Service Principal als Einfallstor: Wie Angreifer mit gestohlenen App-Zugangsdaten in Microsoft 365 eindringen

• Laut übereinstimmenden Berichten von Fachmedien melden sich Angreifer seit Anfang November 2026 mit gestohlenen Zugangsdaten von App-Registrierungen bei Microsoft 365, Azure und Azure DevOps an und haben so Zugriff auf mindestens 27 Organisationen erhalten.
• Ein Service Principal meldet sich mit einem Zertifikat oder einem geheimen Clientschlüssel an, ohne Benutzer und ohne MFA; Conditional Access Policies für Benutzer blockieren diese Anmeldungen laut Microsoft nicht.
• Conditional Access für Workload-Identitäten braucht laut Microsoft eine Workload Identities Premium Lizenz und gilt nur für Single-Tenant-Apps, nicht für Multi-Tenant-Apps von Dienstleistern.
• Unternehmen sollten jetzt die Service-Principal-Anmeldungen in Microsoft Entra prüfen, ungenutzte Apps und geheime Schlüssel entfernen und die Partnerbeziehungen im Microsoft 365 Admin Center kontrollieren.

Ein Service Principal ist die Identität einer Anwendung in Ihrem Microsoft Entra Tenant. Genau diese Identitäten stehen gerade im Mittelpunkt einer Angriffswelle: Laut übereinstimmenden Berichten mehrerer Fachmedien vom 4. und 5. November 2026 melden sich Angreifer mit gestohlenen, aber noch gültigen Zugangsdaten von App-Registrierungen bei Microsoft 365, Azure und Azure DevOps an.

Nach diesen Berichten gilt bisher:

• Im Fokus stehen IT-Dienstleister (Managed Service Provider) und über deren Anwendungen auch ihre Kunden.
• Die Angreifer haben Zugriff auf mindestens 27 Organisationen erhalten, durchsuchten Microsoft 365 Tenants, luden Dateien herunter und griffen auf Postfachinhalte zu.
• Die Anmeldungen laufen weitgehend automatisiert über Skripte.
• Woher die Zugangsdaten stammen, ist noch unklar.
• Nach bisherigen Erkenntnissen nutzen die Angreifer keine Sicherheitslücke bei Microsoft, sondern gültige Berechtigungen und gestohlene Schlüssel. Eine Stellungnahme von Microsoft lag den Berichten zufolge nicht vor.

Laut Microsoft-Dokumentation meldet sich ein Service Principal mit einem Zertifikat oder einem geheimen Clientschlüssel (Client Secret) an. Ein Benutzer ist dabei nicht beteiligt. Workload-Identitäten können keine Multi-Faktor-Authentifizierung durchführen, haben oft keinen geregelten Lebenszyklus und müssen ihre Zugangsdaten irgendwo speichern. Microsoft selbst nennt sie deshalb besonders gefährdet.

Dazu kommt ein Punkt, den viele Administratoren unterschätzen: Conditional Access Policies, die auf Benutzer zielen, blockieren laut Microsoft keine Aufrufe von Service Principals. Wer seine Conditional Access Policies sorgfältig für alle Benutzer gebaut hat, schützt damit seine Anwendungen noch nicht.

Microsoft bietet mit Conditional Access für Workload-Identitäten eigene Policies für Service Principals an. Damit lassen sich Anmeldungen außerhalb bekannter öffentlicher IP-Bereiche oder bei erkanntem Risiko blockieren. Laut Microsoft-Dokumentation gelten dabei wichtige Einschränkungen:

• Zum Anlegen und Ändern solcher Policies ist eine Workload Identities Premium Lizenz nötig. Eine Lizenz im Tenant schaltet die Funktionen für alle Workload-Identitäten frei, eine 90-tägige Testversion ist verfügbar.
• Die Policies gelten nur für Single-Tenant-Anwendungen, die in Ihrem Tenant registriert sind. Multi-Tenant-Apps, also typischerweise die Anwendungen von Dienstleistern und SaaS-Anbietern, sind ausgenommen.
• Verwaltete Identitäten (Managed Identities) werden nicht erfasst.
• Ein Service Principal muss der Policy direkt zugewiesen werden. Über eine Gruppenmitgliedschaft greift die Policy nicht.

Microsoft Entra ID Protection erkennt Risiken laut Microsoft dagegen bei Single-Tenant- und Multi-Tenant-Anwendungen. Gerade bei Apps von Dienstleistern bleiben Überwachung und saubere Berechtigungen deshalb der wichtigste Schutz.

1. Service-Principal-Anmeldungen auswerten

Im Microsoft Entra Admin Center finden Sie unter Entra ID, Monitoring & health, Sign-in logs den eigenen Bereich Service principal sign-ins. Dafür reicht mindestens die Rolle Reports Reader. Achten Sie auf Anwendungen, die lange nicht aktiv waren und plötzlich Anmeldungen zeigen, und auf unbekannte IP-Adressen.

2. Ungenutzte Apps und Schlüssel entfernen

Listen Sie alle App-Registrierungen und Unternehmensanwendungen auf. Löschen Sie Apps, die niemand mehr braucht, und entfernen Sie alte geheime Schlüssel und Zertifikate. Beachten Sie laut Microsoft: Wenn Sie eine Anwendungsidentität in Microsoft Entra ID entfernen, bleibt ihre Mitgliedschaft in Azure DevOps bestehen und muss dort separat entfernt werden.

3. Berechtigungen auf das Nötige reduzieren

Prüfen Sie, welche Apps weitreichende Rechte auf Microsoft Graph, Postfächer oder SharePoint haben. Je weniger Rechte eine Anwendung hat, desto weniger kann ein Angreifer mit ihren Zugangsdaten anrichten.

4. Geheime Schlüssel ersetzen

Microsoft empfiehlt in dieser Reihenfolge: verwaltete Identitäten, wo die Anwendung in Azure läuft, danach Workload Identity Federation und erst dann Zertifikate. Geheime Clientschlüssel sollten Sie laut Microsoft nicht verwenden, weil sie häufig in Skripten, Konfigurationsdateien oder Dokumentationen landen. Wo ein Zertifikat nötig ist, gehört es in einen geschützten Schlüsseltresor wie Azure Key Vault.

5. Partnerbeziehungen kontrollieren

Im Microsoft 365 Admin Center sehen Sie unter Einstellungen, Partnerbeziehungen, welche Partner delegierte Administratorrechte (GDAP) in Ihrem Tenant haben. Rollen von Partnern, mit denen Sie nicht mehr zusammenarbeiten, können Sie dort selbst entfernen.

Die InSys AG^® ist Microsoft Solutions Partner für Security und Microsoft Direct CSP. Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Im Microsoft Tenant Sicherheitscheck prüfen wir neben Benutzern und Conditional Access auch App-Registrierungen, Unternehmensanwendungen und Partnerberechtigungen. Wie Sie Identitäten insgesamt sauber aufstellen, lesen Sie auf unserer Seite zu Microsoft Entra ID. Einen Überblick über alle Leistungen finden Sie im Bereich Microsoft 365 Security und Beratung.

Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular unter diesem Beitrag.