Microsoft blockiert ab Oktober Script-Injection-Angriffe auf Entra ID

Security · 30.9.2026

Microsoft verschärft die Sicherheitsmaßnahmen für Entra ID und blockiert ab Oktober externe Script-Injection-Angriffe auf angepasste Anmeldeseiten.

Microsoft hat angekündigt, ab dem 15. Oktober 2024 neue Schutzmaßnahmen für das Identitäts- und Zugriffsmanagement Entra ID (ehemals Azure AD) einzuführen. Ziel dieser Aktualisierung ist es, Angriffe über das Einschleusen von Schadcode (Script Injection) in externen Ressourcen wirksam zu blockieren. Admins müssen bis zu diesem Stichtag aktiv werden, um mögliche Kompatibilitätsprobleme oder Ausfälle bei der Benutzeranmeldung zu verhindern.

Warum ist das wichtig?

Viele Unternehmen im DACH-Raum nutzen personalisierte Anmeldeseiten in Entra ID, um Corporate Design und Vertrauen für ihre Mitarbeiter zu schaffen. Angreifer haben in der Vergangenheit versucht, diese Anpassungsoptionen – insbesondere über manipulierte CSS-Dateien oder Redirect-URIs – für Cross-Site-Scripting (XSS) und HTML-Injection zu missbrauchen. Gelingt ein solcher Angriff, können Zugangsdaten direkt beim Login-Vorgang abgefangen werden. Durch die restriktivere Validierung schließt Microsoft eine kritische Flanke im Authentifizierungsprozess, was das Risiko von Phishing und Credential Stuffing deutlich minimiert.

Was Nutzer jetzt tun sollten

IT-Administratoren in Unternehmen sollten umgehend die Konfiguration ihrer Entra-ID-Mandanten überprüfen. Microsoft empfiehlt folgende konkrete Maßnahmen:

• Custom CSS prüfen: Überprüfen Sie alle benutzerdefinierten CSS-Templates, die für das Company Branding der Anmeldeseiten verwendet werden. Diese dürfen keine externen Skripte oder unsichere Datenquellen referenzieren.
• Redirect-URIs kontrollieren: Kontrollieren Sie die hinterlegten Redirect-URIs auf ihre Gültigkeit und stellen Sie sicher, dass keine veralteten oder ungenutzten Adressen hinterlegt sind.
• Kompatibilität testen: Nutzen Sie die von Microsoft bereitgestellten Testwerkzeuge im Entra-Admin-Center, um die Kompatibilität der Anmeldeseiten vor dem Stichtag am 15. Oktober zu validieren.

Fazit

Die proaktive Absicherung von Identitätsdiensten ist für die IT-Sicherheit von DACH-Unternehmen essenziell. Da Entra ID als zentrales Eingangstor für Microsoft 365 und angebundene Cloud-Dienste fungiert, sollten Admins die verbleibende Zeit nutzen, um die Customizations zu bereinigen und einen reibungslosen Übergang zu gewährleisten.

Quelle: BleepingComputer