In diesem Artikel
Ein Notfallkonto (Break-Glass) ist ein globales Administratorkonto in Microsoft 365, das nur für einen einzigen Moment existiert: wenn die normalen Administratorkonten nicht mehr funktionieren. Verlorenes Authentifizierungs-Smartphone, falsch konfigurierte Zugriffsregel, ein Administrator, der mit den Zugangsdaten gegangen ist — in jedem dieser Fälle kommt das Unternehmen über dieses Konto wieder hinein. Ohne es führt die Wiederherstellung über Anfragen beim Microsoft-Support und Eigentumsnachweise, während E-Mail, Teams und Dateien in der Zwischenzeit unverwaltet bleiben.
Zusammenfassung für die Geschäftsleitung
- Anzahl Laut Microsoft mindestens zwei Konten.
- Art Nur in der Cloud (Domain .onmicrosoft.com), ohne Bindung an Personen oder Smartphones.
- Authentifizierung Physischer Sicherheitsschlüssel (FIDO2) oder Zertifikat; die verpflichtende MFA von Microsoft gilt auch für diese Konten.
- Kontrolle Warnung bei jeder Nutzung und Test mindestens alle 90 Tage sowie bei jedem Wechsel im IT-Team.
Vier banale Wege, den Zugang zu verlieren
Dafür braucht es keinen Angriff. In den Umgebungen, die wir analysieren, wiederholen sich die Szenarien:
- Einziger zweiter Faktor — das Smartphone des einzigen Administrators ging verloren oder wurde ausgetauscht.
- Fehlerhafter bedingter Zugriff — eine Regel wie „nur aus Portugal“ oder „nur auf Firmencomputern“ hat alle ausgesperrt, auch die Person, die sie angelegt hat.
- Weggang des Administrators — ein Mitarbeiter oder der vorherige Dienstleister ist gegangen und hat die Zugangsdaten mitgenommen.
- Kompromittiertes Konto — der Angreifer hat Passwort und Authentifizierungsmethoden geändert.
Die Frage ist immer dieselbe: Wer kommt jetzt hinein, ohne auf das ausgefallene Konto angewiesen zu sein? Denken Sie an den Nothammer hinter der Glasscheibe in einem Zugwaggon: Niemand benutzt ihn im Alltag, alle wissen, wo er ist, und das Einschlagen der Scheibe löst einen Alarm aus.
Die Regeln von Microsoft, übersetzt
Die Microsoft-Dokumentation zu Notfallzugriffskonten in Microsoft Entra — dem Identitätssystem von Microsoft 365 — legt Folgendes fest:
| Regel | Was das im Unternehmen bedeutet |
|---|---|
| Zwei oder mehr Konten | Fällt eines aus oder wird kompromittiert, bleibt das andere. |
| Nur Cloud, Domain .onmicrosoft.com | Unabhängig vom lokalen Server, von der Synchronisierung und von der Unternehmensdomain. |
| Kein persönlicher Eigentümer | Kein „joao.admin“ und kein privates Smartphone als zweiter Faktor. |
| Passwortlos, phishingresistent | FIDO2-Passkey (empfohlen) oder Zertifikat, abweichend von der Methode der normalen Konten. |
| Ausgenommen von Sperrregeln | Ein Fehler im bedingten Zugriff betrifft sie nicht. |
| Dauerhafter globaler Administrator | Immer aktiv, nicht nur „berechtigt“ auf Anfrage. |
| Zugangsdaten an getrennten Orten | Verschiedene Tresore, Zugriff nur für autorisierte Personen. |
| Warnung bei Nutzung | Jede Anmeldung löst eine kritische Warnung aus. |
| Test alle 90 Tage | Und bei jedem Wechsel im IT-Team oder im Abonnement. |
Das Ende des Kontos mit dem Passwort im Umschlag
Jahrelang war das Notfallkonto ein langes Passwort in einem Umschlag. Das reicht nicht mehr: Microsoft verlangt inzwischen MFA in den Verwaltungsportalen — im Microsoft 365 Admin Center seit Februar 2025 — und die Dokumentation stellt ausdrücklich klar, dass Notfallkonten keine Ausnahme sind.
Die empfohlenen Methoden sind FIDO2-Schlüssel oder Zertifikat. Für ein KMU ist die einfachste Lösung zwei physische Schlüssel pro Konto, an verschiedenen Orten. Vergleich der Methoden: MFA im Unternehmen, Methode für Methode.
Die Schlüssel gehören dem Unternehmen, nicht dem Dienstleister
Das ist eine Managemententscheidung. Im IT-Management, das wir leisten, arbeitet der Dienstleister mit persönlichen Administratorkonten, eines pro Techniker; die Notfallkonten bleiben beim Kunden. So ist das Unternehmen nie von jemandem abhängig — auch nicht von uns.
- Schlüssel 1 Im Tresor des Unternehmens, zugänglich für die Geschäftsleitung.
- Schlüssel 2 An einem anderen Ort: einem anderen Büro, dem Tresor eines Geschäftsführers oder einem Bankschließfach.
- Schriftliches Register Wer Zugriff hat, wo sie liegen, Datum des letzten Tests.
- Zugehörige Passwörter In einem Unternehmens-Passwort-Manager, in einem Bereich, der der Geschäftsleitung vorbehalten ist.
Das ist auch eine Klausel, die in jedem Vertrag zu prüfen ist: Ausstieg des Dienstleisters und Rückgabe von Daten und Zugängen.
DataRoad IT Unlimited
Sprechen Sie mit DataRoad. Wir analysieren Ihren Betrieb und schlagen das passende Paket vor.
Selbstcheck in acht Fragen
- Gibt es mindestens zwei Notfallkonten in .onmicrosoft.com?
- Ist keines an eine Person oder ein privates Smartphone gebunden?
- Nutzen sie einen physischen Schlüssel oder ein Zertifikat statt SMS oder App?
- Sind sie von sperrenden Regeln des bedingten Zugriffs ausgenommen?
- Weiß die Geschäftsleitung, wo die Schlüssel liegen, an getrennten Orten?
- Löst jede Anmeldung eine sofortige Warnung aus?
- Wurden sie in den letzten 90 Tagen getestet?
- Nutzt jeder Techniker ein eigenes Administratorkonto?
Zwei oder mehr „Nein“ oder „Weiß nicht“ bedeuten ein reales Risiko. Ein Großteil der Schwachstellen, die wir bei der Sicherheit von Microsoft-365-E-Mail finden, beginnt bei der Administration.
Beispiel: 50 Postfächer in einer öffentlichen Einrichtung
Bei der União das Freguesias de Massamá e Monte Abraão hat DataRoad rund 50 Postfächer zu Exchange Online migriert — mit vollständiger Übertragung der Inhalte, Neukonfiguration von Arbeitsplätzen und Smartphones und abschließender Validierung. In einer öffentlichen Einrichtung muss die Administration der Umgebung bei der Einrichtung bleiben, gleich wer der Dienstleister ist. Das ist das Modell, das wir anwenden: persönliche Konten für die Techniker, Notfallkonten im Besitz des Kunden, klares Zugriffsregister.
Häufige Fragen
Wie viele Notfallkonten sind nötig?
Laut Microsoft zwei oder mehr, damit der Ausfall eines Kontos das Unternehmen nicht aussperrt.
Taugt das Smartphone des Administrators als zweiter Faktor?
Das wird nicht empfohlen. Diese Konten dürfen nicht von Personen oder privaten Geräten abhängen; nutzen Sie FIDO2 oder ein Zertifikat.
Kann ich das Konto nur mit Passwort behalten?
Nein. MFA ist in den Verwaltungsportalen verpflichtend und gilt auch für Notfallkonten.
Wer verwahrt die Schlüssel?
Das Unternehmen, an zwei sicheren und getrennten Orten, mit Zugriffsregister. Der IT-Dienstleister arbeitet mit eigenen, persönlichen Konten.
Quellen
Nächster Schritt: Überprüfung der Administration in 5 Werktagen
Wir analysieren Administratorkonten, Notfallkonten, Authentifizierungsmethoden und Zugriffsregeln und liefern die Korrekturen nach Priorität, in einem unverbindlichen Angebot. Ab 10 Arbeitsplätzen · Servicevertrag · Remote-, Vor-Ort- und telefonischer Support. Mehr über Managed Microsoft 365 und die IT-Unlimited-Pläne.
