Microsoft schließt kritische Sicherheitslücke in Entra ID – Exploit mit höchster Bewertung entdeckt

So etwas macht einem als IT-Verantwortlichem direkt ein bisschen mulmig, oder? Microsoft hat gerade eine wirklich üble Sicherheitslücke in Entra ID (ehemals Azure Active Directory) gestopft – und die war so gefährlich, dass sie die maximale Bewertung von "10" auf der CVSS-Skala bekommen hat. Für alle, die sich jetzt fragen: Ja, das ist so schlecht wie es klingt.
Die Schwachstelle wurde von den Security-Experten bei Semperis entdeckt und ist eine Authentication Bypass-Lücke. Das bedeutet im Klartext: Angreifer hätten sich einfach als legitime Nutzer ausgeben und damit Zugriff auf sensible Daten und Systeme ergattern können – ohne dass es irgendwelche speziellen Hürden gegeben hätte. Einfach gesagt: Ein klassischer Zero-Click-Angriff, bei dem kein Benutzerinteraktion nötig ist, um die Lücke auszunutzen.
Wie die Lücke funktioniert hätte – und warum das so fies ist
Stellt euch vor, ihr bekommt normalerweise ein digitales "Drehkreuz-Ticket" (ein Token), um in euer Firmennetzwerk zu kommen. Dieses Ticket wird von Microsofts Authentifizierungsdienst ausgestellt und muss gültig sein. Die Schwachstelle ermöglichte es jedoch, dieses Drehkreuz-Ticket zu fälschen – und das System hat es einfach durchgewinkt, ohne zu merken, dass etwas nicht stimmt.
Ein solches gefälschtes Token hätte dann richtig Ärger gemacht:
- Seitliche Bewegung im Netzwerk: Sobald ein Konto übernommen ist, könnten Angreifer sich weiter vorarbeiten – wie Einbrecher, die sich in einem Haus von Raum zu Raum hangeln.
- Datenklau: Alles, was nicht niet- und nagelfest ist – Benutzerdaten, E-Mails, vertrauliche Dokumente – wäre in Gefahr gewesen.
- Ransomware: Mit Kontrolle über Entra ID hätten Cyberkriminelle Backups manipulieren oder Verschlüsselungstrojaner verbreiten können.
Microsoft hat die Lücke bevor sie öffentlich bekannt wurde geschlossen und betont, dass es keine Anzeichen für eine aktive Ausnutzung in freier Wildbahn gibt. Das ist erstmal eine gute Nachricht – aber der Vorfall zeigt wieder einmal, wie schnell so etwas passieren kann.
Was Microsoft rät – und was ihr als Unternehmen tun solltet
Microsoft hat ein Sicher



heitsupdate im Rahmen des monatlichen Patch-Dienstags veröffentlicht. Besonders betroffen sind Firmen, die Entra ID für Multi-Faktor-Authentifizierung (MFA), Single Sign-On (SSO) oder Identitätsmanagement nutzen. Also: Jetzt updaten, Leute!
Aber das ist noch nicht alles. Experten empfehlen:
2. Conditional Access Policies: Diese helfen, den Zugriff auf Systeme weiter einzuschränken – quasi wie ein zusätzliche Sicherheitsschleuse.
3. Regelmäßige Audits: Lasst eure Systeme von unabhängigen Experten durchleuchten, um ähnliche Schwachstellen früh zu finden.
4. Microsoft Defender for Identity: Das Tool kann verdächtiges Verhalten erkennen und melden – eine Art Frühwarnsystem für Identitätsdiebstahl.
Warum eine CVSS-Bewertung von 10,0 so alarmierend ist
Eine 10,0 ist die höchste mögliche Bewertung und bedeutet: Diese Lücke ist einfach auszunutzen, erfordert kaum Vorwissen und hat maximale Auswirkungen. Zum Vergleich: Die berüchtigte Log4j-Lücke (CVE-2021-44228) hatte ebenfalls eine 10,0 – und die hat weltweit für Aufsehen gesorgt. Beide Lücken haben eines gemeinsam: Sie zielen auf Identitäten ab – und die sind nun mal das Herzstück jeder IT-Infrastruktur.
Was wir daraus lernen können
Der Fall ist ein Weckruf für Cloud-Sicherheit. Identitätsdiebstahl ist eine der größten Bedrohungen für Unternehmen – und die Entra-ID-Lücke ist ein perfektes Beispiel dafür, wie schnell so etwas passieren kann. Auch wenn Microsoft schnell reagiert hat, bleibt die Frage: Wie viele ähnliche Schwachstellen schlummern noch unentdeckt in Cloud-Diensten?
Unternehmen sollten daher nicht nur auf Patches warten, sondern selbst aktiv werden:
- Sicherheit von Anfang an einplanen – nicht erst, wenn etwas schiefgeht.
- Regelmäßig testen, ob eure Systeme wirklich sicher sind.
- Schulungen für Mitarbeiter, denn oft sind es nicht die Systeme, sondern die Menschen, die Sicherheitslücken ausnutzen.
Die Entra-ID-Lücke ist jetzt behoben, aber sie sollte uns alle daran erinnern: In einer Zeit, in der immer mehr Geschäftsprozesse in die Cloud wandern, ist Sicherheit kein optionales Extra – sie ist Pflicht. Bleibt wachsam, Leute!