Da die Exchange-Standard-Authentifizierung nur auf Benutzernamen und Kennwörtern basiert, wird der Einsatz der sicheren Modern Auth ab Oktober 22 obligatorisch.
Schon jetzt auf Nummer sicher gehen
Microsoft sagt unmissverständlich: „wir werden die Basisauthentifizierung in unserem weltweiten mandantenfähigen Dienst ab dem 1. Oktober 2022 abschalten.“ Weiterhin stellt das Unternehmen klar, dass zu diesem Datum nicht für alle abgeschaltet wird. Vielmehr werden die Tenants nach dem Zufallsprinzip ausgewählt, erhalten eine 7-tägige Warnung im Message Center und erst dann wird die Basic Auth deaktiviert. Microsoft fügt aber hinzu: „nach Oktober gibt es keine Möglichkeit mehr, eine Ausnahme zu beantragen“.
Und Microsoft hat natürlich recht damit, allen Nutzern von Exchange-Online-Diensten die Bedeutung der Umstellung klarzumachen. Denn die herkömmliche Standard-Authentifizierung ist nicht mehr zeitgemäß, da es sich dabei um eine einfache Base64-kodierte Klartextübertragung von Anmeldedaten handelt. Da diese von jedem dekodiert werden kann, stellt das eine ernsthafte Sicherheitslücke dar.
Deshalb sind Unternehmen, aber auch Privatpersonen, gefordert, sich mit dem Komplex zu befassen und möglichst schnell auf die Modern Auth auf Basis von „OAuth 2.0“ umzusteigen.
OAuth steht für „Open Authorization“ und ist ein offenes Standardprotokoll, das eine sichere API-Autorisierung erlaubt. Damit ist die Datenübermittlung zwischen verschiedenen Anwendungen, Benutzeroberflächen oder Webseiten möglich. Die von APIs durchgeführten Datenübermittlungen müssen deshalb autorisiert werden, weil sonst das Risiko besteht, dass unbefugte Dritte auf Daten zugreifen und diese für kriminelle Zwecke missbrauchen.
„OAuth 2.0“ ist die Weiterentwicklung, bei der zahlreiche Schwächen des ursprünglichen Protokolls behoben wurden. Sie erlaubt mittels API-Autorisierung viel mehr Flexibilität und erhöht die Sicherheit deutlich im Vergleich zur alten OAuth.
Betroffen von der Deaktivierung von Basic Auth sind folgende Protokolle: MAPI, RPC, Offline Address Book (OAB), Exchange Web Services (EWS), POP, IMAP, Exchange ActiveSync (EAS) und Remote PowerShell.
Unberührt davon bleibt SMTP AUTH. Das wurde für Millionen von Mandanten, die es nicht nutzen, deaktiviert. Wenn es aber noch aktiv ist, liegt das daran, dass Microsoft die Nutzung sieht und es daher nicht antastet. Es wird aber empfohlen, SMTP AUTH auf Tenant-Ebene zu deaktivieren und es nur für die Benutzerkonten wieder zu aktivieren, für die es noch benötigt wird.
So viel zu den technischen Hintergründen, für Sie sind jedoch die praktischen Folgen der Umstellung entscheidend.
Professionelle Hilfe für eine einfache Umstellung
Damit Sie mit Ihrem Unternehmen möglichst stressfrei die erforderliche Sicherheitsstufe einführen können, bieten wir Ihnen umfassende Beratung und praktische Hilfe. So bringen wir Sie lange vor dem Stichtag auf den neuesten Stand der Technik und der Sicherheit.
Wir betrachten Ihre Anwendungen und wissen als Microsoft GOLD Partner und Azure-Spezialist, was konkret zu tun ist. Denn die Umstellung betrifft zahlreiche Werkzeuge, mit denen Sie täglich arbeiten. Dazu gehören beispielsweise MS Outlook, POP/IMAP in Verbindung mit OAuth, Exchange Web Services (EWS), ActiveSync, PowerShell-Skripte, Reporting Web Services sowie MS Teams Rooms.
Wenn Sie die Umstellung uns Profis überlassen, schonen Sie Ihre Ressourcen, die weiterhin ihren Kernaufgaben nachgehen können. Natürlich mit dem guten Gefühl, eine Sicherheitslücke geschlossen zu haben.
Unsere Empfehlung
Der Tag X, der 1. Oktober 2022, kommt schneller als Sie denken. Deshalb sollten Sie keine Zeit verlieren. Denn es geht auch um Ihre gesamte Sicherheit und den Schutz vor unberechtigten Zugriffen. Je früher Sie uns zu Rate ziehen, desto mehr Zeit bleibt, um angemessen und damit kalkulierbar zu reagieren.