Einstellung der Standardauthentifizierung in Exchange Online

Wichtig

Die Standardauthentifizierung ist jetzt in allen Mandanten deaktiviert.

Vor dem 31. Dezember 2022 konnten Sie die betroffenen Protokolle erneut aktivieren, wenn Benutzer und Apps in Ihrem Mandanten keine Verbindung herstellen konnten. Jetzt kann niemand (Sie oder Microsoft-Support) die Standardauthentifizierung in Ihrem Mandanten erneut aktivieren.

Lesen Sie den Rest dieses Artikels, um die von uns vorgenommenen Änderungen und die möglichen Auswirkungen dieser Änderungen auf Sie vollständig zu verstehen.

Seit vielen Jahren verwenden Anwendungen die Standardauthentifizierung, um eine Verbindung mit Servern, Diensten und API-Endpunkten herzustellen. Standardauthentifizierung bedeutet einfach, dass die Anwendung bei jeder Anforderung einen Benutzernamen und ein Kennwort sendet, und diese Anmeldeinformationen werden häufig auch auf dem Gerät gespeichert. Traditionell ist die Standardauthentifizierung auf den meisten Servern oder Diensten standardmäßig aktiviert und einfach einzurichten.

Einfachheit ist gar nicht schlecht, aber die Standardauthentifizierung erleichtert es Angreifern, Benutzeranmeldeinformationen zu erfassen (insbesondere, wenn die Anmeldeinformationen nicht durch TLS geschützt sind), was das Risiko erhöht, dass diese gestohlenen Anmeldeinformationen für andere Endpunkte oder Dienste wiederverwendet werden. Darüber hinaus ist das Erzwingen der mehrstufigen Authentifizierung (MFA) nicht einfach oder in einigen Fällen nicht möglich, wenn die Standardauthentifizierung aktiviert bleibt.

Die Standardauthentifizierung ist ein veralteter Industriestandard. Die von ihm ausgehenden Bedrohungen haben nur zugenommen, seit wir ursprünglich angekündigt haben, sie zu deaktivieren (siehe Verbessern der Sicherheit - Zusammen). Es gibt bessere und effektivere Alternativen zur Benutzerauthentifizierung.

Wir empfehlen Kunden aktiv, Sicherheitsstrategien wie Zero Trust (Never Trust, Always Verify) einzuführen oder Echtzeitbewertungsrichtlinien anzuwenden, wenn Benutzer und Geräte auf Unternehmensinformationen zugreifen. Diese Alternativen ermöglichen intelligente Entscheidungen darüber, wer versucht, von wo auf welchem Gerät auf was zuzugreifen, anstatt einfach einem Authentifizierungsnachweis zu vertrauen, bei dem es sich um einen bösartigen Akteur handeln könnte, der sich als Benutzer ausgibt.

Unter Berücksichtigung dieser Bedrohungen und Risiken haben wir Schritte unternommen, um die Datensicherheit in Exchange Online zu verbessern.

Hinweis

Die Abschaffung der Standardauthentifizierung verhindert auch die Verwendung von App-Kennwörtern mit Apps, die die Überprüfung in zwei Schritten nicht unterstützen.

Was wir ändern

Wir haben die Möglichkeit entfernt, die Standardauthentifizierung in Exchange Online für Exchange ActiveSync (EAS), POP, IMAP, Remote PowerShell, Exchange-Webdienste (EWS), Offlineadressbuch (OAB), AutoErmittlung, Outlook für Windows und Outlook für Mac zu verwenden.

Außerdem haben wir SMTP AUTH in allen Mandanten deaktiviert, in denen es nicht verwendet wurde.

Diese Entscheidung erfordert, dass Kunden von Apps, die Standardauthentifizierung verwenden, zu Apps wechseln, die die moderne Authentifizierung verwenden. Die moderne Authentifizierung (OAuth 2.0 tokenbasierte Autorisierung) bietet viele Vorteile und Verbesserungen, die dazu beitragen, die Probleme bei der Standardauthentifizierung zu verringern. Beispielsweise haben OAuth-Zugriffstoken eine begrenzte nutzbare Lebensdauer und sind spezifisch für die Anwendungen und Ressourcen, für die sie ausgestellt werden, sodass sie nicht wiederverwendet werden können. Das Aktivieren und Erzwingen der mehrstufigen Authentifizierung (MFA) ist auch mit der modernen Authentifizierung einfach.

Wann hat sich diese Änderung vollzogen?

Anfang 2021 haben wir damit begonnen, die Standardauthentifizierung für vorhandene Mandanten zu deaktivieren, für die keine Nutzung gemeldet wurde.

Ab Anfang 2023 haben wir die Standardauthentifizierung für alle Mandanten deaktiviert, die über irgendeine Art von Erweiterung verfügen. Mehr über den Zeitplan können Sie hier lesen.

Hinweis

In Office 365, das von 21Vianet betrieben wird, haben wir am 31. März 2023 mit der Deaktivierung der Standardauthentifizierung begonnen. Alle anderen Cloudumgebungen unterlagen dem 1. Oktober 2022.

Auswirkungen auf Messagingprotokolle und vorhandene Anwendungen

Diese Änderung wirkt sich auf die Anwendungen und Skripts aus, die Sie möglicherweise auf unterschiedliche Weise verwenden.

POP, IMAP und SMTP AUTH

Im Jahr 2020 haben wir OAuth 2.0-Unterstützung für POP, IMAP und SMTP AUTH veröffentlicht. Updates für einige Client-Apps wurden aktualisiert, um diese Authentifizierungstypen zu unterstützen (z. B. Thunderbird, jedoch noch nicht für Kunden, die Office 365 von 21Vianet verwenden), sodass Benutzer mit aktuellen Versionen ihre Konfiguration ändern können, um OAuth zu verwenden. Es ist nicht geplant, dass Outlook-Clients OAuth für POP und IMAP unterstützen, aber Outlook kann sich über MAPI/HTTP (Windows-Clients) und EWS (Outlook für Mac) verbinden.

Anwendungsentwickler, die Apps entwickelt haben, die E-Mails mit diesen Protokollen senden, lesen oder anderweitig verarbeiten, können das gleiche Protokoll beibehalten, müssen jedoch sichere, moderne Authentifizierungserfahrungen für ihre Benutzer implementieren. Diese Funktionalität basiert auf der Microsoft Identity Platform v2.0 und unterstützt den Zugriff auf Microsoft 365-E-Mail-Konten.

Wenn Ihre interne Anwendung auf IMAP-, POP- und SMTP-AUTH-Protokolle in Exchange Online zugreifen muss, befolgen Sie diese Schritt-für-Schritt-Anweisungen, um die OAuth 2.0-Authentifizierung zu implementieren: Authentifizieren Sie eine IMAP-, POP- oder SMTP-Verbindung mit OAuth. Verwenden Sie darüber hinaus das PowerShell-SkriptGet-IMAPAccesstoken.ps1 , um den IMAP-Zugriff nach Ihrer OAuth-Aktivierung auf einfache Weise selbst zu testen, einschließlich des Anwendungsfalls "Freigegebenes Postfach".

Obwohl SMTP AUTH derzeit verfügbar ist, hat Microsoft Pläne angekündigt, die Standardauthentifizierung für SMTP AUTH in Exchange Online einzustellen. Da die Zeitleiste für die Einstellung aktualisiert wurde, empfehlen wir, die neueste offizielle Ankündigung für aktuelle Meilensteine und Anleitungen zu lesen:

https://techcommunity.microsoft.com/blog/exchange/updated-exchange-online-smtp-auth-basic-authentication-deprecation-timeline/4489835

Andere Optionen zum Senden authentifizierter E-Mails umfassen die Verwendung alternativer Protokolle wie die Microsoft Graph-API.

Exchange ActiveSync (EAS)

Viele Benutzer verfügen über mobile Geräte, die für die Verwendung von EAS eingerichtet sind. Wenn sie die Standardauthentifizierung verwendet haben, sind sie von dieser Änderung betroffen.

Es wird empfohlen, beim Herstellen einer Verbindung mit Exchange Online Outlook für iOS und Android zu verwenden. Outlook für iOS und Android integriert Microsoft Enterprise Mobility + Security (EMS) vollständig, wodurch Funktionen für bedingten Zugriff und App-Schutz (MAM) ermöglicht werden. Outlook für iOS und Android hilft Ihnen, Ihre Benutzer und Unternehmensdaten zu schützen, und es unterstützt nativ die moderne Authentifizierung.

Es gibt andere E-Mail-Apps für mobile Geräte, die die moderne Authentifizierung unterstützen. Die integrierten E-Mail-Apps für alle gängigen Plattformen unterstützen in der Regel die moderne Authentifizierung. Daher besteht die Lösung manchmal darin, zu überprüfen, ob auf Ihrem Gerät die neueste Version der App ausgeführt wird. Wenn die E-Mail-App aktuell ist, aber noch die Standardauthentifizierung verwendet, müssen Sie das Konto möglicherweise vom Gerät entfernen und es dann wieder hinzufügen.

Wenn Sie Microsoft Intune verwenden, können Sie möglicherweise den Authentifizierungstyp mithilfe des E-Mail-Profils ändern, das Sie per Push übertragen oder auf Ihren Geräten bereitstellen. Wenn Sie iOS-Geräte (iPhones und iPads) verwenden, sollten Sie einen Blick auf Hinzufügen von E-Mail-Einstellungen für iOS- und iPadOS-Geräte in Microsoft Intune werfen.

Alle iOS-Geräte, die mit Basismobilität und Sicherheit verwaltet werden, können nicht auf E-Mails zugreifen, wenn die folgenden Bedingungen erfüllt sind:

  • Sie haben eine Gerätesicherheitsrichtlinie so konfiguriert, dass für den Zugriff ein verwaltetes E-Mail-Profil erforderlich ist.
  • Sie haben die Richtlinie seit dem 9. November 2021 nicht geändert (was bedeutet, dass die Richtlinie immer noch die Standardauthentifizierung verwendet).

Richtlinien, die nach diesem Datum erstellt oder geändert wurden, wurden bereits für die Verwendung der modernen Authentifizierung aktualisiert.

Um Richtlinien, die seit dem 9. November 2021 nicht geändert wurden, auf die moderne Authentifizierung zu aktualisieren, nehmen Sie eine vorübergehende Änderung an den Zugriffsanforderungen der Richtlinie vor. Es wird empfohlen, die Cloudeinstellung "Verschlüsselte Backups erforderlich" zu ändern und zu speichern, wodurch die Richtlinie auf die Verwendung moderner Authentifizierung aktualisiert wird. Sobald die geänderte Richtlinie den Wert "Status Aktiviert" aufweist, wurde das E-Mail-Profil aktualisiert. Sie können dann die temporäre Änderung der Richtlinie rückgängig machen.

Hinweis

Während des Upgradevorgangs wird das E-Mail-Profil auf dem iOS-Gerät aktualisiert, und der Benutzer wird aufgefordert, seinen Benutzernamen und sein Kennwort einzugeben.

Wenn Ihre Geräte die zertifikatbasierte Authentifizierung verwenden, sind sie nicht betroffen, wenn die Standardauthentifizierung später in diesem Jahr in Exchange Online deaktiviert wird. Nur Geräte, die sich direkt mit der Standardauthentifizierung authentifizieren, sind betroffen.

Bei der zertifikatbasierten Authentifizierung handelt es sich immer noch um eine Legacyauthentifizierung und wird daher durch Microsoft Entra-Richtlinien für bedingten Zugriff blockiert, die die Legacyauthentifizierung blockieren. Weitere Informationen finden Sie unter Blockieren der Legacyauthentifizierung mit bedingtem Zugriff in Microsoft Entra.

Exchange Online PowerShell

Seit der Veröffentlichung des PowerShell-Moduls von Exchange Online ist es einfach, Ihre Exchange Online-Einstellungen und Schutzeinstellungen mithilfe der modernen Authentifizierung über die Befehlszeile zu verwalten. Das Modul verwendet moderne Authentifizierung und arbeitet mit Multi-Faktor-Authentifizierung (MFA) für die Verbindung mit allen Exchange-bezogenen PowerShell-Umgebungen in Microsoft 365: Exchange Online PowerShell und Security & Compliance PowerShell.

Das PowerShell-Modul von Exchange Online kann auch nicht-interaktiv verwendet werden, wodurch das Ausführen unbeaufsichtigter Skripts ermöglicht wird. Die zertifikatbasierte Authentifizierung bietet Administratoren die Möglichkeit, Skripts auszuführen, ohne Dienstkonten erstellen oder Anmeldeinformationen lokal speichern zu müssen. Weitere Informationen finden Sie unter: App-only-Authentifizierung für unbeaufsichtigte Skripts im Exchange Online PowerShell-Modul.

Wichtig

Verwechseln Sie nicht die Tatsache, dass PowerShell erfordert, dass die Standardauthentifizierung für WinRM aktiviert ist (auf dem lokalen Computer, von dem aus die Sitzung ausgeführt wird). Der Benutzername/das Kennwort wird nicht mit Basic an den Dienst gesendet, aber der Basic Auth-Header ist erforderlich, um das OAuth-Token der Sitzung zu senden, da der WinRM-Client OAuth nicht unterstützt. Wir arbeiten an diesem Problem und werden in naher Zukunft weitere Ankündigungen haben. Sie müssen nur wissen, dass die Aktivierung von Basic auf WinRM nicht bedeutet, dass Basic für die Authentifizierung beim Dienst verwendet wird. Weitere Informationen finden Sie unter Exchange Online PowerShell: Aktivieren der Standardauthentifizierung in WinRM.

Weitere Informationen zu dieser Situation finden Sie hier: Grundlegendes zu den verschiedenen Versionen von Exchange Online PowerShell-Modulen und der Standardauthentifizierung.

Einzelheiten zum Wechsel von der V1-Version des Moduls zur aktuellen Version finden Sie in diesem Blogbeitrag.

Version 3.0.0 des Exchange Online PowerShell V3-Moduls (Vorschauversionen 2.0.6-PreviewX) enthält REST-API-gestützte Versionen aller Exchange Online-Cmdlets, die keine Standardauthentifizierung in WinRM erfordern. Weitere Informationen finden Sie unter Updates für Version 3.0.0.

Exchange-Webdienste (Exchange-Webdienste, EWS)

Viele Anwendungen wurden mit EWS für den Zugriff auf Postfach- und Kalenderdaten erstellt.

Im Jahr 2018 haben wir angekündigt, dass Exchange-Webdienste keine Funktionsupdates mehr erhalten, und wir empfehlen Anwendungsentwicklern, auf Microsoft Graph umzusteigen. Weitere Informationen finden Sie unter Bevorstehende Änderungen an der Exchange-Webdienste (EWS)-API für Office 365.

Viele Anwendungen sind erfolgreich auf Graph umgestiegen, aber für die Anwendungen, die dies noch nicht getan haben, ist es bemerkenswert, dass EWS die moderne Authentifizierung bereits vollständig unterstützt. Wenn Sie also noch nicht zu Graph migrieren können, können Sie zur Verwendung der modernen Authentifizierung mit EWS wechseln, da Sie wissen, dass EWS irgendwann veraltet sein wird.

Weitere Informationen finden Sie unter:

Outlook, MAPI, RPC und Offlineadressbuch (OAB)

Für alle Versionen von Outlook für Windows seit 2016 ist die moderne Authentifizierung standardmäßig aktiviert. Es ist daher wahrscheinlich, dass Sie bereits die moderne Authentifizierung verwenden. Outlook Anywhere (früher als RPC über HTTP bezeichnet) ist in Exchange Online zugunsten von MAPI über HTTP veraltet. Outlook für Windows verwendet MAPI über HTTP, EWS und OAB, um auf E-Mails zuzugreifen, Frei/Gebucht-Informationen und Abwesenheit festzulegen und das Offlineadressbuch herunterzuladen. Alle diese Protokolle unterstützen die moderne Authentifizierung.

Outlook 2007 oder Outlook 2010 können die moderne Authentifizierung nicht verwenden und werden irgendwann keine Verbindung herstellen können. Outlook 2013 erfordert eine Einstellung, um die moderne Authentifizierung zu aktivieren. Sobald Sie die Einstellung konfiguriert haben, kann Outlook 2013 jedoch die moderne Authentifizierung ohne Probleme verwenden. Wie bereits hier angekündigt, erfordert Outlook 2013 eine Mindestupdatestufe, um eine Verbindung mit Exchange Online herzustellen. Siehe: Neue Mindestversionsanforderungen für Outlook für Windows für Microsoft 365.

Outlook für Mac unterstützt die moderne Authentifizierung.

Weitere Informationen zur Unterstützung der modernen Authentifizierung in Office finden Sie unter Funktionsweise der modernen Authentifizierung für Office-Client-Apps.

Wenn Sie öffentliche Ordner zu Exchange Online migrieren müssen, lesen Sie Migrationsskripts für öffentliche Ordner mit Unterstützung moderner Authentifizierung.

AutoErmittlung

Im November 2022 haben wir angekündigt , die Standardauthentifizierung für das AutoErmittlungsprotokoll zu deaktivieren, sobald EAS und EWS in einem Mandanten deaktiviert sind.

Clientoptionen

Einige der für jedes der betroffenen Protokolle verfügbaren Optionen sind unten aufgeführt.

Protokollempfehlung

Für Exchange-Webdienste (Exchange-Webdienste, EWS), Remote PowerShell (RPS), POP und IMAP sowie Exchange ActiveSync (EAS):

  • Wenn Sie eigenen Code mit diesen Protokollen geschrieben haben, aktualisieren Sie Ihren Code, um OAuth 2.0 anstelle der Standardauthentifizierung zu verwenden, oder migrieren Sie zu einem neueren Protokoll (Graph-API).
  • Wenn Sie oder Ihre Benutzer eine Anwendung eines Drittanbieters verwenden, die diese Protokolle verwendet, wenden Sie sich an den Drittanbieter-App-Entwickler, der diese Anwendung bereitgestellt hat, um sie für die Unterstützung der OAuth 2.0-Authentifizierung zu aktualisieren oder Ihre Benutzer beim Wechsel zu einer Anwendung zu unterstützen, die mit OAuth 2.0 erstellt wurde.
Key Protocol Service Betroffene Clients Kundenspezifische Empfehlung Besondere Empfehlung für Office 365, betrieben von 21Vianet (Gallatin) Weitere Protokollinformationen / Hinweise
Outlook Alle Versionen von Outlook für Windows und Mac
  • Aktualisieren auf Outlook 2013 oder höher für Windows und Outlook 2016 oder höher für Mac
  • Wenn Sie Outlook 2013 für Windows verwenden, aktivieren Sie die moderne Authentifizierung über den Registrierungsschlüssel
 Aktivieren der modernen Authentifizierung für Outlook – wie schwer kann das sein?
Exchange-Webdienste (Exchange-Webdienste, EWS) Anwendungen von Drittanbietern unterstützen OAuth nicht
  • App für moderne Authentifizierung ändern.
  • App migrieren, um die Graph-API und moderne Authentifizierung zu nutzen.

Beliebte Apps:

Befolgen Sie diesen Artikel, um Ihre angepasste Gallatin-Anwendung zur Verwendung von EWS mit OAuth zu migrieren.

Microsoft Teams und Cisco Unity sind derzeit in Gallatin nicht verfügbar		 Was tun mit EWS Managed API PowerShell-Skripts, die Basic Authentication verwenden
  • Keine EWS-Featureupdates ab Juli 2018
    		•
    Remote PowerShell (RPS) Verwenden Sie eine der folgenden Methoden: Azure Cloud Shell ist in Gallatin nicht verfügbar Erfahren Sie mehr über die Unterstützung der Automatisierung und zertifikatbasierten Authentifizierung für das Exchange Online PowerShell-Modul und die verschiedenen Versionen von Exchange Online PowerShell-Modulen und Basic Auth.
    POP und IMAP Mobile Clients von Drittanbietern wie Thunderbird, Erstanbieterclients, die für die Verwendung von POP oder IMAP konfiguriert sind Empfehlungen:
    • Verzichten Sie auf diese Protokolle, da sie nicht alle Funktionen aktivieren.
    • Wechseln Sie zu OAuth 2.0 für POP/IMAP, wenn Ihre Client-App dies unterstützt.
    		 Befolgen Sie diesen Artikel, um POP und IMAP mit OAuth in Gallatin mit Beispielcode zu konfigurieren IMAP ist bei Kunden aus den Bereichen Linux und Bildungseinrichtungen beliebt. Das Rollout der OAuth 2.0-Unterstützung wurde im April 2020 eingeführt.

    Authentifizieren einer IMAP-, POP- oder SMTP-Verbindung mit OAuth
    Exchange ActiveSync (EAS) Mobile E-Mail-Clients von Apple, Samsung usw.
    • Wechseln Sie zu Outlook für iOS und Android oder zu einer anderen mobilen E-Mail-App, die Modern Auth unterstützt
    • Aktualisieren der App-Einstellungen, wenn OAuth möglich ist, das Gerät aber weiterhin Basic verwendet
    • Wechseln Sie zu Outlook im Web oder einer anderen mobilen Browser-App, die moderne Authentifizierung unterstützt.

    Beliebte Apps:

    • Apple iPhone/iPad/macOS: Alle aktuellen iOS/macOS-Geräte sind in der Lage, eine moderne Authentifizierung zu verwenden, entfernen Sie einfach das Konto und fügen Sie es wieder hinzu.
    • Microsoft Windows 10 Mail-Client: Entfernen Sie das Konto, und fügen Sie es wieder hinzu. Wählen Sie Office 365 als Kontotyp aus.
  • Apples native Mail-App unter iOS funktioniert derzeit nicht in Gallatin, wir empfehlen Ihnen, Outlook Mobile zu verwenden
  • Windows 10/11 Mail-App wird mit Gallatin nicht unterstützt
  • Befolgen Sie diesen Artikel, um EAS mit OAuth und Beispielcode zu konfigurieren
    		•  Mobile Geräte, die eine native App zum Herstellen einer Verbindung mit Exchange Online verwenden, verwenden in der Regel dieses Protokoll.
    AutoErmittlung EWS- und EAS-Apps, die die AutoErmittlung verwenden, um Dienstendpunkte zu finden
    • Aktualisieren Sie Code/App auf einen, der OAuth unterstützt
    		 AutoErmittlung Webdienstverweis für Exchange

    Ressourcen

    Weitere Informationen finden Sie in den folgenden Artikeln:

    Standardeinstellungen für die Sicherheit:

    Exchange Online-Authentifizierungsrichtlinien:

    Bedingter Zugriff auf Microsoft Entra:

    • Last updated on