Sven Stromann

Microsoft 365: Phishing über Google Sites und Cloudflare abwehren

Sat, 24 Oct 2026 18:06:00 +0200

Phishing auf Microsoft-365-Konten läuft längst nicht mehr über plumpe Fake-Seiten auf obskuren Domains. Aktuelle Kampagnen schicken das Opfer über Dienste, denen jeder Filter vertraut: Google Sites, Cloudflare Workers und Cloudflare Turnstile. Am Ende steht eine täuschend echte Microsoft-Anmeldung, die nicht nur das Passwort abgreift, sondern auch den MFA-Code und die Sitzung. Klassische MFA per SMS oder Authenticator-App hilft dagegen nicht.

So läuft der Angriff ab

Die Mail: Das Opfer bekommt eine Mail mit einem Link auf sites.google.com. Weil die Domain Google gehört, lassen Mailfilter und Proxys den Link meist durch.
Die Köderseite: Auf der Google-Site liegt eine Seite im Look einer geteilten Excel-Datei mit einem „Öffnen“-Button. Logos und Icons sind als Base64 direkt in die Seite eingebettet, damit keine verdächtigen Bilder nachgeladen werden.
Die Weiterleitung: Der Button führt auf eine Subdomain von workers.dev, also auf Cloudflare. Auch diese Domain hat einen guten Ruf.
Die Prüfseite: Dort wartet eine echte Cloudflare-Turnstile-Abfrage. Für den Nutzer sieht das nach Sicherheit aus. Tatsächlich hält sie Scanner und Sandboxen draußen. Nebenbei prüft die Seite per JavaScript, ob der Browser im privaten Modus läuft, ein typisches Zeichen für Analyseumgebungen.
Die Anmeldeseite: Erst danach lädt die eigentliche Phishing-Seite, versteckt in einem randlosen Vollbild-iframe von einer weiteren Domain des Angreifers. Der Code wird erst im Browser aus Base64 zusammengesetzt und sieht für statische Scanner harmlos aus. Die Seite bildet die komplette Microsoft-Anmeldung nach, inklusive MFA per Code oder SMS, Device-Code-Anmeldung und sogar Passkey-Dialog.
Der Abgriff: Passwort und MFA-Code laufen live über den Server des Angreifers zu Microsoft weiter. Der Angreifer steht also zwischen Opfer und Microsoft (Adversary in the Middle, AiTM) und bekommt das fertige Sitzungscookie oder die Tokens. Danach landet das Opfer auf der echten Microsoft-Seite und merkt nichts.

Warum Filter das nicht erkennen

Vertrauenswürdige Domains: Google und Cloudflare kann niemand pauschal blockieren, ohne den Arbeitsalltag zu stören.
Gestaffelte Weiterleitungen: Jede Station sieht für sich harmlos aus. Die eigentliche Phishing-Domain taucht in der Mail gar nicht auf.
Abwehr gegen Analyse: CAPTCHA, Erkennung des privaten Modus, kurzlebige Zugangstokens und Code, der erst zur Laufzeit entsteht, sorgen dafür, dass automatische Scanner nur eine leere oder harmlose Seite sehen.
Echte MFA-Abläufe: Weil der Angreifer die Anmeldung live an Microsoft weiterreicht, ist die MFA-Abfrage echt. Für den Nutzer gibt es keinen Unterschied.

So schützt du deinen Tenant

Phishing-resistente MFA

Der wirksamste Schutz gegen AiTM sind Anmeldeverfahren, die an die echte Microsoft-Domain gebunden sind: Passkeys (FIDO2), Windows Hello for Business oder zertifikatsbasierte Anmeldung. Ein Proxy auf einer fremden Domain kann diese Anmeldung nicht weiterreichen.

Active Directory: Benutzer per CSV-Datei importieren (Bulk-Import)

Fri, 29 May 2026 17:54:59 +0000

Mit einer CSV-Datei und PowerShell legst du viele Benutzer auf einmal in Active Directory an.

Checkliste vor dem produktiven Lauf

Länge des SamAccountName prüfen (≤ 20 Zeichen).
Keine Umlaute in SamAccountName und UPN.
Encoding: CSV als UTF‑8 speichern und mit -Encoding UTF8 einlesen, sonst gehen in Windows PowerShell 5.1 die Umlaute in Namen kaputt.
Passwortrichtlinie: Das Passwort muss den AD‑Richtlinien entsprechen.
Rechte: Das Skript als Domänenadministrator ausführen.
Konflikte: Auf vorhandene SamAccountName-Werte prüfen und bei Bedarf Nummern anhängen.
Test‑OU: Zuerst in eine Test‑OU importieren.

Lösung

1. CSV erstellen

SamAccountName,GivenName,Surname,DisplayName,Description,Title,OU,UserPrincipalName
max.mustermann,Max,Mustermann,"Mustermann, Max",Techniker,Techniker,"OU=Users,DC=domain,DC=de",max.mustermann@domain.de

2. Import testen

PowerShell

$csv = "C:\Users\administrator\Desktop\users.csv"
Import-Csv $csv -Encoding UTF8 | Format-Table

Prüfe, ob die CSV sauber formatiert ist und als Tabelle angezeigt wird.

RDS: Veröffentlichten Desktop im RD Web Access sichtbar machen

Mon, 18 May 2026 11:07:25 +0000

In kleinen Remote Desktop Services (RDS) Umgebungen mit wenigen virtuellen Maschinen erscheinen manchmal nicht alle veröffentlichten Ressourcen im RD Web Access oder Web Client. Typisch ist: Die RemoteApps sind da, der veröffentlichte Desktop fehlt.

In meinem Fall sollte eine Line-of-Business-Anwendung sowohl als RemoteApp als auch als vollständiger virtueller Desktop bereitgestellt werden. In größeren Umgebungen mit mehreren Session Hosts funktioniert das problemlos. In kleineren oder einfachen Setups wird der veröffentlichte Desktop dagegen nicht im Portal angezeigt.

Microsoft Edge per GPO: Startseite und Suchmaschine festlegen

Thu, 07 May 2026 17:14:38 +0000

In vielen Unternehmensumgebungen sollen Browser-Einstellungen für alle Benutzer einheitlich vorgegeben werden. Beim Chromium-basierten Microsoft Edge verteilst du solche Vorgaben über Gruppenrichtlinien. Das spart Zeit bei der Einrichtung neuer Arbeitsplätze und sorgt für konsistente Browser-Einstellungen.

Die folgende Konfiguration legt eine feste Startseite fest, hinterlegt Google als Standardsuchmaschine und steuert das Startverhalten des Browsers.

Voraussetzungen

Lade die GPO-Vorlagen für Edge herunter und lege sie im Central Store ab (Download).

Konfiguration

Öffne die Gruppenrichtlinienverwaltung und lege eine neue GPO an, zum Beispiel:

Entra ID: ImmutableID korrigieren, wenn der Benutzer bereits existiert

Sat, 07 Feb 2026 14:35:34 +0000

In Hybrid-Umgebungen mit lokalem Active Directory und Entra ID (Azure AD) sind Benutzer immer wieder nicht korrekt miteinander verknüpft. Die Folge sind zum Beispiel doppelte Benutzer und Probleme bei der Anmeldung an Microsoft-365-Diensten.

Ursache

Häufig ist die ImmutableID falsch gesetzt oder bereits einem anderen Benutzer zugeordnet.

Lösung

Die folgenden Schritte zeigen, wie du die korrekte ImmutableID aus dem lokalen AD ermittelst, sie in Entra ID setzt und was zu tun ist, wenn sie bereits einem anderen Benutzer zugeordnet ist. Das ist der häufigste Fall.

Chromium im Kiosk-Modus auf Debian 12 Bookworm automatisch starten

Tue, 27 Jan 2026 10:22:21 +0000

Ich wollte meinen Raspberry Pi so einrichten, dass Chromium im Kiosk-Modus automatisch startet, mehrere Tabs öffnet, die sich automatisch durchwechseln, und dass sich das Gerät jeden Morgen neu startet. So habe ich das auf Debian Bookworm 12 umgesetzt.

1. systemd-Service für den Chromium-Kiosk erstellen

Lege zuerst einen systemd-Service an, der Chromium beim Hochfahren automatisch startet:

Bash

sudo nano /etc/systemd/system/chromium-kiosk.service

Inhalt der Datei:

INI

[Unit]
Description=Chromium Kiosk Mode
After=graphical.target

[Service]
User=pi
Environment=DISPLAY=:0
Environment=XAUTHORITY=/home/pi/.Xauthority
ExecStart=/home/pi/start-chromium.sh
Restart=always
RestartSec=5

[Install]
WantedBy=graphical.target

Die wichtigsten Einträge:

Server Manager: Fehler beim Datenabruf unter Windows Server 2025

Wed, 17 Sep 2025 10:13:56 +0000

Wenn du im Server Manager von Server 2025 einen neuen Server hinzufügst, erscheint folgende Fehlermeldung und der Server lässt sich nicht remote verwalten:

Es kann vorkommen, dass nur ein einzelner Server betroffen ist, obwohl er unter „Alle Server“ alle anderen Server auflistet. In unserem Beispiel war der andere Server, der die Übersicht erzeugt, nicht betroffen. Deshalb habe ich den Fix zunächst nur auf dem betroffenen Server durchgeführt. Bei Bedarf wiederholst du denselben Vorgang auf allen weiteren betroffenen Servern.

TrueNAS SCALE: ZVOL wird nicht in der VM angezeigt

Sat, 09 Aug 2025 10:40:23 +0000

Du hast unter TrueNAS SCALE ein ZVOL erstellt und willst es deiner VM als virtuelle Disk hinzufügen, aber das ZVOL taucht nicht in der Geräteliste auf.

Ursache: ZVOL ist „readonly“

Ein häufig übersehener Grund: Das ZVOL ist auf readonly=on gesetzt. TrueNAS erlaubt nicht, schreibgeschützte ZVOLs einer virtuellen Maschine zuzuweisen. Das ist auch sinnvoll, denn eine VM erwartet in der Regel ein beschreibbares Blockgerät.

Prüfen kannst du das in der Shell:

Veeam Backup schlägt fehl bei installiertem SentinelOne (SafeBoot)

Mon, 27 Jan 2025 08:39:49 +0000

Ist auf einem Domain Controller SentinelOne installiert, kann das Veeam Backup fehlschlagen. Bei der Sicherung von Domain Controllern bereitet Veeam die Startkonfiguration (BCD) so vor, dass ein wiederhergestellter DC im abgesicherten Modus (SafeBoot) startet. Der Manipulationsschutz von SentinelOne blockiert diese Änderung. Veeam meldet dann:

Failed to enable DC SafeBoot mode Cannot execute [SetIntegerElement] method of [\\DC01\root\wmi:BcdObject.Id="{b1607e5f-560a-11ee-9343-923b317997fc}",StoreFilePath=""]. COM error: Code: 0xd0000022

Lösung

Öffne auf dem betroffenen Gerät, auf dem das Backup fehlschlägt, CMD als Administrator.
Wechsle in das Installationsverzeichnis von SentinelOne. Ersetze [Version] durch die installierte Version des SentinelOne-Agenten.
CMD
```
cd "C:\Program Files\SentinelOne\SentinelOne Agent [Version]"
```
Führe den folgenden Befehl aus. Die Passphrase bekommst du vom SentinelOne-Administrator oder -Provider.
CMD
```
sentinelctl config antiTamperingConfig.allowSignedKnownAndVerifiedToSafeBoot true -k "passphrase"
```
Prüfe, ob die Konfiguration geändert wurde. Die Ausgabe muss True lauten.
CMD
```
sentinelctl config antiTamperingConfig.allowSignedKnownAndVerifiedToSafeBoot
```
Starte das Gerät bei Bedarf neu.
Führe das Veeam Backup erneut aus, sobald das System vollständig geladen ist.

FSLogix-Profil-Disk (VHD/VHDX) mit Diskpart vergrößern

Fri, 08 Nov 2024 21:28:00 +0000

In VDI-Umgebungen gehört die Frage, wie man eine FSLogix-Profil-Disk erweitert, zu den häufigsten. Microsoft bietet dazu keine offizielle Anleitung. Mit Diskpart-Befehlen lässt sich die Disk aber vergrößern.

Lösung

Wichtig: Stelle sicher, dass der Benutzer vom VDI-Host abgemeldet ist und die Profil-VHD nicht gesperrt ist.

Öffne eine PowerShell oder Eingabeaufforderung als Administrator und gib folgende Befehle ein:

Diskpart
Select Vdisk file="\\Pfad\zur\VHD"
Expand Vdisk maximum=<neue Größe in MB>
Attach vdisk
Select partition 1
Extend
List partition
Detach vdisk
Exit

Ersetze dabei \\Pfad\zur\VHD durch den Pfad zur Profil-Disk (.vhd oder .vhdx) und <neue Größe in MB> durch die gewünschte Gesamtgröße, zum Beispiel 51200 für 50 GB. Mit List partition siehst du am Ende, ob die Partition die neue Größe hat.

Acrobat Reader wird zu Acrobat Pro: Workaround per Registry

Tue, 17 Sep 2024 17:06:24 +0000

Adobe hat den Acrobat Reader auf 64 Bit aktualisiert und dabei die Bereitstellung vereinfacht: Für Reader und Pro gibt es nur noch ein einziges Installationspaket. Sobald ein Nutzer auf „Testen“ klickt oder sich mit einem lizenzierten Benutzerkonto anmeldet, wird der installierte Acrobat Reader automatisch zur Pro-Version. Ab diesem Zeitpunkt müssen sich auch alle anderen Nutzer mit einem lizenzierten Konto anmelden.

Lösung

Deinstalliere die installierte Acrobat-Pro-Version.
Installiere die Reader-Version über diesen Link neu: Adobe Reader Enterprise.
Um zusätzlich den Anmeldebutton und das Update auf die 64-Bit-Version zu verhindern, nimm folgende Anpassungen in der Registry vor:

disable_adobe_pro.regDownload · 367 Bytes

Registry

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Adobe\Acrobat Reader\DC\FeatureLockDown]
"bEnablePersistentButton"=dword:00000000
"bSuppressSignOut"=dword:00000001
"bUpdateToSingleApp"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Adobe\Acrobat Reader\DC\FeatureLockDown\cServices]
"bUpdater"=dword:00000000

Diese Einstellungen blenden den Anmeldebutton aus und verhindern automatische Updates auf die 64-Bit-Version.

Neues Teams auf Terminalservern und in VDI-Umgebungen installieren

Tue, 21 May 2024 13:40:23 +0000

Das neue Microsoft Teams wird auf Terminalservern und in VDI-Umgebungen als MSIX-Paket installiert. Voraussetzung sind WebView2 und aktiviertes Sideloading. Der Installationsweg unterscheidet sich zwischen Windows Server 2022 und 2019.

Quelle: https://learn.microsoft.com/en-us/microsoftteams/new-teams-vdi-requirements-deploy

Downloads

WebView2: https://developer.microsoft.com/de-de/microsoft-edge/webview2/
Teamsbootstrapper / MSIX: https://learn.microsoft.com/en-us/microsoftteams/new-teams-bulk-install-client#option-1b-download-and-install-new-teams-using-an-offline-installer

Ablauf

WebView2 installieren.
MSIX und Bootstrapper herunterladen.
Sideloading aktivieren.
Teams passend zur Serverversion installieren.

Sideloading aktivieren

Du aktivierst das MSIX-Sideloading entweder manuell oder per Gruppenrichtlinie unter Computer Configuration > Administrative Templates > Windows Components > App Package Deployment > Allow all trusted apps to install.

Domain Controller erkennt nach Neustart nur privates Netzwerk

Tue, 07 May 2024 18:18:16 +0000

In virtuellen Testumgebungen setzt Windows das Firewall-Profil beim Start des einzigen Domain Controllers gelegentlich fälschlicherweise auf „Private“ statt auf „Domain“.

Ursache

Der Dienst „Network Location Awareness“ (NLA) startet oft, bevor Active Directory oder DNS laufen.

Lösung

Eine mögliche Lösung ist, den Starttyp des NLA-Dienstes von „Automatic“ auf „Automatic (Delayed)“ zu ändern. Das hilft aber nicht immer.

In diesem Fall legst du eine Dienstabhängigkeit fest: Der NLA-Dienst startet dann erst, wenn Active Directory und DNS gestartet sind. Führe dazu in einer administrativen CMD folgenden sc-Befehl aus:

Veeam: Failed to reconnect to SCVMM server beheben

Thu, 25 Apr 2024 13:16:10 +0000

Beim Hinzufügen des SCVMM-Servers in Veeam erscheint die folgende Fehlermeldung. Du musst dann manuell einen Eintrag in der Registry setzen.

Auch ein Verbindungsversuch per PowerShell auf dem Veeam-Server schlägt fehl:

PowerShell

Get-SCVMMServer -Computername 'scvmmserver.domain.de'

Lösung

Öffne auf dem Veeam-Backup-Server die Registry. Veeam verbindet sich über die dort installierte SCVMM-Administratorkonsole, deshalb gehört der Eintrag auf diesen Server und nicht auf den SCVMM-Server selbst. Gehe zu diesem Schlüssel:
```
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Microsoft System Center Virtual Machine Manager Administrator Console\Settings
```
Prüfe den Typ des Eintrags IndigoTcpPort. Ist er nicht REG_DWORD, lösche ihn und lege ihn mit diesem Typ neu an.
Setze den Wert auf 1fa4 (hexadezimal für 8100).

Windows-Benutzerprofile mit Robocopy auf einen neuen Server kopieren

Wed, 24 Apr 2024 18:45:48 +0000

Benutzerprofilordner von einem Dateiserver auf einen anderen zu kopieren ist oft schwierig, vor allem wegen der speziellen Berechtigungen auf diesen Ordnern. Mit diesem Robocopy-Befehl klappt es:

PowerShell

robocopy.exe \\Old_Server\Profile \\New_Server\Profile /ZB /COPYALL /MIR /MT:8 /XJ /R:0 /W:0 /NP /LOG+:C:\robocopy_profile.log /TEE

Die Parameter berücksichtigen die Besonderheiten von Profilordnern. Robocopy kopiert die Profile, und alle Berechtigungen sowie andere Metadaten bleiben erhalten.

Hinweis

/MIR spiegelt die Quelle: Was am Ziel liegt, aber in der Quelle fehlt, wird am Ziel gelöscht. Prüfe deshalb vorher, ob das Ziel wirklich leer oder ein reines Abbild der Quelle ist.
Mit /R:0 /W:0 überspringt Robocopy gesperrte Dateien sofort, ohne es erneut zu versuchen. Melde die Benutzer vorher ab und prüfe danach im Log, ob Dateien übersprungen wurden.
/ZB und /COPYALL brauchen Administratorrechte bzw. das Recht „Sichern von Dateien und Verzeichnissen“.

SCVMM: Vergebene IP-Adressen eines IP-Pools per PowerShell freigeben

Tue, 23 Apr 2024 08:55:13 +0000

Mit diesen Befehlen gibst du die vergebenen IP-Adressen eines IP-Pools in SCVMM wieder frei:

PowerShell

$ipadpool = Get-SCStaticIPAddressPool -IPv4 -Subnet '172.17.201.0/27'
$IPAd= Get-SCIPAddress -StaticIPAddressPool $ipadpool
$ipad | Revoke-SCIPAddress

Hyper-V: Offene Snapshots mit CheckMK überwachen (Local Check)

Mon, 22 Apr 2024 20:44:56 +0000

Für die Überwachung lokaler Snapshots auf einem Hyper-V-Host gibt es derzeit nur ein Plugin von CheckMK. Es gibt die offenen Snapshots über den Piggyback-Mechanismus zurück. Das funktioniert aber nur, wenn der VM-Name mit dem Hostnamen in CheckMK übereinstimmt. Ist das nicht der Fall, werden keine offenen Snapshots angezeigt.

Lösung

Das folgende Skript zeigt alle offenen Snapshots auf einem Host an.

Speichere das Skript auf dem Hyper-V-Host als .ps1-Datei im Ordner C:\ProgramData\checkmk\agent\local, zum Beispiel als hyperv_snapshots.ps1.
Führe in CheckMK eine erneute Serviceerkennung durch. Danach taucht der Check auf und kann folgende Ausgaben liefern:

Windows auf Remotecomputern per PowerShell aktivieren

Mon, 22 Apr 2024 09:37:17 +0000

Mit folgendem Skript aktivierst du einen oder mehrere Remotecomputer per PowerShell. Es installiert den MAK-Key, startet die Aktivierung und gibt anschließend den Lizenzstatus pro Computer zurück.

PowerShell

$Results = Invoke-Command -ComputerName server01 {
 # install MAK key
 $nullipk = cscript.exe "$env:SystemRoot\System32\slmgr.vbs" /ipk "XXXX-XXXX-XXXX-XXXX-XXXX"
 $nullato = cscript.exe "$env:SystemRoot\System32\slmgr.vbs" /ato
 
 # test LicenseStatus
 $LicStatus = (((cscript.exe "$env:SystemRoot\System32\slmgr.vbs" /dli) | 
 Where-Object { $_ -match '\S' })[-1] -split ':', 2)[1].Trim()
 
 # return an object
 [PsCustomObject]@{
 ComputerName = $env:COMPUTERNAME
 LicenseStatus = $LicStatus
 
 }
}
$Results

Papierkorb aller Benutzer auf einem Terminalserver leeren

Fri, 17 Nov 2023 11:47:15 +0000

Auf Microsoft Terminalservern belegen nicht geleerte Papierkörbe der Benutzer mit der Zeit immer mehr Speicherplatz. Als Administrator leerst du den Papierkorb aller Benutzer mit einem einzigen Befehl.

Lösung

Klicke mit der rechten Maustaste auf das Windows-Symbol in der Taskleiste und öffne die Eingabeaufforderung als Administrator. Nimm nicht PowerShell: Dort ist rd ein anderer Befehl, und $Recycle würde als Variable gelesen.
Gib folgenden Befehl ein und drücke die Eingabetaste:
CMD
```
rd /s c:\$Recycle.Bin
```
Der Befehl entfernt alle Dateien im Papierkorb auf Laufwerk C:. Liegt der Papierkorb auf einem anderen Laufwerk, passe den Laufwerksbuchstaben an.
Bestätige bei Nachfrage, dass alle Dateien und Unterverzeichnisse im Papierkorb gelöscht werden sollen.
Prüfe anschließend den freien Speicherplatz auf dem Terminalserver, um sicherzugehen, dass der Papierkorb geleert wurde.

Proxmox VE: Festplatte einer VM verkleinern

Thu, 16 Nov 2023 18:46:38 +0000

Um die Festplatte einer virtuellen Maschine in Proxmox zu verkleinern, musst du an zwei Stellen ansetzen: zuerst an der Partition im Gastsystem, danach an der Disk auf Proxmox-Ebene.

Schritt 1: Partition im Gastsystem verkleinern

Windows

Öffne die Datenträgerverwaltung von Windows.
Wähle bei der gewünschten Partition die Option „Volume verkleinern“.
Lege die gewünschte Größe fest. Windows organisiert vorhandene Daten in der Partition dabei neu, um Datenverlust zu vermeiden.

Nach dem Verkleinern zeigt die Datenträgerverwaltung einen Bereich „Nicht zugeordnet“ an. Diesen Bereich entfernst du im nächsten Schritt über Proxmox. Entferne dort etwas weniger, als der nicht zugeordnete Bereich groß ist.