Globale Administratoren sind in vielen Tenants Alltagskonten: die Geschäftsführung, die externe Buchhaltung, die Webagentur und ein Techniker, der vor Jahren einmal eine Domain bestätigt hat. Jedes dieser Konten kann Richtlinien, Postfächer und Anwendungen ändern. Je mehr es sind, desto schwerer lässt sich nachvollziehen, wer eine Regel gesetzt hat, und desto mehr Anmeldungen muss ein Angreifer nur einmal erwischen.

Warum zu viele Globaladmins den Ernstfall verschärfen

Alltagsmail auf einem Administratorkonto ist der übliche Einstieg. Dieselbe Person liest Phishing und besitzt die höchste Rolle. Ein getrenntes Administratorkonto ohne eigenes Tagespostfach, mit Mehrfaktor und ohne Lizenz für unnötige Dienste, unterbricht das. Die Person arbeitet normal mit dem Benutzerkonto und hebt die Rolle nur an, wenn eine Verwaltungsaufgabe ansteht.

Die meisten Tätigkeiten brauchen die globale Rolle nicht. Postfächer verwalten, SharePoint-Rechte setzen, Lizenzen zuweisen oder den Service-Desk unterstützen sind eigene Rollen. Wer überall Globaladmin vergibt, weil die feinere Rolle „gerade nicht reicht“, hat die Rolle meist nicht geprüft. Privileged Identity Management ist hilfreich, wenn der Lizenzplan es enthält; wenn nicht, ersetzt eine schriftliche Regel und ein getrenntes Konto den fehlenden Automatismus zumindest im Ablauf.

Rollen, getrennte Konten, befristete Partner

  1. Rollen. Globale Rechte bleiben bei wenigen benannten Personen. Exchange, SharePoint, Benutzerverwaltung und Helpdesk bekommen eigene Rollen, wo das die Aufgabe abdeckt.
  2. Konten. Verwaltung läuft über ein zweites Konto ohne tägliche Mail. Das normale Benutzerkonto reicht für Dokumente und Besprechungen.
  3. MFA. Jedes Administratorkonto nutzt Mehrfaktor, der nicht nur aus einer SMS auf eine gemeinsam genutzte Nummer besteht. Die Notfallkonten sind dabei, mit getrennt hinterlegten Wegen.
  4. Dienstleister. Partnerzugänge sind befristet, persönlich und an einen Auftrag gebunden. Nach dem Auftrag wird das Konto deaktiviert und die Rolle geprüft.
  5. Prüfung. Einmal im Quartal die Rollenliste gegen die Personen halten. Ein Konto ohne bekannte Person wird entfernt, nicht „zur Sicherheit“ belassen.

Externe brauchen Zugriff auf eine Aufgabe, nicht auf den Tenant. Eine Agentur, die einen DNS-Eintrag für die Website setzt, bekommt ein befristetes Konto oder arbeitet im Beisein, und das Konto endet mit dem Auftrag. Dauerhafte Globale-Admin-Rollen für Partner sind ein Übergaberisiko, sobald der Ansprechpartner dort wechselt.

Woran Projekte in der Praxis scheitern

  • Das Postfach der Geschäftsführung zum globalen Administrator machen.
  • Der Webagentur, dem Steuerbüro und dem Druckertechniker dauerhaft dieselbe höchste Rolle geben.
  • Ein gemeinsames Administratorkonto für alle Techniker teilen, sodass das Protokoll keine Person zeigt.
  • Notfallkonten im Alltag benutzen und damit entwerten.

Beispiel aus dem Betriebsalltag

Ein Fachhändler hatte der Webagentur vor Jahren den globalen Administrator gegeben, damit sie einen Eintrag für das Kontaktformular setzen konnte. Dieselbe Agentur wechselte danach zweimal die projektbetreuende Person, das Konto blieb. Als wir die Rollen liste geführt haben, war unklar, wer das Kennwort noch kennt. Der Zugang wurde entfernt, die Domain und die Mailflussregeln geprüft und für den nächsten Website-Termin ein befristetes Konto vorbereitet, das nach dem Eintrag wieder deaktiviert wird. Die Geschäftsführung behielt ein eigenes Admin-Konto, getrennt vom Postfach.

Kurze Entscheidungshilfe

  • Können Sie jede Person mit globaler Rolle namentlich nennen?
  • Liest das Administratorkonto keine normale Tagespost?
  • Ist Mehrfaktor auf allen Admin-Konten aktiv und kürzlich geprüft?
  • Endet ein Partnerzugang mit dem Auftrag, und ist das Datum notiert?

Wenn knappe Administratorrechte in Microsoft 365 bei Ihnen ansteht, klären wir den Umfang unverbindlich: Microsoft 365 und Cloud. Bedingter Zugriff ohne Aussperrung Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.