Das Symptom
Alles ist getan: neues Kontopasswort, alle Sitzungen beendet, zweiter Faktor
eingerichtet, Weiterleitungen geprüft. Und trotzdem taucht in der Anmeldehistorie
weiterhin ein Zugriff auf, der nicht zuzuordnen ist – oft mit einem Programmnamen
statt eines Browsers. Oder Mails werden gelesen und als gelesen markiert, ohne dass
sich jemand angemeldet hätte. In der Sitzungsliste steht nichts, weil hier gar keine
Sitzung im üblichen Sinn läuft.
Die „Layer 8“-Wahrheit
Ein Konto hat mehr Schlüssel als das eine Passwort, und zwei Sorten davon sind
ausdrücklich so gebaut, dass sie den Passwortwechsel überstehen – nicht als Fehler,
sondern als Zweck.
Die erste Sorte ist das App-Kennwort. Es existiert, damit ein Programm sich anmelden
kann, das mit einer Zwei-Faktor-Abfrage nichts anfangen kann. Es geht bewusst am
normalen Anmeldeweg vorbei, und deshalb erwischt der neue Weg es auch nicht.
Microsoft sagt das in einem Satz, den man sich merken sollte: App-Kennwörter werden
nicht automatisch widerrufen, wenn man das Kennwort zurücksetzt. Wer sie nicht
einzeln löscht, hat die Haustür ausgetauscht und den Schlüssel unter der Matte
liegen gelassen.
Die zweite Sorte ist die erteilte App-Berechtigung – jener Dialog, in dem eine
Anwendung um Zugriff auf Postfach, Kontakte oder Dateien bittet und man auf
„Zulassen“ klickt. Hier ist der Unterschied noch grundsätzlicher: Es meldet sich
gar kein Mensch an. Es arbeitet eine Anwendung mit einer Zustimmung, die man einmal
gegeben hat. Microsoft zieht daraus die unbequeme Schlussfolgerung selbst und
schreibt, dass die üblichen Gegenmaßnahmen – Kennwort zurücksetzen, mehrstufige
Authentifizierung erzwingen – bei dieser Angriffsart nicht wirksam sind. Das ist
kein Nebensatz, sondern die ganze Pointe: Gegen eine erteilte Berechtigung hilft nur,
sie zurückzunehmen.
Praktisch heißt das, dass die Reihenfolge auch hier zählt. Erst den Anmeldeweg
schließen, dann die Nebenschlüssel einziehen: App-Kennwörter löschen, Apps
entziehen, Single-Sign-On-Verknüpfungen durchsehen. Und erst danach die eigenen
Programme neu verbinden – wer währenddessen frische Schlüssel ausgibt, verteilt sie
in eine Umgebung, in der die Aufräumarbeit noch nicht fertig ist.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Erst die Anmeldung schließen, dann die Nebenschlüssel
Die Reihenfolge stammt von Microsoft: Kennwort zurücksetzen und Konto sperren, aktive Sitzungen widerrufen, dann die registrierten Zweitfaktor-Geräte, dann die Liste der Anwendungen mit Benutzereinwilligung. Microsoft ordnet all diese Schritte ausdrücklich als Methoden ein, die es dem Angreifer sonst ermöglichen könnten, die Persistenz aufrechtzuerhalten und später die Kontrolle wiederzuerlangen – und mahnt, jeden einzelnen auszuführen.
2.Alle App-Kennwörter löschen, nicht nur die verdächtigen
Microsoft ist hier eindeutig: App-Kennwörter werden nicht automatisch widerrufen, wenn das Kennwort zurückgesetzt wird; der Benutzer soll vorhandene App-Kennwörter löschen und neue erstellen. Löschen statt sortieren ist die richtige Entscheidung, weil einem App-Kennwort nicht anzusehen ist, wer es erzeugt hat – es trägt nur den Namen, den jemand ihm gegeben hat.
3.Die Liste der Apps mit erteilter Zustimmung durchgehen
Microsoft führt das als eigenen Schritt: die Liste der Anwendungen mit Benutzereinwilligung überprüfen und alle Anwendungen entfernen und widerrufen, die nicht zulässig sein sollten. Die Frage bei jedem Eintrag lautet nicht, ob der Name seriös klingt, sondern ob man die App kennt und heute noch benutzt. Alles andere fliegt raus; was man vermisst, verbindet man neu.
4.Verstehen, warum Passwortwechsel und Zwei-Faktor hier nicht greifen
Microsoft schreibt zu missbräuchlichen Zustimmungserteilungen, dass normale Korrekturschritte wie das Zurücksetzen von Kennwörtern oder das Erfordern der mehrstufigen Authentifizierung bei dieser Art von Angriff nicht wirksam seien. Der Grund ist der Mechanismus: Nicht ein Mensch meldet sich an, sondern eine Anwendung nutzt eine einmal erteilte Berechtigung. Sie fragt nie wieder nach einem Passwort, weil sie das nie musste.
5.Auch die Berechtigungen lesen, nicht nur die Namen
Bei jeder App steht dabei, worauf sie zugreifen darf. Microsoft nennt als typischen Umfang solcher Anfragen Kontaktinformationen, E-Mails oder Dokumente – Leserechte am ganzen Postfach sind für ein Kalender-Werkzeug oder einen Newsletter-Dienst kein plausibler Bedarf. Ein zu weiter Umfang ist auch dann ein Grund zum Entziehen, wenn die App echt ist.
6.Die Single-Sign-On-Anmeldungen bei anderen Diensten aufräumen
Das BSI beschreibt beide Richtungen. Wer noch Zugriff hat, sieht in den Einstellungen des E-Mail-Kontos nach, für welche Anwendungen die Anmeldung über dieses Konto läuft und ob neue hinzugekommen sind. Wer keinen Zugriff mehr hat, informiert die Anbieter dieser Anwendungen und legt dort, wenn möglich, eigene Anmeldedaten an, statt weiter über das strittige Konto zu gehen.
7.Erst danach die eigenen Programme neu verbinden
Jetzt ein neues App-Kennwort pro Programm erzeugen und jede benötigte App einzeln neu freigeben. Der Zeitpunkt ist wichtig: Wer neu verbindet, während Kennwort und Sitzungen noch nicht erneuert sind, legt frische Schlüssel in eine Umgebung, in der noch jemand mitliest. Und wer beim Neuverbinden merkt, dass ein Programm gar nicht mehr gebraucht wird, lässt es einfach weg.
8.Nach einigen Tagen die Liste erneut aufrufen
Eine App, die man entzogen hat und die wieder in der Liste steht, ist kein Anzeigefehler, sondern ein Hinweis darauf, dass die Zustimmung erneut erteilt wurde – und damit auf einen Zugang, der noch offen ist. Dann beginnt man wieder bei Kennwort und Sitzungen, statt nur ein zweites Mal auf Entziehen zu klicken.