Offboarding ohne Restzugriffe: Tokens, Apps und geteilte Geheimnisse
Das Benutzerkonto ist gesperrt, eine vorher geöffnete SaaS-Sitzung funktioniert weiterhin und ein gemeinsam genutzter API-Schlüssel liegt noch vor.
Der Prüfauftrag
Für einen autorisierten Austritt in einer Entra-/M365-Umgebung mit weiteren SaaS- und Entwicklungsdiensten. Richtwert: 90 Minuten für eine vorbereitete Person und ausgewählte kritische Anwendungen; Wartezeiten, Datensicherung und Sonderfälle zusätzlich. Aufbewahrung und Übergabe vor Löschung klären.
Am Ende hast du:Der Austritt endet mit belegtem Entzug der kritischen Zugriffspfade und einer sichtbaren Restliste statt nur einem gesperrten Konto.
Beweisen statt vermuten.
Mit einem eigens dafür angelegten Testkonto vor dem Übungsaustritt eine Sitzung in einer benannten Testanwendung öffnen. Nach Sperre und Entra-Widerruf dieselbe harmlose Testressource über diese bestehende Sitzung abrufen. Bestehen: Der separat vorgesehene App-Widerruf beendet den Zugriff innerhalb des dokumentierten Zielzeitraums; eine fortbestehende Sitzung wird als Restzugriff erfasst.
Status, Prüfbereich und Notizen bleiben in diesem Browser. Keine Übertragung an MauriSec. Ohne Speicherung geht der Stand beim Verlassen verloren; gespeicherte Daten bleiben bis zu deiner Löschung. Keine Geheimnisse, Zugangsdaten oder fremden personenbezogenen Daten eintragen.
Identitäten und alternative Zugänge der Person dienstübergreifend erfassen, einschließlich lokaler SaaS-Konten, VPN, SSH-Schlüssel und persönlicher API-Tokens.
So belegst du es: Abgeglichenes Austrittsinventar mit je einem verantwortlichen Dienstbetreiber; offene unbekannte Zugänge markiert.
Nachweis und nächsten Schritt notieren
Zum vereinbarten Zeitpunkt Anmeldung in den zuständigen Identitätsquellen sperren und die erfolgreiche Übernahme in abhängige Verzeichnisse prüfen.
So belegst du es: Sperrzeitpunkte, Synchronisationsstatus und abgewiesene frische Anmeldung des freigegebenen Testkontos.
Nachweis und nächsten Schritt notieren
Entra-Sitzungen widerrufen und je kritischer Anwendung eigene Sitzungen beziehungsweise lokale Konten gesondert beenden.
So belegst du es: Widerrufsprotokolle und dienstbezogene Restgültigkeitsprüfung; Access-Token- und Cookie-Verhalten dokumentiert.
Nachweis und nächsten Schritt notieren
Rollen, Gruppen, direkte Freigaben und delegierte Zugriffsrechte entfernen; anonyme Freigabelinks separat auf Weitergabe und Erforderlichkeit prüfen.
So belegst du es: Vorher-nachher-Export und wirksame Zugriffsentscheidung auf benannten Testressourcen.
Nachweis und nächsten Schritt notieren
App-Eigentümerschaft und erteilte Einwilligungen prüfen; weiter benötigte Anwendungen übergeben und unnötige Grants gezielt entziehen.
So belegst du es: App-Liste mit neuem Eigentümer; delegierte Grants, App-only-Berechtigungen und andere Ressourcenzuweisungen getrennt bewertet.
Nachweis und nächsten Schritt notieren
Geteilte Geheimnisse mit Kenntnis der Person risikobasiert ersetzen und den alten Wert im Zielsystem unwirksam machen.
So belegst du es: Rotations- und Widerrufsnachweis ohne Geheimnisinhalt; Abhängigkeiten und erfolgreicher Dienstbetrieb geprüft.
Nachweis und nächsten Schritt notieren
Betriebliche Daten, Automationen und Geräte kontrolliert übergeben; notwendige Aufbewahrung vor Konto- oder Lizenzlöschung sichern.
So belegst du es: Abgenommene Zuständigkeiten, Datenzugang der Nachfolge und dokumentierter Umgang mit Geräten und gespeicherten Kopien.
Nachweis und nächsten Schritt notieren
Nach dem dienstbezogenen Widerrufsfenster erneut nach Zugriffen suchen und Restfälle mit Frist und Eigentümer offenhalten.
So belegst du es: Zeitbezogene Auswertung erfolgreicher und verweigerter Zugriffe; Abschluss erst nach Prüfung der kritischen Anwendungen.
Nachweis und nächsten Schritt notieren
Deine nächste Arbeit.
Beginne mit den vorrangigen Punkten. Markierte Lücken erscheinen hier mit deinen nächsten Schritten.
Grenzen und Primärquellen
Kontosperre, Passwortwechsel und Session-Widerruf sind unterschiedliche Maßnahmen. Entra kann ein von der Anwendung ausgestelltes Sitzungscookie nicht direkt widerrufen; CAE gilt nur für unterstützte Kombinationen. App-only-Zugriffe hängen nicht vom ausgeschiedenen Benutzer ab. Bereits heruntergeladene Daten lassen sich durch Kontosperre nicht zurückholen.
Microsoft Learn: Revoke user access ↗Microsoft Learn: Remove a former employee and secure data ↗Microsoft Learn: Review permissions granted to enterprise applications ↗OWASP NHI1:2025: Improper Offboarding ↗OWASP: Secrets Management Cheat Sheet ↗Prüfbericht / Selbsteinschätzung
Offboarding ohne Restzugriffe: Tokens, Apps und geteilte Geheimnisse · v2026.11 · 10.11.2026 ·
0/8 bearbeitet · 0 Lücken. Keine unabhängige Prüfung oder Zertifizierung.
1. Identitäten und alternative Zugänge der Person dienstübergreifend erfassen, einschließlich lokaler SaaS-Konten, VPN, SSH-Schlüssel und persönlicher API-Tokens.
Status: Offen
Erwarteter Nachweis: Abgeglichenes Austrittsinventar mit je einem verantwortlichen Dienstbetreiber; offene unbekannte Zugänge markiert.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
2. Zum vereinbarten Zeitpunkt Anmeldung in den zuständigen Identitätsquellen sperren und die erfolgreiche Übernahme in abhängige Verzeichnisse prüfen.
Status: Offen
Erwarteter Nachweis: Sperrzeitpunkte, Synchronisationsstatus und abgewiesene frische Anmeldung des freigegebenen Testkontos.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
3. Entra-Sitzungen widerrufen und je kritischer Anwendung eigene Sitzungen beziehungsweise lokale Konten gesondert beenden.
Status: Offen
Erwarteter Nachweis: Widerrufsprotokolle und dienstbezogene Restgültigkeitsprüfung; Access-Token- und Cookie-Verhalten dokumentiert.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
4. Rollen, Gruppen, direkte Freigaben und delegierte Zugriffsrechte entfernen; anonyme Freigabelinks separat auf Weitergabe und Erforderlichkeit prüfen.
Status: Offen
Erwarteter Nachweis: Vorher-nachher-Export und wirksame Zugriffsentscheidung auf benannten Testressourcen.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
5. App-Eigentümerschaft und erteilte Einwilligungen prüfen; weiter benötigte Anwendungen übergeben und unnötige Grants gezielt entziehen.
Status: Offen
Erwarteter Nachweis: App-Liste mit neuem Eigentümer; delegierte Grants, App-only-Berechtigungen und andere Ressourcenzuweisungen getrennt bewertet.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
6. Geteilte Geheimnisse mit Kenntnis der Person risikobasiert ersetzen und den alten Wert im Zielsystem unwirksam machen.
Status: Offen
Erwarteter Nachweis: Rotations- und Widerrufsnachweis ohne Geheimnisinhalt; Abhängigkeiten und erfolgreicher Dienstbetrieb geprüft.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
7. Betriebliche Daten, Automationen und Geräte kontrolliert übergeben; notwendige Aufbewahrung vor Konto- oder Lizenzlöschung sichern.
Status: Offen
Erwarteter Nachweis: Abgenommene Zuständigkeiten, Datenzugang der Nachfolge und dokumentierter Umgang mit Geräten und gespeicherten Kopien.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
8. Nach dem dienstbezogenen Widerrufsfenster erneut nach Zugriffen suchen und Restfälle mit Frist und Eigentümer offenhalten.
Status: Offen
Erwarteter Nachweis: Zeitbezogene Auswertung erfolgreicher und verweigerter Zugriffe; Abschluss erst nach Prüfung der kritischen Anwendungen.
Eigene Referenz: Nicht hinterlegt
Nächster Schritt: Nicht hinterlegt
Kontosperre, Passwortwechsel und Session-Widerruf sind unterschiedliche Maßnahmen. Entra kann ein von der Anwendung ausgestelltes Sitzungscookie nicht direkt widerrufen; CAE gilt nur für unterstützte Kombinationen. App-only-Zugriffe hängen nicht vom ausgeschiedenen Benutzer ab. Bereits heruntergeladene Daten lassen sich durch Kontosperre nicht zurückholen.