Microsoft 365-Schutz vor Ransomware

Ransomware ist nach wie vor eine der größten Bedrohungen für Microsoft 365-Umgebungen. Phishing-E-Mails und bösartige Links sind weiterhin die häufigsten Angriffspunkte, über die Angreifer Zugriff auf Benutzeranmeldedaten erhalten und SharePoint-Dateien, OneDrive-Inhalte sowie Exchange-Postfächer verschlüsseln können.

Microsoft bietet Features wie den Papierkorb, den Versionsverlauf und grundlegende Aufbewahrungsrichtlinien an. Diese sind in bestimmten Szenarien hilfreich, ermöglichen jedoch keine vollständige Datenwiederherstellung in großem Maßstab. Den nativen Tools fehlt zudem die Automatisierung, und die Wiederherstellung großer Datenmengen kann aufgrund von API-Drosselungsbeschränkungen Tage dauern.
Branchenstudien zufolge waren im Jahr 2024 80 % der Unternehmen von Ransomware-Angriffen betroffen, wobei 93 % dieser Angriffe auf Backups abzielten. Kritische Geschäftsprozesse können dadurch verzögert oder vollständig zum Erliegen gebracht werden.

Eine verwaltete Backup-Strategie gibt IT-Teams die Kontrolle, die sie benötigen, um schnell zu reagieren und den Schaden zu begrenzen.

Es gibt mehrere einfache Schritte, mit denen Sie Ihre Umgebung auf Schwachstellen überprüfen können. Sie sollten:

1. Zugriffspunkte prüfen: Ermitteln Sie, wie Benutzer auf M365-Dienste zugreifen, einschließlich Browsern, Mobilgeräten und Integrationen von Drittanbietern. Achten Sie besonders auf Gastzugänge und veraltete Authentifizierungsverfahren.
2. Überprüfen Sie die Ergebnisse von Phishing-Tests: Nutzen Sie die Ergebnisse interner Phishing-Simulationen, um das Risiko für Benutzer zu messen. Hohe Klickraten können auf Schwachstellen im Sicherheitsbewusstsein der Benutzer oder in der Sicherheitslage hinweisen.
3. Aufbewahrungseinstellungen prüfen: Überprüfen Sie die Aufbewahrungsrichtlinien für Exchange, OneDrive und SharePoint. Passen Sie diese an gesetzliche und betriebliche Anforderungen an.
4. Simulieren Sie eine Recovery: Führen Sie einen Recovery-Test durch, um festzustellen, welche Daten Sie wiederherstellen können, wie lange dies dauert und wo Lücken bestehen. Dies hilft Ihnen bei der Validierung Ihres Recovery-Plans.
5. API-Beschränkungen bewerten: Beschränkungen der Microsoft Graph-API können umfangreiche Recovery-Prozesse verlangsamen. Machen Sie sich klar, wie sich diese Beschränkungen auf Ihre Recovery-Zeit auswirken.

Eine gezielte Strategie für Backup and Recovery für M365 hilft dabei, die Lücken zu schließen, die durch native Schutzmaßnahmen entstehen. Sie verschafft Unternehmen eine bessere Kontrolle über ihre Daten, verkürzt die Recovery-Zeit und unterstützt die langfristige Aufbewahrung sowie die Einhaltung von Vorschriften.

Hier sind einige Maßnahmen, die Sie ergreifen können, um Ihre M365-Umgebung zu schützen:

1. Aktivieren Sie MFA für alle Benutzer.
   Verwenden Sie Entra ID, um MFA für alle Konten, einschließlich Administrator- und Dienstkonten, vorzuschreiben. Erstellen Sie Richtlinien für den bedingten Zugriff, um diese Anforderung unternehmensweit durchzusetzen.
2. Konfigurieren Sie „Sichere Links“ und „Sichere Anhänge“.
   Aktivieren Sie in Microsoft Defender für Office 365 „Sichere Links“, um URLs zu scannen und umzuschreiben. Aktivieren Sie „Sichere Anhänge“, um Dateien vor der Zustellung in einer Sandbox zu analysieren.
3. Schränken Sie globale Administratorrollen ein.
   Überprüfen Sie die Zuweisungen von Administratorrollen in Entra ID. Wenden Sie das Prinzip der geringsten Berechtigungen an und ermöglichen Sie für sensible Aufgaben einen Just-in-Time-Zugriff über „Privileged Identity Management“.
4. Richten Sie Richtlinien für den bedingten Zugriff ein.
   Schreiben Sie vertrauenswürdige Geräte vor, blockieren Sie veraltete Authentifizierungsmethoden und wenden Sie standortbasierte Einschränkungen an. Diese Richtlinien helfen dabei, den Zugriff auf der Grundlage von Echtzeit-Risiken zu steuern.
5. Verwenden Sie ausschließlich moderne Authentifizierungsmethoden.
   Deaktivieren Sie veraltete Protokolle wie POP und IMAP. Diese sind anfällig für Passwort-Spray-Angriffe und unterstützen keine MFA.
6. Überwachen Sie Zugriffs- und Anmeldeprotokolle.
   Überprüfen Sie regelmäßig die Protokolle im Microsoft 365 Security & Compliance Center. Achten Sie auf Muster wie fehlgeschlagene Anmeldungen, ungewöhnliche IP-Adressen oder ungewöhnliche Dateiaktivitäten.

Um das Ransomware-Risiko in Microsoft 365 zu verringern, ist mehr als nur ein Backup erforderlich. Sobald Angreifer in das System eingedrungen sind, bewegen sie sich oft lateral und zielen auf gemeinsam genutzte Daten und privilegierte Konten ab. Die Segmentierung von Workloads nach Funktion und Sensibilität hilft dabei, die Auswirkungen einzudämmen und den Zugriff auf geschäftskritische Systeme zu beschränken.

Die Netzwerksegmentierung hilft dabei, hochwertige Daten wie Finanz-, Personal- oder Rechtsdaten vom allgemeinen Benutzerverkehr zu isolieren. Dieser Ansatz trägt dazu bei, das Risiko zu verringern, dass sich Malware über den ursprünglichen Angriffspunkt hinaus ausbreitet.

Fortschrittliche Tools zum Schutz vor Bedrohungen helfen dabei, verdächtiges Verhalten frühzeitig zu erkennen, indem sie Anmeldeaktivitäten, Dateizugriffe und das Nutzerverhalten analysieren. Diese Tools stützen sich auf Bedrohungsinformationen und Anomalieerkennung, um Anzeichen einer Kompromittierung zu identifizieren, die Standardfilter und -regeln möglicherweise übersehen.

1. Überprüfen Sie die Anmeldeprotokolle von Microsoft Entra ID.
   Filtern Sie nach fehlgeschlagenen Anmeldeversuchen, unbekannten IP-Adressen und unbekannten Geräten. Achten Sie auf Muster, die auf Brute-Force-Angriffe oder Credential Stuffing hindeuten könnten.
2. Überprüfen Sie privilegierte Rollen.
   Erstellen Sie eine Liste aller Konten mit globalen Administratorrechten oder Berechtigungen auf hoher Ebene. Entfernen Sie alle unnötigen Zuweisungen und richten Sie einen Just-in-Time-Zugriff für sensible Aufgaben ein.
3. Überprüfen Sie die Richtlinien für den bedingten Zugriff.
   Vergewissern Sie sich, dass Richtlinien vorhanden sind, die eine MFA vorschreiben, veraltete Protokolle blockieren und den Zugriff basierend auf Standort oder Gerätekonformität einschränken.
4. Überprüfen Sie die Freigabeeinstellungen für SharePoint und OneDrive.
   Identifizieren Sie alle Dateien oder Ordner, die über anonyme Links oder für externe Benutzer freigegeben sind. Entfernen Sie Zugriffsrechte, die nicht mehr benötigt werden.
5. Überprüfen Sie die Regeln für Postfächer und die Weiterleitungseinstellungen.
   Suchen Sie nach Regeln, die E-Mails extern weiterleiten oder Nachrichten automatisch löschen. Dies können Anzeichen für eine Kontoübernahme sein.
6. Testen Sie Richtlinien zur Verhinderung von Datenverlusten.
   Simulieren Sie Aktionen, die DLP-Schutzmaßnahmen auslösen sollten, und überprüfen Sie, ob Warnmeldungen generiert werden. Vergewissern Sie sich, dass Durchsetzungsmaßnahmen wie konfiguriert funktionieren.
7. Dokumentieren Sie die Ergebnisse und weisen Sie Folgemaßnahmen zu.
   Verfolgen Sie identifizierte Probleme, benennen Sie Verantwortliche und legen Sie klare Fristen fest. Dies trägt dazu bei, die Verantwortlichkeit teamübergreifend aufrechtzuerhalten und unterstützt die kontinuierliche Verbesserung.

Yedioth Information Technologies (yit), ein führendes Verlagsunternehmen, stand vor Herausforderungen beim Schutz seiner wachsenden Microsoft 365-Umgebung. Angesichts von 1.000 zu sichernden Postfächern und Plänen für eine Erweiterung auf 1.500 benötigte das Unternehmen eine Lösung, die skalierbar ist und gleichzeitig die strengen Anforderungen an die Datenaufbewahrung für sein Verlagsgeschäft erfüllt.

Nachdem yit Commvault bereits erfolgreich für die lokale Datensicherung eingesetzt hatte, implementierte das Unternehmen „Commvault Cloud Backup and Recovery für Microsoft 365“. Die Implementierung verlief bemerkenswert effizient: Bereits drei Stunden nach der Installation begann das Team mit der Sicherung der E-Mail-Postfächer.

„Eine zuverlässige und flexible Data-Management-as-a-Service-Lösung zu haben, die unser Verlagsgeschäft unterstützt, ist entscheidend“, sagte Eytan Molle, Systemmanager bei yit. „Commvault Cloud Backup and Recovery für Microsoft 365 ist sicher, zuverlässig und praktisch. Wir können Daten problemlos wiederherstellen.“

Die Ergebnisse waren bahnbrechend. Vor der Einführung der Lösung konnte die Wiederherstellung archivierter Inhalte Tage dauern und erforderte oft das Auffinden und den Transport physischer Bänder aus einem Lager. Dieser Prozess war besonders schwierig, wenn Redakteure auf Artikel zugreifen mussten, die vor Jahren veröffentlicht worden waren.

„Mit ‚Commvault Cloud Backup and Recovery for Microsoft 365‘ können wir Office-365-Daten nun innerhalb weniger Minuten statt mehrerer Tage vollständig wiederherstellen“, erklärte Molle.

Die Lösung reduzierte zudem den betrieblichen Aufwand. Statt zweier Mitarbeiter, die für die Verwaltung der Backups zuständig waren, ist nun nur noch eine Person erforderlich. Wochenendarbeit entfiel, und das Team gewann an Sicherheit, da es wusste, dass seine Daten vor Ransomware-Bedrohungen geschützt waren – egal ob vor Ort oder in der Cloud.

Über ein integriertes Dashboard können IT-Mitarbeiter sowohl lokale als auch Cloud-Backups ganz einfach über eine einzige Oberfläche überwachen, was die Verwaltung vereinfacht und zur Aufrechterhaltung des Geschäftsbetriebs beiträgt. „Ich
würde Commvault und Commvault Cloud Backup and Recovery für Microsoft 365 ohne zu zögern weiterempfehlen“, sagte Molle. „Man kann Backups getrost vergessen und nachts besser schlafen.“