Rechnerwechsel sperrt Nutzer vom Microsoft OneDrive-Konto oder Office-Registrierung aus …

[English]Es ist ein ziemlich kruder Fall, den mir Blog-Leser Thomas gerade „auf den Tisch“ gelegt hat. Es gab da die Notwendigkeit, den Rechner mit Windows zu wechseln – die Details kenne ich nicht. Im Anschluss an diese Aktion musste der Anwender feststellen, dass er nicht mehr an sein OneDrive-Konto heran kommt. Microsoft lehnt den Zugriff ab. Auch eine Registrierung von Microsoft ist nicht mehr möglich, da das Konto abgelehnt wird.Der Anwender fragt sich nun, wo Microsoft mal wieder „falsch abgebogen“ ist und ob das mit einem merkwürdigen „Sicherheitsvorfall“ vor einigen Tagen zu tun haben kann. Ergänzung: Das Thema hat sich ausgeweitet und es haben sich einige, in meinen Augen interessante, Aspekte ergeben, die ich nachgetragen habe.

Vorab einige Anmerkungen. Blog-Leser Thomas B. ist mir seit Jahren durch E-Mail-Austausch bekannt – er ist Ex-MVP und seit 30 Jahren im IT-Geschäft. Wenn aus seiner Ecke Informationen gekommen sind, haben diese Substanz.

Ausgesperrt: OneDrive und Office-Registrierung

In der Regel haben Windows-Benutzer ein MIcrosoft-Konto, über welches sie dann auch einen Ondrive-Onlinespeicher verwalten, und je nach Gusto mit mal mehr oder weniger Daten befüllen. Zum Problem wird das dann, wenn dieser Zugriff auf diesen Ondrive-Onlinespeicher verloren geht. Ich hatte ja hier im Blog durchaus schon Fälle, wo das passiert ist. Der Fall, den Thomas mir nun per E-Mail skizziert hat, ist noch kruder.

Hallo Günter,

das läuft wohl einiges schief.

Habe den Rechner gewechselt und nun muckt Microsoft rum, dass ich mich mit dem falschen UPN anmelde.

Das zieht sich so durch, bis zur Office Registrierung auf einem neuen Rechner.

Sieht aus, wie wenn die da falsch abgebogen sind.

Jedenfalls kann ich mich auch einem neuen Rechner nicht mehr auf meinem OneDrive anmelden und mein Office registrieren, egal welchen meiner UPN ich nehme.

Hoffentlich hat das nix damit zu tun, was ich die Tage erlebt habe, hinsichtlich der Security Zwischenfalls, … ich hatte Dir dazu eine Nachricht geschickt …

Beste Grüße,

Tom

Das Kürzel UPN steht hier für User Principal Names, die im Kerberos-Authentifizierungs-System (z.B. Microsofs Active Directory) als Alias für den Realm-basierten Benutzernamen konfiguriert und verwendet werden können. Die UPNs ermöglichen z. B. die bequemere Anmeldung an Windows Computern und Servern auch unter einem Benutzernamen. Der UPN gleicht einer E-Mail-Adresse  (z.B. michael @ beispielfirma.xy, also Name und hinter dem @-Zeichen ein Domänenname). Diese UPNs werden in der Active-Directory-Verwaltung unter den Eigenschaften von „Active-Directory-Domänen und -Vertrauensstellungen“ eingegeben.

OneDrive Error 0x8004de35

Versucht Thomas sich an Microsoft OneDrive anzumelden, wird dies mit obigem Dialogfeld abgelehnt. Microsoft behauptet, dass das Konto, mit dem sich gerade angemeldet wird, nicht mit dem Synchronisationskonto übereinstimmt. Es wird nach einem Kennwort gefragt – was aber an dieser Stelle wohl nicht weiter führt.

Der Vorgang wird von OneDrive mit einem Error 0x8004de34 abgelehnt. Bei einer kurzen Suche habe ich aber keine Informationen zu diesem Fehlercode gefunden. Microsoft hat zwar den Beitrag Error Code 0x8004de40 or 0x8004de88 when signing in to OneDrive veröffentlicht. Die Fehlernummer kommt da im Dokument aber nicht vor. Der hier beschriebene Fehlercode 0x8004de25 passt auch nicht. Bei einer späteren Suche mit Bing und Google bin ich aber auf verschiedene Treffer gestoßen (wie z.B. hier, wo ein Unlink vorgeschlagen wird). Bei Microsoft gibt es zudem diesen Supportbeitrag, der passen sollte und den Hinweis gibt, die Anmeldedaten zu löschen.

Thomas schrieb: Das Einzige, was Microsoft noch zulässt, ist ein „anderes Konto“ für OneDrive-Zugriffe hinzuzufügen. Aber mit diesem Ansatz kommt der Nutzer wohl nicht wirklich weiter.

Merkwürdiger Sicherheitsvorfall

In obigem Text spricht Thomas einen merkwürdigen Sicherheitsvorfall an, den ich bisher nicht thematisiert habe. In einer Mail vom 14. Februar 2023 schrieb mir Thomas die Tage folgendes:

Hallo Günter,

vor einigen Minuten hat jemand von der IP in Schmitten versucht sich auf meinem Microsoft Konto anzumelden. Vielleicht bin ich nicht der Einzige? Meine IP ist die in Kolbermoor

Die IP gehört zum Subnetz von GhostNet GmbH in Bad Soden.

Beste Grüsse

Thomas

Er hat mir folgenden Screenshot mitgeschickt, der den abgelehnten Zugriffsversuch dokumentiert. Die angegebene IP-Adresse 94.249.236.170 gehört zum Hoster GhostNet GmbH in Bad Soden – irgendwo ganz in meiner Nähe.

Die Geo-Location, die Thomas mit als Screenshot mitgeschickt hat, sieht schon recht obskur aus – aber das es einen Zusammenhang gibt, ist nur eine vage Vermutung.

Ich poste die Informationen hier, mit der Frage, ob jemandem aus der Leserschaft schon ein solcher Fehlercode untergekommen ist und ob es ggf. die letzten Tage ähnliche Zugriffsversuche von fremden IP-Adressen gab. Wäre interessant, ob es „Einzelfall“, eine Cyber-Kampagne oder ein „Amok laufender Bot“ ist.

Lösung in obigem Fall

Thomas konnte sein Problem lösen, wie er schrieb: Ich musste mich überall mit dem ‚falschen‘ UPN abmelden und mich mit dem anderen UPN anmelden. Ist aber doch seltsam warum das nicht transparent ist. Denn in einem AD würde das, wie in meinem, einwandfrei funktionieren. Dort habe ich diese unterschiedlichen UPN wie bei meinem Microsoft Konto.

Thomas hat den Eindruck, dass er, vielleicht durch den obigen Sicherheitsvorfall, bei Microsoft kritischer eingestuft wurde.

Ergänzung von Thomas: Das mit ‚Neuer PC‘ ist nicht richtig. Ein anderer PC ist zutreffend. Zwar ist der OneDrive Ordner nicht im Roaming-Profil, aber auf dem PC, auf dem ich mich nach langer Zeit mal wieder angemeldet habe, war noch ein ‚altes‘ Roaming-Profil, inklusive einem vor geraumer Zeit synchronisiertem OneDrive Ordner (im Teil des Benutzerprofils, der nicht im Roaming ist). Das OneDrive setzte erst die Sync fort, als ich mich davon abgemeldet und nochmals angemeldet hatte. 

Ergänzungen aus diversen Quellen

Der Beitrag ist mal wieder „work on progress“ – hatte ich „zur Anschauung“ geplant. Auf Facebook gab es folgende Information:

Zero Trust, da wird Thomas den richtigen Eindruck gehabt haben! Nennt sich Identity Protection!

Viel spannender fand ich, dass Frank Carius von MSFAQ hinter den Kulissen weitere Informationen mit Thomas ausgetauscht hat – mir liegen die Details zwar vor. Aber Frank wird da wohl noch was zu schreiben – ich werde das dann entsprechend nachtragen. Ergänzung: Inzwischen liegt mir das Ok von Frank Carius vor, dass ich die nachfolgenden Ausführungen hier wiedergeben darf.

Probleme bei gemischten Privat- und Firmenkonten

Frank Carius skizzierte in seiner Mail an Thomas eine Reihe Fallstricke, die auftreten können, wenn Nutzer private Live-ID-Konten und AzureAD- bzw. Office 365-Konten mischen. Frank schrieb dazu:

Das Fehlerbild erscheint mir noch nicht so ganz klar, denn es gibt schon immer die „Verwirrungen“ mit „Microsoft Konto“  (vormals LiveID, Passport) und eben einen AzureAD/Office 365-Konto

Beide haben eine Mailadresse, die bei Microsoft-Konto zugleich der Anmeldename ist.

Ich habe das gleiche „Problem“, wenn ich z.B. mich bei einen Service mit einem Anmeldenamen anmelde, der im AzureAD als „secondary Mailaddress“ hinterlegt ist. Ich sehe dann sowas:

Das ist dann ein deutliches Zeichen, dass ein „Privates Konto“ eigentlich eine Firmenadresse ist. Das „kann“ man machen aber sollte es nicht und ich erläutere es den Menschen dann immer so, dass sie Privat und Firma trennen sollten.

Auf den Einwand, dass sie keine private Mailadresse o.ä. haben, sage ich dann immer, das Sie mit dem „Microsoft Konto“ ja auch eine outlook.com-Adresse bekommen können.

Auch mit einem GoogleKonto für Android bekommt man eine Gmail-Adresse. Und bei Apple ist es auch nicht einfach, eine AppleID hat auch ein ICloud-Postfach.

Microsoft ist hier noch sie „freundlich“ bei vielen Diensten auf den Konflikt hinzuweisen. Leider nicht bei allen.

Ich mache das grade bei Kunden mit Apple Konten durch: Viele Mitarbeiter haben ein IPhone und sich damals einfach mit der Firmenadresse ein Apple-Konto angelegt.

Nun komme ich mit MDM und Enterprise Rollout und „registriere“ die DNS-Domain als meine Firmendomain. Und damit „bekomme“ ich alle bislang privaten Konten angezeigt und kann die „übernehmen“.

Damit verliert der Mitarbeiter aber die Hoheit über „seine Musik, gekauften Apps etc.“.  Auch da gilt. AppleID nie mit einer Firmen Domain.

Frank stellte dann die Frage, ob Thomas unabsichtlich etwas vermischt hat. Thomas schrieb zwar, dass er die beiden von ihm gehosteten Domänen getrennt habe, ist sich aber nicht sicher, ob er bei den UPNs mit den Anmeldungen nicht etwas vermischt hat und in diese Problematik gelaufen ist.

Hinweise bei gemischten Konten

Im Laufe der Konversation tauchten noch verschiedene Aspekte auf, die ich hier noch aufgreife [denn entgegen einem Kommentar unten ging es mit weniger um Microsoft Bashing – sondern schlicht darum, Probleme aufzuzeigen]. Frank Carius weist in seiner Antwort an Thomas auf weitere Fallen in diesem Kontext hin, in die er selbst schon mal gelaufen ist. Hier seine Story:

Ich habe eine „LiveID/Microsoft Konto“ in der Art liveid [@] carius.de und darauf ein „Microsoft 365 Home/Family“ gekauft. Eben für Privat und die Familie.

Zudem habe ich natürlich einen Office 365 Tenant mit der Domain carius.de. Bei Firmen kommt auch noch gerne dazu, dass sie gar nichts von ihrem AzureAD wissen.

[Frank verlinkt an dieser Stelle auf seinen MSFAQ-Artikel Viraler Tenant mit einigen zusätzlichen Erläuterungen.]

Damit wissen nun viele Dienste nicht, wer sich nun eigentlich anmeldet und welche Policies reintriggern. Schon OneDrive gibt es ja in 2-3 Versionen (Privat, BusinessPerson,  BusinessSharePoint) und dann kann ich als Gast auch noch in einem anderen Tenant wildern.

Microsoft hat natürlich eine „Verhaltenserkennung“ bei Anmeldungen und wenn es zu wild wird, dann wird halt auch mal was geblockt.

Frank merkt dazu folgendes an:

Die Horrorstories, dass man gar nicht mehr an sein Konto kommt und man dann auch keinen wirklichen Ansprechpartner hat, bekomme ich schon mit und hoffe, dass es mich nicht erwischt.

Bei AzureAD hat man ja einen Vertrag und Supportkontakt. Bei „Microsoft 365 Home/Familiy“ ist das weniger [der Fall], und wer ein kostenfreies Microsoft-Konto nutzt, hat ja nicht mal einen Vertrag mit Geld, aus dem man Forderungen ableiten kann.

Das sind in meinen Augen gewichtige Punkte, die von Frank angesprochen werden. Er weist aber darauf hin, dass das auch für jegliche andere Dienste wie Twitter u.a., wo einem der Anbieter ja auch sperren kann – ist also nichts Microsoft-spezifisches.

Erfahrene Administratoren stehen damit vor der Aufgabe, dies in den Betrieben bzw. in der Praxis sauber zu trennen und die Anwender auf die Problematiken hinzuweisen.

Bezüglich des obigem Problems meint er, das es bei Thomas genauer zu untersuchen wäre, was die Ursache für die Ablehnung des UPNs ist. Hierzu gibt Frank folgende Tipps:

Meist nutze ich dann mal einen „privat Browser“ und gehe auf onedrive.com bzw. onedrive.live.com, und melde mich explizit mit meinem „Microsoft Konto“ an.

Wenn dann alles geht, ist es ein lokales Problem auf dem PC, gespeicherte Kennworte, verknüpfte Konten etc.

Das „Microsoft Konto“ verwaltet man am einfachsten auf account.microsoft.com, ein AzureAD-Konto aber auf myaccount.microsoft.com.

Vielleicht helfen die obigen Hinweise in solchen Fällen das Problem zu analysieren. Frank schreibt dazu, dass er sich immer überlegt, ob er sich  wirklich am PC mit einem „Microsoft Konto“ anmelden will und gibt einen interessanten Tipp [der noch funktioniert]:

Bei einem privaten PC nutze ich immer ein lokales Konto (Tipp: Bei der Einrichtung das LAN/WLAN auslassen, dann kann man lokale Konten anlegen) und das verbinde ich dann nachträglich mit dem Microsoft Konto.

Dann habe ich auch die Cloud Dienstem aber dennnoch immer ein funktionierendes lokales Konto. Stell dir vor jemand „sperrt“ das Cloud Konto und du kannst dich auf dem privaten PC nicht mehr anmelden?

Im Firmeneinsatz mit AzurAD-Joined Devices ist das ja legitim, gewünscht und erforderlich.

Damit sind wir beim alten Thema: Müssen wir auf jedem Windows PC wirklich Microsoft-Konten einrichten. Microsoft schiebt die Nutzer – speziell im Consumer-Bereich – genau in diese Richtung, indem beim Setup standardmäßig Microsoft Konten angelegt werden – siehe auch diesen Kommentar zu Windows 11. Ich versuche das zu vermeiden und Frank Carius hat ja oben einen gewichtigen Grund genannt, warum das Sinn macht.

Achtung bei Freemail-Adressen

Thomas erwähnte noch, dass er auch eine Freemail-Adresse bei web.de habe, die man ggf. auch als E-Mail-Adresse mit einem privaten „Microsoft Konto“ verknüpfen kann.In diesem Kontext weist Frank Carius auf eine weitere Falle hin:

Achtung: Nutzt die die web.de-Adresse noch?  Ich hatte früher mal eine gmx.net-Adresse drin [sprich: mit einem Microsoft-Konto verknüoft] – aber da ich mich da selten angemeldet habe, war sie irgendwann weg, und jemand anderes hat sie nun.

Ich war allerding schnell genug diese Adresse aus den „Rücksetzlinkzielen“ zu entfernen. Alles so Fallstricke.

Abschließende Gedanken

Ich hatte die Info von Thomas ursprünglich mal als kurze Info zum Sonntag für diesen Blog geplant. War ja nur ein kurzer Sachverhalt, den ich mit einigen Zeilen dargestellt habe, als Hinweis an Administratoren, das ggf. im Hinterkopf zu behalten. Ich bin von so 200 bis 300 Abrufen ausgegangen, wen es interessiert/tangiert, liest kurz drüber und hakt es ab.

Inzwischen ist das Thema ja regelrecht explodiert – sehe ich an den Abrufzahlen des Beitrags und den Kommentaren. Richtig spannend fand ich dann den Austausch zwischen Frank Carius und Thomas – da dort die „Praxis“ spricht.

Dass mal wieder die typischen Reflexe „Microsoft-Bashing“ in den Kommentaren auftauchen, verorte ich als „Fußnote“. Der kluge Administrator liest ein Thema, sortiert es für sich ein und „sieht nicht überall Windmühlen, gegen die es zu kämpfen gilt“ – letzteres sollten wir Cervantes überlassen.

Wenn ich es richtig interpretiere, überlegt Frank Carius die oben angerissene Thematik bei sich auf MSFAQ separat nochmals aufzugreifen. Würde ich begrüßen. Sobald ich weiß, dass der Artikel online ist, würde ich den hier verlinken. Dank an Thomas und Frank für die vielen Hinweise.

Ähnliche Artikel:
Microsoft-Konto: Gesperrt oder gehackt, das braucht Microsoft
Microsoft-Kontensperrungen und die OneDrive ‚Nacktfotos‘
Microsoft Kontensperre wegen OneDrive-Inhalte und aktivierter Staatsanwalt
Tretmine Microsoft Konto: Willkürliche Sperre bei Online-Funktionen
OneDrive-Fallen: Konto eingefroren, keine Abmeldung möglich
Aus der Gruft: Die Microsoft-Kontoaktivitätsrichtlinie
Microsoft Konto: Passwort kann nicht geändert werden – neue Posse?
Windows 11: Internetverbindung und Microsoft-Konto wird beim Setup Pflicht