Exchange Online: Microsoft wird Standardauthentifizierung permanent sperren

Kunden, die noch auf Basic Auth in Exchange setzen, werden das ab Oktober 2022 nicht mehr tun können. Microsoft macht hier keine Ausnahmen.

Artikel veröffentlicht am ,
Basic Auth wird in Exchange Online abgeschaltet.
Basic Auth wird in Exchange Online abgeschaltet. (Bild: Microsoft/Montage: Golem.de)

Microsoft selbst bestätigt, dass die Standardauthentifizierung Basic Auth für Exchange Online unsicher ist. Die Standardauthentifizierung definiert die einfache Anmeldung mittels Username und Passwort. Diese Informationen werden direkt und immer an Exchange Online zur Prüfung gesendet. Da dies für Brute-Force- oder Kennwort-Spray-Angriffe anfällig ist, wird der Modus für alle User komplett deaktiviert. Ab dem 1. Oktober 2022 kann er nicht mehr genutzt werden.

Stellenmarkt
  1. Beschäftigte*r mit abgeschlossener wissenschaftlicher Hochschulbildung (d/m/w) (SAP-Anwendungsbetreuung)
    Technische Universität Berlin, Berlin
  2. IT-Service Manager (w/m/d)
    Bw Bekleidungsmanagement GmbH, Köln
Detailsuche

Modern Auth ersetzt die alte Methode und führt ein Token-System ein, der per evoSTS (ein von Azure verwalteter Dienst) durchgeführt wird. Dadurch werden Methoden wie Zweifaktor-Authentifizierungen freigeschaltet.

"Basic Auth ist nach wie vor eine, wenn nicht sogar die häufigste Art, wie unsere Kunden kompromittiert werden, und diese Arten von Angriffen nehmen zu", schreibt Microsoft in einem Blog-Post. Deshalb hat Microsoft initiativ bereits Basic Auth bei Kunden abgeschaltet, die das System sowieso nicht verwenden und stattdessen etwa auf eine Zweifaktor-Authentifizierung setzen.

Es gibt kein Zurück für Kunden

Microsoft macht noch einmal klar: Am 1. Oktober dieses Jahres wird Microsoft erst beginnen, einzelne Mandanten zu bearbeiten. Es ist daher gut möglich, dass diverse Kunden noch einige Zeit später ihre mittels Standardauthentifizierung gesicherten Systeme nutzen können. "Wir wählen Mandanten nach dem Zufallsprinzip aus, senden Warnmeldungen sieben Tage im Voraus im Message Center (und posten Service-Health-Dashboard-Benachrichtigungen) und deaktivieren dann Basic Auth", schreibt das Unternehmen.

Golem Akademie
  1. LDAP Identitätsmanagement Fundamentals: virtueller Drei-Tage-Workshop
    18.-20.07.2022, Virtuell
  2. CEH Certified Ethical Hacker v11: virtueller Fünf-Tage-Workshop
    30.05.-03.06.2022, Virtuell
Weitere IT-Trainings

Es wird für diesen Prozess keine Ausnahme geben und Kunden können nicht auf Anfrage etwa an das Ende der Warteschlange gesetzt werden und so mehr Zeit für eine Umstellung bekommen. Sie sollten daher rechtzeitig ihre Systeme umstellen oder Gruppenrichtlinien einführen. Microsoft gibt dazu einige sinnvolle Schritte bekannt.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


johnripper 05. Mai 2022 / Themenstart

O365 braucht keine besonderen Ports. O365 wertet aber diverse Daten bei Zugriff und Login...

johnripper 05. Mai 2022 / Themenstart

Der Admin des Tenant bekommt seit einem Jahr regelmäßige Benachrichtigungen über die...

Gole-mAndI 05. Mai 2022 / Themenstart

Basic Auth über HTTPS ist genau so sicher, wie jede andere passwort basierte...

schuppentier 05. Mai 2022 / Themenstart

Wir haben bei uns testweise DavMail[1] dafür benutzt. Solange man für den Account keine...

Kommentieren



Aktuell auf der Startseite von Golem.de
Nordvpn, Expressvpn, Mullvad & Co
Die Qual der VPN-Wahl

Wer sicher im Internet unterwegs sein will, braucht ein VPN - oder doch nicht? Viele Anbieter kommen jedenfalls gar nicht erst in Frage.
Von Moritz Tremmel

Nordvpn, Expressvpn, Mullvad & Co: Die Qual der VPN-Wahl
Artikel
  1. Autoindustrie: Mit handgeknüpften Kabelbäumen gegen die Lieferkrise
    Autoindustrie
    Mit handgeknüpften Kabelbäumen gegen die Lieferkrise

    Der Krieg in der Ukraine unterbricht die Lieferkette bei den Kabelbäumen. Jetzt suchen Autohersteller nach neuen Produktionswegen.
    Von Wolfgang Gomoll

  2. Mobile Workstation: Neues Thinkpad P16 bekommt 157-Watt-Chip und vier RAM-Slots
    Mobile Workstation
    Neues Thinkpad P16 bekommt 157-Watt-Chip und vier RAM-Slots

    Mittels Alder Lake HX und viel Platz für weitere Hardware dürfte das Thinkpad P16 eine leistungsfähige Workstation in Notebook-Form sein.

  3. Homeoffice: Bastler baut Gestell für die liegende Büroarbeit im Bett
    Homeoffice
    Bastler baut Gestell für die liegende Büroarbeit im Bett

    Der Bildschirm über dem Kopf, die Tastatur hängt herab: Das Homeoffice aus dem Bett heraus funktioniert - mit Handwerk und Kreativität.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • PS5 jetzt bestellbar • Cyber Week: Bis zu 900€ Rabatt auf E-Bikes • MindStar (u. a. Intel Core i9 529€, MSI RTX 3060 Ti 609€) • Gigabyte Waterforce Mainboard günstig wie nie: 480,95€ • Razer Ornata V2 Gaming-Tastatur günstig wie nie: 54,99€ • AOC G3 Gaming-Monitor 34" 165 Hz günstig wie nie: 404€ [Werbung]
    •  /