Was ein verwaistes Konto ist, und was nicht

Verwaist ist ein Konto, wenn zwei Dinge zusammenkommen: Es wird nicht mehr benutzt, und es gibt keine Person, die dafür verantwortlich ist. Ein Mitarbeiter, der das Unternehmen verlassen hat, dessen Benutzerkonto aber noch aktiviert ist. Ein Gastkonto aus einem Projekt von vor zwei Jahren. Ein Service Principal, den ein Dienstleister für eine Migration angelegt hat, die längst abgeschlossen ist.

Nicht verwaist ist ein Konto, das selten benutzt wird, aber einen klaren Zweck und einen klaren Besitzer hat: das Notfallkonto, das Konto für die jährliche Steuerprüfung, die Automatisierung, die einmal im Quartal läuft. Diese Konten müssen dokumentiert sein, aber sie gehören nicht gelöscht. Die Unterscheidung ist wichtig, weil ein reiner Inaktivitätsfilter beides in einen Topf wirft.

Warum Prüfer genau hier ansetzen

Verwaiste Konten sind für einen Auditor ein dankbarer Befund: Sie lassen sich objektiv nachweisen, sie verletzen mehrere Anforderungen gleichzeitig, und sie zeigen, ob der Offboarding-Prozess funktioniert. In ISO 27001 (Anhang A, Control 5.18) geht es um die Vergabe, Überprüfung und den Entzug von Zugriffsrechten. NIS2 verlangt in Artikel 21 unter anderem Konzepte für die Zugriffskontrolle und die Verwaltung von Anlagen, zu denen Identitäten zählen. Der BSI-Grundschutz fordert in ORP.4 die regelmäßige Überprüfung von Benutzerkennungen und das Sperren nicht mehr benötigter Konten.

Der Prüfer fragt deshalb selten nach Ihrer Richtlinie. Er fragt nach einer Liste: Welche Konten haben sich seit 90 Tagen nicht angemeldet, und wer hat wann entschieden, dass sie bleiben dürfen?

Fünf Signale, die Sie prüfen sollten

1. Keine Anmeldung seit mehr als 90 Tagen

Das klassische Signal. Entra ID speichert für jeden Benutzer die letzte interaktive und die letzte nicht-interaktive Anmeldung. Wichtig: Beide Werte anschauen. Ein Konto, das nie interaktiv genutzt wird, aber täglich Token für eine App holt, ist nicht inaktiv. Die 90 Tage sind eine übliche Konvention, keine Vorschrift. Für privilegierte Konten sind 30 Tage angemessener.

2. Deaktiviert, aber noch mit Rollen und Gruppen

Ein deaktiviertes Konto kann sich nicht anmelden, behält aber alle Zuweisungen. Wird es versehentlich oder böswillig reaktiviert, ist der alte Zugriff sofort wieder da. Prüfer sehen hier den Unterschied zwischen "Sperren" und "Entziehen": Beim Offboarding sollten Rollen, Gruppen und Lizenzen entfernt werden, nicht nur der Anmeldeschalter umgelegt.

3. Gastkonten ohne Sponsor und ohne Ablauf

Externe Konten (B2B-Gäste) sind besonders anfällig, weil das Offboarding beim Partner passiert, nicht bei Ihnen. Wenn ein Projekt endet, meldet niemand den Gast ab. Ein Gastkonto ohne hinterlegten Sponsor und ohne Zugriffsüberprüfung ist praktisch immer ein Befund.

4. Service Principals und App-Registrierungen ohne Besitzer

Anwendungen bekommen in Entra ID eigene Identitäten, oft mit weitreichenden API-Berechtigungen. Verlässt der Ersteller das Unternehmen, bleibt die App ohne Besitzer zurück. Ablaufende Secrets werden dann nicht erneuert oder, schlimmer, von irgendjemandem verlängert, ohne dass geprüft wird, ob die App noch gebraucht wird. Ein Service Principal ohne Besitzer und mit Berechtigungen wie Directory.ReadWrite.All ist ein kritischer Befund.

5. Lizenz zugewiesen, aber keine Nutzung

Kein Sicherheitsbefund im engeren Sinn, aber ein starkes Indiz und ein Kostenargument: Ein Konto mit zugewiesener Microsoft-365-Lizenz und ohne Anmeldung seit Monaten ist mit hoher Wahrscheinlichkeit verwaist. Diese Liste bekommen Sie in jedem Lizenzgespräch geschenkt, sie lohnt sich auch für die Sicherheit.

So prüfen Sie das mit Bordmitteln

Im Entra Admin Center finden Sie unter Benutzer die Spalte "Letzte Anmeldung"; sie lässt sich filtern und exportieren. Für eine wiederholbare Prüfung ist Microsoft Graph die bessere Wahl. Die Eigenschaft signInActivity liefert beide Anmeldezeitpunkte pro Benutzer:

GET https://graph.microsoft.com/v1.0/users
    ?$select=displayName,userPrincipalName,accountEnabled,userType,signInActivity
    &$filter=signInActivity/lastSignInDateTime le 2026-06-11T00:00:00Z

Voraussetzungen: die Berechtigung AuditLog.Read.All zusätzlich zu User.Read.All, und eine Entra ID P1- oder P2-Lizenz im Mandanten, ohne die signInActivity nicht befüllt wird. Beachten Sie, dass Konten, die sich seit Einführung der Anmeldeprotokolle nie angemeldet haben, gar keinen Wert liefern; sie fehlen im Filter und müssen separat über ein leeres Feld gesucht werden.

Für Service Principals gibt es keine vergleichbar einfache Eigenschaft. Hier hilft die Kombination aus servicePrincipals mit owners (leer = herrenlos), den Anmeldeprotokollen für Dienstprinzipale und dem Ablaufdatum der Anmeldeinformationen.

Praxis-Tipp: Legen Sie die Ergebnisse mit Datum ab, auch wenn nichts gefunden wurde. Der Prüfer will nicht nur sehen, dass heute alles sauber ist, sondern dass Sie es regelmäßig prüfen. Ein Ordner mit zwölf datierten Exporten ist mehr wert als ein perfekter Zustand am Prüfungstag.

Der Prozess, der verwaiste Konten verhindert

AuslöserMaßnahmeFrist
Austritt gemeldet (HR)Konto deaktivieren, Rollen und Gruppen entziehen, Lizenzen freigeben, Postfach in Shared Mailbox wandelnAm letzten Arbeitstag
Projektende mit ExternenGastkonten des Projekts entfernen, Sponsor bestätigt VollständigkeitInnerhalb einer Woche
QuartalsendeZugriffsüberprüfung: alle Konten ohne Anmeldung seit 90 Tagen an den Vorgesetzten, Entscheidung dokumentierenZwei Wochen Antwortfrist, dann Sperre
Besitzer einer App verlässt das UnternehmenNeuen Besitzer eintragen oder App stilllegenVor dem Austritt
Deaktiviertes Konto älter als 90 TageLöschen (nach Aufbewahrungsprüfung)Monatlich

Der wichtigste Punkt ist der erste: Solange das Offboarding nicht mit einem verbindlichen HR-Signal beginnt, läuft die IT immer hinterher. Alles andere sind Sicherheitsnetze für die Fälle, in denen dieses Signal fehlt.

Wo Bordmittel an ihre Grenzen stoßen

Die Graph-Abfrage beantwortet die Frage für einen Mandanten und einen Zeitpunkt. Sobald Sie mehrere Quellen haben (Entra ID und ein lokales Active Directory, dazu Okta oder Keycloak für Kundenportale), mehrere Mandanten betreuen oder dem Prüfer eine Historie zeigen müssen, wird aus der Abfrage ein Projekt. Genau dafür haben wir tidiam gebaut: Die Plattform liest alle Quellen nur lesend aus, markiert verwaiste und überprivilegierte Konten fortlaufend und erzeugt den Nachweis, den Sie im Audit brauchen, als Bericht mit Datum.