Gastkonten sind externe Identitäten, die ein Sicherheitsrisiko darstellen können, wenn ihnen privilegierte Rollen zugewiesen werden. Dadurch werden Personen außerhalb Ihrer Organisation erhebliche Rechte innerhalb des Mandanten gewährt.

<a href="https://learn.microsoft.com/de-de/entra/external-id/what-is-b2b">B2B collaboration</a> ist eine Microsoft Entra ID-Funktion, mit der Ihre Benutzer Gäste zur Zusammenarbeit mit Ihrer Organisation einladen können. Diese Gastkonten, auch „externe Identitäten“ genannt, erhalten standardmäßig Zugriff wie <a href="https://learn.microsoft.com/de-de/entra/fundamentals/users-default-permissions#member-and-guest-users">von Microsoft beschrieben</a>:
<blockquote>
Sie können ihr eigenes Profil verwalten, ihr eigenes Passwort ändern und bestimmte Informationen über andere Benutzer, Gruppen und Anwendungen abrufen. Sie können jedoch nicht alle Verzeichnisinformationen lesen.
Beispielsweise können Gastbenutzer keine Auflistung aller Benutzer, Gruppen und anderer Verzeichnisobjekte anzeigen. Es ist möglich, Gäste zu Administratorrollen hinzuzufügen und ihnen vollständige Lese- und Schreibberechtigungen zu erteilen. Gäste können auch andere Gäste einladen.
</blockquote>
Privilegierte Rollen haben definitionsgemäß erhöhte Rechte. Gastkonten, denen eine privilegierte Rolle zugewiesen ist, stellen ein Sicherheitsrisiko dar und vergrößern die Angriffsfläche des Mandanten erheblich. Dies ist besonders besorgniserregend, da auf Gastkonten möglicherweise schwächere Sicherheitsrichtlinien angewendet werden, was sie anfälliger für Kompromittierungen macht. Darüber hinaus können die Aktivitäten von Gastbenutzern, denen privilegierte Rollen zugewiesen werden, schlechter nachverfolgt und deshalb schwerer überwacht und geprüft werden. Im schlimmsten Fall können solche Zuweisungen sogar auf eine Kompromittierung hinweisen, da Bedrohungsakteure häufig Gastkonten ausnutzen, um sich nicht autorisierten Zugriff zu verschaffen und sich lateral innerhalb der Umgebung zu bewegen.
Überwachen Sie diese Gastkonten sorgfältig und stellen Sie sicher, dass Sie ihnen keine privilegierten Rollen zuweisen.
Microsoft empfiehlt in <a href="https://learn.microsoft.com/de-de/entra/fundamentals/configure-security#guests-are-not-assigned-high-privileged-directory-roles">Konfigurieren von Microsoft Entra für erhöhte Sicherheit</a> außerdem, dass „Gästen keine privilegierten Verzeichnisrollen zugewiesen werden“.

Erkennungen

Gastkonto mit einer privilegierten Rolle

HIGH

Version 202507150942

Version 202403251434

Version 202507150942 Jul 15, 2025, 9:42 AM Detection (Remove duplicate role assignments in displayed incriminating attributes) Release: 202507150942
Version 202403251434 Mar 25, 2024, 2:34 PM New Release: 202403251434