Praxisleitfaden
Microsoft-365-Konto kompromittiert: Was jetzt zählt.
Wenn ein Konto übernommen wurde, braucht es schnelle Sofortmaßnahmen, saubere Analyse und nachhaltige Härtung. Dieser Leitfaden zeigt die wichtigsten Schritte für Unternehmen.
IT-Sicherheit in der Praxis · München
Redaktion: Seven Consulting · Veröffentlicht am · Fachlich geprüft am
Warum kompromittierte Konten so kritisch sind
Ein kompromittiertes Microsoft-365-Konto ist mehr als ein Passwortproblem. Angreifer können E-Mails lesen, Weiterleitungsregeln setzen, interne Kommunikation missbrauchen, MFA-Methoden verändern oder weitere Benutzer täuschen. Besonders gefährlich ist, dass ein Angriff oft zunächst wie normale Benutzeraktivität aussieht.
Seven Consulting unterstützt Unternehmen in München und deutschlandweit per Fernzugriff bei der Erstbewertung solcher Vorfälle, bei der Absicherung betroffener Konten und bei der nachhaltigen Härtung von Microsoft 365, Entra ID, Exchange Online und Microsoft Defender.
Die ersten Schritte im Notfall
- Betroffenes Konto durch die berechtigte IT sperren lassen und aktive Sitzungen widerrufen. Falls eine Sperre zunächst nicht möglich ist, das Kennwort über den offiziellen Verwaltungsweg zurücksetzen.
- MFA-Methoden prüfen und unbekannte Methoden entfernen.
- Geräte und Zugriffswege prüfen; ein neues Kennwort nicht an das möglicherweise mitgelesene Postfach senden.
- Postfachregeln, Weiterleitungen, Delegierungen, App-Zustimmungen und zugewiesene Administratorrollen kontrollieren.
- Anmeldeprotokolle in Entra ID und relevante Defender-Signale prüfen.
- Interne Empfänger warnen, falls Phishing-Mails vom Konto versendet wurden.
Grundlage für die Sofortmaßnahmen: Microsofts Anleitung für übernommene E-Mail-Konten.
Was nach der ersten Stabilisierung wichtig ist
Nach den Sofortmaßnahmen sollte geklärt werden, wie der Zugriff entstanden ist: Phishing, schwache Passwörter, fehlende MFA, veraltete Anmeldeverfahren oder ein infiziertes Endgerät. Aus diesen Erkenntnissen werden gezielte Maßnahmen gegen erneuten unberechtigten Zugriff abgeleitet.
Je nach Befund kommen Conditional Access, geeignete Mehrfaktor-Anmeldung, das Abschalten veralteter Anmeldeverfahren und der Schutz von Endgeräten infrage. Für E-Mails werden Defender for Office 365 sowie SPF, DKIM und DMARC passend eingerichtet. Diese Maßnahmen ergänzen klare Administratorrollen und regelmäßige Berechtigungsprüfungen; keine einzelne Einstellung ersetzt die Untersuchung des Vorfalls.
Wann externe Unterstützung sinnvoll ist
Wenn unklar ist, ob Daten abgeflossen sind, ob weitere Konten betroffen sind oder ob Angreifer sich dauerhaft Zugriff verschafft haben, lohnt sich ein strukturierter Blick von außen. Wichtig ist eine ruhige, nachvollziehbare Vorgehensweise: sichern, prüfen, dokumentieren, härten.
Wenn ein Microsoft-365-Konto kompromittiert wurde oder Sie Ihre Umgebung präventiv prüfen lassen möchten, sollte der nächste Schritt klar und ohne Umwege sein.