In vielen Tenants, die ich betreue, ist Legacy Authentication längst ein alter Bekannter. Trotzdem stoße ich regelmäßig auf Reste, die irgendwann unbemerkt durchgerutscht sind. Vor allem Exchange ActiveSync und „Other clients“ tauchen immer wieder als Ausreißer in den Protokollen auf, obwohl Conditional Access schon seit Jahren das Mittel der Wahl gegen veraltete Anmeldeverfahren ist. Wer seine Umgebung wirklich aufräumen will, sollte deshalb noch einmal gründlich nachsehen.
Legacy Authentication bleibt auch 2026 ein beliebtes Einfallstor
Auch im Mai 2026 gehört das Blockieren von Legacy Authentication zur Pflicht und nicht zur Kür. Angreifer nehmen Basic-Auth-Protokolle nach wie vor gern ins Visier. Mit Conditional Access lässt sich die gesamte Legacy-Authentifizierung inzwischen einfach und fein abgestuft sperren, Exchange ActiveSync und „Other clients“ eingeschlossen. Ich starte dafür meist mit der offiziellen Dokumentation von Microsoft. Eine globale „Block Legacy Auth“-Richtlinie einzuschalten, reicht allerdings nicht. Genauso wichtig ist es, gezielt nach Restnutzung zu suchen, Ausnahmen für einzelne Protokolle zu verwalten und technische Altlasten ordentlich zu dokumentieren.
Die Sign-in-Logs verraten die letzten Legacy-Clients
Mein erster Weg führt jedes Mal ins Entra admin center → Monitoring & health → Sign-in logs. Stellt man dort den Filter „Client app“ auf „Legacy authentication clients“, zeigen sich die letzten Nachzügler. Meist sind das Exchange ActiveSync, IMAP, POP oder „Other clients“. Gerade nach einer Umstellung der Richtlinien sehe ich mir die letzten 7 bis 14 Tage an, denn erst über diesen Zeitraum werden neben einzelnen Ausreißern auch wiederkehrende Muster sichtbar. Häufig bleiben Multifunktionsdrucker mit SMTP AUTH übrig, dazu ältere Mobilgeräte mit ActiveSync oder Skripte, die IMAP oder POP nutzen. Mit dieser Abfrage behalte ich den Überblick:
# PowerShell 7 lokal oder in der Azure Cloud Shell (Microsoft.Graph-Modul)
# Voraussetzung: Global Reader oder Security Reader
# Zeigt letzte Legacy Auth-Anmeldungen der letzten 14 Tage
Get-MgAuditLogSignIn -Filter "ClientAppUsed eq 'Exchange ActiveSync' or ClientAppUsed eq 'Other clients'" -Top 1000 |
Where-Object {$_.CreatedDateTime -gt (Get-Date).AddDays(-14)} |
Select-Object UserDisplayName, ClientAppUsed, AppDisplayName, IPAddress, CreatedDateTime
In den Ergebnissen finde ich auffallend oft Dienstkonten, externe Benutzer oder sehr alte Geräte, die in keinem aktuellen Lifecycle-Management-Prozess mehr vorkommen. Sucht niemand gezielt danach, bleiben sie häufig monatelang unentdeckt.
Eine Conditional-Access-Richtlinie sperrt Exchange ActiveSync und „Other clients“ zuverlässig
Die eigentliche Sperre setze ich heute fast immer mit einer eigenen Conditional-Access-Richtlinie um. Sie blockiert sämtliche „Legacy authentication clients“ für alle Benutzer oder für ausgewählte Gruppen, wobei die Break-Glass-Konten in jedem Fall ausgenommen bleiben. Exchange ActiveSync und „Other clients“ solltet ihr dabei ausdrücklich einschließen, weil gerade diese beiden erfahrungsgemäß am längsten durchhalten. So kann eine Richtlinie aussehen:
- Benutzer oder Gruppen: Alle (außer Notfallkonten)
- Cloud-Apps: Alle
- Bedingungen → Client-Apps: Nur „Legacy authentication clients“
- Zugriff: Zugriff blockieren
- Ausnahme: Dokumentierte, befristete Ausnahmen
Die offizielle Anleitung stellt Microsoft selbst bereit (Policy block legacy authentication). Weitere Tipps aus der Praxis findet ihr in meinem Artikel Conditional Access in Microsoft Entra ID: Die ersten Richtlinien, die jeder Tenant braucht.
Praxis-Tipp: Jede Ausnahme bekommt bei mir ein Ablaufdatum und wird regelmäßig überprüft. „Temporäre“ Ausnahmen ohne Enddatum halten sich erstaunlich hartnäckig, und spätestens beim nächsten Audit fällt einem das auf die Füße.
Für Sonderfälle wie Multifunktionsdrucker mit SMTP AUTH plane ich einen eigenen Zeitrahmen und einen klaren Migrationsweg ein. In Exchange Online lässt sich SMTP AUTH außerdem schon länger pro Benutzer abschalten, wodurch weitere Angriffsflächen wegfallen.
In Exchange Online lassen sich Protokolle pro Postfach und per Authentifizierungsrichtlinie steuern
Conditional Access ist zwar das Standardwerkzeug für die Sperre, die Exchange-eigenen Einstellungen sind aber trotzdem einen Blick wert. Mit Set-CASMailbox schaltet man für einzelne Postfächer gezielt Protokolle wie ActiveSync, IMAP, POP und SMTP AUTH ab. Authentifizierungsrichtlinien gehen noch einen Schritt weiter und sperren Protokolle für ganze Benutzergruppen. Um etwa ActiveSync für ein Postfach zu deaktivieren, genügt ein Befehl:
# PowerShell 7 mit Exchange Online Modul
Set-CASMailbox -Identity "[email protected]" -ActiveSyncEnabled $false
Über Authentifizierungsrichtlinien (New-AuthenticationPolicy, Set-User -AuthenticationPolicy) kapselt man Ausnahmen sauber, ohne den Grundschutz aufzuweichen. Diese feine Steuerung hilft vor allem dann, wenn alte Protokolle Schritt für Schritt abgeschaltet werden, und sie verschafft Luft für die Migration von Spezialanwendungen. Ausführlicher gehe ich darauf im Beitrag SMTP AUTH Basic Authentication: Abschaltung rückt näher ein.
Ein Diagramm zeigt die Wirkung der Richtlinie auf Legacy-Anmeldungen
Wer den Weg eines Anmeldeversuchs anschaulich machen möchte, kann die Wirkung der Richtlinie in einem einfachen Diagramm darstellen:
flowchart TD
User["User"] --> ClientApp["Client-App (z.B. ActiveSync)"]
ClientApp --> EntraID["Entra ID"]
EntraID --> CA["Conditional Access Policy"]
CA -->|"Legacy Auth blockiert"| Blocked["Anmeldung abgelehnt"]
CA -->|"Modern Auth erlaubt"| Allowed["Anmeldung erlaubt"]
Abbildung: Je nach Client-Typ lehnt Conditional Access die Anmeldung per Legacy Authentication ab.
Die Ausnahmen bergen das größte Risiko
Technisch ist es heute keine große Herausforderung mehr, Legacy Authentication konsequent zu blockieren. Die eigentliche Arbeit steckt darin, die letzten Geräte und Skripte aufzuspüren und weiterzuverfolgen, und vor allem im Umgang mit den Ausnahmen. Ich rate dazu, jede noch benötigte Legacy-Auth-Freigabe mit einem festen Ablaufdatum zu versehen und regelmäßig zu prüfen, ob sie tatsächlich noch gebraucht wird. Wer das ordentlich dokumentiert und ehrlich überprüft, hat die größten Risiken im Griff und sieht dem nächsten Audit oder Sicherheitsvorfall deutlich entspannter entgegen. Allen, die noch umstellen müssen, kann ich nur raten, das jetzt anzugehen und nicht erst nach dem nächsten Angriff.
