wenn das Opfer sein Passwort ändert oder seine Sitzung widerruft.

Einen tieferen Einblick bietet diese Übersicht über OAuth-Consent-Angriffe in Entra ID. Sie beschreibt die tatsächlichen Risiken und die Abwehrstrategien, die Organisationen priorisieren sollten. Das Fazit: Wenn Sie diese Angriffe an der Wurzel stoppen wollen, müssen Sie über die Absicherung von Zugangsdaten und MFA hinausdenken.

Wie OAuth-Consent-Phishing das Vertrauen missbraucht, um Daten zu kompromittieren

Angreifer, die Consent-Phishing-Kampagnen durchführen, erstellen Drittanbieteranwendungen oder geben sich als solche aus. Anschließend bringen sie Benutzer dazu, dieser Anwendung umfangreiche Berechtigungen zu erteilen. Dabei nutzen sie häufig OAuth-2.0-Abläufe, die vertraut und „sicher“ wirken. Der Benutzer sieht einen üblichen Zustimmungsdialog mit Anfragen wie „Ihre E-Mails lesen“ oder „Auf Ihre Dateien zugreifen“. Klickt er auf „Akzeptieren“, erhält die schädliche Anwendung echte OAuth-Token und damit direkten Zugriff auf die angegebenen Microsoft-365- oder Azure-Ressourcen.

Ab diesem Punkt benötigen Angreifer keine Kennwörter, Codes oder Umgehungsmethoden mehr. Die OAuth-Token, konkret die Zugriffs- und Aktualisierungstoken, ermöglichen den fortlaufenden Zugriff im Hintergrund. Diese Token bleiben gültig, bis sie manuell widerrufen werden oder ablaufen. Angreifer können dadurch weiterhin Daten abrufen, E-Mails senden und Aktionen im Namen des Opfers ausführen, selbst wenn Kennwörter geändert oder Sitzungen an anderer Stelle abgemeldet werden.

Diese Methode nutzt das implizite Vertrauen aus, das Benutzer Zustimmungsdialogen entgegenbringen, besonders in Umgebungen, in denen die Oberfläche offiziell wirkt und wenig Zeit zur Verfügung steht. Da OAuth-Abläufe echte Workflows des Identitätsanbieters verwenden, gibt es keine verdächtige Anmeldung, die auffallen könnte, und keine MFA-Abfrage, die ein Angreifer überwinden müsste. Die Angriffe laufen lautlos ab und nutzen dieselben APIs, denen im täglichen Geschäftsbetrieb vertraut wird.

Eine Analyse eines realen Sicherheitsvorfalls mit konkreten Erkenntnissen zu diesen Angriffsketten finden Sie in dieser Schritt-für-Schritt-Analyse des Missbrauchs von OAuth in Microsoft 365. Letztlich ist diese Form des dauerhaften Zugriffs für Verteidiger ein Problem: Angreifer bleiben oft unentdeckt, und der Weg zur vollständigen Datenwiederherstellung und Bereinigung der Anwendungen kann lang und mühsam sein.

Gängige Techniken und reale Consent-Phishing-Angriffe

Consent-Phishing ist keine rein theoretische Bedrohung. Es wurde bereits in einigen folgenreichen Kampagnen gegen Microsoft 365, Google Workspace und andere Cloud-Umgebungen eingesetzt. Angreifer passen ihre Methoden ständig an, von überzeugenden Anwendungsnamen bis hin zu unauffälligen Anfragen mit geringem Berechtigungsumfang. Für Sicherheitsteams bedeutet das: Ihr Werkzeugkasten entwickelt sich ständig weiter, mit neuen Tricks, die Verteidiger immer wieder herausfordern.

Dieser Abschnitt zeigt, was passiert, wenn Theorie auf die Praxis trifft. Sie erhalten einen Überblick über den Lebenszyklus eines Angriffs, darüber, was Benutzer bei gängigen Phishing-Versuchen tatsächlich sehen, und wie Angreifer ihre Zugriffsrechte ausweiten oder zwischen Plattformen wechseln. Von der schleichenden Ausweitung von Berechtigungen bis hin zu Schlagzeilen machenden Kampagnen wie ConsentFix zeigen die Taktiken, wie einfallsreich und hartnäckig Bedrohungsakteure inzwischen sind, wenn sie übliche Kontrollen umgehen.

Vor allem verdeutlichen diese realen Beispiele, warum es nicht genügt, sich auf pauschale Empfehlungen wie „Aktivieren Sie einfach MFA“ zu verlassen. Consent-Phishing erfordert, dass Verteidiger sowohl die menschliche Psychologie als auch die technische Prävention berücksichtigen. Sie müssen verstehen, wie subtile Social Engineering, Designschwächen in Zustimmungsdialogen und Lücken in der Governance von Anwendungen Angreifern Gelegenheiten eröffnen. Indem dieser Abschnitt praxisnahe Angriffe aufschlüsselt, hilft er Ihrem Sicherheitsteam, ein besseres Gespür zu entwickeln und wirksamere Abwehrstrategien aufzubauen.

Die fünf wichtigsten Consent-Phishing-Techniken, die Sicherheitsteams kennen müssen

Imitation des Herausgebers: Angreifer erstellen Anwendungen mit Namen, die legitimen Anbietern ähneln, etwa „Microsoft Secure Suite“ oder „HR Docs Cloud“. Benutzer vertrauen bekannten Markenauftritten und stimmen der Anfrage daher eher zu. Prüfen Sie immer die Details des Herausgebers und verifizieren Sie die Quelle.
Falsche Darstellung der Berechtigungen: Schädliche Anwendungen heben auf dem Zustimmungsbildschirm oft harmlos wirkende Berechtigungen hervor, schmuggeln aber weitreichende Rechte wie „Alle Postfächer lesen und schreiben“ oder „Vollzugriff auf Dateien“ ein. Benutzer, die nur auf den fett gedruckten Text achten, übersehen unter Umständen die tatsächlichen Risiken, denen sie zustimmen.
Geringe Berechtigungsumfänge für spätere Eskalation: Manche Angreifer fordern zunächst grundlegende Berechtigungen (etwa Zugriff auf Ihr Profil) an, um Verdacht zu vermeiden. Anschließend nutzen sie den anfänglichen Tokenzugriff als Einstieg und versuchen, über gezielte Phishing-Kampagnen oder Rechteausweitung weitreichendere Zustimmungen zu erhalten.
Laterale Bewegung mit persistenten OAuth-Tokens: Sobald Angreifer im System sind, nutzen sie Tokens und App-Berechtigungen, um sich innerhalb des Mandanten weiterzubewegen. Sie greifen auf freigegebene Laufwerke und Kalenderereignisse zu oder erweitern ihre Rechte innerhalb von Microsoft 365. Tokens können zunächst „gerade so ausreichenden“ Zugriff gewähren und später erweitert oder erneuert werden.
Kompromittierte Drittanbieter-Apps: Statt eigene Anwendungen zu entwickeln, kompromittieren Angreifer mitunter vertrauenswürdige Anwendungen unabhängiger Softwareanbieter (ISV) oder missbrauchen sie für ihre Zwecke. Diese Lieferkettenangriffe, denen viele Mandanten bereits weitreichende Berechtigungen erteilt haben, sind besonders schwer zu erkennen und können sich schnell über Organisationen hinweg ausbreiten.

Eine technische Vertiefung zu den zugrunde liegenden Mechanismen und dazu, wie sich Entra ID gegen diese Muster absichern lässt, finden Sie in dieser detaillierten Analyse des Missbrauchs von OAuth-Zustimmungen. Dies sind nur einige der vielen kreativen Wege, auf denen Angreifer gelernt haben, veraltete Schutzmaßnahmen und MFA zu umgehen.

So funktioniert die ConsentFix-Kampagne Schritt für Schritt

Initiale Phishing-E-Mail: Der Angriff beginnt mit einer überzeugenden E-Mail, die den Benutzer auffordert, „ein Richtlinienproblem zu beheben“ oder „sein Postfach abzusichern“. Die Nachricht enthält einen Link, der als offizielle Microsoft-Ressource getarnt ist.
Weiterleitung zur schädlichen Zustimmungsseite der App: Ein Klick auf den Link führt den Benutzer zu einer OAuth-Zustimmungsabfrage. Die Oberfläche wirkt vertraut, markenkonform und seriös, doch die dahinterliegende App wird von Angreifern kontrolliert, oft mit einem nachgemachten oder irreführenden Namen.
Erteilung der Zustimmung und Ausstellung von Tokens: Der Benutzer prüft die angeforderten Berechtigungen, die meist als notwendig für „Sicherheit“ oder „Compliance“ dargestellt werden, und klickt auf „Akzeptieren“. Damit erhält der Angreifer Zugriffs- und Aktualisierungstokens für das Konto des Benutzers.
Angreifer erhält dauerhaften Zugriff: Mit diesen Tokens greifen Angreifer auf Microsoft 365-Postfächer, Dateien, Kalender oder andere sensible Daten-APIs zu. Die Sitzung übersteht Kennwortänderungen und selbst die meisten MFA-Zurücksetzungen, bis die Zustimmung manuell widerrufen wird.
Unauffällige Datenabschöpfung und Monetarisierung: Der Angreifer schöpft unbemerkt E-Mail-Inhalte und sensible Dokumente ab oder nutzt verbundene Dienste für laterale Bewegungen. Da alles nach „autorisiertem“ Zugriff aussieht, ist die Erkennung schwierig, es sei denn, Ihr Team überwacht ungewöhnliche App-Aktivitäten oder neue Zustimmungen.

Wenn Sie genau sehen möchten, wie Angreifer diese Schritte in Microsoft 365 mit Entra ID miteinander verketten, werfen Sie einen Blick auf diese technische Schritt-für-Schritt-Anleitung zu OAuth-Zustimmungsangriffen.

Warum ConsentFix für Microsoft 365 und die Cloud-Sicherheit relevant ist

Die ConsentFix-Kampagne hat gezeigt, wie schnell und unauffällig Angreifer Microsoft 365, Google Workspace und andere SaaS-Mandanten kompromittieren können, indem sie legitime OAuth-Abläufe missbrauchen. Organisationen aus verschiedenen Branchen erlebten unberechtigten E-Mail-Zugriff, Datenabflüsse und eine verlängerte Präsenz von Konten, selbst nachdem Kennwörter zurückgesetzt und MFA erzwungen worden waren. Diese Angriffe zeigen, wie dringend mehrschichtige Abwehrmaßnahmen nötig sind: Sensibilisierung der Benutzer, Echtzeitüberwachung von Zustimmungen und ein konsequentes App-Governance-Management sind keine „netten Extras“, sondern entscheidend, um großflächige Sicherheitsverletzungen und Datenverluste in der Cloud zu verhindern.

Bösartige Anwendungen erkennen und ungewöhnliche Zustimmungen überwachen

Die Erkennung und Abwehr OAuth-basierter Bedrohungen ist nicht immer einfach, denn der Angriff fügt sich nahtlos in den normalen Geschäftsverkehr ein. Bis Sie die Auswirkungen bemerken, hat eine schädliche App womöglich schon seit Tagen oder Wochen unbemerkt sensible Daten abgeschöpft. Deshalb sind proaktive Erkennungsstrategien so wichtig. Sicherheitsteams brauchen mehr als präventive Kontrollen; sie benötigen echte Einblicke in Zustimmungsmuster, das Verhalten von Apps und darin, was in der gesamten Organisation als „normal“ gilt.

Dieser Abschnitt konzentriert sich auf praxisnahe Ansätze zur frühzeitigen Erkennung und Untersuchung. Sie erfahren, wie Sie verhaltensbasierte Signale, Anomalieüberwachung und native Microsoft-Enterprise-Werkzeuge nutzen, um riskante Zustimmungsereignisse zu erkennen, bevor sie außer Kontrolle geraten. Von ungewöhnlichen API-Aktivitäten bis zu Spitzen bei neuen App-Registrierungen: Die richtigen Hinweise helfen Ihnen, laufende Angriffe zu erkennen – und Zugriffe schnell abzusichern.

Betrachten Sie dies als die „Überwachungskameras“ Ihrer Cloud-Umgebung. Kontinuierliche Überwachung, automatisierte Protokollierung und intelligente Warnmeldungen verschaffen Ihnen eine realistische Chance, die Verweildauer von Angreifern zu begrenzen und Schäden zu minimieren. Und wenn Sie Compliance-Automatisierung anstreben oder eine Anbindung an das breitere Risikomanagement benötigen, können Integrationen mit Werkzeugen wie Microsoft Defender for Cloud Ihre Maßnahmen auf die nächste Stufe heben. Informationen dazu, wie Sie Ihre Umgebung mithilfe von Automatisierung compliant und sicher halten, finden Sie in diesem Leitfaden zur Überwachung der Compliance in Microsoft Defender for Cloud.

Wie Sie bösartige Anwendungen anhand von Verhaltens- und Zustimmungssignalen erkennen

Auf unerwartete Zustimmungen achten: Behalten Sie neue OAuth-Zustimmungen im Blick, insbesondere solche, die außerhalb der üblichen Geschäftszeiten erteilt wurden oder von unbekannten Herausgebern stammen. Eine große Anzahl neu autorisierter Apps kann ein Warnsignal sein.
Verdächtige API-Aufrufmuster analysieren: Achten Sie auf ungewöhnliches Verhalten, etwa einen hochfrequenten Zugriff auf Dateien, das massenhafte Lesen von Postfächern oder untypische Nutzung von Admin-APIs. Angreifer nutzen Berechtigungen häufig stärker aus als reguläre Apps.
Ungewöhnliche Token-Aktivitäten beobachten: Verfolgen Sie schnell aufeinanderfolgende oder wiederkehrende Erstellungen von Aktualisierungstoken sowie auffällige Muster im Lebenszyklus von Token. Bösartige Apps können Aktualisierungstoken missbrauchen, um den Zugriff lange nach der ursprünglichen Kompromittierung aufrechtzuerhalten.
Microsoft-Protokolle und Defender nutzen: Verwenden Sie Cloud-App-Security-Produkte und Entra-ID-Protokolle, um alle autorisierten Apps zu erfassen und riskante oder Schatten-Apps aufzudecken, die die üblichen IT-Genehmigungsprozesse umgangen haben. Werkzeuge wie Microsoft Defender for Cloud Apps bieten Transparenz und Warnmeldungen bei verdächtigem App-Verhalten.
Maßnahmen bei Schatten-IT-Funden ergreifen: Viele Vorfälle gehen auf nicht genehmigte oder nicht verwaltete App-Zugriffe zurück. Prüfen Sie Ihren Mandanten regelmäßig, verfolgen Sie riskante App-Funde nach und bereinigen Sie übermäßig privilegierte OAuth-Zustimmungen. Mehr dazu, wie Sie Schatten-IT in den Griff bekommen und nicht autorisierte Apps kontrollieren, erfahren Sie in diesem Leitfaden zur Verwaltung von Schatten-IT in Microsoft 365.

Untersuchung von Consent-Phishing-Angriffen mit Microsoft 365 Defender und Entra ID Protection

Threat Hunting: Beginnen Sie mit der Suche in den Entra-ID-Protokollen und den Warnmeldungen von Microsoft 365 Defender nach aktuellen Zustimmungsereignissen, verdächtigen App-Erstellungen oder auffälligen Anmeldemustern im Zusammenhang mit OAuth-Apps.
Gezielte Untersuchung: Analysieren Sie die Verläufe einzelner Benutzer und Apps und prüfen Sie, welche Berechtigungen wann und von wem erteilt wurden. Gleichen Sie diese Aktivitäten mit normalen Ausgangswerten und dem Zeitpunkt typischer Geschäftsprozesse ab.
Behebung: Wird eine bösartige Zustimmung gefunden, widerrufen Sie sofort die App-Token und Zustimmungen. Microsoft 365 Defender ermöglicht den massenhaften Widerruf und kann zusätzliche riskante Sitzungen kennzeichnen. So verhindern Sie, dass Angreifer dauerhafte Token nutzen, um ihren Zugriff aufrechtzuerhalten.
Kontinuierliche Überwachung und Automatisierung: Automatisieren Sie Warnmeldungen für neue hochriskante App-Zustimmungen, wiederholte Anfragen auf Administratorzustimmung oder bekannte bösartige Herausgeber-IDs. Richten Sie automatisierte Richtlinien für schnellere Reaktionen ein und verkürzen Sie die Verweildauer von Angreifern.
Compliance und Richtliniendurchsetzung integrieren: Nutzen Sie Microsoft Defender for Cloud für die kontinuierliche Compliance-Überwachung parallel zur Reaktion auf Vorfälle. Sehen Sie sich außerdem Ansätze zur Identitätsgovernance in Entra ID an, damit Sicherheitsrichtlinien langfristig durchsetzbar bleiben. So erkennen Sie sowohl Echtzeitangriffe als auch verhindern künftige Konfigurationsabweichungen oder Identitätsschulden, die neue Risiken eröffnen können.

Absicherung Ihrer Umgebung mit Zustimmungsrichtlinien und App-Einschränkungen

Wenn Sie Consent-Phishing wirksam stoppen wollen, müssen Sie direkt an der Quelle ansetzen: bei den Richtlinien und Konfigurationseinstellungen, die steuern, wie Apps Einwilligungen von Benutzern anfordern und erhalten. Diese Steuerungen müssen sorgfältig austariert werden. Benutzer sollen mit vertrauenswürdigen Integrationen produktiv arbeiten können, gleichzeitig darf aber niemand – versehentlich oder absichtlich – einen Wolf im Schafspelz hereinlassen.

Dieser Abschnitt dient als praktische Roadmap für Cloud-Administratoren und CISOs. Er führt durch die zentralen technischen Stellschrauben, die Ihnen zur Verfügung stehen: vom Entwurf der Einwilligungsrichtlinien und der Überprüfung des Herausgebers bis hin zur strikten Verwaltung der Lebensdauer von OAuth-Token. Richtig umgesetzt, können diese Strategien das Risiko minimieren und die Folgen begrenzen, wenn ein Angreifer einen Fuß in die Tür bekommt. Eine konsistente Governance ist unverzichtbar, besonders wenn die Zahl Ihrer SaaS-Integrationen wächst und Schatten-IT immer schwerer zu ignorieren ist.

Governance bedeutet nicht, Innovationen eine Absage zu erteilen. Es geht darum, Zugriffe zu kontrollieren, vertrauenswürdige Workflows zu definieren und die Grenzen durchzusetzen, die Ihre Umgebung auch mit wachsendem Umfang gesund halten. Wenn Sie an umfassenderen Security-Frameworks arbeiten, lassen sich die Erkenntnisse hier auch weit über Microsoft 365 hinaus anwenden, etwa auf Power Platform und andere geschäftliche SaaS-Anwendungen. Weitere Best Practices finden Sie in diesem Leitfaden zu Governance und Sicherheit in Power Platform.

So konfigurieren Sie Einwilligungsrichtlinien und beschränken die Benutzereinwilligung

Benutzereinwilligung standardmäßig einschränken: Konfigurieren Sie in Microsoft Entra ID mandantenweite Einstellungen so, dass nur Administratoren die Einwilligung für Apps mit hohem Risiko genehmigen können. Endbenutzer sehen Zustimmungsdialoge nur für Apps mit geringem Risiko. So werden versehentliche Genehmigungen minimiert.
Administrator-Genehmigungsworkflows aktivieren: Verlangen Sie für jede App, die umfangreiche oder sensible Berechtigungen anfordert, eine administrative Prüfung und Freigabe. Das verhindert eine „nebenbei“ erteilte Autorisierung riskanter Apps und schafft einen formalen Nachweis über alle Einwilligungsaktivitäten.
Berechtigungen granular festlegen: Verzichten Sie auf pauschale Berechtigungen nach dem Prinzip „alles erlauben“. Beschränken Sie die Einwilligung auf das, was für die geschäftlichen Anforderungen tatsächlich notwendig ist. Benutzerdefinierte Bereichsdefinitionen erschweren es Angreifern, gefährliche Privilegien unbemerkt einzuschleusen.
Erteilte Einwilligungen regelmäßig prüfen: Kontrollieren Sie, welche Apps aktuell Zugriff auf Ihren Mandanten haben, insbesondere solche, die Benutzer ohne IT-Aufsicht erteilt haben. Widerrufen Sie veraltete oder nicht benötigte Einwilligungen, um Ihre Angriffsfläche zu verkleinern.
Bedingten Zugriff nutzen: Kombinieren Sie Einwilligungseinschränkungen mit starken Richtlinien für bedingten Zugriff, einschließlich standort-, geräte- oder risikobasierter Durchsetzung, um Session-Hijacking oder den Zugriff über nicht verwaltete Geräte zu blockieren.

Ausführliche, praxisnahe Tipps zur Absicherung von Entra ID und zur Minimierung riskanter Einwilligungsabläufe finden Sie in dieser umfassenden Anleitung.

Herausgeberüberprüfung erzwingen und Zugriff auf Apps der ersten Partei einschränken

Herausgeberüberprüfung verlangen: Erlauben Sie nur Apps von verifizierten Herausgebern, Einwilligungen von Benutzern oder Administratoren in Ihrer Umgebung anzufordern. So ist sichergestellt, dass Entwickler ihre Identität nachweisen mussten. Das ist eine zusätzliche Vertrauensebene, die die meisten direkten Identitätsfälschungen blockiert.
Nicht verifizierte Herausgeber blockieren: Legen Sie in Entra ID und auf anderen Plattformen Basisrichtlinien fest, die Einwilligungen für Apps automatisch ablehnen, die die Anforderungen an die Herausgeberverifizierung nicht erfüllen. Überprüfen Sie den Verifizierungsstatus aller bestehenden und neuen Apps regelmäßig.
Einwilligungen auf vertrauenswürdige Apps der ersten Partei beschränken: Schärfen Sie die Konfiguration so nach, dass nur Apps der ersten Partei (z. B. offizielle Microsoft-Apps) oder ausdrücklich genehmigte Apps von Drittanbietern neue Einwilligungen anfordern können. Das verringert das Risiko seitlicher Bewegungen von einer kompromittierten App zur nächsten deutlich.
Herausgeber und Apps erfassen und prüfen: Nehmen Sie den Status der Herausgeber und das App-Inventar als festen Bestandteil in die regelmäßigen Sicherheitsüberprüfungen der IT auf. Automatisierte Tools helfen dabei, neue oder nicht genehmigte Herausgeber sichtbar zu machen.
Auf alle angebundenen Plattformen anwenden: Erweitern Sie die Herausgeberverifizierung und App-Einschränkungen auf Power Platform, Teams-Apps und angebundene SaaS-Anwendungen. Wie Sie das in größerem Umfang umsetzen, erfahren Sie in diesem Leitfaden zur Governance in Power Platform.

Lebensdauer von Token verwalten und kontinuierliche Überwachung für die OAuth-Sicherheit einrichten

Kürzere Lebensdauer für OAuth-Token verringert das Zeitfenster, das ein Angreifer für die Ausnutzung gestohlener oder zugestimmter Token hat. Passen Sie Richtlinien für den Ablauf von Token so an, dass Zugriffstoken schnell ablaufen und Aktualisierungstoken regelmäßig rotiert werden. Implementieren Sie Token-Bindung und risikobasierten Widerruf, um verdächtige oder missbräuchlich genutzte Sitzungen zu unterbinden. Kombinieren Sie diese Maßnahmen mit der kontinuierlichen Überwachung der Tokennutzung und der Zustimmungsereignisse, um ungewöhnliche Muster zu erkennen. Dafür eignen sich Werkzeuge wie Microsoft Defender für Office 365 und bedingte Zugriffsrichtlinien in Entra, damit kompromittierte Token nicht zu dauerhaften, unbemerkten Bedrohungen werden. Praxisnahe Einstellungen und Strategien für die kontinuierliche Überwachung finden Sie in diesen Empfehlungen von Microsoft zur Sicherheit.

Governance stärken und Bewusstsein der Benutzer gegen Consent-Phishing schaffen

Technische Kontrollen allein reichen gegen sich entwickelnde Cloudangriffe nur begrenzt. Langfristige Widerstandsfähigkeit erfordert eine Sicherheitskultur, in der starke Governance, regelmäßige Audits und Schulung der Benutzer einander ergänzen. Consent-Phishing nutzt menschliche Schwächen ebenso wie technische Lücken. Der Erfolg hängt daher sowohl von formalen Richtlinien als auch von der täglichen Sorgfalt Ihres Teams ab.

Dieser Abschnitt geht ins Detail: Sie erfahren, wie Sie ein Governance-Framework für OAuth aufbauen und bestehende App-Berechtigungen prüfen. Außerdem zeigen wir praxisnahe Schulungsstrategien, mit denen Benutzer verdächtige Zustimmungsanfragen erkennen, und Workflows, die Angreifern den Zugriff auf Ihre Daten deutlich erschweren. Ziel ist, dass Ihre Abwehr nicht an der Tür der IT-Abteilung endet, sondern das gesamte Unternehmen erfasst.

In Organisationen mit komplexen App-Landschaften ist der Einsatz noch größer, denn Fehler in der Lieferkette können sich weit ausbreiten. Proaktive, kontinuierliche Governance und Sensibilisierung sind unerlässlich, damit sensible Daten geschützt bleiben und die Compliance eingehalten wird, auch wenn die Zahl der Benutzer und Apps weiter wächst. Weiterführende Hinweise zu Governance, einschließlich DLP und erweitertem Auditing in Microsoft-Umgebungen, finden Sie in diesem ausführlichen Leitfaden zur Copilot-Governance sowie in den Details zur Überwachung von Benutzeraktivitäten mit Microsoft Purview Audit.

Aufbau eines OAuth-Governance-Frameworks und Überprüfung bestehender Berechtigungen

Richtlinien für Zustimmung und App-Nutzung definieren: Legen Sie klare Regeln fest, welche Benutzer und Apps eine Zustimmung anfordern dürfen, und welche Berechtigungstypen und Geschäftsszenarien zulässig sind. Veröffentlichen Sie diese Richtlinien, damit alle im Unternehmen die Regeln kennen.
Vollständiges App-Inventar pflegen: Erfassen Sie alle OAuth-verbundenen Apps in Entra ID. Notieren Sie, wer die jeweilige Zustimmung erteilt hat, den Herausgeber, die angeforderten Bereiche und die geschäftliche Begründung. Automatisierte Erkennung über Entra-APIs oder Microsoft Defender beschleunigt diesen Prozess und findet auch Schatten-Apps.
Regelmäßige Überprüfung der Berechtigungen durchführen: Planen Sie vierteljährliche oder halbjährliche Prüfungen, um veraltete, doppelte oder riskante Berechtigungen aufzuspüren. Prüfen Sie zusätzlich den Status der Herausgeberverifizierung und entfernen Sie Berechtigungen für Apps, die nicht mehr genutzt werden oder verdächtig geworden sind.
Abweichungen überwachen und beheben: Richten Sie Warnmeldungen für Richtlinienverstöße ein, etwa wenn Benutzer umfassende Berechtigungen für nicht genehmigte Herausgeber erteilen. Starten Sie Bereinigungsmaßnahmen, sobald Lücken gefunden werden. Regelmäßige Audits halten Ihre Abwehr flexibel und Ihr App-Ökosystem gesund.
Governance mit Compliance und DLP verzahnen: In stark regulierten oder risikoreichen Umgebungen verknüpfen Sie die OAuth-Governance mit Ihrer Microsoft Purview DLP und der Auditprotokollierung. Im Governance-Leitfaden zu Purview finden Sie praxisnahe Wege, Benutzeraktivitäten und Connector-Grenzen im großen Maßstab zu überwachen.

Schulungen zur Sensibilisierung und Genehmigungsworkflows für Apps verbessern

Gezielte Schulung der Benutzer zu OAuth-Risiken: Führen Sie regelmäßig Workshops oder E-Learning-Module durch, in denen Mitarbeiter lernen, welche Gefahren verdächtige App-Anfragen, irreführende Berechtigungen und blindes Vertrauen in markenbezogene Oberflächen bergen. Arbeiten Sie mit realen Beispielen wie Phishing-E-Mails und Zustimmungsdialogen, damit Benutzer typische Warnsignale erkennen.
Phishing-Simulationen für Einwilligungen: Führen Sie simulierte Phishing-Tests durch, die sich auf OAuth-Abläufe konzentrieren, um das Gespür der Benutzer und ihre Reaktionsfähigkeit zu schärfen. Ermutigen Sie Benutzer, ungewöhnliche Aufforderungen ohne Angst vor Konsequenzen zu melden.
Genehmigungsprozesse für Apps formalisieren: Legen Sie verbindlich fest, dass jede Integration einer Drittanbieter-App, insbesondere wenn sie sensible Berechtigungen anfordert, einen von der IT geleiteten Genehmigungsprozess durchlaufen muss, bevor jemand eine Einwilligung erteilen darf.
Kampagnen zur Richtlinienkenntnis: Ergänzen Sie technische Schulungen durch Plakate, regelmäßige Erinnerungen und Auffrischungen der Richtlinien. Machen Sie sichere Einwilligungsentscheidungen zu einem dauerhaften Thema und nicht zu einer Angelegenheit, die man „einmal einrichtet und dann vergisst“.
Schatten-IT aus Benutzersicht überwachen: Ergänzen Sie die Durchsetzung von Genehmigungsprozessen durch Technologie, die Versuche erkennt und blockiert, nicht genehmigte SaaS-Anwendungen oder unkontrollierte KI-Agenten zu nutzen. Mehr zum Umgang mit der Herausforderung der KI-Schatten-IT finden Sie in diesem Governance-Leitfaden.

Hygiene in der Entwicklung und Empfehlungen zur App-Sicherheit für ISVs und CISOs

Herausgeberverifizierung: Registrieren und verifizieren Sie Herausgeber, um die Transparenz und das Vertrauen von Unternehmenskunden in Apps zu erhöhen.
Klare, minimale Berechtigungen: Fordern Sie nur die minimalen Bereiche (Scopes) an, die für die Funktion notwendig sind. Vermeiden Sie übermäßig weitreichende Berechtigungsanfragen, die Misstrauen bei Benutzern wecken und die Ablehnung riskieren.
Sichere Einwilligungsabläufe: Gestalten Sie Einwilligungsseiten mit ehrlichen App-Namen, klaren Beschreibungen und eindeutigen Zweckangaben, um Verwirrung der Benutzer und versehentliche Zustimmungen zu verhindern.
Sichere Entwicklungspraktiken durchsetzen: Aktualisieren Sie App-Komponenten regelmäßig und implementieren Sie Sicherheitstest-Pipelines, um Schwachstellen in der Lieferkette zu blockieren.
CISO-Richtlinienvorgaben: Schreiben Sie interne Sicherheitsprüfungen für Apps verbindlich vor, pflegen Sie ein aktuelles App-Inventar und legen Sie die Haltung der Organisation zum Risiko von Drittanbieter-Herausgebern fest, bevor Sie neue Integrationen genehmigen.

Das sollten Sie sich auch anhören

Wenn Sie sich mit Phishing über Einwilligungen in Microsoft 365 beschäftigen, liefern diese Episoden praktischen Kontext für die sichere Einführung von Microsoft 365, Datenschutz, Governance und das Management von KI-Risiken.

Microsoft Purview – Simply Explained — Erfahren Sie, wie Klassifizierung, Aufbewahrung, Compliance und Schutz in einem gemeinsamen Microsoft-Modell für Data Governance zusammenspielen.
Microsoft Defender XDR – Simply Explained — Verbinden Sie Datenschutzkontrollen mit Erkennung, Untersuchung und Reaktion.
Conditional Access – Simply Explained — Verstehen Sie, wie Identitäts- und Risikosignale Zugriffsentscheidungen einen Kontext geben.
Microsoft AI Agent Harness – Simply Explained — Entdecken Sie die Kontrollmechanismen, die KI-Automatisierung zuverlässiger, nachvollziehbarer und sicherer machen.

Diese Episoden helfen dabei, die Konzepte des Artikels in praxisnahe Entscheidungen für Design und Einführung zu überführen.