Microsoft-Konto eines Mitarbeiters kompromittiert – was ist in der ersten Stunde zu tun?

Informieren Sie umgehend alle Kunden per Rundmail oder Telefon! Weisen Sie darauf hin, dass kürzlich versendete E-Mails bzgl. Bankverbindungs- oder Rechnungsänderungen gefälscht sind. Wenn während Ihres Passwortwechsels ein Kunde eine Zahlung an das falsche Konto anweist ist der Schaden deutlich schwerer zu beheben als das technische Problem.

Die Sitzungen abzumelden reicht oft nicht aus; prüft unbedingt die APIs und autorisierten Drittanbieter-Apps. Manche Angreifer hinterlegen eine Unternehmensanwendung mit Mail-Rechten, sodass sie über OAuth-Tokens auch nach dem Passwortwechsel weiter mitlesen. Schaut zwingend in Azure AD / Entra ID unter Unternehmensanwendungen nach.

Bewahren Sie Ruhe und löschen Sie keinesfalls voreilig Daten. Manche Administratoren leeren in Panik das gesamte Postfach oder löschen das Konto. Im Hinblick auf die DSGVO und eventuelle Meldepflichten bei Sicherheitsvorfällen in Deutschland benötigen Sie zwingend die Logdaten. Sichern Sie die Überwachungsprotokolle unverzüglich als Beweismittel.

hatten wir letztes jahr auch.. und ehrlich gesagt überspringt bloß nicht die postfach-regeln, die typen hatten bei uns eine regel drin die alle mails mit dem wort "rechnung" weitergeleitet und gelöscht hat, haben wir erst nach zwei wohcen gecheckt leider.

Sobald der Vorfall technisch isoliert ist, sollten Sie umgehend Ihren Datenschutzbeauftragten hinzuziehen. Sollte sich bestätigen, dass personenbezogene Daten Dritter oder Geschäftsgeheimnisse abgeflossen sind, besteht nach Art. 33 DSGVO unter Umständen eine Meldepflicht binnen 72 Stunden gegenüber der zuständigen Aufsichtsbehörde sowie gegenüber den Betroffenen.

Dass der Dienstleister bei 800 Euro Monatspauschale im Ernstfall nicht erreichbar ist, ist das eigentliche Problem. Haben Sie keine vertraglich festgelegten Reaktionszeiten (SLA)? Nach Bewältigung dieses Vorfalls gehört der Vertrag dringend auf den Prüfstand; ein Notfallsupport, der in der ersten Stunde nicht reagiert, ist wertlos.

Kurzfahrplan für jetzt: 1) Alle Benutzersitzungen im Tenant beenden. 2) Postfach- und Weiterleitungsregeln restlos löschen. 3) Kennwort ändern und MFA-Geräte zurücksetzen. 4) Sign-in- und Audit-Logs der letzten 48 Stunden exportieren und sichern. 5) Buchhaltung und Kunden über die gefälschten Bankdaten-Mails in Kenntnis setzen.

Kurz gesagt, auf der technischen Seite sind das Zurücksetzen von Sitzungen, Passwörtern, Verifizierungsgeräten und Weiterleitungsregeln unerlässlich. Auf der administrativen Seite müssen die Kunden telefonisch gewarnt und die Systemprotokolle gesichert und aufbewahrt werden, um das Risiko einer möglichen Datenverletzung zu mindern. Die Vertragsbedingungen mit eurem Support-Unternehmen könnt ihr später klären.

Gespeichert. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Ich möchte etwas fragen. übrigens änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Wenn es jemand anders macht würde mich das auch interessieren.

Notiert, danke.

Wie habt ihr das Problem gelöst? Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System. Ich hoffe, das hilft dir weiter.

Ich würde mich freuen wenn du das Ergebnis postest. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Wenn deine Situation anders ist, ändert sich das natürlich.

In der Theorie stimmt das, in der Praxis läuft es nicht so. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen. Nur als Notiz, könnte nützlich sein.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Das war's, entschuldige, wenn ich zu lang war.

Wenn du so vorgehst, kläre das vorher. Ein nicht getestetes Backup ist kein Backup.

ich würde sagen lass uns nichts überstürzen. übrigens die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

an deiner Stelle würde ich so vorgehen.

Hier muss man eine Unterscheidung treffen. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.