Microsoft deaktiviert die Standardauthentifizierung in Exchange Online / Office365

Die Basic Authentication wird, wie von Microsoft bereits im Jahr 2018 angekündigt für Exchange ActiveSync (EAS), Exchange Web Services (EWS), POP, IMAP und Remote PowerShell abgeschaltet (vgl. Improving Security – Together – Microsoft Tech Community).

Microsoft kündigte diese Abschaltung für den Oktober 2020 an. Als Reaktion auf die COVID-19-Krise und die damit geänderten Prioritäten der IT-Abteilungen in den Unternehmen, wurde entschieden die Deaktivierung der Basic Authentication auf die zweite Hälfte des Jahres 2021 zu verschieben (vgl. Basic Authentication and Exchange Online – April 2020 Update – Page 2 – Microsoft Tech Community).

Basic Authentication vs. Modern Authentication

Basic Authentication
Bei der Basic Authentication wird bei der Anmeldung der Benutzername und das Passwort base64 kodiert übermittelt. Diese Kodierung kann leicht dekodiert werden und ist somit nicht sicher, weshalb zur Übermittlung des kodierten Wertes eine HTTPS Verbindung verwendet wird. Der kodierte Benutzername und das kodierte Passwort wird bei jeder Anfrage an den Webservice (Exchange Online) übermittelt, somit bietet die Basic Authentication eine breite Angriffsfläche für Angreifer.

Modern Authentication
Die Modern Authentication ist keine einzelne Authentifizierungsmethode. Modern Authentication ist eine Kategorie von mehreren Protokollen, die die Sicherheit von Cloud-basierten Ressourcen verbessern. Bekannte Beispiele für die Modern Authentication sind SAML, WS-Federation und OAuth. Alle Modern Authentication Protokolle versuchen die klassischen „Benutzernamen und Passwort“ Anmeldemethoden abzulösen und auf eine Token-basierte Variante umzustellen. Bei der Modern Authentication wird der Benutzername und das Passwort dazu verwendet sich am Azure AD zu authentifizieren, das Azure AD generiert nach der erfolgreichen Authentifizierung einen Token, für den Zugriff auf die Ressourcen. Dieser Token enthält spezifische Informationen (Claims) die angeben, worauf der Benutzer Zugriff hat und worauf nicht. Diese Token laufen ab und können widerrufen werden.

Damit Sie die Multifaktor Authentifizierung und Conditional Access verwenden können, muss Modern Authentication für Exchange Online aktiviert sein.

Basic Authentication Reporting

Damit Sie einen Überblick erhalten, welche Benutzer Basic Authentication verwenden, können Sie den Azure AD Sign-In Report verwenden.

Damit Sie einen längeren Zeitraum betrachten können, sollte der Zeitraum auf den letzten Monat erhöht werden. Damit nicht alle Anmeldungen angezeigt werden konfigurieren wird den Filter und wählen Client app als zu filterndes Feld aus.

Wählen Sie anschließend folgende Client Apps aus: Autodiscover, Exchange ActiveSync, Exchange Online PowerShell, Exchange Web Services, IMAP, MAPI Over HTTP, Offline Address Book, Other clients, Outlook Anywhere (RPC over HTTP), POP Reporting Web Services und Universal Outlook.

Nach der Filterung werden Ihnen alle Anmeldungen angezeigt, die mit Basic Authentification für Exchange Online durchgeführt werden.

Office Clients

Seit Outlook 2016 wird standartmäßig die Modern Authentication verwendet. Outlook für iOS und Android nutzen bereits standardmäßig die Modern Authentication.

Für Office 2013 werden zusätzliche Registry Keys benötigt, damit Modern Authentication statt Basic Authentication verwendet wird. Diese Registry Keys können z. B. per Gruppenrichtlinie (GPO) oder Microsoft Endpoint Manager (Intune) an die Clients verteilt werden.

Office 2010 Clients können keine Modern Authentication verwenden und müssen auf eine neuere Version aktualisiert werden. Des weiteren ist Office 2010 seit dem Oktober 2020 nicht mehr im Microsoft Support.

Aktivierung der Modern Authentication

Die Modern Authentication ist bereits für alle Microsoft Tenants, die nach dem 01. August 2017 erstellt wurden standardmäßig aktiviert.

Im Microsoft 365 admin center können die Einstellungen für die Modern Authentication eingestellt werden. Hierzu öffnen Sie die Kategorie Settings und wählen den Punkt Org settings.

Wählen Sie nun den Service „Modern Authentication“ aus und überprüfen Sie ob die Modern Authentication aktiviert ist.

Deaktivierung der Basic Authentication

Bevor Sie die Basic Authentication für die Protokolle deaktivieren, wird empfohlen die Azure AD Sign In Reports (weiter oben beschrieben) zu überprüfen und sicherzustellen, das keine Anmeldungen mehr über die Basic Authentication durchgeführt werden.

Im Modern Authentication Service können Sie die Basic Authentication für die einzelnen Protokolle umstellen.

Nachdem Sie die einzelnen Protokolle deaktiviert haben, wird hierfür keine Basic Authentication mehr akzeptiert. Bedenken Sie bitte das Microsoft, diese Änderungen automatisch im zweiten Halbjahr 2021 durchführen wird.