Einstellung der Standardauthentifizierung in Exchange Online

Seit vielen Jahren verwenden Anwendungen die Standardauthentifizierung, um eine Verbindung mit Servern, Diensten und API-Endpunkten herzustellen. Die Standardauthentifizierung bedeutet einfach, dass die Anwendung bei jeder Anforderung einen Benutzernamen und ein Kennwort sendet. Diese Anmeldeinformationen werden häufig auch auf dem Gerät gespeichert oder gespeichert. In der Regel ist die Standardauthentifizierung auf den meisten Servern oder Diensten standardmäßig aktiviert und einfach einzurichten.

Die Einfachheit ist überhaupt nicht schlecht, aber die Standardauthentifizierung erleichtert Es Angreifern, Benutzeranmeldeinformationen zu erfassen (insbesondere, wenn die Anmeldeinformationen nicht durch TLS geschützt sind), was das Risiko erhöht, dass diese gestohlenen Anmeldeinformationen für andere Endpunkte oder Dienste wiederverwendet werden. Darüber hinaus ist die Erzwingung der mehrstufigen Authentifizierung (MFA) nicht einfach oder in einigen Fällen möglich, wenn die Standardauthentifizierung aktiviert bleibt.

Die Standardauthentifizierung ist ein veralteter Industriestandard. Die von ihr ausgehenden Bedrohungen haben erst zugenommen, seit wir ursprünglich angekündigt haben, sie zu deaktivieren (siehe Verbessern der Sicherheit – Zusammen) Es gibt bessere und effektivere Alternativen zur Benutzerauthentifizierung.

Wir empfehlen Kunden aktiv, Sicherheitsstrategien wie Zero Trust (Nie vertrauen, immer überprüfen) zu übernehmen oder Echtzeitbewertungsrichtlinien anzuwenden, wenn Benutzer und Geräte auf Unternehmensinformationen zugreifen. Diese Alternativen ermöglichen intelligente Entscheidungen darüber, wer von wo aus auf welchem Gerät auf was zugreifen möchte, anstatt einfach einem Authentifizierungs-Anmeldeinformation zu vertrauen, der ein böswillige Akteur sein könnte, der die Identität eines Benutzers annimmt.

Unter Berücksichtigung dieser Bedrohungen und Risiken haben wir Maßnahmen ergriffen, um die Datensicherheit in Exchange Online zu verbessern.

Was wir ändern

Wir haben die Möglichkeit zur Verwendung der Standardauthentifizierung in Exchange Online für Exchange ActiveSync (EAS), POP, IMAP, Remote PowerShell, Exchange Web Services (EWS), Offlineadressbuch (OAB), AutoErmittlung, Outlook für Windows und Outlook für Mac entfernt.

Außerdem haben wir SMTP AUTH in allen Mandanten deaktiviert, in denen es nicht verwendet wurde.

Diese Entscheidung erfordert, dass Kunden von Apps, die die Standardauthentifizierung verwenden, zu Apps wechseln, die die moderne Authentifizierung verwenden. Die moderne Authentifizierung (OAuth 2.0-tokenbasierte Autorisierung) bietet viele Vorteile und Verbesserungen, die dazu beitragen, die Probleme bei der Standardauthentifizierung zu beheben. OAuth-Zugriffstoken haben beispielsweise eine begrenzte verwendbare Lebensdauer und sind spezifisch für die Anwendungen und Ressourcen, für die sie ausgestellt werden, sodass sie nicht wiederverwendet werden können. Das Aktivieren und Erzwingen der mehrstufigen Authentifizierung (Multi-Factor Authentication, MFA) ist mit der modernen Authentifizierung ebenfalls einfach.

Wann fand diese Änderung statt?

Ab Anfang 2021 haben wir damit begonnen, die Standardauthentifizierung für vorhandene Mandanten ohne gemeldete Nutzung zu deaktivieren.

Ab Anfang 2023 haben wir die Standardauthentifizierung für alle Mandanten deaktiviert, die über eine beliebige Art von Erweiterung verfügen. Weitere Informationen zum Timing finden Sie hier.

Auswirkungen auf Messagingprotokolle und vorhandene Anwendungen

Diese Änderung wirkt sich auf die Anwendungen und Skripts aus, die Sie auf unterschiedliche Weise verwenden können.

POP-, IMAP- und SMTP-AUTHENTIFIZIERUNG

Im Jahr 2020 haben wir OAuth 2.0-Unterstützung für POP, IMAP und SMTP AUTH veröffentlicht. Updates für einige Client-Apps wurden aktualisiert, um diese Authentifizierungstypen zu unterstützen (Thunderbird beispielsweise, wenn auch noch nicht für Kunden, die Office 365 Betrieben von 21Vianet verwenden), sodass Benutzer mit aktuellen Versionen ihre Konfiguration ändern können, um OAuth zu verwenden. Es ist nicht geplant, dass Outlook-Clients OAuth für POP und IMAP unterstützen, aber Outlook kann sich über MAPI/HTTP (Windows-Clients) und EWS (Outlook für Mac) verbinden.

Anwendungsentwickler, die Apps erstellt haben, die E-Mails mit diesen Protokollen senden, lesen oder anderweitig verarbeiten, können dasselbe Protokoll beibehalten, müssen aber sichere, moderne Authentifizierungsfunktionen für ihre Benutzer implementieren. Diese Funktionalität basiert auf Microsoft Identity Platform v2.0 und unterstützt den Zugriff auf Microsoft 365-E-Mail-Konten.

Wenn Ihre interne Anwendung auf die PROTOKOLLE IMAP, POP und SMTP AUTH in Exchange Online zugreifen muss, befolgen Sie die folgenden Schritt-für-Schritt-Anweisungen, um die OAuth 2.0-Authentifizierung zu implementieren: Authentifizieren einer IMAP-, POP- oder SMTP-Verbindung mithilfe von OAuth. Verwenden Sie außerdem die PowerShell-Skript -Get-IMAPAccesstoken.ps1 , um den IMAP-Zugriff nach ihrer OAuth-Aktivierung auf einfache Weise zu testen, einschließlich des Anwendungsfalls für freigegebene Postfächer.

Obwohl SMTP AUTH jetzt verfügbar ist, haben wir angekündigt, dass Exchange Online die Unterstützung für die Standardauthentifizierung mit Clientübermittlung (SMTP AUTH) im September 2025 endgültig entfernen wird. Wir empfehlen Kunden dringend, die Standardauthentifizierung mit SMTP-Authentifizierung so bald wie möglich zu entfernen. Weitere Informationen zu alternativen Optionen finden Sie in unserer Ankündigung hier- https://techcommunity.microsoft.com/t5/exchange-team-blog/exchange-online-to-retire-basic-auth-for-client-submission-smtp/ba-p/4114750. Andere Optionen zum Senden von authentifizierten E-Mails umfassen die Verwendung alternativer Protokolle, z. B. der Microsoft Graph-API.

Exchange ActiveSync (EAS)

Viele Benutzer verfügen über mobile Geräte, die für die Verwendung von EAS eingerichtet sind. Wenn sie die Standardauthentifizierung verwendet haben, sind sie von dieser Änderung betroffen.

Es wird empfohlen, Outlook für iOS und Android zu verwenden, wenn Sie eine Verbindung mit Exchange Online herstellen. Outlook für iOS und Android integriert Microsoft Enterprise Mobility + Security (EMS) vollständig, wodurch funktionen für bedingten Zugriff und App-Schutz (MAM) ermöglicht werden. Outlook für iOS und Android unterstützt Sie beim Schützen Ihrer Benutzer und Ihrer Unternehmensdaten und unterstützt die moderne Authentifizierung nativ.

Es gibt andere E-Mail-Apps für mobile Geräte, die die moderne Authentifizierung unterstützen. Die integrierten E-Mail-Apps für alle gängigen Plattformen unterstützen in der Regel die moderne Authentifizierung, sodass die Lösung manchmal darin besteht, zu überprüfen, ob auf Ihrem Gerät die neueste Version der App ausgeführt wird. Wenn die E-Mail-App aktuell ist, aber weiterhin die Standardauthentifizierung verwendet, müssen Sie das Konto möglicherweise vom Gerät entfernen und dann wieder hinzufügen.

Wenn Sie Microsoft Intune verwenden, können Sie den Authentifizierungstyp möglicherweise mithilfe des E-Mail-Profils ändern, das Sie per Push übertragen oder auf Ihren Geräten bereitstellen. Wenn Sie iOS-Geräte (iPhones und iPads) verwenden, sollten Sie unter Hinzufügen von E-Mail-Einstellungen für iOS- und iPadOS-Geräte in Microsoft Intune

Jedes iOS-Gerät, das mit Basismobilität und Sicherheit verwaltet wird, kann nicht auf E-Mails zugreifen, wenn die folgenden Bedingungen zutreffen:

• Sie haben eine Gerätesicherheitsrichtlinie so konfiguriert, dass ein verwaltetes E-Mail-Profil für den Zugriff erforderlich ist.
• Sie haben die Richtlinie seit dem 9. November 2021 nicht mehr geändert (was bedeutet, dass die Richtlinie weiterhin die Standardauthentifizierung verwendet).

Richtlinien, die nach diesem Datum erstellt oder geändert wurden, wurden bereits aktualisiert, um die moderne Authentifizierung zu verwenden.

Um Richtlinien, die seit dem 9. November 2021 nicht mehr geändert wurden, zur Verwendung der modernen Authentifizierung zu aktualisieren, nehmen Sie eine temporäre Änderung an den Zugriffsanforderungen der Richtlinie vor. Es wird empfohlen, die Cloudeinstellung Verschlüsselte Sicherungen erforderlich zu ändern und zu speichern. Dadurch wird die Richtlinie aktualisiert, um die moderne Authentifizierung zu verwenden. Sobald für die geänderte Richtlinie der status Wert aktiviert ist, wurde das E-Mail-Profil aktualisiert. Sie können dann die vorübergehende Änderung der Richtlinie rückgängig machen.

Exchange Online PowerShell

Seit der Veröffentlichung des Exchange Online PowerShell-Moduls ist es ganz einfach, Ihre Exchange Online- und Schutzeinstellungen über die Befehlszeile mithilfe der modernen Authentifizierung zu verwalten. Das Modul verwendet die moderne Authentifizierung und arbeitet mit mehrstufiger Authentifizierung (Multi-Factor Authentication, MFA), um eine Verbindung mit allen Exchange-bezogenen PowerShell-Umgebungen in Microsoft 365 herzustellen: Exchange Online PowerShell, Security & Compliance PowerShell und Eigenständige Exchange Online Protection (EOP) PowerShell.

Das Exchange Online PowerShell-Moduls kann auch nicht interaktiv verwendet werden, wodurch die Ausführung unbeaufsichtigter Skripts ermöglicht wird. Die zertifikatbasierte Authentifizierung bietet Administratoren die Möglichkeit, Skripts auszuführen, ohne Dienstkonten erstellen oder Anmeldeinformationen lokal speichern zu müssen. Weitere Informationen finden Sie unter Nur-App-Authentifizierung für unbeaufsichtigte Skripts im Exchange Online PowerShell-Modul.

Exchange-Webdienste (Exchange Web Services, EWS)

Viele Anwendungen wurden mit EWS für den Zugriff auf Postfach- und Kalenderdaten erstellt.

Im Jahr 2018 haben wir angekündigt, dass Exchange-Webdienste keine Featureupdates mehr erhalten werden, und wir empfehlen Anwendungsentwicklern, zur Verwendung von Microsoft Graph zu wechseln. Informationen zu Office 365 finden Sie unter Bevorstehende Änderungen an der EWS-API (Exchange Web Services).

Viele Anwendungen wurden erfolgreich zu Graph verschoben, aber für anwendungen, die dies nicht getan haben, ist es bemerkenswert, dass EWS die moderne Authentifizierung bereits vollständig unterstützt. Wenn Sie also noch nicht zu Graph migrieren können, können Sie zur Verwendung der modernen Authentifizierung mit EWS wechseln, da SIE wissen, dass EWS schließlich veraltet ist.

Weitere Informationen finden Sie unter:

• Bevorstehende API-Deprecations in Exchange Web Services for Exchange Online – Microsoft Tech Community
• Authentifizieren einer EWS-Anwendung mit OAuth
• Was tun mit EWS Managed API PowerShell-Skripts, die Basic Authentication verwenden

Outlook, MAPI, RPC und Offlineadressbuch (OAB)

Für alle Versionen von Outlook für Windows seit 2016 ist die moderne Authentifizierung standardmäßig aktiviert, sodass Sie wahrscheinlich bereits die moderne Authentifizierung verwenden. Outlook Anywhere (früher als RPC über HTTP bezeichnet) ist in Exchange Online zugunsten von MAPI über HTTP veraltet. Outlook für Windows verwendet MAPI über HTTP, EWS und OAB, um auf E-Mails zuzugreifen, Frei/Gebucht und Abwesenheit festzulegen und das Offlineadressbuch herunterzuladen. Alle diese Protokolle unterstützen die moderne Authentifizierung.

Outlook 2007 oder Outlook 2010 kann keine moderne Authentifizierung verwenden und kann schließlich keine Verbindung herstellen. Outlook 2013 erfordert eine Einstellung zum Aktivieren der modernen Authentifizierung, aber nachdem Sie die Einstellung konfiguriert haben, kann Outlook 2013 die moderne Authentifizierung ohne Probleme verwenden. Wie bereits hier angekündigt, erfordert Outlook 2013 eine Mindestaktualisierungsstufe, um eine Verbindung mit Exchange Online herzustellen. Siehe: Neue Mindestversionsanforderungen für Outlook für Windows für Microsoft 365.

Outlook für Mac unterstützt die moderne Authentifizierung.

Weitere Informationen zur Unterstützung der modernen Authentifizierung in Office finden Sie unter Funktionsweise der modernen Authentifizierung für Office-Client-Apps.

Wenn Sie öffentliche Ordner online zu Exchange migrieren müssen, lesen Sie Migrationsskripts für öffentliche Ordner mit Moderner Authentifizierungsunterstützung.

AutoErmittlung

Im November 2022 haben wir angekündigt , die Standardauthentifizierung für das AutoErmittlungsprotokoll zu deaktivieren, sobald EAS und EWS in einem Mandanten deaktiviert sind.

Clientoptionen

Einige der optionen, die für jedes der betroffenen Protokolle verfügbar sind, sind unten aufgeführt.

Protokollempfehlung

Für Exchange-Webdienste (EWS), Remote PowerShell (RPS), POP und IMAP und Exchange ActiveSync (EAS):

• Wenn Sie ihren eigenen Code mit diesen Protokollen geschrieben haben, aktualisieren Sie Ihren Code so, dass er OAuth 2.0 anstelle der Standardauthentifizierung verwendet, oder migrieren Sie zu einem neueren Protokoll (Graph-API).
• Wenn Sie oder Ihre Benutzer eine Drittanbieteranwendung verwenden, die diese Protokolle verwendet, wenden Sie sich an den Entwickler der Drittanbieter-App, der diese Anwendung bereitgestellt hat, um sie zur Unterstützung der OAuth 2.0-Authentifizierung zu aktualisieren, oder helfen Sie Ihren Benutzern, zu einer Anwendung zu wechseln, die mit OAuth 2.0 erstellt wurde.

Ressourcen

Weitere Informationen finden Sie in den folgenden Artikeln:

Sicherheitsstandards:

• Sicherheitsstandards in Microsoft Entra ID
• Aktivieren von Sicherheitsstandards

Exchange Online-Authentifizierungsrichtlinien:

• Verwalten der Standardauthentifizierung im Microsoft 365 Admin Center (einfach)
• Authentifizierungsrichtlinienprozeduren in Exchange Online (Erweitert)

Microsoft Entra bedingten Zugriff:

• Allgemeine Richtlinie für bedingten Zugriff: Blockieren der Legacyauthentifizierung (einfach)
• Blockieren der Legacyauthentifizierung mit Microsoft Entra bedingten Zugriff (ausführlich)