Kritische Sicherheitslücke in Microsoft Entra ID: Was Unternehmen wissen müssen

Das Problem: «Actor Tokens»

Im Zentrum der Sicherheitslücke standen sogenannte «Actor Tokens» – spezielle Authentifizierungstoken, die Microsoft intern für die Kommunikation zwischen verschiedenen Services verwendet. Diese Token waren ursprünglich für legitime Zwecke entwickelt worden, um beispielsweise Exchange Online zu ermöglichen, im Namen von Benutzern mit anderen Microsoft-Diensten zu kommunizieren.

Warum war das so gefährlich?

Die Kombination aus zwei Faktoren machte diese Schwachstelle besonders kritisch:

Fehlende Validierung: Die veraltete Azure AD Graph API überprüfte nicht ordnungsgemäss, aus welchem Mandanten ein Token stammte

Mandantenübergreifender Zugriff: Mit einem Token aus dem eigenen Test-Mandanten konnten Angreifer sich als beliebige Benutzer - einschliesslich Global Administratoren - in völlig fremden Mandanten authentifizieren

Die Auswirkungen

Ein Angreifer hätte mit dieser Schwachstelle: Vollzugriff auf alle Benutzerdaten in jedem Entra ID-Mandanten erhalten, administrative Rechte übernehmen können, alle Sicherheitsrichtlinien umgehen können, da «Actor Tokens» nicht von Conditional Access-Richtlinien erfasst werden. Und: Keine Spuren hinterlassen, da diese Aktionen nicht protokolliert wurden.

Besonders problematisch: Die Kettenreaktion

Die Schwachstelle war noch gefährlicher durch die Art, wie Microsoft Entra ID B2B-Kollaborationen (Business-to-Business) handhabt. Angreifer hätten:

Gastbenutzer in einem Mandanten identifiziert, deren Heimat-Mandanten kompromittiert, von dort aus weitere Mandanten übernommen und eine exponentielle Ausbreitung über das gesamte Microsoft-Ökosystem erreicht.

Microsoft reagierte vorbildlich schnell: Innerhalb von 3 Tagen nach der Meldung wurde ein Fix ausgerollt und zusätzliche Schutzmassnahmen wurden implementiert. Zudem wurden keine bekannten Missbrauchsfälle durch Microsoft's interne Telemetrie festgestellt.

Was bedeutet das für Ihr Unternehmen?

Die gute Nachricht: Die Schwachstelle wurde bereits behoben. Da Actor Tokens aber keine Protokollierung generieren und auch deren Nutzung nicht in den Audit-Logs erscheint, kann nicht mit Sicherheit festgestellt werden, ob diese Schwachstelle bereits missbraucht wurde. Microsoft konnte nur bestätigen, dass in ihrer internen Telemetrie keine verdächtigen Aktivitäten entdeckt wurden – ein Angriff über Actor Tokens wäre jedoch praktisch unsichtbar gewesen.

Dieser Vorfall zeigt einmal mehr, wie wichtig ein umfassendes Sicherheitskonzept ist.

Fazit

Diese Sicherheitslücke war ein Weckruf für die gesamte IT-Branche. Sie zeigt, dass selbst die grössten Cloud-Anbieter nicht vor kritischen Schwachstellen gefeit sind. Umso wichtiger ist es, dass Unternehmen proaktiv in ihre Cyber Security investieren und sich auf den Ernstfall vorbereiten.

Kontaktieren Sie uns noch heute, um Ihre IT-Sicherheitsstrategie zu überprüfen. Denn in der heutigen Bedrohungslandschaft ist es nicht die Frage, ob ein Sicherheitsvorfall eintritt, sondern wann – und wie gut Sie darauf vorbereitet sind.