Kennwörter und Sicherheit in Outlook für iOS und Android für Exchange Server

GILT FÜR:2016 2019 Subscription Edition

In diesem Artikel wird beschrieben, wie Kennwörter und Sicherheit in Outlook für iOS und Android mit Exchange Server funktionieren, wenn die Standardauthentifizierung mit dem Exchange ActiveSync-Protokoll verwendet wird.

Wichtig

Outlook für iOS und Android unterstützt eine hybride moderne Authentifizierung für lokale Postfächer, wodurch die Standardauthentifizierung überflüssig wird. Die Informationen in diesem Artikel beziehen sich nur auf die Standardauthentifizierung. Weitere Informationen finden Sie unter Verwenden der hybriden modernen Authentifizierung mit Outlook für iOS und Android.

Erstellen eines Kontos und Absichern von Kennwörtern

Bei der ersten Ausführung der Outlook-App für iOS und Android in einer lokalen Exchange-Umgebung generiert Outlook einen zufälligen AES-128-Schlüssel. Dieser Schlüssel wird als Geräteschlüssel bezeichnet und ausschließlich auf dem Gerät des Benutzers gespeichert.

Wenn sich ein Benutzer mit Standardauthentifizierung bei Exchange anmeldet, werden der Benutzername, das Kennwort und ein eindeutiger AES-128-Geräteschlüssel vom Gerät des Benutzers über eine TLS-Verbindung an den Outlook-Clouddienst gesendet, wo sich der Geräteschlüssel im Laufzeit-Computespeicher befindet. Nach der Überprüfung des Kennworts mit dem Exchange-Server verwendet die Microsoft 365- oder Office 365-basierte Architektur den Geräteschlüssel, um das Kennwort zu verschlüsseln, und das verschlüsselte Kennwort wird dann im Dienst gespeichert. Der Geräteschlüssel wird unterdessen aus dem Arbeitsspeicher gelöscht und nie in der Microsoft 365- oder Office 365-basierten Architektur gespeichert (der Schlüssel wird nur auf dem Gerät des Benutzers gespeichert).

Wenn ein Benutzer versucht, eine Verbindung mit Exchange herzustellen, um Postfachdaten abzurufen, wird der Geräteschlüssel erneut über eine TLS-gesicherte Verbindung vom Gerät an die Microsoft 365- oder Office 365-basierte Architektur übergeben, wo er zum Entschlüsseln des Kennworts im Laufzeit-Computespeicher verwendet wird. Nach der Entschlüsselung wird das Kennwort nie im Dienst gespeichert oder auf einen lokalen Speicherdatenträger geschrieben, und der Geräteschlüssel wird erneut aus dem Arbeitsspeicher gelöscht.

Nachdem die Microsoft 365- oder Office 365-basierte Architektur das Kennwort zur Laufzeit entschlüsselt hat, kann der Dienst eine Verbindung mit dem Exchange-Server herstellen, um E-Mail-, Kalender- und andere Postfachdaten zu synchronisieren. Solange der Benutzer Outlook weiterhin regelmäßig öffnet und verwendet, speichert die Microsoft 365- oder Office 365-basierte Architektur eine Kopie des entschlüsselten Kennworts des Benutzers im Arbeitsspeicher, um die Verbindung mit dem Exchange-Server aktiv zu halten.

Überlegungen zur Compliance beim Senden von Kennwörtern

Bevor Sie etwas aktivieren, das die Übertragung von Kennwörtern aus Ihrer lokalen Exchange-Umgebung zulässt, sollten Sie die möglichen Auswirkungen berücksichtigen. Die Übertragung von Kennwörtern an Microsoft 365 oder eine Office 365-basierte Architektur kann beispielsweise dazu führen, dass Sie die Anforderungen von PCI-DSS oder ISO/IEC 27001 nicht erfüllen können.

Wenn Sie außerdem E-Mails, Kalender und andere E-Mail-bezogene Daten verbinden und synchronisieren, können Probleme mit der Einhaltung der DSGVO auftreten, die die privaten Informationen einschränkt, die Sie ohne Zustimmung des Besitzers übermitteln können. Diese Informationen können in E-Mails, Kalenderelementen usw. enthalten sein und dort gefunden werden.

Kontoinaktivität und Löschen von Kennwörtern aus dem Laufzeitspeicher

Nach drei Tagen Inaktivität löscht die Microsoft 365- oder Office 365-basierte Architektur ein entschlüsseltes Kennwort aus dem Arbeitsspeicher. Wenn das entschlüsselte Kennwort geleert wird, kann die Architektur nicht auf das lokale Postfach eines Benutzers zugreifen. Das verschlüsselte Kennwort bleibt in der Microsoft 365- oder Office 365-basierten Architektur gespeichert, aber eine erneute Entschlüsselung ist ohne den Geräteschlüssel, der nur auf dem Gerät des Benutzers verfügbar ist, nicht möglich.

Es gibt drei Gründe, aus denen ein Benutzerkonto inaktiv werden kann:

• Der Benutzer deinstalliert Outlook für iOS und Android.

• Die Hintergrundaktualisierung der App ist in den Einstellungsoptionen deaktiviert, und dann wird das erzwungene Beenden auf Outlook angewendet.

• Das Gerät des Benutzers hat keine Internetverbindung, sodass Outlook sich nicht mit Exchange synchronisieren kann.

Hinweis

Outlook wird nicht inaktiv, nur weil der Benutzer die App für einige Zeit nicht öffnet, z. B. an einem Wochenende oder im Urlaub. Solange die Hintergrundaktualisierung für Apps aktiviert ist (Standardeinstellung für Outlook für iOS und Android), zählen Funktionen wie Pushbenachrichtigungen und die Hintergrundsynchronisierung von E-Mails als Aktivität.

Leeren verschlüsselter Kennwort- und synchronisierter Postfachdaten aus Microsoft 365 oder Office 365

Die Microsoft 365- oder Office 365-basierte Architektur leert oder löscht inaktive Konten wöchentlich. Nachdem ein Benutzerkonto inaktiv geworden ist, löscht die Architektur sowohl das verschlüsselte Kennwort als auch den gesamten synchronisierten Postfachinhalt des Benutzers aus dem Dienst.

Kombination aus Sicherheitsfunktionen auf Geräte- und Dienstseite

In der Microsoft 365- oder Office 365-basierten Architektur wird niemals der eindeutige Geräteschlüssel eines Benutzers gespeichert, und das Exchange-Kennwort eines Benutzers wird nie auf dem Gerät gespeichert. Diese Architektur bedeutet, dass eine böswillige Partei, um Zugriff auf das Kennwort eines Benutzers zu erhalten, sowohl unbefugten Zugriff auf die Microsoft 365- oder Office 365-basierte Architektur als auch physischen Zugriff auf das Gerät dieses Benutzers benötigt.

Durch das Erzwingen von PIN-Richtlinien und Verschlüsselung auf Geräten in Ihrer Organization müsste die böswillige Partei auch die Verschlüsselung eines Geräts umgehen, um Zugriff auf den Geräteschlüssel zu erhalten. All das müsste passieren, bevor der Benutzer den Diebstahl oder die Kompromittierung des Geräts bemerkt und eine Remotezurücksetzung anfordert.

Häufig gestellte Fragen zur Kennwortsicherheit

Im Folgenden werden häufig gestellte Fragen zum Sicherheitsdesign und den Einstellungen für Outlook für iOS und Android bei Verwendung mit der Standardauthentifizierung aufgeführt.

Werden Benutzeranmeldeinformationen in der Microsoft 365- oder Office 365-basierten Architektur gespeichert, wenn ich Outlook daran blockiere, auf meinen Exchange Server zuzugreifen?

Wenn Sie Outlook für iOS und Android für den Zugriff auf Ihre lokalen Exchange-Server gesperrt haben, wird die anfängliche Verbindung von Exchange abgelehnt. Benutzeranmeldeinformationen werden nicht vom Outlook-Clouddienst gespeichert, und die beim fehlgeschlagenen Verbindungsversuch angezeigten Anmeldeinformationen werden sofort aus dem Arbeitsspeicher geleert.

Wie werden der eindeutige Geräteschlüssel und das Benutzerkennwort während der Übertragung zur Microsoft 365- oder Office 365-basierten Architektur verschlüsselt?

Die gesamte Kommunikation zwischen der Outlook-App und der Microsoft 365- oder Office 365-basierten Architektur erfolgt über eine verschlüsselte TLS-Verbindung. Die Outlook-App kann eine Verbindung mit der Microsoft 365- oder Office 365-basierten Architektur herstellen und sonst nichts.

Gewusst wie die Anmeldeinformationen und Postfachinformationen eines Benutzers aus der Microsoft 365- oder Office 365-basierten Architektur entfernen?

Lassen Sie den Benutzer Outlook für iOS und Android auf allen Geräten deinstallieren. Alle Daten werden in ca. 3-7 Tagen aus der Microsoft 365- oder Office 365-basierten Architektur entfernt.

Die App ist geschlossen oder wurde deinstalliert, versucht aber immer noch, sich mit meinem Exchange-Server zu verbinden. Wie kann das sein?

Die Microsoft 365- oder Office 365-basierte Architektur entschlüsselt Benutzerkennwörter im Laufzeit-Computespeicher und verwendet die entschlüsselten Kennwörter dann, um eine Verbindung mit Exchange herzustellen. Da die Architektur im Namen des Geräts eine Verbindung mit Exchange herstellt, um Postfachdaten abzurufen und zwischenzuspeichern, kann dies für einen kurzen Zeitraum fortgesetzt werden, bis der Dienst erkennt, dass Outlook keine Daten mehr anfordert.

Wenn ein Benutzer die App von seinem Gerät deinstalliert, ohne zuvor die Option "Konto löschen" verwendet zu haben, bleibt die Microsoft 365- oder Office 365-basierte Architektur mit Ihrem Exchange-Server verbunden, bis das Konto inaktiv wird, wie oben unter "Kontoinaktivität und Leeren von Kennwörtern aus dem Speicher" beschrieben. Um diese Aktivität zu beenden, befolgen Sie Option 1 oder Option 3 aus den oben genannten FAQ, oder blockieren Sie die App, wie unter Blockieren von Outlook für iOS und Android beschrieben.

Ist ein Benutzerkennwort in Outlook für iOS und Android weniger sicher als bei Verwendung anderer Exchange ActiveSync-Clients?

Nein EAS-Clients speichern die Benutzeranmeldeinformationen generell lokal auf dem Gerät des Benutzers. Wird ein Gerät gestohlen oder kompromittiert, könnte ein Angreifer also Zugang zum Kennwort des Benutzers erhalten. Mit dem Sicherheitsdesign von Outlook für iOS und Android benötigt eine böswillige Partei nicht autorisierten Zugriff auf die Microsoft 365- oder Office 365-basierte Architektur und hätte physischen Zugriff auf das Gerät eines Benutzers.

Was passiert, wenn ein Benutzer versucht, Outlook für iOS und Android zu verwenden, nachdem seine Daten aus dem Outlook-Clouddienst gelöscht wurden?

Wenn ein Benutzerkonto inaktiv wird (z. B. durch Deaktivieren der Hintergrundaktualisierung der App auf dem Gerät oder vorübergehendes Trennen des Geräts vom Internet), stellt die Outlook-App beim nächsten Start der App erneut eine Verbindung mit der Microsoft 365- oder Office 365-basierten Architektur her, und die Kennwortverschlüsselung und das Zwischenspeichern von E-Mails werden neu gestartet. Dies ist alles für den Benutzer transparent.

Gibt es eine Möglichkeit, die Verwendung der Standardauthentifizierung für lokale Postfächer mit Outlook für iOS und Android zu verhindern?

Ja, Sie können die hybride moderne Authentifizierung bereitstellen. Weitere Informationen finden Sie unter Using hybrid Modern Authentication with Outlook for iOS and Android.