2025-12-01

OAuth-Consent-Angriffe in Microsoft Entra ID stoppen

Der Podcast erklärt, wie Angreifer MFA umgehen, indem sie OAuth-Zustimmung missbrauchen, statt Passwörter zu stehlen. Stimmt ein Benutzer oder Administrator einer bösartigen „Produktivitäts“-App zu, erhält diese Token mit Berechtigungen wie Mail- oder Dateien-Lesezugriff sowie offline_access. Damit kann der Angreifer E-Mails, Dateien und Chats monatelang unbemerkt auslesen, selbst nach Passwortzurücksetzungen und neuen MFA-Geräten. Übliche Identitätsereignisse widerrufen diese Berechtigungen nicht; man muss die OAuth-Berechtigung bzw. den Dienstprinzipal selbst entfernen. Der Moderator betont drei Entra-Kontrollen: die Benutzerzustimmung auf risikoarme Berechtigungen beschränken, nur verifizierte Herausgeber zulassen und riskante Berechtigungen über einen Workflow zur Administratorzustimmung leiten. Zusammen mit konsequenter Protokollierung, regelmäßigen Überprüfungen und Widerruf lassen sich laut Podcast die meisten zustimmungsbasierten Angriffe in modernen Cloud-Identitätsumgebungen heute weitgehend verhindern.

Apple Podcasts · Spotify · YouTube · YouTube Music

Stop OAuth Consent Attacks in Microsoft Entra ID (English)