Microsoft 365 / Administratorrollen zuweisen und Notfallzugriffskonten vorbereiten

Weisen Sie Microsoft 365-Administratorberechtigungen entsprechend den Aufgaben der jeweiligen Person zu, statt allen Administratoren die Rolle „Globaler Administrator“ zu geben. Bereiten Sie unabhängige Notfallzugriffskonten vor und überprüfen Sie diese regelmäßig, damit die Organisation ihren administrativen Zugriff wiederherstellen kann, wenn die normalen Administratorkonten nicht nutzbar sind.

Warum Administratorrollen trennen?

Administratorrollen bestimmen den Umfang der Einstellungen, die eingesehen werden können, und die Vorgänge, die geändert werden dürfen. Rollen wie Lizenzadministrator, Benutzeradministrator, Exchange-Administrator und SharePoint-Administrator sind für unterschiedliche Verantwortlichkeiten konzipiert. Wenn einem einzelnen Konto unnötig weitreichende Berechtigungen erteilt werden, erhöht sich das potenzielle Risiko bei einer Kontokompromittierung oder Fehlern.

Microsofts Microsoft 365 Administrator-Rollenleitfaden empfiehlt minimale Berechtigungen und die Begrenzung der Anzahl der Administratoren. Bei der Zuweisung von Rollen sollten zunächst die spezifischen Aufgaben aufgelistet werden, die die Person ausführen wird, und die restriktivste Rolle ausgewählt werden, die diese Aufgaben unterstützt. Schätzen Sie die Berechtigungen nicht nur anhand des Rollennamens; überprüfen Sie die detaillierten Berechtigungen.

Rollen für gängige Aufgaben auswählen

Zum Beispiel, wenn die Personalabteilung (HR) eine Liste neuer Mitarbeiter bereitstellt und die IT deren Konten erstellt, kann HR eine Genehmigungsanfrage einreichen, ohne Benutzerverwaltungsrechte zu erhalten. Trennen Sie die Aufgaben in „für das Unternehmen notwendige Aufgaben“ und „Aufgaben, die diese Person direkt ausführen muss“. Rollenzuweisungen sollten von einem separaten Administrator durchgeführt werden, der über die entsprechenden Berechtigungen verfügt.

Zuweisen und Entfernen von Administratorrollen

1. Öffnen Sie im Microsoft 365 Admin Center Rollen → Rollenzuweisungen. Ihr aktuelles Konto muss über die Berechtigung zur Verwaltung von Rollen verfügen.

2. Wählen Sie eine für Ihre Aufgaben geeignete Rolle aus und lesen Sie die Berechtigungsbeschreibung. Bei Bedarf können Sie detailliertere Rollen im Microsoft Entra Admin Center überprüfen.
3. Auf der Registerkarte Zugewiesen wählen Sie Benutzer hinzufügen, wählen Sie das entsprechende Konto aus und wählen Sie Hinzufügen. Notieren Sie den Grund für die Zuweisung, den Genehmiger, den Umfang und den Überprüfungsplan.
4. Überprüfen Sie, ob die notwendigen Arbeiten mit dem Konto durchgeführt werden können, und entfernen Sie alle unnötigen Berechtigungen. Da die Anwendung von Berechtigungen Zeit in Anspruch nehmen kann, starten Sie eine neue Sitzung, um dies zu überprüfen.

Sie können auch Rollen auf dem Bildschirm für Benutzerdetails unter Rollen verwalten ändern. Das von Microsoft bereitgestellte Verfahren zur Rollenvergabe erklärt beide Wege.

Nach dem Speichern überprüft die zugewiesene Person die notwendigen Menüs und Aufgaben in einer neuen Anmeldesitzung. Handelt es sich um nur lesbare Arbeit, so wird nur die Ansicht überprüft; bei der Überprüfung der Änderungsberechtigungen ist das genehmigte Testziel und die zurückzusetzenden Werte zu bestimmen. Im Fehlerfall wird zunächst der Zielbereich der Organisation und der Rollen sowie der Zuweisungsstatus überprüft, und weisen Sie dem betroffenen Konto nicht sofort die Rolle „Globaler Administrator“ zu.

Wenn die Arbeit abgeschlossen ist oder die verantwortliche Person wechselt, entfernen Sie die Person unter Rollen → Rollenzuweisungen → die relevante Rolle → Zugewiesen und überprüfen Sie erneut. Wenn mehrere Rollen gleichzeitig gehalten werden, kann die gleiche Arbeit auch dann noch über einen anderen Weg möglich sein, wenn eine Rolle entfernt wird. Wenn die Organisation PIM (Privileged Identity Management, eine Verwaltungsfunktion zur Aktivierung von Berechtigungen bei Bedarf) verwendet, unterscheiden Sie zwischen aktiven Rollen und berechtigten Rollen und bestätigen diese.

Was ist ein Notfall-Administrator-Konto?

Notfallkonten sind Konten, die verwendet werden, um den Zugriff auf Ihre Organisation wiederherzustellen, wenn Ihre regulären Administratorkonten, Authentifizierungsmethoden oder externen ID-Systeme Probleme haben. Sie unterscheiden sich davon, einfach ein zusätzliches Konto für tägliche Aufgaben zu erstellen. Microsoft empfiehlt in Notfallzugriff-Kontorichtlinien, zwei oder mehr ausschließlich cloudbasierte Konten vorzubereiten, Authentifizierungspfade zu entwerfen, die sich von regulären Betriebskonten unterscheiden, deren Nutzung zu überwachen und diese regelmäßig zu testen.

Notfallkonten sollten als reine Cloudkonten in der standardmäßigen onmicrosoft.com-Domäne erstellt werden und so gestaltet sein, dass sie nicht auf die Synchronisierung mit dem lokalen Verzeichnis oder auf externe Authentifizierungsserver angewiesen sind. Die im Juni 2026 aktualisierte Microsoft-Richtlinie empfiehlt, dass Notfallkonten phishing-resistente Authentifizierungsmethoden verwenden, die sich von denen regulärer Administratoren unterscheiden, und von Richtlinien für bedingten Zugriff ausgeschlossen werden, die eine Anmeldung blockieren oder einschränken. Richtlinien nur zur Berichterstattung verhindern die Anmeldung nicht, daher ist es nicht notwendig, Notfallkonten aus diesem Grund auszuschließen.

Diese Ausnahme bedeutet nicht, dass sie so konfiguriert werden sollten, dass sie sich nur mit einem Passwort anmelden. Verwenden Sie FIDO2-Passkeys oder Sicherheitsschlüssel, um die verpflichtende mehrstufige Authentifizierung (Multifactor Authentication, MFA) zu erfüllen. Zertifikatbasierte Authentifizierung ist eine weitere Option, wenn die Organisation bereits eine Infrastruktur für öffentliche Schlüssel (Public Key Infrastructure, PKI) betreibt. Wenn normale Konten auf Telefon-Authentifizierung angewiesen sind, dürfen Notfallkonten nicht auf dasselbe Telefon angewiesen sein. Bei Verwendung von PIM wird empfohlen, dass die globalen Administratorrollen von Notfallkonten in einem permanent aktiven Zustand sind, statt lediglich als berechtigte, genehmigungspflichtig aktivierbare Zuweisung vorzuliegen.

Vorbereitung und Validierung von Notfallzugangskonten

1. Untersuchen Sie die aktuellen globalen Administratoren und Authentifizierungsabhängigkeiten. Stellen Sie sicher, dass sie sich nicht ausschließlich auf integrierte lokale IDs oder eine einzelne Authentifizierungsmethode verlassen.
2. Entwerfen Sie mindestens zwei nur in der Cloud vorhandene Notfallkonten gemäß der Organisationsrichtlinie. Die Kontonamen sollten die Zweckbestimmung erkennen lassen, dürfen jedoch nicht in öffentlichen Dokumenten oder Screenshots angezeigt werden.
3. Legen Sie globale Administratorberechtigungen und Authentifizierungsmethoden gemäß den Microsoft-Richtlinien fest und stellen Sie einen Nutzungspfad sicher, der unabhängig von regulären Administratoren-Konten ist. Die Einrichtungsart variiert entsprechend den Lizenzen und Richtlinien der Organisation.
4. Konfigurieren Sie Alarm- und Prüfverfahren für die Nutzung von Konten und Änderungen der Konfiguration. Wenn Sie mit einem Notfallkonto angemeldet sind, müssen Vorfallaufzeichnungen und Nachprüfungen geführt werden.
5. Testen Sie Anmeldungen regelmäßig in einer kontrollierten Umgebung. Überprüfen Sie nach dem Test, ob die erwarteten Protokolle und Warnungen generiert wurden, und aktualisieren Sie die Zugriffsverfahren, wenn sich das Personal ändert.

Was bei regelmäßigen Tests zu überprüfen ist

Microsoft empfiehlt, Notfallkonten mindestens alle 90 Tage zu validieren. Überprüfen Sie nach Änderungen von Administratoren, Aktualisierungen der Authentifizierungsrichtlinien oder Änderungen des Speicherorts erneut. Wichtig ist es, zwischen "ein Konto besitzen" und "es zur Wiederherstellung verwenden zu können" zu unterscheiden, damit das Konto nicht zum ersten Mal während eines tatsächlichen Ausfalls ausprobiert wird.

1. Informieren Sie den Sicherheitsbeauftragten, dass ein geplanter Test durchgeführt wird, und überprüfen Sie, dass das genehmigte Personal Zugang zu den Zugangsdaten und der vorgesehenen sicheren Arbeitsumgebung hat. Wenn der Zugriff auf den sicheren Aufbewahrungsort von einem Arbeitskonto abhängt, das während des Vorfalls nicht verfügbar ist, kann auch der Wiederherstellungspfad blockiert sein.
2. Melden Sie sich mit dem Notfallkonto an, ohne eine Sitzung eines allgemeinen Kontos wiederzuverwenden. Bestätigen Sie, dass die erforderlichen Authentifizierungsmethoden funktionieren und dass administrative Funktionen zugänglich sind. Deaktivieren Sie organisatorische Richtlinien nicht willkürlich zu Testzwecken.
3. Überprüfen Sie, ob die tatsächlichen Konten und Zeitstempel in den Anmelde- und Prüfprotokollen erscheinen und ob Überwachungsalarme an andere Administratoren gesendet werden. Wenn keine Alarme empfangen wurden, betrachten Sie das System nicht als bereit für den normalen Betrieb.
4. Nach der Abmeldung protokollieren Sie die Testergebnisse, die Benutzer, die auf das System zugegriffen haben, fehlgeschlagene Punkte und die für die Behebung verantwortliche Person. Nach der tatsächlichen Notfallnutzung überprüfen Sie die durchgeführten Aufgaben und beurteilen die möglicherweise offengelegten Anmeldeinformationen und Speicherverfahren erneut.

Die Überwachung kann basierend auf der Kontenobjekt-ID in Entra-Anmeldungsprotokollen eingerichtet werden. Beim Verbinden von Benachrichtigungen über Azure Monitor oder die Sicherheitsüberwachungstools der Organisation müssen Sie zunächst Protokollexporte, Speicher und Alarmpfade vorbereiten, was zusätzliche Berechtigungen erfordern und separate Kosten verursachen kann. Das einfache Erstellen eines Kontos konfiguriert Alarme nicht automatisch. Zeichnen Sie die tatsächliche Notfallkonto-Adresse, Wiederherstellungscodes oder sicheren Speicherorte von Schlüsseln nicht in öffentlichen Dokumenten auf; bewahren Sie sie in kontrollierten Betriebsunterlagen auf.