Shared Mailboxes in Exchange Online brauchen einen gesperrten Sign-In

Shared Mailboxes gehören zu den meistgenutzten Werkzeugen in Exchange Online, vor allem bei Teams, die E-Mails gemeinsam bearbeiten oder einen funktionsbezogenen Posteingang brauchen. In vielen Tenants, die ich mir ansehe, behandelt man sie allerdings eher als bequemen „E-Mail-Speicher“ und übersieht dabei schnell die Schattenseiten. Technisch ist jede Shared Mailbox ein eigenes Benutzerkonto in Entra ID. Dieses Konto hat ein Passwort, das sich im Hintergrund nie ändert, und oft ist keine Multi-Faktor-Authentifizierung (MFA) aktiviert. Für Angreifer ist das ein gefundenes Fressen, erst recht, wenn die Anmeldung für das Konto nicht ausdrücklich gesperrt wurde. Deshalb sollte das Absichern von Shared Mailboxes in jeder Exchange-Online-Umgebung Pflicht sein.

Hinter jeder Shared Mailbox steckt ein vollwertiges Benutzerkonto

Dass Shared Mailboxes in Exchange Online keine eigene Lizenz brauchen, solange sie unter 50 GB bleiben und weder In-Place Archive noch Litigation Hold genutzt werden, wissen die meisten Admins (Quelle). Weniger präsent ist, dass hinter jeder Shared Mailbox ein Benutzerobjekt in Entra ID steckt. Beim Anlegen ist die Anmeldung für dieses Konto standardmäßig deaktiviert. In der Praxis passiert es aber immer wieder, dass das Konto durch Migrationen, Skripte oder versehentliche Änderungen plötzlich doch aktiv ist. Dann gibt es ein Benutzerkonto ohne MFA-Schutz. Solange sich niemand anmeldet, kann Conditional Access dieses Konto nicht schützen – wird es aber aktiviert, ist das Risiko ganz real. Eine Shared Mailbox darf deshalb nie als persönliches Login dienen. Einzelne Benutzer oder Gruppen sollten ausschließlich über Berechtigungen darauf zugreifen.

Ein gesperrter Sign-In ist der wichtigste Schutz für Shared Mailboxes

Am einfachsten und zugleich am wirksamsten ist es, die Anmeldung für das Benutzerobjekt der Shared Mailbox in Entra ID zu blockieren. Dazu setzt man das Konto auf accountEnabled = false. Beim Postfach in Exchange Online erkennt man diesen Status nicht auf einen Blick, deshalb lohnt sich eine regelmäßige Prüfung per PowerShell oder Graph. Das folgende kurze PowerShell-Snippet findet alle Shared Mailboxes, bei denen der Sign-In aktiviert ist:

Get-Mailbox -RecipientTypeDetails SharedMailbox | Where-Object {
    (Get-MsolUser -UserPrincipalName $_.UserPrincipalName).BlockCredential -eq $false
} | Select DisplayName,UserPrincipalName

Damit sieht man genau die Shared Mailboxes, deren Konten sich anmelden könnten. Liefert die Abfrage Treffer, muss aufgeräumt werden. Nichts verhindert zuverlässiger, dass das Konto zur Hintertür wird, als ein gesperrter Sign-In.

Mein Praxistipp: Nach Migrationen oder Massenänderungen sollte man sich die Shared Mailboxes immer genau ansehen und den Sign-In-Status prüfen. Besonders nach Änderungen per Skript rutschen gern einzelne Ausreißer durch.

Wann Conditional Access in solchen Szenarien greift und wann nicht, beschreibe ich ausführlicher im Beitrag Best Practices für Conditional Access in Entra ID.

Berechtigungen gehören an Gruppen und brauchen regelmäßige Kontrolle

Bei jeder Shared Mailbox kommt es vor allem auf eine saubere Berechtigungsvergabe an. Exchange Online kennt grundsätzlich drei klassische Rechte, nämlich Vollzugriff (Full Access), Senden als (Send As) und Senden im Auftrag von (Send on Behalf). Man kann sie direkt einzelnen Benutzern zuweisen oder, was besser skaliert, E-Mail-aktivierten Sicherheitsgruppen (Quelle). Gerade bei größeren Teams halte ich Gruppen für die bessere Wahl, weil sich Änderungen dann zentral und nachvollziehbar über die Gruppenverwaltung erledigen lassen.

Über das Automapping wird häufig diskutiert. Gebe ich einer Person Vollzugriff, bindet Outlook das Postfach meist automatisch ein. Das ist bequem, wird aber schnell unübersichtlich, vor allem bei wechselnden Teams oder nachdem Gruppen bereinigt wurden. In größeren Umgebungen empfehle ich deshalb, Automapping gezielt zu steuern und Postfächer im Zweifel lieber von Hand einzubinden.

Berechtigungen dürfen auf keinen Fall dauerhaft ungepflegt bleiben. Wer Vollzugriff oder Send-As-Rechte besitzt, kann im Namen der gemeinsamen Identität auftreten, und das ist für Datenschutz und Nachvollziehbarkeit keine Kleinigkeit. Ich rate dazu, die Berechtigungen mindestens einmal im Jahr zu überprüfen, bei Bedarf auch häufiger.

Gesendete Objekte und Lizenzgrenzen verdienen eigene Aufmerksamkeit

Eine kleine, aber wichtige Stellschraube betrifft gesendete E-Mails. Standardmäßig landet eine Mail im Ordner „Gesendete Objekte“ des jeweiligen Benutzers, auch wenn sie aus der Shared Mailbox verschickt wurde. Die eigentliche Kommunikation des Teams bleibt dadurch oft unsichtbar. Mit der Einstellung MessageCopyForSentAsEnabled wird zusätzlich eine Kopie in der Shared Mailbox selbst abgelegt. Sobald mehrere Personen ein Postfach gemeinsam nutzen, schalte ich das fast immer ein. Gesetzt wird die Einstellung pro Shared Mailbox:

Set-Mailbox "[email protected]" -MessageCopyForSentAsEnabled $true

Bei den Lizenzen sollte man außerdem im Blick behalten, dass auch eine Shared Mailbox zwingend eine Lizenz braucht, sobald das Postfach zu groß wird (über 50 GB) oder Archivfunktionen genutzt werden sollen (Quelle). Viele reagieren darauf erst zu spät.

Gepflegte Shared Mailboxes lassen Schattenkonten gar nicht erst entstehen

Shared Mailboxes erleichtern die Zusammenarbeit enorm, allerdings nur, solange sie kein Sicherheitsrisiko darstellen. Für mich gehören deshalb vier Dinge dazu, nämlich keine Anmeldung für das Konto, eindeutige Gruppenberechtigungen, regelmäßige Reviews und ein Blick auf die gesendeten Nachrichten. Wer sich daran hält, muss keine unbemerkten Schattenkonten oder versteckten Angriffsvektoren ohne MFA fürchten. Leider erlebe ich im Alltag zu oft, dass Shared Mailboxes angelegt und danach nie wieder überprüft oder aufgeräumt werden. Wer hier seine Hausaufgaben macht, schützt Daten und Identitäten gleichermaßen.

Damit klar wird, wie die Zugriffswege aussehen und warum das Blockieren des Logins so wichtig ist, habe ich ein einfaches Diagramm erstellt:

flowchart TD
    Benutzer["Benutzer"] --> Outlook["Outlook-Klient"]
    Outlook --> SharedMailbox["Shared Mailbox"]
    SharedMailbox --> EntraID["Entra ID Konto (Sign-In gesperrt)"]
    Admin["Admin"] --> Berechtigungen["Berechtigungen zuweisen"]
    Berechtigungen --> SharedMailbox

Abbildung: Zugriff auf die Shared Mailbox ausschließlich über Berechtigungen, nie per Login.