# Eine Kontoübernahme vollständig bereinigen
Typ: Checkliste
Herkunft: microsoft-entra-m365 / incident-recovery / microsoft-entra-ir-cleanup-sequence
Version: microsoft-entra-ir-cleanup-sequence-2026-09-13
Geprüft: 2026-09-13

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Der fremde Zugriff auf ein privilegiertes Konto ist bestätigt. Der erste Reflex im Team ist ein Kennwortwechsel, danach soll der Fall geschlossen werden.

## Schritte
1. Prüfen, dass ein Notfallzugang verfügbar ist, bevor an einem privilegierten Konto gearbeitet wird
2. Kennwort verwaltend zurücksetzen und die Sitzungsbeendigung ausdrücklich auslösen
3. Die registrierten Anmeldeverfahren durchgehen und fremde Einträge entfernen
4. Im Überwachungsprotokoll den Zeitraum auf neue Zustimmungen, Nachweise und Rollenzuweisungen prüfen
5. Weiterleitungs- und Postfachregeln in den Diensten kontrollieren
6. Die privilegierte Rolle vorübergehend entziehen und den Vorfall als kompromittiert bestätigen

## Begründung
Warum: Erst den eigenen Rückweg sichern, dann die Tür schließen, dann die Fenster suchen. Wer mit der Tür beginnt, arbeitet schneller und übersieht die Fenster; wer ohne gesicherten Rückweg an einem privilegierten Konto arbeitet, sperrt sich im ungünstigen Fall selbst aus.
Folgen: **+** Der Zugriff endet vollständig, und jeder Schritt ist im Protokoll belegt. **−** Die betroffene Person ist für die gesamte Dauer unterbrochen, und die Suche in Schritt 4 und 5 dauert deutlich länger als die eigentliche Sperre; unter Zeitdruck ist die Versuchung groß, nach Schritt 2 abzubrechen.

## Quellen
1. https://learn.microsoft.com/en-us/entra/id-protection/howto-identity-protection-risk-feedback
2. https://learn.microsoft.com/en-us/graph/api/user-revokesigninsessions
3. https://learn.microsoft.com/en-us/entra/identity/monitoring-health/concept-audit-logs