Edge Cases veralteter Protokolle im Microsoft-Ökosystem verstehen

Von Mirko Peters · 2026-04-26

Legacy-Authentifizierungsprotokolle – etwa NTLM, SMTP AUTH oder sogar veraltetes FTP – klingen nach Problemen aus einer anderen Zeit, doch sie halten sich hartnäckig …

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Legacy-Authentifizierungsprotokolle – etwa NTLM, SMTP AUTH oder sogar veraltetes FTP – klingen nach Problemen aus einer anderen Zeit, doch in der heutigen, stark auf Microsoft setzenden Unternehmenswelt halten sie sich hartnäckig. Moderne Organisationen migrieren zu Microsoft 365 und Azure, doch die Randfälle, die mit diesen Protokollen zusammenhängen, untergraben still und leise die Zero-Trust-Ziele und Sicherheitsstrategien. Sie können die Haustür mit Multi-Faktor-Authentifizierung absperren, aber manchmal steht im Keller noch ein altes Fenster offen.

Warum verursachen diese Randfälle immer wieder Probleme? Die Realität ist: Die Modernisierung der IT lässt sich nicht immer über Nacht umsetzen. Viele kritische Geschäftssysteme, Drittanbieter-Integrationen und sogar Geräte der Betriebstechnik sind fest auf ältere Protokolle verdrahtet. Angreifer wissen das – also nehmen sie alles ins Visier, was noch läuft, umgehen moderne Kontrollen und reißen Lücken genau dort auf, wo Sicherheitsteams am wenigsten damit rechnen.

Dieser Artikel zeigt, wie und warum die Risiken veralteter Protokolle bestehen bleiben, während sich Unternehmen mit ihren Microsoft-Umgebungen weiterentwickeln. Wir definieren die technischen Bausteine, beleuchten geschäftskritische Gefahren und zeigen auf, was Sie tun können – von der Erkennung bis zur Governance –, um diese hartnäckigen Lücken endgültig zu schließen. Legen wir los: Wir klären, woher die Risiken wirklich kommen und wie sich diese Hintertüren dauerhaft schließen lassen.

Schwachstellen veralteter Protokolle und reale Angriffe

Selbst mit cloudnativen Abwehrmechanismen und MFA ziehen Angreifer weiterhin Kapital aus Schwachstellen, die aus vergangenen Jahrzehnten übrig geblieben sind. Veraltete Protokolle – etwa NTLM für die Authentifizierung, SMTP AUTH für E-Mail sowie einfaches FTP oder POP3 für den Datentransfer – bleiben bestehen, weil reale Systeme weiterlaufen müssen, während Unternehmen modernisieren. Angreifer freuen sich darüber, denn so gelangen sie oft unbemerkt an die bestgeschützten Systeme eines Unternehmens.

In heutigen hybriden Umgebungen existieren diese alten Protokolle nicht nur auf einem Server im Rechenzentrum. Sie sind tief in Cloud-Identitätsplattformen, Fachanwendungen und sogar in Geräte der Betriebstechnik und des IoT eingewoben, die moderne Authentifizierung überhaupt nicht unterstützen. Sie abzulösen ist schwierig, denn ein pauschales Blockieren kann kritische Funktionen lahmlegen, und die Erkennung in all diesen Bereichen ist nicht immer einheitlich.

Das Ergebnis? Vorfälle wie die Datenpannen bei Vercel und Orange España zeigen, dass schon ein übersehenes Protokoll reicht, um Datendiebstahl oder die Kompromittierung des Netzwerks zu ermöglichen. Angreifer nutzen diese alten Wege, um MFA zu umgehen, Anmeldedaten weiterzuleiten (Relay) oder Berechtigungen sowohl in Cloud- als auch in lokalen Workloads auszuweiten. Wir schlüsseln genau auf, wie diese Angriffe funktionieren, warum die Protokolle selbst konstruktionsbedingt fehlerhaft sind und wo die hartnäckigsten geschäftlichen Risiken lauern.

Wir gehen auch auf betriebliche Gewohnheiten ein, die die Risiken am Leben erhalten – etwa eine laxe Pflege von Richtlinien oder das Erben jahrelanger technischer Schulden aus Integrationen nach dem Motto „Hauptsache, es funktioniert“. Die folgenden Abschnitte beleuchten im Detail, wie veraltete Schwachstellen ausgenutzt werden, welche systemischen Protokollschwächen es gibt und wo moderne Abwehrmaßnahmen an ihre Grenzen stoßen. Wenn Sie auf der Suche nach einer wirklich sicheren Microsoft-Umgebung sind, müssen Sie genau wissen, wo sich diese alten Bedrohungen verstecken – und wie sie trotzdem eindringen, obwohl Ihre Logs alles als „sicher“ melden. Mehr dazu, wie diese Angriffe in der Praxis miteinander verkettet werden, finden Sie in dieser ausführlichen Analyse der Angriffsketten in Microsoft 365.

Wie die Datenpannen bei Vercel und Orange España die Risiken veralteter Protokolle offenlegten

Die Vorfälle bei Vercel und Orange España rückten schonungslos ins Licht, dass Risiken durch veraltete Protokolle keine rein theoretische Sorge sind. In beiden Fällen spielten überholte Authentifizierungsmethoden eine zentrale Rolle – sie gaben Angreifern die Schlüssel in die Hand, um tiefer in Unternehmensnetzwerke vorzudringen. Bei Vercel konnten die Angreifer Umgebungsvariablen und Geheimnisse von Hunderten prominenten Kunden abgreifen, weil im Hintergrund noch Anmeldedaten aus veralteten Authentifizierungsabläufen im Einsatz waren.

Auch der Vorfall bei Orange España folgte einem ähnlichen Muster. Die Angreifer umgingen die vorderste Verteidigungslinie mit gestohlenen, gültigen Anmeldedaten. Viele dieser Anmeldedaten hätten jedoch nicht funktioniert, wenn für E-Mails keine veralteten Protokolle wie POP3/IMAP oder ungesichertes SMTP AUTH aktiviert gewesen wären. Laut dem jährlichen Bedrohungsbericht von IBM ist der Diebstahl von Anmeldedaten nach wie vor der häufigste initiale Angriffsvektor bei Unternehmensverletzungen, insbesondere dann, wenn Organisationen veraltete Authentifizierungsmethoden nicht proaktiv abschalten.

Experten, die diese Fälle analysieren, betonen einen zentralen Punkt: Schwachstellen in Legacy-Protokollen sind keine bloßen technischen Altlasten. Sie sind oft tief in Automatisierungsskripten, Backup-Tools oder sogar eingebetteten Geräten verankert, die täglich unbemerkt veraltete Authentifizierung nutzen. Im Angriffsverlauf bei Vercel ermöglichten etwa Basic Auth und unsauber verschachtelte Zugriffstoken den Angreifern, moderne Richtlinienkontrollen zu umgehen und sich nach dem Eindringen lateral im Netzwerk weiterzubewegen.

Was können Organisationen daraus lernen? Die Fälle mit großer Öffentlichkeitswirkung zeigen immer wieder: Es reicht nicht, nur die neuesten Cloud-Zugangspunkte abzusichern. Echte Resilienz erfordert, diese versteckten Legacy-Zugangswege aufzuspüren und zu beseitigen. Solange das nicht geschieht, werden Angreifer weiterhin die einfachsten, am schlechtesten geschützten Zugangswege bevorzugen. Diese laufen oft unauffällig im Hintergrund hybrider und Multi-Cloud-Umgebungen.

NTLM-Relay und das Problem der Basic Authentication: Moderne Sicherheitskontrollen umgehen

Legacy-Protokolle wie NTLM und Basic Authentication bereiten Sicherheitsteams erhebliche Probleme, weil sie sich nicht an moderne MFA-Regeln halten. So nutzen Bedrohungsakteure diese Schwachstellen, um Abwehrmechanismen zu umgehen:

1. NTLM-Relay-Angriffe:
2. Angreifer erfassen NTLM-Hashes auf einem kompromittierten Gerät und leiten sie an andere Dienste weiter, auf die das Opfer zugreifen kann. Da NTLM das ursprüngliche Kennwort nicht benötigt, können Angreifer Benutzer imitieren, ohne jemals ein Kennwort knacken zu müssen. Solche Relays reichen oft von lokalem AD bis in die Cloud, besonders in schlecht segmentierten hybriden Identitätsumgebungen.
3. Umgehung von MFA:
4. Protokolle wie SMTP AUTH und IMAP unterstützen MFA überhaupt nicht. Gelangt ein Angreifer an gültige Anmeldedaten, kann er sich über diese Protokolle anmelden, selbst dann, wenn MFA für Benutzerkonten ansonsten erzwungen wird. Schwache, mehrfach verwendete Kennwörter werden so zu einem einzigen Schwachpunkt in vermeintlich sicheren Umgebungen.
5. Laterale Bewegung und Rechteausweitung:
6. Einmal im Netzwerk nutzen Angreifer Legacy-Protokolle, um weiterzuziehen. Indem sie etwa Basic Auth auf einer übersehenen Anwendung ausnutzen, gelangen sie lateral zu Systemen mit höheren Berechtigungen. Der Zugriff auf nur einen ungeschützten SMB- oder Exchange-Dienst führt oft zur Kompromittierung des gesamten Netzwerks.
7. Umgehung von Conditional Access:
8. Viele Conditional-Access-Richtlinien in Azure AD greifen nur bei Clients mit moderner Authentifizierung. Legacy-Protokolle können sich an diesen Regeln vorbeischleichen und hinterlassen gefährliche „Zulassungslisten“ oder Richtlinienlücken, nach denen Angreifer gezielt suchen. Möchten Sie die vertiefenden Informationen zu Identitätssicherheits-Schleifen und zur Bereinigung von Conditional-Access-Wildwuchs? Dann sehen Sie sich diese Podcast-Episode an, die sich mit skalierbarer Risikoreduzierung in Microsoft-Umgebungen befasst.

Kurz gesagt: Sie können moderne Kontrollen so viel patchen und konfigurieren, wie Sie möchten. Solange Legacy-Protokolle noch vorhanden sind, finden Angreifer fast immer einen Weg um Ihre neuen Schutzmechanismen herum.

Systemische Schwachstellen: Von MCP-Schwachstellen bis zu LLMNR- und NetBIOS-Risiken

Legacy-Protokolle von Microsoft sind von Schwachstellen geprägt, die nicht bloß Fehler sind, sondern fest in ihr Design eingebaut wurden. So erklärt sich das hartnäckige Risiko:

1. MCP-Schwachstellen (Microsoft Connector Platform):
2. Einige Plattformen und Konnektoren, die von Drittanbieter-Agenten und Automatisierungsskripten genutzt werden, setzen weiterhin auf die Weitergabe veralteter Anmeldedaten. Ihnen fehlen eine saubere Token-Bindung und granulare Zugriffskontrollen. Angreifer nutzen dies zur Rechteausweitung aus, insbesondere dann, wenn Agenten-Richtlinien nicht konsequent gesteuert werden.
3. Schwachstellen von LLMNR (Link-Local Multicast Name Resolution):
4. LLMNR wurde entwickelt, um die Namensauflösung im Netzwerk einfach zu machen, lässt sich aber leicht zum Stehlen von Anmeldedaten missbrauchen. Angreifer senden gefälschte Antworten per Broadcast und verleiten benachbarte Systeme dazu, NetNTLM-Hashes herauszugeben. Diese lassen sich anschließend knacken oder weiterleiten.
5. NetBIOS-Namensrisiken:
6. Alte Windows-Netzwerke verwenden noch immer NetBIOS zur Namensauflösung, ein weiteres Protokoll, das nie mit Blick auf Sicherheit entwickelt wurde. Angreifer können den Datenverkehr abfangen und manipulieren, um sich als Dienste auszugeben oder sensible Netzwerkdetails zu sammeln und so weitere Angriffe vorzubereiten.
7. Lücken bei der SMB-Signierung:
8. Die SMB-Signierung wurde eingeführt, um Dateifreigaben abzusichern, doch ihre Durchsetzung ist lückenhaft, besonders in Hybridnetzwerken und OT-Umgebungen. Angreifer nutzen das aus, indem sie Anmeldeinformationen weiterleiten oder Antworten zwischen Systemen fälschen. Dabei überspringen sie häufig die Grenze von veralteter OT zur modernen IT-Infrastruktur.

Die Deaktivierung von Protokollen wie LLMNR und die Durchsetzung der SMB-Signierung sind für jeden ernsthaften Zero-Trust-Ansatz Pflicht. Einen genaueren Blick darauf, wie koordinierte Steuerung und adaptive Sicherheit helfen können, diese Protokolllücken zu schließen, bietet die Podcast-Folge zu Zero Trust by Design. Sie ist ein praxisnaher Deep Dive in einheitliche Identitäten und Sitzungssteuerung.

Moderne Authentifizierung vs. Legacy: Übergangsherausforderungen und Sonderfälle

Der Wechsel von Legacy- zu moderner Authentifizierung ist ein Prozess und kein schneller Schalter. Beim Überbrücken dieser Lücke stoßen Sie auf allerlei Sonderfälle. OAuth 2 und MFA erhöhen zwar die Sicherheitsanforderungen, doch der Bedarf an Abwärtskompatibilität lässt hintertürchen einen Spalt offen. „Semi-moderne“ Authentifizierungsabläufe, etwa Hybridmodelle oder Protokolle, die sich als modern ausgeben, tauchen überall auf und erschweren sowohl die Compliance als auch den Schutz.

Warum landen Organisationen in diesen Hybridkonfigurationen? Der Grund ist einfach: Kritische Apps, Dienste und Drittanbieter-Integrationen sind nicht immer bereit, Legacy-Authentifizierung über Nacht abzuschalten. Manchmal hängt ein einfacher Geschäftsprozess oder ein geerbter Automatisierungsworkflow von Authentifizierungsmethoden ab, die Jahrzehnte alt sind. Eine übereilte Abschaltung kann den Betrieb stören oder die Compliance gefährden. Also werden Ausnahmen gemacht, und genau dort setzen Angreifer an.

Echtes Zero Trust bedeutet, jede Lücke zu schließen, nicht nur neue Schichten hinzuzufügen. Die Schwierigkeit: Bei der Modernisierung der Authentifizierung verpacken manche „Upgrades“ alte Schwachstellen einfach in ein neueres Gewand, etwa BAV2ROPC oder andere Resource-Owner-Password-Abläufe. Richtlinienlücken und übersehene Ausnahmen in Conditional Access können Ihre Sicherheit auf dem Papier modern wirken lassen, während alte Zugangswege weit offen bleiben.

Die folgenden Abschnitte beleuchten die technischen Feinheiten dieser semi-modernen Konfigurationen und zeigen, wo selbst die besten Verbesserungspläne in der Praxis scheitern. Wenn Sie eine echte Transformation planen oder schlicht verhindern wollen, dass Angreifer eindringen, lohnt es sich zu verstehen, warum Legacy-Unterstützung so hartnäckig ist und wo Ihre Strategie Sie noch angreifbar macht. Hinweise zum Aufbau verlässlicher Conditional-Access-Richtlinien-Baselines finden Sie in diesem Beitrag zu Vertrauensproblemen bei Richtlinien.

Das Rätsel um BAV2ROPC und die Fallstricke der semi-modernen Authentifizierung

BAV2ROPC steht für "Basic Authentication Version 2 Resource Owner Password Credential". Der Name klingt modern, doch im Kern ist es ein neues Gewand für ein altes Problem. Dieses Protokoll, das häufig in Microsoft-Cloud-Umgebungen anzutreffen ist, überbrückt die Lücke zwischen Legacy- und moderner Authentifizierung. Anwendungen können damit programmgesteuert einen Benutzernamen und ein Kennwort übergeben und ein Ressourcen-Token abrufen, ganz ohne Browser oder moderne Zustimmungsabfrage.

Dieser „semi-moderne“ Ansatz täuscht viele Organisationen. Oberflächlich betrachtet nutzt BAV2ROPC moderne Endpunkte und OAuth-2-Abläufe. Darunter liegt jedoch derselbe einfache Austausch von Benutzername und Kennwort, wie ihn Legacy-Protokolle wie POP3, IMAP oder SMTP AUTH verwenden, und MFA oder Conditional Access werden dabei kaum unterstützt. Damit bleibt die Tür für Angreifer offen, Password-Spraying, Credential-Replay oder Relay-Angriffe von On-Premises in die Cloud durchzuführen.

Die Erkennung ist schwierig. In den Protokollen lässt sich BAV2ROPC-Datenverkehr kaum vom echten modernen Authentifizierungsverkehr unterscheiden. Angreifer wissen das und nehmen gezielt Anwendungen oder Dienstkonten ins Visier, die diese Abläufe nutzen, denn Einbruchsversuche lösen nicht dieselben Alarme aus wie das klassische Basic Auth. Viele Organisationen tun sich schwer, von BAV2ROPC wegzukommen, besonders bei kopflosen Automatisierungsaufträgen und Integrationsskripten, die im Alltagsbetrieb noch im Einsatz sind.

Für Sicherheitsteams ist die größte Falle die Annahme, dass alles, was als „OAuth 2“ oder „Resource Owner“ bezeichnet wird, standardmäßig sicher ist. BAV2ROPC und ähnliche Protokolle zeigen die unbequeme Wahrheit: Auch moderne, ausgereifte APIs können Sie denselben Schwachstellen aussetzen wie die Protokolle, die sie ersetzen sollten. Solange Sie nicht jeden Sonderfall vollständig prüfen und migrieren, bleiben diese halbmodernen Lücken offene Angriffsziele.

Wenn Verbesserungen bei der Authentifizierung nicht ausreichen: Wie Altlasten die Sicherheitsstrategie aushebeln

Die Umstellung auf OAuth 2 und die flächendeckende Einführung von MFA klingen nach der perfekten Lösung, bis die Unterstützung für Altsysteme eine fatale Schwachstelle einschleust. Untersuchungen zeigen, dass mehr als 60 % der Kontoübernahmen in der Cloud im vergangenen Jahr gültige Anmeldedaten betrafen, die über Legacy-Protokolle genutzt wurden. Selbst die ausgereiftesten Conditional-Access-Richtlinien versagen, wenn eine übersehene Ausnahme existiert oder eine alte App im Hintergrund noch die einfache Authentifizierung verwendet.

Experten warnen, dass die Modernisierung Ihres Authentifizierungs-Stacks mehr ist als das Abhaken einer Funktionsliste. Dauerhaft unterstützte Altsysteme, fehlerhaft konfigurierte Richtlinien oder nicht verwaltete Dienstkonten ermöglichen es Angreifern, selbst robuste Abwehrmaßnahmen zu umgehen. Ein umfassender Migrationsplan, der alte Zugangswege aktiv abschaltet, Richtlinienausnahmen prüft und jeden Endpunkt steuert, ist der einzige Weg, um Schritt zu halten. Wie Angreifer OAuth-Zustimmungen und Legacy-Pfade konkret ausnutzen, erfahren Sie in diesem ausführlichen Beitrag über Angriffe auf die Zustimmung in Entra ID. Warum gute Governance nicht von selbst entsteht, zeigt dieser Podcast zur Governance-Illusion in Microsoft 365.

Erkennung und Überwachung der Nutzung von Legacy-Protokollen in Unternehmensumgebungen

Das Auffinden und Überwachen von Legacy-Authentifizierung gleicht der Suche nach versteckten Lecks in einem weitverzweigten Leitungssystem. Es ist leicht, übrig gebliebene Protokollnutzung zu übersehen, weil diese Verbindungen in modernen Dashboards nicht immer im Vordergrund stehen. Doch jede übersehene Instanz – sei es ein altes Backup-Skript, ein Drucker oder ein IoT-Sensor – bietet Angreifern eine weitere Chance, einzudringen.

Dafür bieten Microsoft 365 und Azure eine Reihe von Protokollen und Analysetools, die tiefe Einblicke ermöglichen. Sie müssen jedoch wissen, wo Sie suchen müssen, und Ergebnisse interpretieren können, die nicht immer laut „Legacy-Auth hier!“ melden. Durch die Kombination von Anmeldeprotokollen, Überwachungsprotokollen und eigener Telemetrie aus Werkzeugen wie PowerShell und Python erhalten Sie ein vollständigeres Bild davon, wo alte Protokolle durchrutschen. Der Abgleich von Daten aus Cloud- und lokalen Ressourcen ist entscheidend, da hybride Umgebungen oft uneinheitliche Berichte liefern.

Was macht diese Aufgabe noch schwieriger? Einige Drittanbieter- und OT-Geräte verwenden Legacy-Protokolle still weiter und werden in Standard-Sicherheitsscans oder Analyseberichten selten erfasst. Sicherheitsteams müssen mehrere Überwachungsmethoden kombinieren – von Azure-Anmeldearbeitsmappen bis zu Abfragen des einheitlichen Überwachungsprotokolls –, um jede Spur der Protokollnutzung aufzuspüren. Eine praxisnahe Übersicht zur Prüfung von Aktivitäten in Ihrem Mandanten und dazu, warum aussagekräftigere Signale für Compliance und Sicherheit wichtig sind, finden Sie in diesem Leitfaden zu Microsoft Purview Audit.

Die folgenden Unterabschnitte zeigen Ihnen Schritt für Schritt, wie Sie Spuren von Legacy-Authentifizierung in Ihrer Umgebung erkennen und untersuchen. Außerdem erhalten Sie praktische Tipps, um verwertbare Telemetriedaten zu erzeugen, damit diese versteckten Schwachstellen nicht lange verborgen bleiben.

Legacy-Authentifizierung in Azure-Anmeldeprotokollen und Analysearbeitsmappen erkennen

Legacy-Authentifizierung in Azure-Anmeldeprotokollen und Entra ID-Analysen aufzuspüren, erfordert ein proaktives Vorgehen. Hier ist eine praktische Checkliste, mit der Sie diese versteckten, riskanten Protokolle im Einsatz erkennen:

1. Nach Client-App-Typ filtern:
2. Beginnen Sie mit den Azure-AD-Anmeldeprotokollen im Azure-Portal. Filtern Sie die Einträge nach „Client-App“, um Verbindungen anzuzeigen, die über Legacy-Protokolle wie IMAP, POP3, SMTP und „Andere Clients“ hergestellt wurden. Diese Einträge fallen meist auf, weil sie keine browserbasierten oder modernen Authentifizierungsabläufe verwenden.
3. Nach Authentifizierungsmethoden suchen:
4. Untersuchen Sie Anmeldeereignisse genauer, bei denen die „Authentifizierungsmethode“ auf „Kennwort“ steht, aber weder „MFA“ noch „Moderne Authentifizierung“ vorliegt. Das deutet häufig auf Protokolle hin, die Conditional Access umgehen, besonders bei älteren Geräten oder Automatisierungsskripten.
5. Analysearbeitsmappen einrichten:
6. Verwenden Sie Azure Monitor oder die Entra ID Analytics Workbooks, um Trends über die Zeit zu visualisieren. Erstellen Sie ein benutzerdefiniertes Workbook, das die Nutzung von Protokollen grafisch darstellt, Spitzen bei der Legacy-Authentifizierung hervorhebt und nicht konforme Clientverbindungen markiert.
7. Korrelation mit Geräte- und Standortdaten:
8. Gleichen Sie Legacy-Authentifizierungsereignisse mit Geräteinformationen und dem Geolokalisierungsstandort der Anmeldung ab. Ungewöhnliche Kombinationen – etwa eine Anmeldung über ein Legacy-Protokoll aus einem Land, in dem Ihr Unternehmen nicht tätig ist – verdienen einen genauen Blick.
9. Tipps zur Fehlerbehebung:
10. Wenn die Ergebnisse auffallend spärlich wirken, prüfen Sie Lücken bei den Richtlinien oder der Protokollaufbewahrung. Manche Ereignisse werden möglicherweise herausgefiltert oder nicht erfasst, wenn die Überwachungseinstellungen nicht umfassend sind oder wenn es Ausnahmen in Ihren Conditional Access-Richtlinien gibt.

Wenn Sie diese Schritte wiederholt durchlaufen, entsteht eine verlässliche Transparenz. Denken Sie daran: Schon wenige Einträge zu Legacy-Protokollen in Ihren Protokollen können auf größere Risiken an anderer Stelle hindeuten. Graben Sie also tief und folgen Sie den Daten, wohin sie auch führen.

Telemetrie erzeugen mit PowerShell, Python und Unified Audit Logs: Beispiele und Best Practices

Um wirklich jede Spur von Legacy-Protokollaktivität aufzuspüren, gibt es nichts Besseres als eine eigene Telemetrie. So richten Sie sie mit PowerShell, Python und dem Unified Audit Log von Microsoft ein:

1. PowerShell-Abfragen für Legacy-Protokolle:
2. Nutzen Sie die Cmdlets Get-Mailbox und Get-CASMailbox in Exchange Online, um Benutzer mit aktiviertem IMAP, POP3 oder SMTP AUTH aufzulisten. Verpacken Sie diese in Skripte, die täglich oder wöchentlich Berichte erzeugen, und gleichen Sie die Ergebnisse mit den Erkenntnissen aus den Anmeldeprotokollen ab.
3. Python-Automatisierung zur Protokollkorrelation:
4. Verwenden Sie Python-Skripte, um über die Microsoft Graph API eine Verbindung herzustellen und Anmelde- sowie Postfach-Überwachungsdatensätze abzurufen. Werten Sie Client-App-Typen und Flags für Authentifizierungsprotokolle aus und geben Sie anschließend Auffälligkeiten aus, etwa headless Dienstkonten, die Legacy-Authentifizierung verwenden.
5. Unified Audit Log für die zentrale Überwachung:
6. Aktivieren Sie Microsoft Purview Audit (früher Unified Audit Log), um Aktivitäten aus Exchange, SharePoint, Teams und weiteren Diensten zusammenzuführen. Fragen Sie Operation-Felder ab, die sich auf Legacy-Clientverbindungen oder fehlgeschlagene Legacy-Authentifizierungsversuche beziehen, für eine konsolidierte Erkennungspipeline.
7. Interaktive Visualisierungen und Warnmeldungen einrichten:
8. Exportieren Sie Telemetriedaten oder streamen Sie sie zu Microsoft Sentinel oder Power BI. Erstellen Sie Dashboards mit Warnregeln, die bei neuer Nutzung von Legacy-Protokollen oder bei erkannten Kompromittierungen von Anmeldedaten auslösen.
9. Auf Fallstricke achten:
10. Seien Sie vorsichtig bei unvollständigen Daten, die durch begrenzte Protokollaufbewahrung, Lücken in der Standardkonfiguration oder nicht standardmäßig protokollierte Ereignisse entstehen. Überprüfen Sie Ihre Abdeckung immer mit Testanmeldungen über Legacy-Protokolle, bevor Sie den Erfolg für sich beanspruchen.

Weitere Informationen zur Einbindung von Telemetrie in Governance und Automatisierung (sobald der Inhalt wieder verfügbar ist) finden Sie auf dieser fehlenden PowerShell-Automatisierungsseite. Alternativ schauen Sie in die aktuellen Podcast-Folgen zur Unternehmensarchitektur, um zu sehen, was als Nächstes für Telemetriestrategien ansteht.

Gegenmaßnahmen: Legacy-Protokolle blockieren und deaktivieren

Zu wissen, dass Legacy-Protokolle im Einsatz sind, ist nur der erste Schritt. Gewonnen haben Sie erst, wenn Sie diese Kanäle abschalten, ohne den Geschäftsbetrieb zu gefährden. Entscheidend ist das richtige Gleichgewicht zwischen Risikominderung und Betriebskontinuität. Microsoft 365 und Azure AD bieten leistungsstarke Werkzeuge, etwa Conditional Access und administrative Schalter, um veraltete Authentifizierungsmethoden unternehmensweit zu sperren. Sie müssen diese jedoch mit Bedacht ausrollen.

Die beiden wichtigsten Ansätze sind: Conditional Access, um Legacy-Authentifizierung flächendeckend zu blockieren, sowie das Deaktivieren von Protokollen wie SMTP AUTH, IMAP und POP3 für den Postfach- und Geräte-Zugriff. Der Schlüssel liegt darin, alle Ausnahmen und betroffenen Arbeitsabläufe zu finden, bevor Sie den Stecker ziehen. Das gilt besonders für Dienstkonten, lokale Hybrid-Mailsysteme oder Drittanbieter-Integrationen, die sich nicht ohne Weiteres modernisieren lassen. Schrittweise Einführungen und gezielte Richtlinienanpassungen helfen Ihnen, kritische Prozesse nicht zu unterbrechen und gleichzeitig Ihr Risiko für Anmeldedatendiebstahl und Spam-Missbrauch zu senken.

Ebenso wichtig ist es, Richtlinienänderungen mit der Sensibilisierung der Fachbereiche zu verbinden. Kommunizieren Sie mit den Beteiligten, testen Sie in kleineren Gruppen und nutzen Sie Analysen, um zu belegen, dass die Umstellung den Betrieb nicht lahmlegt. In den folgenden Abschnitten erhalten Sie Schritt-für-Schritt-Anleitungen und Hinweise zur Erzwingung von Conditional Access und zur Deaktivierung veralteter Protokolle im Microsoft 365 Admin Center. Sie fragen sich, welche versteckten Risiken entstehen, wenn Geschäftsgewohnheiten nicht gemessen werden? Dann lohnt sich dieser Podcast zu Compliance-Drift und Richtliniendurchsetzung für weitere Einblicke.

Mit dem richtigen Fahrplan blockiert das Sperren veralteter Protokolle nicht nur Compliance-Anforderungen. Angreifer finden dann deutlich schwerer die eine vergessene offene Tür.

So blockieren Sie Legacy-Authentifizierung mit Conditional Access

Das Blockieren der Legacy-Authentifizierung mit Azure AD Conditional Access ist bei sauberer Umsetzung wirksam und präzise. Das sollten Sie wissen:

Conditional-Access-Richtlinien ermöglichen es Organisationen, Anmeldeversuche über ältere Protokolle wie SMTP AUTH, IMAP, POP3 und Clients mit Basisauthentifizierung gezielt zu blockieren. Sie können diese Richtlinien auf Benutzer, Gruppen oder Geräte beschränken und die möglichen Auswirkungen auf den Geschäftsbetrieb zunächst im Modus „Nur Bericht“ überwachen, bevor Sie sie aktivieren. Dieses schrittweise Vorgehen zeigt Ihnen, welche Abhängigkeiten brechen könnten, wenn Sie sofort blockieren.

Microsoft empfiehlt, mindestens zwei zentrale Richtlinien zu erstellen: eine, die die Legacy-Authentifizierung für alle Benutzer blockiert, und eine zweite mit zeitlich begrenzten Ausnahmen für Dienstkonten oder bekannte Sonderfälle. Tests sind entscheidend. Beginnen Sie im Überwachungsmodus, um zu sehen, welche Konten und Apps sich über Legacy-Protokolle anmelden. Erst wenn Sie sicher sind, dass nur nicht essenzielle Abläufe betroffen wären, sollten Sie die Richtlinie erzwingen.

Überprüfen und reduzieren Sie außerdem umfassende Zulassungslisten oder geerbte Ausnahmen, denn sie erzeugen unsichtbare Sicherheitslücken. Laufende Überwachung und Warnmeldungen bei Legacy-Authentifizierungsversuchen helfen, neue Risiken zu erkennen, wenn sich Ihre IT-Umgebung verändert. Weitere bewährte Methoden und eine solide Grundlage für inklusive Richtlinien finden Sie in dieser Expertenanalyse zur Feinabstimmung von Conditional Access für vorhersehbare, sichere Zugriffsverwaltung.

Fazit: Die Verschärfung von Conditional Access ist Ihre erste Verteidigungslinie. Rollen Sie Änderungen dennoch methodisch aus und wägen Sie stets Geschäftsanforderungen und Sicherheitsziele gegeneinander ab.

SMTP AUTH und veraltete E-Mail-Protokolle im Microsoft 365 Admin Center deaktivieren

Das Deaktivieren von SMTP AUTH und anderen veralteten E-Mail-Protokollen gehört zu den schnellsten Maßnahmen, um Anmeldedatendiebstahl zu reduzieren und zu verhindern, dass Angreifer über Ihren Mandanten Spam versenden. So gehen Sie Schritt für Schritt vor:

1. Aktuelle Nutzung prüfen:
2. Beginnen Sie mit Exchange Online PowerShell (Get-TransportConfig und Get-Mailbox). Ermitteln Sie Postfächer, für die SMTP AUTH aktiviert ist, sowie Benutzer oder Dienstkonten, bei denen die Legacy-Protokolle IMAP und POP3 noch aktiv sind.
3. Auf Mandantenebene deaktivieren:
4. Im Microsoft 365 Admin Center können Sie SMTP AUTH für Ihren gesamten Mandanten mit einer einzigen Einstellung deaktivieren. Dadurch werden alle neuen Authentifizierungsversuche blockiert, sofern nicht für einzelne Postfächer Ausnahmen festgelegt sind.
5. Gezielte Bereinigung der Richtlinien:
6. Für Benutzer oder Apps, die SMTP AUTH tatsächlich benötigen, beschränken Sie den Zugriff gezielt und überwachen ihn genau. Entfernen Sie IMAP- und POP3-Berechtigungen bei allen Konten außer den wichtigsten, idealerweise bei allen.
7. Testen und kommunizieren:
8. Führen Sie vor der unternehmensweiten Deaktivierung Testfälle durch und informieren Sie Benutzer und Systemverantwortliche. Achten Sie auf Helpdesk-Tickets, die mit defekten Automatisierungen zusammenhängen. Arbeiten Sie dann mit diesen Teams zusammen, um ihre Prozesse anzupassen oder auf die moderne Authentifizierung umzustellen.
9. Nach der Einführung überwachen:
10. Prüfen Sie die Überwachungsprotokolle auf fehlgeschlagene Anmeldeversuche über Legacy-Protokolle. Anhaltende Fehler können auf Angriffsversuche oder auf übersehene geschäftliche Abhängigkeiten hinweisen, die Sie noch klären müssen.

Dieses Vorgehen stoppt die meisten alltäglichen E-Mail-basierten Angriffe auf Anmeldedaten und entlastet Ihr Compliance-Team deutlich. Konsequente Kontrollen von Beginn an bedeuten später weniger Aufräumarbeit.

Security-Governance und strategische Steuerung des Risikos durch Legacy-Protokolle

Legacy-Protokolle abzusichern bedeutet mehr, als nur technische Einstellungen umzuschalten. Echtes Risikomanagement findet auf Führungsebene statt, wo Geschäftsleitung, Security Operations und IT-Architekten gemeinsam den Lebenszyklus von Technologie und Richtlinien steuern. Das Problem: Die meisten großen Organisationen verlassen sich auf ein Flickwerk aus Kontrollen, Richtlinien und Drittanbietern. Dadurch ist es schwierig, eine einheitliche Governance im großen Maßstab durchzusetzen.

Eine kluge Governance-Strategie beantwortet große Fragen: Wie steuern Sie Risiken, wenn Drittanbieter-Integrationen, agentische Tools und Shadow IT nach unterschiedlichen Regelwerken laufen? Wie setzen Sie einheitliche Kontrollen durch, wenn die Hälfte Ihrer „vertrauenswürdigen“ Partner oder IoT-Geräte moderne Authentifizierung gar nicht unterstützt? Und wie überwachen Sie kontinuierlich, ob Richtlinien schleichend von ihrem Soll abweichen, während sich Geschäft, Belegschaft und Sicherheitslage weiterentwickeln?

Genau hier kommen virtuelle Governance-Frameworks, Richtliniendisziplin und fortgeschrittene Intelligenz ins Spiel. Die Führungsebene muss den Ton nicht nur von oben vorgeben, sondern auch echte Kontrollen umsetzen: von der Prüfung der riskantesten Dienstleister über Audits bis hin zum Einsatz von Automatisierung für Erkennung und Behebung. Da KI und Automatisierung schneller voranschreiten als je zuvor, kommt es darauf an, Tools, Richtlinien und Menschen an einem Strang ziehen zu lassen.

In den folgenden Abschnitten zeigen wir, wie CISOs und Entscheidungsträger Remote-first-Governance-Modelle aufbauen, die unberechenbarsten Risiken durch Drittanbieter und agentische Tools beherrschen und moderne Intelligenz nutzen, um Protokolllücken dauerhaft zu schließen. Mehr dazu, wie Sie Innovation und Aufsicht in Balance halten, finden Sie in diesen Tipps zur Governance für Power Platform. Und wie Sie Schritt halten, wenn Automatisierungen und Agenten schneller vorankommen als Ihre Richtlinien, erfahren Sie in dieser Folge zu einem praxisnahen Governance-Framework.

Wie Sicherheitsverantwortliche sich in einem virtuellen Governance-Framework vor den riskantesten Drittanbietern schützen

Führende Organisationen gehen bei der Steuerung des Legacy-Protokoll-Risikos mehrschichtig und proaktiv vor, insbesondere gegenüber Drittanbietern. Hier sind vier praxisnahe Strategien:

• Agentische Aufsicht umsetzen: Überwachen und prüfen Sie alle Dienstkonten, Agenten und Drittanbieter-Integrationen, die mit Ihrer Umgebung interagieren. Verwenden Sie eindeutige Identitäten (etwa Entra Agent IDs) für Agenten und setzen Sie strikte Verträge über Plattformen wie Microsoft Connector Platform (MCP) durch. So lassen sich Identitätsdrift und der Verlust der Zurechenbarkeit verhindern, insbesondere bei KI-gestützten Integrationen (mehr zur agentischen Governance hier).
• Sichere Authentifizierungsrichtlinien erzwingen: Verlangen Sie von allen Anbietern und Partnern moderne Authentifizierung, ohne Ausnahmen für „Legacy-Kompatibilität“, sofern keine genehmigten Ausgleichsmaßnahmen bestehen. Überprüfen Sie Ausnahmen im Bedingten Zugriff für Geräte von Drittanbietern und connectorbasierte Abläufe regelmäßig.
• OT- und IoT-Geräte sowie nicht patchbare Geräte segmentieren und überwachen: Wenn Operational Technology oder IoT-Geräte ausschließlich auf Legacy-Protokolle angewiesen sind, segmentieren Sie diese in isolierten Netzwerken. Setzen Sie Ausgleichsmaßnahmen wie Netzwerküberwachung und Positivlisten (Whitelisting) für den Zugriff ein, um das Risiko seitlicher Bewegungen im Netzwerk (Lateral Movement) zu verringern.
• Remote- und virtuelle Governance-Reviews durchführen: Setzen Sie auf virtuelle Governance-Frameworks, um von überall aus zu überwachen, zu beheben und zu steuern. Diese Frameworks stützen sich auf regelmäßige Reviews, automatisierte Audits und klare Kommunikation zwischen den Beteiligten. Das ist unverzichtbar, da immer mehr Abläufe hybrid oder remote stattfinden.

Wer den Fokus auf mehrschichtige Aufsicht statt nur auf technische Kontrollen legt, kann als CISO oder IT-Verantwortlicher die Risiken aus den schwer erreichbaren Bereichen des eigenen Ökosystems abmildern.

Fortgeschrittene Intelligenz nutzen, um Security Operations gegen Legacy-Bedrohungen zu stärken

KI-gestützte Intelligenz-Tools und fortgeschrittene Bedrohungsanalysen verschaffen Organisationen einen neuen Vorteil, wenn es darum geht, Missbrauch von Legacy-Protokollen im großen Maßstab zu erkennen, zu untersuchen und darauf zu reagieren. Diese Plattformen nutzen maschinelles Lernen, um ungewöhnliches Anmeldeverhalten zu identifizieren, verdächtige Nutzung von Legacy-Protokollen schnell herauszufiltern und Bedrohungen ohne menschliche Verzögerung automatisch zu beheben.

Moderne Security-Operations-Teams führen Daten aus Microsoft Sentinel, Purview Audit und KI-gestützten Verhaltensanalysen zusammen, um einen zentralen Überblick über moderne und veraltete Authentifizierungsaktivitäten zu erhalten. Automatisierte Playbooks können bei Richtlinienausnahmen, risikoreichen Dienstkonten oder Credential-Relay-Ereignissen reagieren und Lücken schließen, bevor Angreifer sie ausnutzen können.

Automatisierung und Analysen zu integrieren ist ein Muss, keine Option. Orchestrierungsplattformen helfen, Daten aus Cloud-, On-Premises- und Hybridumgebungen zusammenzuführen, damit selbst unscheinbare veraltete Authentifizierungsabläufe nicht unbemerkt bleiben. Das ist umso wichtiger, je mehr KI-Agenten und groß angelegte Automatisierungen zum Einsatz kommen, denn sie erhöhen sowohl den Nutzen als auch die betrieblichen Risiken.

Schließlich halten die Durchsetzung von Least-Privilege-Zugriffen, die Kennzeichnung sensibler Inhalte und die Erweiterung der Auditüberwachung sowohl menschliche als auch maschinelle Benutzer im Rahmen. Eine praxisnahe Anleitung, wie Sie fortgeschrittene Analysen und KI nutzen, um veraltete Bedrohungen in Microsoft-Umgebungen abzuwehren – einschließlich Copilot und Drittanbieter-Bots –, finden Sie in diesem ausführlichen Leitfaden zu governed AI und Compliance.