Sicherheit und Microsoft Teams

Microsoft Teams folgt als Teil der Microsoft 365- und Office 365-Dienste allen bewährten Methoden und Verfahren für die Sicherheit, wie z. B. Sicherheit auf Dienstebene durch mehrschichtige Abwehrmaßnahmen, Kundenkontrollfunktionen innerhalb des Dienstes, Sicherheitshärtung und betriebliche Best Practices. Ausführliche Informationen finden Sie im Microsoft Trust Center.

Vertrauenswürdigkeit als Konzept

Teams Online wurde in Übereinstimmung mit dem Microsoft Trustworthy Computing Security Development Lifecycle (SDL) entwickelt, der unter Microsoft Security Development Lifecycle (SDL) beschrieben wird. Der erste Schritt beim Erstellen eines sicheren Unified Communications-Systems bestand in der Entwicklung von Gefahrenmodellen und im Testen jedes einzelnen Features während seines Entwurfs. Mehrere sicherheitsbezogene Verbesserungen wurden in Codierungsprozess und -methoden integriert. Mit Buildzeittools werden Pufferüberläufe und andere potenzielle Sicherheitsbedrohungen erkannt, bevor der Code in das Endprodukt übernommen wird. Es ist unmöglich, bereits beim Entwurf alle unbekannten Sicherheitsbedrohungen zu berücksichtigen. Kein System kann 100-prozentige Sicherheit garantieren. Da bei der Produktentwicklung jedoch von Anfang an sichere Entwurfsprinzipien angewendet wurden, umfasst Teams die branchenüblichen Standardsicherheitstechnologien als grundlegenden Bestandteil seiner Architektur.

Vertrauenswürdigkeit als Standard

Die Netzwerkkommunikation in Teams ist standardmäßig verschlüsselt. Da alle Server Zertifikate verwenden müssen und durch die Verwendung von OAUTH-, TLS (Transport Layer Security)- oder SRTP (Secure Real-Time Transport Protocol)-Protokollen sind alle Microsoft Teams-Daten im Netzwerk geschützt.

So wird in Microsoft Teams mit allgemeinen Sicherheitsbedrohungen umgegangen

Dieser Abschnitt beschreibt die häufigsten Bedrohungen für die Sicherheit des Teams-Dienstes und wie Microsoft jede Bedrohung entschärft.

Angriff mit kompromittiertem Schlüssel

Microsoft Teams nutzt die PKI-Funktionen des Windows Server-Betriebssystems, um die für die Verschlüsselung für TLS-Verbindungen verwendeten Schlüsseldaten zu schützen. Die für die Medienverschlüsselungen verwendeten Schlüssel werden über TLS-Verbindungen ausgetauscht.

Denial-of-Service-Angriff auf Netzwerke

Bei einem verteilten Denial-of-Service-Angriff (DDOS) verhindert ein Angreifer die normale Netzwerknutzung und -funktion durch legitime Nutzer. Durch einen Denial-of-Service-Angriff eröffnen sich den Angreifern folgende Möglichkeiten:

• Er kann ungültige Daten an Anwendungen und Dienste senden, die in dem angegriffenen Netzwerk ausgeführt werden, um ihre Funktionsweise zu beeinträchtigen.
• Er kann große Datenmengen senden, um das System zu überlasten, bis es nicht mehr oder nur noch verzögert auf legitime Anforderungen reagiert.
• Er kann die Spuren seines Angriffs vertuschen.
• Er kann Benutzer vom Zugriff auf die Netzwerkressourcen abhalten.

Teams mildert diese Angriffe, indem es den Azure DDOS-Netzwerkschutz ausführt und Client-Anforderungen von denselben Endpunkten, Subnetzen und Verbundentitäten einschränkt.

Abhörschutz

Lauschangriffe erfolgen, wenn ein Angreifer Zugriff auf den Datenpfad in einem Netzwerk erhält und die Möglichkeit hat, den Datenverkehr zu überwachen und auszulesen. Lauschangriffe werden auch als "Sniffing" oder "Snooping" bezeichnet. Wenn der Datenverkehr aus reinem Text besteht, können Angreifer ihn lesen, sobald sie Zugriff auf den Pfad haben. Ein Beispiel wäre ein Angriff, bei dem ein Router auf dem Datenpfad kontrolliert wird.

Microsoft Teams verwendet Mutual TLS (MTLS) und Server-zu-Server (S2S)-OAuth (neben anderen Protokollen) für die Serverkommunikation innerhalb von Microsoft 365 und Office 365 sowie TLS von Clients zum Dienst. Der gesamte Datenverkehr im Netzwerk wird verschlüsselt.

Diese Kommunikationsmethoden machen das Mithören innerhalb des Zeitraums einer einzelnen Unterhaltung schwierig oder unmöglich. TLS authentifiziert alle Parteien und verschlüsselt den gesamten Datenverkehr. Obwohl TLS Lauschangriffe nicht verhindert, kann der Angreifer den Datenverkehr nur auslesen, wenn die Verschlüsselung aufgehoben wird.

Das TURN-Protokoll ( Traversal Using Relays around NAT ) wird für Echtzeitmedien verwendet. Das TURN-Protokoll schreibt keine Verschlüsselung des Datenverkehrs vor, und die von ihm gesendeten Informationen sind durch die Nachrichtenintegrität geschützt. Obwohl es für Lauschangriffe offen ist, können die von ihm gesendeten Informationen (d. h. IP-Adressen und Port) direkt extrahiert werden, indem man einfach die Quell- und Zieladressen der Pakete betrachtet. Der Teams-Service stellt sicher, dass die Daten gültig sind, indem er die Nachrichtenntegrität der Nachricht anhand des Schlüssels überprüft, der aus einigen wenigen Elementen einschließlich eines TURN-Kennworts abgeleitet wurde, das niemals im Klartext gesendet wird. SRTP wird für den Medienverkehr verwendet und ist ebenfalls verschlüsselt.

Identitätsspoofing (Spoofing von IP-Adressen)

Spoofing liegt vor, wenn Angreifer unbefugt die IP-Adresse eines Netzwerks, Computers oder einer Netzwerkkomponente ermitteln und dann verwenden. Bei einem erfolgreichen Angriff kann der Angreifer sich so verhalten, als sei er der normalerweise durch die IP-Adresse identifizierte Benutzer.

TLS authentifiziert alle Parteien und verschlüsselt den gesamten Datenverkehr. Die Verwendung von TLS hindert einen Angreifer daran, das Spoofing der IP-Adresse für eine bestimmte Verbindung auszuführen (z. B. Mutual TLS-Verbindungen). Ein Angreifer könnte jedoch die Adresse des DNS-Servers (Domain Name System) durch Spoofing ermitteln. Da die Authentifizierung in Teams jedoch mittels Zertifikaten erfolgt, würde ein Angreifer über keine gültigen Informationen verfügen, die für das Spoofing einer der Parteien in der Kommunikation notwendig wären.

Adversary-in-the-Middle-Angriff

Von einem Adversary-in-the-Middle-Angriff spricht man, wenn Angreifer die Kommunikation zwischen zwei Nutzern ohne deren Wissen über ihr Gerät leiten. Die Angreifer können die übertragenen Daten überwachen und lesen, ehe sie an den eigentlichen Empfänger weitergeleitet werden. Beide Kommunikationspartner senden unwissentlich Daten an die Angreifer und empfangen von ihnen Daten, sind aber dabei in dem Glauben, ausschließlich mit der beabsichtigten Person zu kommunizieren. Dieses Szenario kann vorkommen, wenn es Angreifern gelingt, Microsoft Entra ID Domain Services so zu ändern, dass ihr Server als vertrauenswürdiger Server hinzugefügt wird, oder wenn sie die DNS-Konfiguration ändern oder andere Mittel verwenden, damit Clients auf dem Weg zum Server über den Computer der Angreifer geleitet werden.

Adversary-in-the-Middle-Angriffe auf den Mediendatenverkehr zwischen zwei Endpunkten, die an Teams Audio-, Video- und der Anwendungsfreigabe teilnehmen, werden durch die Verwendung von SRTP (Secure Real-Time Transport Protocol ) zum Verschlüsseln des Mediendatenstroms verhindert. Kryptografieschlüssel werden zwischen den beiden Endpunkten über ein proprietäres Signalprotokoll (Teams Call Signaling Protocol) ausgehandelt, das einen mit TLS 1.2 und AES-256 (im GCM-Modus) verschlüsselten UDP- oder TCP-Kanal nutzt.

RTP-Replay-Angriff (Real-Time Transport-Protokoll)

Ein Replay-Angriff liegt vor, wenn eine gültige Medienübertragung zwischen zwei Parteien abgefangen und für böswillige Zwecke erneut übertragen wird. Microsoft Teams verwendet SRTP mit einem sicheren Signalübermittlungsprotokoll, das die Übertragungen vor Angriffen mit Aufzeichnungswiederholung schützt. Mit SRTP können Empfänger einen Index der bereits empfangenen RTP-Pakete erstellen und jedes neue Paket mit den bereits enthaltenen abgleichen.

Spim

Bei Spim handelt es sich um unerwünschte Werbenachrichten per Chat oder Präsenz-Abonnement-Anforderungen, wie Spam, jedoch in Form von Chatnachrichten. Das an sich ist zwar keine Kompromittierung des Netzwerks, aber es ist dennoch mindestens ärgerlich, kann Ressourcenverfügbarkeit und Produktion verringern und möglicherweise zu einer Beeinträchtigung des Netzwerks führen. Ein Beispiel dafür sind Angreifer, die sich gegenseitig durch das Senden von Anforderungen überbieten. Benutzer können sich zwar gegenseitig blockieren, um Spimming zu verhindern, aber in einem Partnerverbund kann dies schwierig sein, wenn ein koordinierter Spim-Angriff erfolgt, es sei denn, Sie deaktivieren den Verbund für den Partner.

Viren und Würmer

Ein Virus ist eine Codeeinheit, deren Zweck die Reproduktion weiterer, ähnlicher Codeeinheiten ist. Ein Virus benötigt, um zu funktionieren, einen Host, z. B. eine Datei, eine E-Mail oder ein Programm. Ähnlich wie ein Virus ist ein Wurm eine Codeeinheit, die weitere, ähnliche Codeeinheiten reproduziert, aber im Gegensatz zu einem Virus keinen Wirt benötigt. Viren und Würmer treten vor allem bei Dateiübertragungen zwischen Clients oder beim Versenden von URLs von anderen Benutzern auf. Wenn sich ein Virus auf Ihrem Computer befindet, kann er beispielsweise Ihre Identität verwenden und Sofortnachrichten in Ihrem Namen versenden. Standardmäßige bewährte Methoden für die Client-Sicherheit, wie z. B. die regelmäßige Überprüfung auf Viren, können dieses Problem entschärfen.

Phishingversuche

Phishingangriffe in Teams sind kostspielig, monetär und beruhigend. Bei diesen Angriffen werden Benutzer dazu verleitet, Informationen wie Kennwörter, Codes, Kartennummern und andere wichtige Informationen über gefälschte Website-Links und Anhänge preiszugeben, die harmlos erscheinen, aber beim Anklicken gefährliche Software herunterladen können. Da viele dieser Angriffe auf Benutzer abzielen, auch auf hochwertige Ziele mit viel Zugriff, können sie allgegenwärtig sein. Es gibt jedoch Antiphishingstrategien sowohl für Teams-Administratoren als auch für Benutzer.

• Es gibt bewährte Sicherheitsmethoden für Teams, die jeder kennen und verwenden sollte

  • Benutzer können lernen, wie sie Phishing erkennen und sich davor schützen können

• Wenn ein Benutzer in Ihrer Organization eine Phishingnachricht von einem externen Absender erhalten hat, können Mandantenadministratoren diese Nachricht mithilfe der Graph-API "RemoveAllAccessForUser" aus der Ansicht des Benutzers entfernen.

• Microsoft Defender für Office 365 sichert Teams auch

  • Die Angriffssimulation hilft Administratoren, Teams-Benutzer zu schulen und gefährdete Personen zu schützen
  • Teams-Benutzern steht außerdem die Berichterstellung über verdächtige Nachrichten zur Verfügung

Sicherheitsframework für Teams

Teams unterstützt Sicherheitsideen wie Zero Trust und die Prinzipien des geringstprivilegierten Zugriffs. Dieser Abschnitt enthält eine Übersicht über grundlegende Elemente, die ein Sicherheitsframework für Microsoft Teams bilden.

Die wichtigsten Elemente sind:

• Microsoft Entra ID, die ein einziges vertrauenswürdiges Back-End-Repository für Benutzerkonten bereitstellt. Informationen zu Benutzerprofilen werden in Microsoft Entra ID durch die Aktionen von Microsoft Graph gespeichert.
  • Möglicherweise wurden mehrere Token ausgegeben, die bei Verfolgung des Netzwerkdatenverkehrs ggf. angezeigt werden. Dazu gehören Skype-Token, die beim Betrachten des Chats und Audiodatenverkehr möglicherweise in Ablaufverfolgungen angezeigt werden.
• Transport Layer Security (TLS) verschlüsselt den Kanal in Bewegung. Die Authentifizierung erfolgt entweder mithilfe von gegenseitigen TLS (MTLS), basierend auf Zertifikaten oder mithilfe der Diesnt-zu-Dienst-Authentifizierung basierend auf Microsoft Entra ID.
• Punkt-zu-Punkt-Audio-, Video- und Anwendungsfreigabestreams werden verschlüsselt und die Integrität mithilfe des Secure Real-Time Transport Protocol (SRTP) überprüft.
• In Ihrer Spur wird OAuth-Datenverkehr angezeigt, insbesondere beim Tokenaustausch und dem Aushandeln von Berechtigungen beim Wechseln zwischen Registerkarten in Teams, z. B. um von Posts zu Files zu wechseln. Ein Beispiel für den OAuth-Ablauf für Registerkarten finden Sie in diesem Dokument.
• Teams verwenden nach Möglichkeit branchenübliche Protokolle für die Nutzerauthentifizierung.

In den nächsten Abschnitten werden einige dieser Kerntechnologien erläutert.

Microsoft Entra ID

Microsoft Entra ID fungiert als Verzeichnisdienst für Microsoft 365 und Office 365. Es speichert alle Nutzer- und Anwendungsverzeichnisinformationen und Richtlinienzuweisungen.

Datenverkehrsverschlüsselung in Teams

Diese Tabelle zeigt die wichtigsten Datenverkehrstypen und das Protokoll, das für die Verschlüsselung verwendet wird.

Verteilungspunkte für Zertifikatsperrlisten (Certificate Revocation List, CRL)

Microsoft 365- und Office 365-Verkehr findet über TLS/HTTPS-verschlüsselte Kanäle statt, was bedeutet, dass Zertifikate zur Verschlüsselung des gesamten Verkehrs verwendet werden. In Microsoft Teams müssen alle Serverzertifikate einen oder mehrere CRL-Verteilungspunkte enthalten. CRL-Verteilungspunkte sind Speicherorte, von denen Zertifikatsperrlisten heruntergeladen werden können, um zu prüfen, ob das Zertifikat seit seiner Ausstellung gesperrt wurde und es sich noch im Gültigkeitszeitraum befindet. Ein CRL-Verteilungspunkt wird in den Eigenschaften des Zertifikats als URL angegeben und ist sicheres HTTP. Der Teams-Service überprüft die CRL bei jeder Zertifikatauthentifizierung.

Erweiterte Schlüsselverwendung

Für alle Komponenten des Microsoft Teams-Dienstes sind alle Serverzertifikate erforderlich, um die Erweiterte Schlüsselverwendung (EKU, Enhanced Key Usage) für die Serverauthentifizierung zu unterstützen. Die Konfiguration des EKU-Felds für die Serverauthentifizierung bedeutet, dass das Zertifikat für den Zweck der Serverauthentifizierung gültig ist. Diese EKU ist wesentlich für MTLS.

TLS für Teams

Teams-Daten werden während der Übertragung und im Ruhezustand in Microsoft-Dienste, zwischen Diensten sowie zwischen Clients und Diensten verschlüsselt. Microsoft verwendet dazu Branchenstandardtechnologien wie TLS und SRTP, um alle Daten während der Übertragung zu verschlüsseln. Zu den übertragenen Daten gehören Nachrichten, Dateien, Besprechungen und andere Inhalte. Ruhende Unternehmensdaten in Microsoft-Dienste werden ebenfalls so verschlüsselt, dass Organisationen Inhalte bei Bedarf entschlüsseln können, um ihre Sicherheits- und Complianceanforderungen zu erfüllen, z. B. mit eDiscovery. Weitere Informationen zur Verschlüsselung in Microsoft 365 finden Sie unter Verschlüsselung in Microsoft 365.

TCP-Datenflüsse werden mithilfe von TLS verschlüsselt, und MTLS- und Dienst-zu-Dienst-OAuth-Protokolle bieten endpunktauthentifizierte Kommunikationen zwischen Diensten, Systemen und Clients. Microsoft Teams verwendet diese Protokolle, um ein Netzwerk vertrauenswürdiger Systeme zu erstellen und sicherzustellen, dass die gesamte Kommunikation über dieses Netzwerk verschlüsselt ist.

Bei einer TLS-Verbindung fordert der Client vom Server ein gültiges Zertifikat an. Um gültig zu sein, muss das Zertifikat von einer Zertifizierungsstelle ausgestellt worden sein, der auch vom Client vertraut wird, und der DNS-Name des Servers muss mit dem DNS-Namen auf dem Zertifikat übereinstimmen. Wenn das Zertifikat gültig ist, verwendet der Client den öffentlichen Schlüssel im Zertifikat, um die symmetrischen Verschlüsselungsschlüssel, die für die Kommunikation verwendet werden, zu verschlüsseln, sodass nur der ursprüngliche Eigentümer des Zertifikats seinen privaten Schlüssel für die Entschlüsselung der Inhalte der Kommunikation verwenden kann. Die daraus resultierende Verbindung ist vertrauenswürdig und wird von diesem Punkt an nicht von anderen vertrauenswürdigen Servern oder Clients angezweifelt.

Die Verwendung von TLS trägt dazu bei, Abhörvorgänge und Man-in-Middle-Angriffe zu verhindern. Ein Man-in-the-Middle-Angriff leitet die Kommunikation zwischen zwei Netzwerkeinheiten ohne Wissen einer der beiden Parteien über den Computer des Angreifers um. Die TLS- und Teams-Spezifikation vertrauenswürdiger Server entschärft das Risiko eines Man-in-the-Middle-Angriffs auf Anwendungsebene teilweise durch die Verwendung von Verschlüsselung, die mit der Kryptografie mit öffentlichem Schlüssel zwischen den beiden Endpunkten koordiniert wird. Ein Angreifer müsste über ein gültiges und vertrauenswürdiges Zertifikat mit dem entsprechenden privaten Schlüssel verfügen, das auf den Namen des Dienstes ausgestellt ist, mit dem der Client kommuniziert, um die Kommunikation zu entschlüsseln.

Verschlüsselung in Teams und Microsoft 365

Teams verwendet mehrere Verschlüsselungsebenen, um Inhalte während der Übertragung und im Ruhezustand zu schützen. Weitere Informationen zu diesen Ebenen, einschließlich Standardverschlüsselung, End-to-End-Verschlüsselung und Kundenschlüssel, finden Sie unter Verschlüsselung in Microsoft Teams. In den folgenden Abschnitten werden nur die Medienpfaddetails behandelt, die für den Anruf- und Besprechungsstapel von Teams spezifisch sind.

Medienverschlüsselung

Anrufflüsse in Teams basieren auf dem Angebots- und Antwortmodell Session Description Protocol (SDP) RFC 8866 über HTTPS. Sobald der Angerufene einen eingehenden Anruf annimmt, stimmen Anrufer und Angerufener den Sitzungsparametern zu. Mediendatenverkehr zwischen Anrufer und Angerufenem wird über Secure RTP (SRTP) verschlüsselt, ein Profil von RTP (Real-Time Transport-Protokoll), das Vertraulichkeit, Authentifizierung und Schutz vor Replay-Angriffen für RTP-Datenverkehr bietet. SRTP verwendet einen Sitzungsschlüssel, der von einem sicheren Zufallszahlengenerator generiert und über den signalisierenden TLS-Kanal ausgetauscht wird.

Der Client-zu-Client-Mediendatenverkehr wird meistens über Client-zu-Server-Verbindungssignale verhandelt, und bei direktem Client-zu-Client mit SRTP verschlüsselt. Bei normalen Anrufflüssen erfolgt die Aushandlung des Verschlüsselungsschlüssels über den Anrufsignalkanal.

Informationen dazu, wie die End-to-End-Verschlüsselung Schlüssel ableitet und austauscht, finden Sie unter Verschlüsselung in Microsoft Teams.

End-to-End-verschlüsselte Anrufe beinhalten einen 20-stelligen Sicherheitscode, den die Teilnehmer vergleichen können, um zu bestätigen, dass der Anruf nicht abgefangen wurde. Weitere Informationen finden Sie unter Verwalten der End-to-End-Verschlüsselung für Microsoft Teams-Besprechungen und 1:1-Anrufe.

Teams verwendet ein auf Anmeldeinformationen basierendes Token für den sicheren Zugriff auf Medienrelays über TURN. Medienrelays tauschen das Token über einen TLS-gesicherten Kanal aus.

Federal Information Processing Standard (FIPS)

Microsoft Teams verwendet FIPS-konforme Algorithmen für den Austausch von Verschlüsselungsschlüsseln. Weitere Informationen zur Implementierung von FIPS finden Sie unter FIPS (Federal Information Processing Standard) Publication 140-2.

Nutzer- und Clientauthentifizierung

Ein vertrauenswürdiger Benutzer ist eine Person, deren Anmeldeinformationen von Microsoft Entra ID in Microsoft 365 oder Office 365 authentifiziert wurden.

Authentifizierung bedeutet die Bereitstellung von Benutzeranmeldeinformationen für einen vertrauenswürdigen Server oder Dienst. Teams verwendet abhängig vom Status und Standort des Benutzers die folgenden Authentifizierungsprotokolle.

• Moderne Authentifizierung (MA) ist die Microsoft-Implementierung von OAUTH 2.0 für die Client-Server-Kommunikation. Sie ermöglicht Sicherheitsfunktionen wie mehrstufige Authentifizierung (MA) und bedingten Zugriff. Für die Nutzung von MA müssen sowohl der Onlinemandant als auch die Clients für MA aktiviert sein. Alle Microsoft Teams-Clients über PC und Mobilgeräte hinweg sowie der Webclient unterstützen die mehrstufige Authentifizierung.

Die Teams-Authentifizierung erfolgt über Microsoft Entra ID und OAuth. Der Authentifizierungsprozess kann vereinfacht werden:

• > Ausgabe des Benutzeranmeldetokens bei nächster > Anforderung verwenden ausgegebenes Token.

Anforderungen vom Client an den Server werden von Microsoft Entra ID unter Verwendung von OAuth authentifiziert und autorisiert. Nutzer mit gültigen Anmeldeinformationen, die von einem Verbundpartner ausgestellt wurden, sind vertrauenswürdig und durchlaufen denselben Prozess wie native Benutzer. Weitere Einschränkungen können jedoch von Administratoren eingeführt werden.

Für die Medienauthentifizierung verwenden die ICE- und TURN-Protokolle auch die Digest-Challenge, wie im IETF TURN RFC beschrieben.

Windows PowerShell- und Team-Verwaltungstools

In Teams können IT-Administratoren ihren Dienst im Microsoft 365 Admin Center oder mithilfe von Tenant Remote PowerShell (TRPS) verwalten. Mandantenadministratoren verwenden die moderne Authentifizierung, um sich bei TRPS zu authentifizieren.

Konfigurieren des Zugriffs auf Microsoft Teams an Ihrer Internetgrenze

Damit Microsoft Teams ordnungsgemäß funktioniert (damit Nutzer an Besprechungen teilnehmen können usw.), müssen Kunden ihren Internetzugang so konfigurieren, dass ausgehender UDP- und TCP-Verkehr zu Diensten in der Microsoft Teams-Cloud zulässig ist. Weitere Informationen finden Sie unter Office 365-URLs und -IP-Adressbereiche.

UDP 3478-3481 und TCP 443

Die Ports UDP 3478-3481 und TCP 443 werden von Clients verwendet, um einen Dienst für audiovisuelle Medien anzufordern. Ein Client verwendet diese Ports, um UDP- bzw. TCP-Ports zuzuweisen und diese Medienflüsse zu aktivieren. Die Medienflüsse an diesen Ports sind mit einem Schlüssel geschützt, der über einen TLS-geschützten Signalisierungskanal ausgetauscht wird.

Verbundsschutz für Microsoft Teams

Verbund bietet Ihrer Organisation die Möglichkeit, mit anderen Organisationen zu kommunizieren, um einen Chat und Präsenz zu teilen. In Teams ist der Verband standardmäßig aktiviert. Mandantenadministratoren können dies jedoch über das Microsoft 365 Admin Center steuern.

Umgang mit Bedrohungen für Teams-Besprechungen

Unternehmensbenutzer können Echtzeitbesprechungen erstellen und daran teilnehmen und externe Benutzer, die kein Microsoft Entra ID-, Microsoft 365- oder Office 365-Konto haben, zur Teilnahme an diesen Besprechungen einladen.

Externe Benutzer an Teams-Besprechungen teilnehmen zu lassen, kann nützlich sein, bringt aber auch einige Sicherheitsrisiken mit sich. Um diesen Risiken zu begegnen, verwendet Teams die folgenden Schutzmaßnahmen:

Vor der Besprechung:

1. Entscheiden Sie, welche externen Teilnehmertypen an Ihren Besprechungen teilnehmen dürfen:

   • Der anonyme Zugriff ermöglicht die Besprechungsteilnahme von (1) nicht authentifizierten Benutzern, die nicht im Team angemeldet sind (in der Regel über den Besprechungslink im Browser) und (2) authentifizierten Benutzern aus externen Mandanten, die keinen externen Zugriff mit dem Organisator und Ihrer Organisation eingerichtet haben.

   • Über den externen Zugriff können Sie entscheiden, welche authentifizierten externen Benutzer und Organisationen mit mehr Berechtigungen an Ihren Besprechungen teilnehmen können. Diese Benutzer gelten als vertrauenswürdigen Organisationen.

   • Mit Gastzugriff können Sie Gastkonten für Personen außerhalb Ihrer Organisation erstellen, um Zugriff auf Teams, Dokumente in Kanälen, Ressourcen, Chats und Anwendungen zu erhalten und gleichzeitig die Kontrolle über Ihre Unternehmensdaten zu behalten.

2. Entscheiden Sie, wer direkt an der Besprechung teilnehmen kann und wer im Wartebereich warten muss, um vom Organisator, Mitorganisator oder authentifizierten Benutzern mit der Besprechungsrolle "Referent" zugelassen zu werden:

   • Steuerelemente des IT-Admins
   • Steuerelemente des Organisators

3. Legen Sie fest, ob anonyme Benutzer und Einwahlanrufer eine Besprechung starten können, bevor Benutzer aus Ihrer Organisation, Benutzer aus der vertrauenswürdigen Organisation und Benutzer mit Gastzugriff dem Anruf beitreten.

Während der Besprechung:

1. Weisen Sie bestimmten Besprechungsteilnehmerrollen zu, um die Berechtigungen zur Besprechungssteuerung zu bestimmen. Die Besprechungsteilnehmer gliedern sich in Gruppen mit jeweils eigenen Privilegien und Einschränkungen, die hier beschrieben werden.

Ändern, während die Besprechung läuft:

• Es ist möglich, die Besprechungsoptionen zu ändern , während eine Besprechung läuft. Wenn die Änderung gespeichert wird, wirkt sie sich innerhalb von Sekunden auf die laufende Besprechung aus. Dies wirkt sich auch auf alle zukünftigen Vorkommen der Besprechung aus. Einzelheiten zum Zuweisen dieser Rollen finden Sie in diesem Artikel.

Verwandte Artikel

Die wichtigsten 12 Aufgaben für Sicherheitsteams zur Unterstützung der Arbeit von zu Hause aus

Microsoft Trust Center

Optimieren der Microsoft 365- oder Office 365-Konnektivität für Remotebenutzer mithilfe des geteilten VPN-Tunnels

• Implementieren eines geteilten VPN-Tunnels