Der "Gast"-Zugang in Microsoft Teams kann den Schutz von Microsoft Defender für Office 365 beim Betreten von externen Mandanten deaktivieren

Sicherheitsforscher haben auf eine wichtige Schwachstelle bei der Verwendung des "Gastzugangs" in Teams hingewiesen: Wenn ein Benutzer eine Einladung annimmt, einem externen Microsoft 365-Tenant als Gast beizutreten, folgen die Schutzmaßnahmen von Defender für Office 365 nicht dem Benutzer - stattdessen hängt der Schutz vollständig von dem Tenant ab, der den Chat veranstaltet.

Laut dem Ontinue-Forscher Rhys Downing wird der Schutz eines Benutzers, der als Gast in einem anderen Tenant agiert, ausschließlich von dieser Host-Umgebung bestimmt und nicht von seiner Heimatorganisation.

Die Situation hat sich mit der jüngsten Veröffentlichung einer neuen Funktion in Teams (mit der Bezeichnung "MC1182004") verschlimmert, die es einem Benutzer ermöglicht, einen Chat mit einer beliebigen E-Mail-Adresse zu beginnen, selbst wenn der Empfänger Teams nicht nutzt. Dieses Update, das voraussichtlich ab Januar 2026 weltweit aktiv sein wird, erhöht die Flexibilität bei der Zusammenarbeit, erweitert aber auch den Risikobereich.

Wenn der Empfänger die Einladung als Gast annimmt, findet die Kommunikation vollständig innerhalb des externen Tenants statt, der seine eigenen Sicherheitsregeln hat. Wenn dieser Tenant nicht über Defender verfügt oder dessen Schutzfunktionen (wie Safe Links, Safe Attachments, Malware-Scans und ZAP) deaktiviert hat, befindet sich der Benutzer in einer "Zone ohne Schutz". Dies ermöglicht potenzielle Phishing-Angriffe, die Verbreitung von Malware oder bösartige Links, ohne dass die Schutzmaßnahmen seiner Organisation ausgelöst werden.

Im Falle eines Angriffs könnte ein Benutzer eine - von der Microsoft-Infrastruktur legitim generierte - E-Mail erhalten, in der er zu einem Chat eingeladen wird. Da die E-Mail legitim ist, umgeht sie die SPF-, DKIM- und DMARC-Prüfungen, so dass sie nur schwer als bösartig erkannt werden kann. Wenn die Einladung angenommen wird, weiß die Organisation des Benutzers möglicherweise nicht, dass die Kommunikation nun in einem von einem Angreifer kontrollierten Mandanten stattfindet.

Empfehlungen zur Minderung des Risikos

• Schränken Sie die B2B-Einstellungen ein, um Gasteinladungen nur von vertrauenswürdigen Domänen zuzulassen.
• Implementieren Sie mandantenübergreifende Zugriffskontrollen und restriktive Regeln für die externe Kommunikation, falls nicht erforderlich.
• Sensibilisierung der Benutzer: Vermeiden Sie die Annahme von Team-Einladungen von unbekannten oder verdächtigen Absendern.

SOC