# Übernahme eines privilegierten Kontos
Typ: Checkliste
Herkunft: microsoft-entra-m365 / entra-expert-capstone / microsoft-entra-capstone-takeover-response
Version: microsoft-entra-capstone-takeover-response-2026-09-13
Geprüft: 2026-09-13

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Ein fremder Zugriff auf ein Konto mit privilegierter Rolle ist bestätigt. Das Konto ist aus dem lokalen Verzeichnis abgeglichen. Mehrere Werkzeuge aus dem Track kommen infrage, und die Reihenfolge entscheidet über die Vollständigkeit.

## Schritte
1. Verfügbarkeit eines Notfallzugangs prüfen, bevor an einem privilegierten Konto gearbeitet wird
2. Das Konto an der maßgeblichen Quelle im lokalen Verzeichnis deaktivieren
3. Sitzungen beenden und die dokumentierte Verzögerung von einigen Minuten einplanen
4. Registrierte Anmeldeverfahren auf fremde Einträge prüfen und entfernen
5. Im Überwachungsprotokoll den Zeitraum auf Zustimmungen, Nachweise und Rollenänderungen durchgehen
6. Den Vorfall im Identitätsschutz als kompromittiert bestätigen und die Rolle vorübergehend entziehen

## Begründung
Warum: Drei Muster wirken hier zusammen: Der Rückweg gehört vor die Maßnahme, die Sperre gehört an die maßgebliche Quelle, und hinterlassene Zustände enden nicht mit einer Sitzung. Wer nur eines davon beachtet, produziert eine Reaktion, die vollständig aussieht.
Folgen: **+** Der Zugriff endet an der Quelle und kehrt nicht durch den Abgleich zurück; die hinterlassenen Zustände werden gefunden, bevor der Fall geschlossen wird. **−** Der Ablauf dauert und braucht zwei Teams — das für das lokale Verzeichnis und das für den Tenant; ist eines nicht erreichbar, steht die Reaktion.

## Quellen
1. https://learn.microsoft.com/en-us/graph/api/resources/user
2. https://learn.microsoft.com/en-us/graph/api/user-revokesigninsessions
3. https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access