Microsoft Entra ID-Überwachung: Erkennung verdächtiger Aktivitäten

Identitätsbasierte Angriffe stiegen im ersten Halbjahr 2025 um 32 %, und mehr als 97 % davon waren Passwort-Spray- oder Brute-Force-Versuche, laut dem Microsoft Digital Defense Report 2025. Microsoft Entra ID protokolliert bereits fast jede Aktion, die diese Angriffe betreffen, von jeder Anmeldung über jede Rollenänderung bis hin zu jeder Einwilligungserteilung, sodass fehlende Daten selten eine Einschränkung darstellen.

Die Herausforderung besteht darin, zu wissen, welche dieser Ereignisse eine Warnung verdienen und ob jemand sie verbinden kann, nachdem sie an verschiedenen Orten gelandet sind. Eine Rollenvergabe, eine OAuth-Zustimmung und eine temporäre Administratoraktivierung wirken wie gewöhnliche Verwaltungsaufgaben.

Lizenzstufen, Portalansichten und hybride Verzeichnisgrenzen verteilen die Beweise über Systeme hinweg, sodass sich die Sequenz erst zu einem Angriff auflöst, nachdem jemand sie wieder zusammengesetzt hat.

Die Erkennung hängt davon ab, welche Signale Gewicht haben, wo native Werkzeuge an ihre Grenzen stoßen und wie das Verbleibende in Signale zur Identitätssicherheitslage.

Was ist die Überwachung von Microsoft Entra ID?

Microsoft Entra ID ist der cloudbasierte Dienst von Microsoft für Identitäts- und Zugriffsmanagement. Er authentifiziert Benutzer, setzt Zugriffsrichtlinien durch und stellt Token aus, die Personen und Anwendungen den Zugriff auf Microsoft 365, Azure-Ressourcen und verbundene SaaS-Anwendungen ermöglichen.

Das allgemeine Monitoring der Azure-Infrastruktur umfasst die Verfügbarkeit, die Gesundheit der Verzeichnissynchronisierung und den Dienststatus, um zu bestätigen, dass die Plattform läuft. Das sicherheitsorientierte Monitoring von Entra ID ist anders: Es gewährleistet eine kontinuierliche Sichtbarkeit der Anmeldeprotokolle, Prüfprotokolle und der Aktivitäten von Privileged Access Management und überwacht Muster, die auf Kompromittierungen oder unautorisierte Änderungen hinweisen.

Jeder Praktiker weiß, dass Überwachung kontinuierlich und nicht periodisch erfolgen muss. Was eine funktionierende Praxis von einem Dashboard unterscheidet, das niemand liest, ist zu wissen, welche Entra ID-Signale tatsächlich wichtig sind.

Diese Liste ist enger als sie aussieht. Sie umfasst riskante Anmeldungen, die von Identity Protection markiert wurden, Mitglied zur Rolle hinzufügen Ereignisse außerhalb von PIM, OAuth-Zustimmungserteilungen wie Delegierte Berechtigung erteilen, und Conditional Access-Änderungen, die eine Richtlinie stillschweigend lockern.

Warum Sicherheitsteams Microsoft Entra ID überwachen

Entra ID steht im Mittelpunkt von allem, was die Organisation betreibt, daher zahlt sich eine gute Überwachung im gesamten kontrollierten Umfeld aus.Der Netwrix 2025 Cybersecurity Trends Report ergab, dass 46 % der Befragten 2025 eine Kontenkompromittierung erlebten, verglichen mit 16 % im Jahr 2020

• Zeigt die kleinen Änderungen auf, die sich zu Angriffen verbinden: Microsofts Reaktionsanleitung zum Midnight Blizzard Einbruch beschreibt einen Password-Spraying-Angriff, der ein Legacy-Test-Mandantenkonto ohne MFA kompromittierte. Der Angreifer kompromittierte anschließend eine Legacy-Test-OAuth-Anwendung mit erhöhten Zugriffsrechten und nutzte diese, um sich selbst die Rolle full_access_as_app für Office 365 Exchange Online zum Postfachzugriff zu gewähren. Jeder Schritt ähnelte routinemäßigen administrativen Aktivitäten, und der Einbruch dauerte von Ende November 2023 bis zur Entdeckung durch Microsoft am 12. Januar 2024.
• Vereint hybrides AD und Entra ID zu einer einzigen Erkennungsfläche: Die meisten Organisationen betreiben beide Verzeichnisse. Das gemeinsame Überwachen erkennt Angreifer, die sich zwischen ihnen bewegen, zum Beispiel durch Missbrauch von Entra Connect Sync, wo die beiden Teile sonst als nicht zusammenhängende Ereignisse mit geringer Schwere gelten würden.
• Beantwortet die Frage nachträglich: Überwachung, die Protokolle exportiert und aufbewahrt, hält eine Beweiskette mit Vorher-Nachher-Werten bereit, die Auditoren, Führungskräften und Vorfallreaktions-Teams weit über die nativen Aufbewahrungsfristen hinaus zur Verfügung steht.

Wo die native Überwachung von Microsoft Entra ID nicht ausreicht

Entra ID stellt drei Hauptprotokollquellen bereit. Audit-Protokolle erfassen, was sich geändert hat, Anmeldeprotokolle erfassen, wer sich authentifiziert hat, von wo und mit welchem Risikoniveau, und PIM-Protokolle erfassen, wie ein Privileg aktiviert wurde. Sie zu haben, ist nur der erste Schritt bei der Erkennung.

Aufbewahrungszeiträume sind kürzer als die meisten Teams erwarten

Audit- und Anmeldeprotokolle werden mit einer P1- oder P2-Lizenz 30 Tage lang gespeichert und im kostenlosen Tarif nur sieben Tage, gemäß der Datenaufbewahrungsreferenz von Microsoft. Aufbewahrungs-Upgrades wirken nicht rückwirkend, daher werden beim Wechsel von Free zu P1 keine bereits abgelaufenen Daten wiederhergestellt. Wenn ein Team einen Vorfall einen Monat später untersucht, findet es möglicherweise keine Daten mehr zur Abfrage.

Risikodetails sind nur mit P1/P2-Lizenzen zugänglich

Richtlinien für Risiken, vollständige Details zu risikobehafteten Benutzern und risikobasierter Conditional Access erfordern alle Entra ID P2, laut Microsofts Identity Protection-Dokumentation. Free- und P1-Mandanten können auf Anmeldeprotokolle zugreifen, aber Risikoerkennungen, risikoreiche Anmeldungen und der detaillierte Risikokontext, der Anomalien handhabbar macht, erfordern Entra ID P2. Teams mit niedrigeren Lizenzstufen überwachen mit einem reduzierten Datensatz.

Protokolle befinden sich in separaten Ansichten ohne integrierte Korrelation

Teams überprüfen Anmeldungen, Audit-Ereignisse, Änderungen an Conditional Access und PIM-Aktivitäten in verschiedenen Ansichten, daher erfordert deren Verbindung exportierte Protokolle oder permanente Abfragen. Ein um 2:14 hinzugefügter Conditional Access-Ausschluss und eine Rollenzuweisung um 2:31 erscheinen nie auf demselben Bildschirm. Manuelles Abgleichen skaliert schlecht über wenige Vorfälle hinaus.

On-prem AD- und Entra ID-Aktivitäten bleiben standardmäßig getrennt

Native Views protokollieren eine Gruppenmitgliedschaftsänderung als Windows Event ID 4728 auf einem Domänencontroller, getrennt von einer Rollenvergabe im Entra ID-Auditprotokoll. On-prem AD und Entra ID verwenden unterschiedliche Kennungen, sodass selbst exportierte Protokolle eine bewusste Identitätszuordnung zur Korrelation erfordern. Ein bereichsübergreifender Angriffsweg bleibt standardmäßig unsichtbar.

Wie man verdächtige Aktivitäten in Microsoft Entra ID erkennt

Verdächtige Aktivitäten in Entra ID treten meist als Kette von einzeln legitim aussehenden Administratoraktionen auf. Die unten aufgeführten Erkennungskategorien bieten das beste Signal-Rausch-Verhältnis für Identity-Teams, die ihre Überwachung priorisieren müssen.

Achten Sie auf unmögliche Reisen und riskante Anmeldungen

Ein riskanter Anmeldeversuch ist der schnellste Hinweis auf eine Kontokomprimittierung. Lösen Sie bei den benannten Risikoerkennungen von Microsoft Entra ID Protection aus, nicht nur bei Rohsignalen. Untypische Reisen markieren geografisch unmögliche Orte. Anonyme IP-Adressen markieren Tor-Ausgangsknoten und andere Anonymisierungsdienste.

Unbekannte Anmeldeeigenschaften kennzeichnen neue oder unbekannte Geräte- und Browserkombinationen. Achten Sie auch auf veraltete Authentifizierungsprotokolle wie Post Office Protocol (POP), Internet Message Access Protocol (IMAP) und Simple Mail Transfer Protocol authentication (SMTP AUTH), da keines von ihnen multifactor authentication (MFA) durchsetzen kann.

Korrigieren Sie Geografie mit Geräten-, Browser- und autonomen Systemnummern (ASN)-Signalen, da Angreifer Wohn-IP-Dienste nutzen, um eine rein geografische Erkennung zu umgehen.

Erkennen Sie Privilegieneskalationen, bevor sie sich festsetzen

Eine Verzeichnisrollen-Zuweisung oder PIM-Aktivierung ist eine direkte Privilegienerhöhung, daher sollte sie verfolgt werden, sobald sie erfolgt, anstatt periodisch zu überprüfen, wer Zugriff hat.Der Netwrix 2026 Data and Identity Security Report stellte fest, dass 76 % der Organisationen den dauerhaften Zugriff nicht sofort widerrufen können, sobald er nicht mehr benötigt wird, was den Wert erhöht, jedes Erhöhungsereignis sofort zu erfassen.

Die gleiche Least-Privilege-Arbeit setzt sich oft in der access certification fort, damit Rollenbesitz und Genehmigungen aktuell bleiben. Auslöser bei den audit operations Mitglied zur Rolle hinzufügen und Mitglied zur Rolle hinzugefügt (PIM-Aktivierung) für Tier-0 roles, also die privilegiertesten Assets wie Global Administrator und Privileged Role Administrator. Rollenzuweisungen außerhalb von PIM verdienen sofortige Eskalation; Microsoft Sentinel enthält eine community rule die "Add member to role" außerhalb von PIM für genau diesen Fall erkennt.

Schwächung der Conditional Access-Richtlinie kennzeichnen

Manipulation der Conditional Access-Richtlinie, zugeordnet zur MITRE ATT&CK-Technik T1556.009, ermöglicht Angreifern, die Kontrollen zu lockern, die sie sonst vor ihrem Handeln entdecken würden. Auslösung bei den Audit-Aktivitäten Aktualisierung der Conditional Access-Richtlinie und Löschen der Conditional Access-Richtlinie, dann prüfen Sie die geänderten Eigenschaften auf einen Statuswechsel von aktiviert zu nur Bericht, neue Benutzer- oder Gruppenausschlüsse und gelockerte Gewährungs- oder Sitzungskontrollen. Die spezifische Änderung ist im generischen Aktualisierungsereignis verborgen, daher deckt eine Alarmierung nur anhand des Ereignisnamens nur die Hälfte des Risikos ab.

Verfolgen Sie OAuth-App-Zustimmungserteilungen

Eine OAuth-Anwendung mit Zustimmung behält den Zugriff, der Passwortzurücksetzungen überlebt und MFA-Änderungen, was sie zu einem Persistenzmechanismus mit größerer Reichweite als jeder einzelne kompromittierte Benutzer macht und den eine benutzerorientierte Überwachung nie sieht.

Auslösen bei Consent to application, eine App-Rollen-Zuweisung zum Service Principal hinzufügen, und delegierte Berechtigungsvergabe hinzufügen Audit-Ereignisse, besonders wenn Administratorzustimmung breite Microsoft Graph-Bereiche abdeckt. Als Anwendungsberechtigung Mail.Read liest jeden Postfach, und Sites.FullControl.All gewährt vollständige SharePoint-Steuerung ohne angemeldeten Benutzer.

Überwachen Sie Änderungen der Authentifizierungsmethode und der Anmeldeinformationen bei privilegierten Konten

Viele Kontoübernahmen beginnen damit, die Authentifizierungsfähigkeit zu übernehmen, nicht das Konto selbst. Ausgelöst bei vom Benutzer registrierten Sicherheitsinformationen, vom Benutzer gelöschten Sicherheitsinformationen, und Passwortzurücksetzungen bei privilegierten Konten.

Die Richtlinien von Microsoft für privilegierte Konten kennzeichnen die Registrierung neuer Sicherheitsinformationen als mögliches Zeichen dafür, dass ein Angreifer sich weiterhin Zugang sichert. Ein Passwort-Reset, gefolgt von einer MFA-Neuanmeldung innerhalb kurzer Zeit, ist eines der stärksten Anzeichen für eine Kompromittierung im Audit-Log.

Wie man einen praktischen Microsoft Entra ID Überwachungsworkflow erstellt

Erkennungsmuster funktionieren nur innerhalb eines laufenden Workflows. Jede der untenstehenden Kontrollen hängt von der vorherigen ab, und das Erstellen in der Reihenfolge verwandelt isolierte Protokolleinträge in ein funktionierendes Erkennungsprogramm.

1. Zentralisieren und speichern Sie Protokolle über native Grenzen hinaus

Konfigurieren Sie die Entra-Diagnoseeinstellungen, um Anmelde-, Audit- und PIM-Aktivitäten vor einem Vorfall an eine Security Information and Event Management (SIEM)-Plattform, einen Log Analytics-Arbeitsbereich oder eine Langzeitspeicherung zu exportieren.

Jedes der oben genannten Erkennungsmuster setzt voraus, dass die Daten bei Beginn der Untersuchung noch verfügbar sind. Microsoft empfiehlt, Daten für mindestens 90 Tage zur Sicherheitsanalyse aufzubewahren. Schließen Sie bei der Exportierung die Kategorien für nicht-interaktive und Service Principal-Anmeldungen ein; sie erfassen Aktivitäten außerhalb der interaktiven Benutzeranmeldungen.

2. Legen Sie Baselines fest, bevor Sie Warnungen einrichten

Jede der oben genannten Erkennungskategorien wird zum Rauschen, wenn sie bei jedem Ereignis ausgelöst wird statt nur bei tatsächlichen Anomalien, und dieses Rauschen überdeckt die einzige wichtige Warnung. Legen Sie fest, wie Normalität für jeden Administrator und jede Rolle aussieht, einschließlich typischer Anmeldeorte, PIM-Aktivierungsfrequenz und Zustimmungsvolumen.

Alarmieren Sie bei Abweichungen von dieser Basislinie statt bei jedem Auftreten eines überwachten Ereignistyps. Red Hound empfiehlt, Suchläufe über einen 30-Tage-Verlauf durchzuführen, bevor Ergebnisse in Alarme umgewandelt werden. Wo noch keine Basislinie existiert, die Standardeinstellungen von Microsoft sind vier Änderungen in 60 Minuten für Benutzer und zwei für privilegierte Konten.

3. Ereignisse in Anmelde-, Audit- und PIM-Protokollen korrelieren

Erstellen Sie dauerhafte Abfragen für Kettenmuster. Zwei, mit denen Sie beginnen sollten, sind eine geschwächte Conditional Access-Richtlinie, gefolgt von einer Rollenvergabe innerhalb von 30 Minuten, und ein Service Principal, der erstellt und innerhalb einer Stunde mit mandantenweiter Administratorzustimmung versehen wurde, was die Community-Regeln von Microsoft Sentinel bereits umsetzen.

4. Korrelation auf on-prem AD erweitern

Exportieren Sie lokale AD-Sicherheitsereignisse in dasselbe SIEM oder hybride Überwachungstool wie die Entra ID-Protokolle. Beinhaltet Änderungen der Gruppenmitgliedschaft (Ereignis-IDs 4728, 4732 und 4756), Änderungen an Verzeichnisobjekten (5136) und Replikationsereignisse, die einen DCSync attack (4662 zusammen mit der Serie 4932-4934)

Korrelation nach Identität und Zeitfenster, Normalisierung zwischen lokalen SIDs und Entra Object IDs. Dasselbe Admin-Konto, das innerhalb eines kurzen Zeitraums in beiden Verzeichnissen aktiv ist, ist das Muster, das markiert werden sollte; jede einzelne Aktion wirkt routinemäßig. Eine einzige, korrelierte Ansicht über beide Verzeichnisse verwandelt zwei Ereignisse mit geringer Schwere in ein klares Signal.

5. Erstellen Sie ein Handbuch für Untersuchung und Reaktion

Entscheiden Sie im Voraus, was Sie zuerst abrufen möchten, beginnend mit den Details des Audit-Ereignisses, der Anmeldehistorie des Initiators und dem Ausbreitungsradius, also welche Konten, Anwendungen, Postfächer und Berechtigungen die Aktivität beeinflussen könnte.

Bewahren Sie Beweise vor der Eindämmung auf; das token theft playbook von Microsoft weist die Einsatzkräfte an, Rollenverteilungen und verdächtige Regeln während der Untersuchung zu dokumentieren. Definieren Sie Eindämmungsschritte, einschließlich der Deaktivierung des verdächtigen Hauptbenutzers und der Widerrufung von Aktualisierungstokens, und denken Sie daran, dass OAuth-Zustimmungserteilungen separat widerrufen werden müssen, da Passwortzurücksetzungen niemals den Zugriff einer Anwendung entfernen. Weisen Sie jedem Schritt einen benannten Verantwortlichen zu.

Eine Änderung zu erkennen und zu wissen, dass sie genehmigt wurde, sind zwei verschiedene Probleme. Eine Rollenvergabe oder eine Änderung von Conditional Access erscheint im Audit-Log gleich, egal ob change management sie im Voraus genehmigt hat oder ein Administrator eigenständig entschieden hat.

Das Playbook benötigt daher eine Möglichkeit, das Ereignis mit einem genehmigten Änderungsticket oder Wartungsfenster abzugleichen, nicht nur zu bestätigen, dass es stattgefunden hat. Teams ohne diesen Abgleichsschritt prüfen routinemäßige Änderungen bei jeder Untersuchung erneut.

Teams, die die anhaltende Administrator-Exposition vor dem nächsten Vorfall reduzieren, sollten auch überprüfen, welche Rollen noch dauerhaften Zugriff statt just-in-time-Erhöhung haben, da weniger dauerhafte Administratoren beim nächsten Ausführen dieses Playbooks einen kleineren Schadensradius bedeuten.

Wie Netwrix die Überwachung von Microsoft Entra ID unterstützt

Der oben beschriebene Workflow benötigt zwei Dinge, die native Tools nicht bieten. Das erste sind Änderungsprotokolle, die länger als das Aufbewahrungsfenster von Microsoft bestehen; das zweite sind Erkennungen, die lokale und Cloud-Identitätsereignisse zusammen auswerten. Netwrix Auditor und Netwrix Threat Manager übernehmen diese beiden Aufgaben neben einem bestehenden SIEM, im Rahmen des Data Security That Starts with Identity™-Ansatzes.

Aufbewahrung der Verzeichnis- und Berechtigungsänderungshistorie über das native Limit hinaus

Netwrix Auditor verfolgt Rollenzuweisungen, Gruppenmitgliedschaftsänderungen und Berechtigungsänderungen sowohl in lokalen Active Directory- als auch in Microsoft Entra ID-Umgebungen. Netwrix Auditor wird in 30 Minuten bereitgestellt, mit den ersten verwertbaren Berichten innerhalb weniger Stunden.

Netwrix Auditor erfasst Vorher-Nachher-Werte und bewahrt Auditdaten über das native Microsoft-Fenster hinaus auf, mit Langzeitarchivierung für spät eröffnete Untersuchungen. Die oben genannten Korrelations- und Playbook-Schritte basieren auf diesen Daten.

Enjoy.ing hat seine Audit-Trail für lokale AD, Microsoft Entra ID und VMware vor den GDPR- und ISO 27001-Arbeiten an einem Ort konsolidiert, und Vorfalluntersuchungen, die Stunden dauerten, dauern jetzt Minuten.

Erkennung von Privilegieneskalationen und verdächtigen Anmeldeverhalten

Netwrix Threat Manager erkennt nativ mehrere der oben genannten Entra ID-Muster, darunter unmögliche Reisen, sensible Rollenänderungen und Änderungen der Anwendungsberechtigungen, und ergänzt dabei die nativen Signale von Microsoft und Sentinel, anstatt sie zu ersetzen.

Für Teams, die die dauerhafte Admin-Exposition reduzieren, ersetzt Netwrix Privilege Secure die ständig aktiven Admin-Rechte durch ephemere Konten, aufgabenbezogene privilegierte Sitzungen, die enden, wenn die Arbeit abgeschlossen ist. So wird zero standing privilege in der Praxis durchgesetzt.

Beantwortung von Audit- und Vorfallfragen mit einer einzigen Suche

First National Bank and Trust of Beloit ersetzte die manuelle Beweissammlung an 17 Standorten durch Netwrix Auditor-Berichte für die Einhaltung der Office of the Comptroller of the Currency (OCC), und die Auditvorbereitung, die früher eine Woche dauerte, dauert jetzt eine Stunde. Für umfassendere Governance-Programme Identity Governance-Tools verwandeln Audit-Ergebnisse in Zugriffsüberprüfungen und Lifecycle-Kontrollen.

Erkennung funktioniert nur, wenn jemand zuschaut

Entra ID erzeugt bereits die Protokolle; die meisten Umgebungen benötigen nur eine dauerhafte Praxis, die diese in Beweise umwandelt. Die fünf oben genannten Erkennungskategorien, die konsequent über hybrid AD und Entra ID angewendet werden, helfen Teams, auf verdächtige Abläufe statt auf einzelne Ereignisse zu reagieren. Der Arbeitsablauf, der Aufbewahrung, Baselines, Korrelation und Reaktion verbindet, macht dies zur Routine statt zu einem vorfallgesteuerten Prozess.

Ein vollständiger SIEM-Ausbau kann später erfolgen. Der praktische nächste Schritt ist, die Korrelation zur festen Routine zu machen, sei es durch die Konfiguration von Diagnostik-Exporten in dieser Woche oder die Überprüfung, welche privilegierten Rollen weiterhin dauerhaften Zugriff haben.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihnen hilft, hybride Entra ID- und Active Directory-Aktivitäten zu überwachen, Identitätssignale aus verschiedenen Protokollquellen zu korrelieren und revisionsbereite Nachweise bereitzuhalten.