Erstanbieter-Dienstprinzipale verfügen über starke Berechtigungen, werden jedoch übersehen, da sie verborgen sind, Microsoft gehören und zahlreich sind. Angreifer fügen ihnen Anmeldeinformationen hinzu, um ihre Berechtigungen unbemerkt für Rechteausweitung und Persistenz zu nutzen.

Erstanbieter-Dienstprinzipale (Unternehmensanwendungen) stammen aus Anwendungen (Anwendungsregistrierungen), die Microsoft gehören. Die meisten haben sensible Berechtigungen in Microsoft Entra ID, die Sie bei Sicherheitsprüfungen oft übersehen. Dadurch können Angreifer ihnen Anmeldeinformationen hinzufügen, um unbemerkt von ihren Berechtigungen zu profitieren.
Dieses Verfahren bietet sowohl Persistenzfunktionen als auch Rechteausweitung, da Prinzipale mit der Anwendungsadministrator-Rolle Anmeldeinformationen zu Anwendungen hinzufügen können, einschließlich solcher, die über höhere Berechtigungen verfügen.
Erstanbieter-Dienstprinzipale sollten keine Anmeldeinformationen haben, außer in seltenen Fällen (siehe Empfehlungen). Microsoft empfiehlt in <a href="https://learn.microsoft.com/de-de/entra/fundamentals/configure-security#microsoft-services-applications-dont-have-credentials-configured">Konfigurieren von Microsoft Entra für erhöhte Sicherheit</a> außerdem, dass „Microsoft-Diensteanwendungen nicht über konfigurierte Anmeldeinformationen verfügen“.
Die APT29-Bedrohungsgruppe hat diese Methode im berüchtigten Angriff von SolarWinds namens Solorigate im Dezember 2020 missbraucht, wie <a href="https://www.microsoft.com/de-de/security/blog/2020/12/28/using-microsoft-365-defender-to-coordinate-protection-against-solorigate/">von Microsoft</a> und <a href="https://services.google.com/fh/files/misc/remediation-and-hardening-strategies-for-microsoft-wp-en.pdf#page=28">von Mandiant</a> dokumentiert.
Deaktivierte Dienstprinzipale werden standardmäßig ignoriert (Parameter kann geändert werden), da sie von Angreifern nicht direkt verwendet werden können.

Erkennungen

Erstanbieter-Dienstprinzipal mit Anmeldeinformationen

HIGH

Version 202510271638

Version 202408291505

Version 202510271638 Oct 27, 2025, 4:38 PM Metadata (use tables instead of long lists in weakness details) Release: 202510271638
Version 202408291505 Aug 29, 2024, 3:05 PM New Release: 202408291505