Kritische Lücke in Azure Automation: Mandantenübernahme möglich — so prüfen Sie Ihre Konfiguration jetzt

Wer Azure Automation in seiner Standardkonfiguration betreibt, sollte sich das Folgende genau ansehen: Laut einem Bericht von Jeffrey Schwartz von der BlackHat 2026 in Las Vegas ermöglichte genau diese Standardeinstellung eine mandantenübergreifende Identitätsübernahme — ein Angreifer konnte sich demnach von einem Azure-Mandanten aus in einen anderen hineinbewegen.

Das ist keine theoretische Gefahr. Azure Automation ist in vielen Unternehmensumgebungen tief integriert: Runbooks, automatisierte Deployments, Credential-Verwaltung. Wer hier die Standardeinstellungen nie angefasst hat, könnte einem Angreifer eine Brücke in die eigene Mandantenumgebung gebaut haben — ohne es zu wissen.

Was auf der BlackHat präsentiert wurde

Jeffrey Schwartz stellte auf der BlackHat 2026 mehrere kritische Schwachstellen in der Microsoft-Infrastruktur vor. Kernbefund, wie borncity berichtet: Die Standardkonfiguration von Azure Automation enthielt eine Einstellung, die mandantenübergreifende Identitätsübernahmen ermöglichte. Konkret bedeutet das: Unter bestimmten Umständen konnten Identitäten aus einer Azure-Umgebung dazu genutzt werden, auf Ressourcen in einem anderen, eigentlich getrennten Mandanten zuzugreifen.

Daneben nannte Schwartz nach borncity-Angaben noch drei weitere kritische Sicherheitslücken in der Microsoft-Infrastruktur. Die vollständige technische Dokumentation stand zum Zeitpunkt dieses Beitrags noch aus; CVE-Nummern und Details werden in den nächsten Tagen erwartet. Es lohnt sich, die offizielle Microsoft Security Response Center-Seite und die borncity-Berichterstattung im Blick zu behalten.

Warum Standardeinstellungen in der Cloud so gefährlich sind

Das grundsätzliche Problem hinter dieser Lücke ist nicht neu, aber es wird regelmäßig unterschätzt: Cloud-Dienste kommen mit Standardkonfigurationen, die auf Benutzerfreundlichkeit optimiert sind — nicht auf minimale Angriffsfläche. In einer On-Premises-Umgebung bleibt eine Fehlkonfiguration meistens innerhalb des eigenen Perimeters. In der Cloud, wo Identitäten der eigentliche Perimeter sind, kann eine ungeprüfte Standardeinstellung erheblich weiter reichen als geplant.

Besonders heikel sind mandantenübergreifende Angriffe — sogenannte Cross-Tenant-Szenarien — für Managed Service Provider, die mehrere Kundenmandanten verwalten. Eine Kompromittierung eines Mandanten kann hier unmittelbar Auswirkungen auf andere Kunden haben. Für Unternehmen, die Azure-Dienste über einen externen IT-Dienstleister beziehen, gilt dieselbe Logik: Die Frage, wie stark Mandanten voneinander isoliert sind, ist nicht akademisch.

Was Sie jetzt konkret prüfen sollten

Drei Punkte, die sofort auf die Agenda gehören:

Managed Identities und Dienstkonten in Azure Automation prüfen. Welche Identitäten sind aktiv, und welche Berechtigungen haben sie? Das Least-Privilege-Prinzip gilt hier genauso wie überall sonst. Eine Managed Identity, die mehr kann als ihr Runbook-Job verlangt, ist ein offenes Fenster.

Cross-Tenant-Einstellungen in Microsoft Entra ID prüfen. Unter „External Identities › Cross-tenant access settings“ lässt sich steuern, welche Identitäten aus anderen Mandanten überhaupt Zugriff erhalten dürfen. Viele Organisationen haben diese Einstellungen nie explizit konfiguriert — und sitzen damit auf den Microsoft-Defaults.

Weitere technische Details verfolgen. BlackHat-Präsentationen erscheinen häufig zeitversetzt mit vollständiger Dokumentation. Drei weitere kritische Lücken warten noch auf ihre vollständige Offenlegung. Halten Sie das Microsoft Security Update Guide und einschlägige Fachmedien im Blick.

Unsere Einschätzung

Eine Tenant-Übernahme über eine Standardkonfiguration ist kein Edge Case — das ist ein fundamentaler Designfehler, der in mehr Azure-Umgebungen aktiv sein dürfte, als den Betreibern bewusst ist. Das Thema „Cloud-Defaults als Angriffsfläche“ wird die nächsten Monate weiter beschäftigen.

Administratoren, die Azure Automation einsetzen, sollten nicht auf einen offiziellen Patch warten, sondern jetzt die Konfiguration prüfen. Das Azure Portal und die Azure CLI bieten dafür die nötigen Werkzeuge — und die Prüfung dauert keine Stunde.

Quellen: borncity — „Tenant-Übernahme möglich und drei kritische Sicherheitslücke in MS-Infrastruktur“ (https://borncity.com/blog/2026/07/27/tenant-uebernahme-moeglich-und-drei-kritische-sicherheitsluecke-in-ms-infrastruktur/)