Microsoft 365 / Sicherheitswarnungen untersuchen und auf Vorfälle reagieren
Wenn Sie eine Microsoft 365-Sicherheitswarnung erhalten, schließen Sie sie nicht sofort nur auf Grundlage des Schweregrads. Sie sollten die Auftretenszeit, die Erkennungsquelle, betroffene Benutzer/Geräte/E-Mails und verwandte Warnungen überprüfen. Mehrere Warnungen für denselben Vorfall können zu einem einzigen Vorfall zusammengefasst werden, daher sollten Sie sowohl einzelne Warnungen als auch den gesamten Vorfall zusammen überprüfen.
Unterschied zwischen Warnungen und Vorfällen
Eine Warnung dokumentiert eine erkannte verdächtige Aktivität. Ein Vorfall fasst zusammenhängende Warnungen und Beweise zusammen, damit sich der Angriffsverlauf nachvollziehen lässt. Microsofts Leitfaden zur Untersuchung von Defender-Vorfällen empfiehlt, Warnungen, Aktivitäten, betroffene Ressourcen und Beweise gemeinsam zu prüfen. Welche Ansichten und automatisierten Untersuchungsfunktionen verfügbar sind, hängt von den Produkten und Lizenzen Ihrer Organisation ab.
Zugang vorbereiten und den Untersuchungsbildschirm auswählen
Öffnen Sie Vorfälle & Warnungen → Warnungen im Microsoft Defender-Portal. Selbst wenn Sie sie mit Sicherheitsleser-Berechtigungen ansehen können, bedeutet dies nicht, dass Sie Reaktionsmaßnahmen wie das Sperren von Konten oder die Isolierung von Geräten durchführen können. Prüfen Sie zuerst das Defender-Berechtigungsmodell Ihrer Organisation, den Verantwortungsbereich und die Produktlizenzen und ernennen Sie Untersuchungs- und Reaktionspersonal.
Die neue Ansicht für Vorfallfälle befindet sich in der Vorschau; die bisherige Vorfallansicht bleibt verfügbar. Öffnen Sie in der englischen Oberfläche Cases → Incident, wählen Sie den Fall und prüfen Sie Warnungen, Ressourcen, Beweise und Aktivitäten. Eine andere Navigation bedeutet nicht automatisch, dass Protokolle fehlen. Gleichen Sie die verfügbare Ansicht und Ihre Berechtigungen mit Microsofts Anleitung zur Untersuchung von Vorfallfällen ab. Im vereinheitlichten rollenbasierten Zugriffskontrollmodell (RBAC) erlaubt Security Data Read das Anzeigen und Untersuchen; Security Data Manage erlaubt zusätzlich die Fallverwaltung. Konkrete Reaktionsmaßnahmen benötigen je nach Aktion und betroffenem Dienst weitere passende Berechtigungen.
Checkliste für die Erstreaktion
- Öffnen Sie die Liste der Vorfälle oder Alarme im Microsoft Defender-Portal. Benennen Sie verantwortliche Personen im Team und notieren Sie die Vorfallsnummer, um eine doppelte Bearbeitung desselben Falls zu vermeiden.
- Überprüfen Sie den Schweregrad, den Zeitpunkt der Erkennung sowie die betroffenen Konten, E-Mails und Geräte. Bestätigen Sie keinen tatsächlichen Verstoß allein aufgrund des Alarmtitels.
- Prüfen Sie in den Vorfalldetails die zugehörigen Warnungen, die zeitliche Abfolge, Beweise und Ergebnisse automatisierter Aktionen. Die Bedeutung von Status und Klassifizierung erläutert Microsofts Anleitung zur Untersuchung von Warnungen.
- Wenn eine hohe Wahrscheinlichkeit für eine reale Bedrohung besteht und Schäden fortlaufend sind, benachrichtigen Sie sofort das zuständige Personal gemäß den Incident-Response-Verfahren der Organisation und bestimmen Sie das Ausmaß der Auswirkungen sowie die genehmigten Isolations-/Sperrmaßnahmen. Bewahren Sie die für die Untersuchung erforderlichen Beweise auf, während Sie die Bedrohung eindämmen; verzögern Sie die dringende Eindämmung nicht unnötig.
- Dokumentieren Sie die Ursache und die ergriffenen Maßnahmen und prüfen Sie, ob die gleiche Aktivität bei anderen Nutzern oder Geräten vorliegt. Überwachen Sie, um sicherzustellen, dass nach den ergriffenen Maßnahmen keine Alarme erneut auftreten.
Dokumentieren Sie Beweise und erstellen Sie eine zeitliche Abfolge
Notieren Sie nicht nur den Alarmnamen, sondern auch die Alarm-/Vorfall-ID, das Detektionsprodukt, die ersten und jüngsten Aktivitätszeiten und Zeitzonen sowie identifizierende Informationen des Zielbenutzers, Geräts oder der E-Mail. Überprüfen Sie die tatsächlichen Entitäten, um Verwechslungen von Dateien mit demselben Namen oder ähnlichen Konten zu vermeiden. Öffnen Sie keine bösartigen URLs oder Anhänge direkt auf den alltäglichen Arbeits-PCs.
Verknüpfen Sie bestätigte Ereignisse chronologisch, z. B. 'E-Mail erhalten → Link-bezogener Alarm → Anmeldung → Zugriff auf Daten'. Gehen Sie nicht davon aus, dass alle Ereignisse stattgefunden haben; unterscheiden Sie zwischen vorhandenen Beweisen und unbekannten Fakten. Zum Beispiel sollten relevante Protokolle auch dann überprüft werden, wenn ein Benutzer das Klicken verneint, und ein Passwortleck sollte nicht allein auf der Grundlage von Klickprotokollen bestätigt werden.
Untersuchen Sie, ob es Warnungen gibt, die andere Benutzer im Zusammenhang mit demselben Absender, derselben Datei oder URL betreffen. Dies liegt daran, dass selbst wenn eine Warnung, die ein Konto betrifft, geschlossen wird, dieselbe Aktivität auf einem anderen Konto fortgesetzt werden kann. Speichern Sie Materialien an einem genehmigten Ort für das Vorfallmanagement und veröffentlichen Sie weder die ursprüngliche E-Mail noch Benutzerinformationen oder Zugriffsprotokolle in öffentlichen Kanälen.
So bewertet man eine Phishing-Warnung
| Bestätigte Situation | Was zuerst überprüft oder getan werden sollte |
|---|---|
| Nachricht ist in Quarantäne und wird nicht an den Benutzer zugestellt | Überprüfen Sie das Quarantäneergebnis und ob es an andere Empfänger zugestellt wurde. Bestimmen Sie, ob es sich um einen erkannten/geblockten Angriff handelt |
| Im Posteingang angekommen, aber Benutzeraktion ist nicht bestätigt | Untersuchen Sie die Nachrichtenkennzeichnung und den Zustellungsbereich und lassen Sie das Sicherheitspersonal den Bedarf für Nachrichtenentfernung oder -sperrung bestimmen |
| Bestätigt, dass der Benutzer ein Passwort auf der verlinkten Seite eingegeben hat | Reaktion priorisieren aufgrund möglicher Kontokompromittierung. Fahren Sie mit der Sperrung des Zugriffs, der Überprüfung von Sitzungen und Authentifizierungsmethoden gemäß genehmigter Verfahren fort |
| Bösartige Ausführung oder fortlaufender Schaden auf dem Gerät bestätigt | Sofort an die für die Verhinderung fortlaufender Schäden zuständige Person weiterleiten und den Abschlussstatus der genehmigten Isolation und Maßnahmen überprüfen. |
Maßnahmen auf mehreren Diensten können erforderlich sein. Für die E-Mail-Zustellung prüfen Sie Nachverfolgung von Nachrichten, und für Anmeldung und Authentifizierung fahren Sie mit Microsoft Entra-Anmeldeprotokollen fort. Es reicht nicht aus, nur das Passwort des Benutzers zu ändern; das zuständige Personal muss den Untersuchungsbereich definieren, um sicherzustellen, dass verdächtige Authentifizierungsmethoden, Weiterleitungsregeln und App-Berechtigungen nicht bestehen bleiben.
Auch wenn automatische Aktionen angezeigt werden, unterscheiden Sie zwischen angeforderten, ausstehenden, fehlgeschlagenen und abgeschlossenen Status. Je nach Produkt sind automatische Untersuchungs- oder Reaktionsfunktionen möglicherweise nicht verfügbar, und das bloße Sehen einer Schaltfläche für die Reaktion im Portal bedeutet nicht, dass die Aufgabe ausgeführt wurde. Bewahren Sie Beweismittel auf und führen Sie gleichzeitig dringende Sperrungen durch, ohne die Verhinderung laufender Schäden unnötig zu verzögern.
Können wir es sofort ignorieren, wenn es wie ein Fehlalarm aussieht?
Nein. Vergleichen Sie die Beweise mit der Erklärung der verantwortlichen Person, um festzustellen, ob eine Richtlinienänderung oder eine normale betriebliche Aufgabe die Warnung verursacht hat. Wenn Sie eine Warnung als falsch positiv einstufen, dokumentieren Sie Belege und Geltungsbereich. Schalten Sie Warnungsregeln nicht großflächig ab, damit echte Angriffe weiterhin erkannt werden. Bei wiederkehrenden Fehlalarmen prüfen Sie nur eng begrenzte, durch die Untersuchung begründete Anpassungen.
Unterscheiden Sie eine Warnung, die tatsächlich eine echte Bedrohung korrekt erkannt und blockiert hat, von einer Warnung, die normale Aktivitäten fälschlicherweise als bösartig identifiziert hat. Das Fehlen von Schäden macht eine Warnung nicht automatisch zu einem Fehlalarm. Für einen genehmigten Test oder eine operative Aufgabe vergleichen Sie die Arbeitsanforderung, die Ausführungszeit, das Ziel und die Beweise und erfassen dann die entsprechende Klassifizierung und Entscheidung. In der Warnungsansicht stehen Richtig positiv, Informativ, erwartete Aktivität und Falsch positiv für unterschiedliche Schlussfolgerungen. Wenn eine Anpassung oder Unterdrückung gerechtfertigt ist, beschränken Sie die betroffenen Ziele und legen Sie ein Ablauf- oder Überprüfungsdatum fest.
Verifizieren Sie die Wiederherstellung, bevor Sie den Vorfall schließen
- Aktueller Status der betroffenen Konten/Geräte und Vorhandensein zusätzlicher Warnmeldungen
- Automatisierte/manuelle durchgeführte Maßnahmen und alle Maßnahmen, die rückgängig gemacht werden müssen
- Abschluss von Benutzerbenachrichtigungen und internen Vorfallsaufzeichnungen
- Verantwortliche Personen für Aufgaben zur Wiederholungsvermeidung wie Richtlinien, Schulungen und Authentifizierungsmethoden
Dokumentieren Sie beim Abschluss die ersten Symptome, den betroffenen Umfang, die Belege, die tatsächlichen Ergebnisse automatisierter und manueller Maßnahmen sowie offene Folgeaufgaben. Der Status Behoben allein beseitigt keine Bedrohung. Schließen Sie den Vorfall, nachdem der Schutz der betroffenen Konten und Geräte sowie der normale Geschäftsbetrieb überprüft wurden. Prüfen Sie vorübergehende Sperren und Richtlinienänderungen gesondert. Die verantwortliche Person darf nur solche Maßnahmen zurücknehmen, deren Aufhebung durch die Beweislage und den genehmigten Umfang gerechtfertigt ist.
