# Auf eine bestätigte Kompromittierung reagieren
Typ: Checkliste
Herkunft: microsoft-entra-m365 / identity-risk-protection / microsoft-entra-risk-response-sequence
Version: microsoft-entra-risk-response-sequence-2026-09-13
Geprüft: 2026-09-13

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Die Untersuchung hat ergeben, dass eine Anmeldung tatsächlich von einer fremden Person stammt. Das Konto trägt eine privilegierte Rolle. Der erste Reflex im Team ist, sofort das Kennwort zurückzusetzen.

## Schritte
1. Die Anmeldung als kompromittiert bestätigen — das hebt das Benutzerrisiko auf hoch
2. Das Kennwort verwaltend zurücksetzen, was zugleich die laufenden Sitzungen beendet
3. Die registrierten Anmeldemethoden auf fremde Einträge prüfen und unbekannte entfernen
4. Prüfen, ob im Zeitraum Berechtigungen, Weiterleitungen oder Anwendungen hinzugekommen sind
5. Die privilegierte Rollenzuweisung überprüfen und bei Bedarf vorübergehend entziehen
6. Den Vorgang dokumentieren und den Befund für die spätere Auswertung geschlossen halten

## Begründung
Warum: Ein Kennwortwechsel allein beendet den Zugriff nur dann, wenn der Angreifer keinen zweiten Weg hinterlassen hat. Deshalb folgt auf das Schließen der Tür immer die Suche nach dem Fenster — registrierte Methoden, Weiterleitungen und erteilte Berechtigungen überleben jeden Kennwortwechsel.
Folgen: **+** Die Reihenfolge beendet den Zugriff schnell und schließt anschließend die Wege, die ein Wechsel nicht erfasst. **−** Sie dauert länger als der Reflex und unterbricht die betroffene Person vollständig; bei einem Irrtum in der Untersuchung ist der Eingriff erheblich.

## Quellen
1. https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-risk-feedback
2. https://learn.microsoft.com/en-us/entra/id-protection/overview-identity-protection