{"id":277976,"date":"2023-02-19T00:05:00","date_gmt":"2023-02-18T23:05:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=277976"},"modified":"2023-03-07T12:52:34","modified_gmt":"2023-03-07T11:52:34","slug":"rechnerwechsel-sperrt-nutzer-vom-microsoft-onedrive-konto-oder-office-registrierung-aus","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/02\/19\/rechnerwechsel-sperrt-nutzer-vom-microsoft-onedrive-konto-oder-office-registrierung-aus\/","title":{"rendered":"Rechnerwechsel sperrt Nutzer vom Microsoft OneDrive-Konto oder Office-Registrierung aus …"},"content":{"rendered":"

[English<\/a>]Es ist ein ziemlich kruder Fall, den mir Blog-Leser Thomas gerade \"auf den Tisch\" gelegt hat. Es gab da die Notwendigkeit, den Rechner mit Windows zu wechseln – die Details kenne ich nicht. Im Anschluss an diese Aktion musste der Anwender feststellen, dass er nicht mehr an sein OneDrive-Konto heran kommt. Microsoft lehnt den Zugriff ab. Auch eine Registrierung von Microsoft ist nicht mehr m\u00f6glich, da das Konto abgelehnt wird.Der Anwender fragt sich nun, wo Microsoft mal wieder \"falsch abgebogen\" ist und ob das mit einem merkw\u00fcrdigen \"Sicherheitsvorfall\" vor einigen Tagen zu tun haben kann. Erg\u00e4nzung:<\/strong> Das Thema hat sich ausgeweitet und es haben sich einige, in meinen Augen interessante, Aspekte ergeben, die ich nachgetragen habe.<\/p>\n

<\/p>\n

\"\"Vorab einige Anmerkungen. Blog-Leser Thomas B. ist mir seit Jahren durch E-Mail-Austausch bekannt – er ist Ex-MVP und seit 30 Jahren im IT-Gesch\u00e4ft. Wenn aus seiner Ecke Informationen gekommen sind, haben diese Substanz.<\/p>\n

Ausgesperrt: OneDrive und Office-Registrierung<\/h2>\n

In der Regel haben Windows-Benutzer ein MIcrosoft-Konto, \u00fcber welches sie dann auch einen Ondrive-Onlinespeicher verwalten, und je nach Gusto mit mal mehr oder weniger Daten bef\u00fcllen. Zum Problem wird das dann, wenn dieser Zugriff auf diesen Ondrive-Onlinespeicher verloren geht. Ich hatte ja hier im Blog durchaus schon F\u00e4lle, wo das passiert ist. Der Fall, den Thomas mir nun per E-Mail skizziert hat, ist noch kruder.<\/p>\n

Hallo G\u00fcnter,<\/p>\n

das l\u00e4uft wohl einiges schief.<\/p>\n

Habe den Rechner gewechselt und nun muckt Microsoft rum, dass ich mich mit dem falschen UPN anmelde.<\/p><\/blockquote>\n

Das zieht sich so durch, bis zur Office Registrierung auf einem neuen Rechner.<\/p>\n

Sieht aus, wie wenn die da falsch abgebogen sind.<\/p>\n

Jedenfalls kann ich mich auch einem neuen Rechner nicht mehr auf meinem OneDrive anmelden und mein Office registrieren, egal welchen meiner UPN ich nehme.<\/p>\n

Hoffentlich hat das nix damit zu tun, was ich die Tage erlebt habe, hinsichtlich der Security Zwischenfalls, … ich hatte Dir dazu eine Nachricht geschickt …<\/p>\n

Beste Gr\u00fc\u00dfe,<\/p>\n

Tom<\/p><\/blockquote>\n

Das K\u00fcrzel UPN steht hier f\u00fcr User Principal Names<\/a>, die im Kerberos<\/a>-Authentifizierungs-System (z.B. Microsofs Active Directory<\/a>) als Alias f\u00fcr den Realm<\/a>-basierten Benutzernamen konfiguriert und verwendet werden k\u00f6nnen. Die UPNs erm\u00f6glichen z. B. die bequemere Anmeldung an Windows Computern und Servern auch unter einem Benutzernamen. Der UPN gleicht einer E-Mail-Adresse\u00a0 (z.B. michael @ beispielfirma.<\/i><\/i>xy, also Name und hinter dem @-Zeichen ein Dom\u00e4nenname). Diese UPNs werden in der Active-Directory-Verwaltung unter den Eigenschaften von \"Active-Directory-Dom\u00e4nen und -Vertrauensstellungen\" eingegeben.<\/p>\n

\"OneDrive
\nOneDrive Error 0x8004de35<\/p>\n

Versucht Thomas sich an Microsoft OneDrive anzumelden, wird dies mit obigem Dialogfeld abgelehnt. Microsoft behauptet, dass das Konto, mit dem sich gerade angemeldet wird, nicht mit dem Synchronisationskonto \u00fcbereinstimmt. Es wird nach einem Kennwort gefragt – was aber an dieser Stelle wohl nicht weiter f\u00fchrt.<\/p>\n

Der Vorgang wird von OneDrive mit einem Error 0x8004de34 abgelehnt. Bei einer kurzen Suche habe ich aber keine Informationen zu diesem Fehlercode gefunden. Microsoft hat zwar den Beitrag Error Code 0x8004de40 or 0x8004de88 when signing in to OneDrive<\/a> ver\u00f6ffentlicht. Die Fehlernummer kommt da im Dokument aber nicht vor. Der hier<\/a> beschriebene Fehlercode 0x8004de25 passt auch nicht. Bei einer sp\u00e4teren Suche mit Bing und Google bin ich aber auf verschiedene Treffer gesto\u00dfen (wie z.B. hier<\/a>, wo ein Unlink vorgeschlagen wird). Bei Microsoft gibt es zudem diesen Supportbeitrag<\/a>, der passen sollte und den Hinweis gibt, die Anmeldedaten zu l\u00f6schen.<\/p>\n

Thomas schrieb: Das Einzige, was Microsoft noch zul\u00e4sst, ist ein \"anderes Konto\" f\u00fcr OneDrive-Zugriffe hinzuzuf\u00fcgen. Aber mit diesem Ansatz kommt der Nutzer wohl nicht wirklich weiter.<\/p>\n

Merkw\u00fcrdiger Sicherheitsvorfall<\/h3>\n

In obigem Text spricht Thomas einen merkw\u00fcrdigen Sicherheitsvorfall an, den ich bisher nicht thematisiert habe. In einer Mail vom 14. Februar 2023 schrieb mir Thomas die Tage folgendes:<\/p>\n

Hallo G\u00fcnter,<\/p>\n

vor einigen Minuten hat jemand von der IP in Schmitten versucht sich auf meinem Microsoft Konto anzumelden. Vielleicht bin ich nicht der Einzige? Meine IP ist die in Kolbermoor<\/p>\n

Die IP geh\u00f6rt zum Subnetz von GhostNet GmbH in Bad Soden.<\/p>\n

Beste Gr\u00fcsse<\/p>\n

Thomas<\/p><\/blockquote>\n

Er hat mir folgenden Screenshot mitgeschickt, der den abgelehnten Zugriffsversuch dokumentiert. Die angegebene IP-Adresse 94.249.236.170 geh\u00f6rt zum Hoster GhostNet GmbH in Bad Soden – irgendwo ganz in meiner N\u00e4he.<\/p>\n

\"GhostNet-Zugriff<\/a><\/p>\n

Die Geo-Location, die Thomas mit als Screenshot mitgeschickt hat, sieht schon recht obskur aus – aber das es einen Zusammenhang gibt, ist nur eine vage Vermutung.<\/p>\n

\"Geo-Location<\/a><\/p>\n

Ich poste die Informationen hier, mit der Frage, ob jemandem aus der Leserschaft schon ein solcher Fehlercode untergekommen ist und ob es ggf. die letzten Tage \u00e4hnliche Zugriffsversuche von fremden IP-Adressen gab. W\u00e4re interessant, ob es \"Einzelfall\", eine Cyber-Kampagne oder ein \"Amok laufender Bot\" ist.<\/p>\n

L\u00f6sung in obigem Fall<\/h3>\n

Thomas konnte sein Problem l\u00f6sen, wie er schrieb:\u00a0Ich musste mich \u00fcberall mit dem 'falschen' UPN abmelden und mich mit dem anderen UPN anmelden. Ist aber doch seltsam warum das nicht transparent ist. Denn in einem AD w\u00fcrde das, wie in meinem, einwandfrei funktionieren. Dort habe ich diese unterschiedlichen UPN wie bei meinem Microsoft Konto.<\/em><\/p>\n

Thomas hat den\u00a0Eindruck, dass er, vielleicht durch den obigen Sicherheitsvorfall, bei Microsoft kritischer eingestuft wurde.<\/p>\n

Erg\u00e4nzung von Thomas:<\/strong> Das\u00a0mit 'Neuer PC' ist nicht richtig. Ein anderer PC ist zutreffend. Zwar ist der OneDrive Ordner nicht im Roaming-Profil, aber auf dem PC, auf dem ich mich nach langer Zeit mal wieder angemeldet habe, war noch ein 'altes' Roaming-Profil, inklusive einem vor geraumer Zeit synchronisiertem OneDrive Ordner (im Teil des Benutzerprofils, der nicht im Roaming ist).\u00a0Das OneDrive setzte erst die Sync fort, als ich mich davon abgemeldet und nochmals angemeldet hatte.\u00a0<\/em><\/p>\n

Erg\u00e4nzungen aus diversen Quellen<\/h2>\n

Der Beitrag ist mal wieder \"work on progress\" – hatte ich \"zur Anschauung\" geplant. Auf Facebook gab es folgende Information:<\/p>\n

Zero Trust, da wird Thomas den richtigen Eindruck gehabt haben! Nennt sich Identity Protection!<\/p><\/blockquote>\n

Viel spannender fand ich, dass Frank Carius von MSFAQ hinter den Kulissen weitere Informationen mit Thomas ausgetauscht hat – mir liegen die Details zwar vor. Aber Frank wird da wohl noch was zu schreiben – ich werde das dann entsprechend nachtragen. Erg\u00e4nzung:<\/strong> Inzwischen liegt mir das Ok von Frank Carius vor, dass ich die nachfolgenden Ausf\u00fchrungen hier wiedergeben darf.<\/p>\n

Probleme bei gemischten Privat- und Firmenkonten<\/h3>\n

Frank Carius skizzierte in seiner Mail an Thomas eine Reihe Fallstricke, die auftreten k\u00f6nnen, wenn Nutzer private Live-ID-Konten und AzureAD- bzw. Office 365-Konten mischen. Frank schrieb dazu:<\/p>\n

\n

Das Fehlerbild erscheint mir noch nicht so ganz klar, denn es gibt schon immer die \"Verwirrungen\" mit \"Microsoft Konto\"\u00a0 (vormals LiveID, Passport) und eben einen AzureAD\/Office 365-Konto<\/p>\n

Beide haben eine Mailadresse, die bei Microsoft-Konto zugleich der Anmeldename ist.<\/p>\n

Ich habe das gleiche \"Problem\", wenn ich z.B. mich bei einen Service mit einem Anmeldenamen anmelde, der im AzureAD als \"secondary Mailaddress\" hinterlegt ist. Ich sehe dann sowas:<\/p>\n<\/blockquote>\n

\"Microsoft<\/p>\n

\n

Das ist dann ein deutliches Zeichen, dass ein \"Privates Konto\" eigentlich eine Firmenadresse ist. Das \u201ekann\" man machen aber sollte es nicht und ich erl\u00e4utere es den Menschen dann immer so, dass sie Privat und Firma trennen sollten.<\/p>\n

Auf den Einwand, dass sie keine private Mailadresse o.\u00e4. haben, sage ich dann immer, das Sie mit dem \"Microsoft Konto\" ja auch eine outlook.com-Adresse bekommen k\u00f6nnen.<\/p>\n

Auch mit einem GoogleKonto f\u00fcr Android bekommt man eine Gmail-Adresse. Und bei Apple ist es auch nicht einfach, eine AppleID hat auch ein ICloud-Postfach.<\/p>\n

Microsoft ist hier noch sie \"freundlich\" bei vielen Diensten auf den Konflikt hinzuweisen. Leider nicht bei allen.<\/p>\n

Ich mache das grade bei Kunden mit Apple Konten durch: Viele Mitarbeiter haben ein IPhone und sich damals einfach mit der Firmenadresse ein Apple-Konto angelegt.<\/p>\n

Nun komme ich mit MDM und Enterprise Rollout und \"registriere\" die DNS-Domain als meine Firmendomain. Und damit \"bekomme\" ich alle bislang privaten Konten angezeigt und kann die \"\u00fcbernehmen\".<\/p>\n

Damit verliert der Mitarbeiter aber die Hoheit \u00fcber \"seine Musik, gekauften Apps etc.\".\u00a0 Auch da gilt. AppleID nie mit einer Firmen Domain.<\/p>\n<\/blockquote>\n

Frank stellte dann die Frage, ob Thomas\u00a0unabsichtlich etwas vermischt hat. Thomas schrieb zwar, dass er die beiden von ihm gehosteten Dom\u00e4nen getrennt habe, ist sich aber nicht sicher, ob er bei den UPNs mit den Anmeldungen nicht etwas vermischt hat und in diese Problematik gelaufen ist.<\/p>\n

Hinweise bei gemischten Konten<\/h3>\n

Im Laufe der Konversation tauchten noch verschiedene Aspekte auf, die ich hier noch aufgreife [denn entgegen einem Kommentar unten ging es mit weniger um Microsoft Bashing – sondern schlicht darum, Probleme aufzuzeigen].\u00a0Frank Carius weist in seiner Antwort an Thomas auf weitere Fallen in diesem Kontext hin, in die er selbst schon mal gelaufen ist. Hier seine Story:<\/p>\n

Ich habe eine \"LiveID\/Microsoft Konto\" in der Art liveid [@] carius.de<\/em> und darauf ein \"Microsoft 365 Home\/Family\" gekauft. Eben f\u00fcr Privat und die Familie.<\/p>\n

Zudem habe ich nat\u00fcrlich einen Office 365 Tenant mit der Domain carius.de<\/em>.\u00a0Bei Firmen kommt auch noch gerne dazu, dass sie gar nichts von ihrem AzureAD wissen.<\/p><\/blockquote>\n

[Frank verlinkt an dieser Stelle auf seinen MSFAQ-Artikel Viraler Tenant<\/a> mit einigen zus\u00e4tzlichen Erl\u00e4uterungen.]<\/p>\n

Damit wissen nun viele Dienste nicht, wer sich nun eigentlich anmeldet und welche Policies reintriggern. Schon OneDrive gibt es ja in 2-3 Versionen (Privat, BusinessPerson,\u00a0 BusinessSharePoint) und dann kann ich als Gast auch noch in einem anderen Tenant wildern.<\/p>\n

Microsoft hat nat\u00fcrlich eine \"Verhaltenserkennung\" bei Anmeldungen und wenn es zu wild wird, dann wird halt auch mal was geblockt.<\/p><\/blockquote>\n

Frank merkt dazu folgendes an:<\/p>\n

Die Horrorstories, dass man gar nicht mehr an sein Konto kommt und man dann auch keinen wirklichen Ansprechpartner hat, bekomme ich schon mit und hoffe, dass es mich nicht erwischt.<\/span><\/p>\n

Bei AzureAD hat man ja einen Vertrag und Supportkontakt.\u00a0Bei \"Microsoft 365 Home\/Familiy\" ist das weniger [der Fall], und wer ein kostenfreies Microsoft-Konto nutzt, hat ja nicht mal einen Vertrag mit Geld, aus dem man Forderungen ableiten kann.<\/p><\/blockquote>\n

Das sind in meinen Augen gewichtige Punkte, die von Frank angesprochen werden. Er weist aber darauf hin, dass das auch f\u00fcr jegliche andere Dienste wie Twitter u.a., wo einem der Anbieter ja auch sperren kann – ist also nichts Microsoft-spezifisches.<\/p>\n

Erfahrene Administratoren stehen damit vor der Aufgabe, dies in den Betrieben bzw. in der Praxis sauber zu trennen und die Anwender auf die Problematiken hinzuweisen.<\/p>\n

Bez\u00fcglich des obigem Problems meint er, das es bei Thomas genauer zu untersuchen w\u00e4re, was die Ursache f\u00fcr die Ablehnung des UPNs ist. Hierzu gibt Frank folgende Tipps:<\/p>\n

Meist nutze ich dann mal einen \"privat Browser\" und gehe auf onedrive.com bzw. onedrive.live.com, und melde mich explizit mit meinem \"Microsoft Konto\" an.<\/p>\n

Wenn dann alles geht, ist es ein lokales Problem auf dem PC, gespeicherte Kennworte, verkn\u00fcpfte Konten etc.<\/p>\n

Das \"Microsoft Konto\" verwaltet man am einfachsten auf account.microsoft.com, ein\u00a0AzureAD-Konto aber auf myaccount.microsoft.com.<\/p><\/blockquote>\n

Vielleicht helfen die obigen Hinweise in solchen F\u00e4llen das Problem zu analysieren. Frank schreibt dazu, dass er sich immer \u00fcberlegt, ob er sich\u00a0 wirklich am PC mit einem \"Microsoft Konto\" anmelden will und gibt einen interessanten Tipp [der noch funktioniert]:<\/p>\n

Bei einem privaten PC nutze ich immer ein lokales Konto (Tipp: Bei der Einrichtung das LAN\/WLAN auslassen, dann kann man lokale Konten anlegen) und das verbinde ich dann nachtr\u00e4glich mit dem Microsoft Konto.<\/p>\n

Dann habe ich auch die Cloud Dienstem aber dennnoch immer ein funktionierendes lokales Konto. Stell dir vor jemand \"sperrt\" das Cloud Konto und du kannst dich auf dem privaten PC nicht mehr anmelden?<\/p>\n

Im Firmeneinsatz mit AzurAD-Joined Devices ist das ja legitim, gew\u00fcnscht und erforderlich.<\/p><\/blockquote>\n

Damit sind wir beim alten Thema: M\u00fcssen wir auf jedem Windows PC wirklich Microsoft-Konten einrichten. Microsoft schiebt die Nutzer – speziell im Consumer-Bereich – genau in diese Richtung, indem beim Setup standardm\u00e4\u00dfig Microsoft Konten angelegt werden – siehe auch diesen Kommentar<\/a> zu Windows 11. Ich versuche das zu vermeiden und Frank Carius hat ja oben einen gewichtigen Grund genannt, warum das Sinn macht.<\/p>\n

Achtung bei Freemail-Adressen<\/h3>\n

Thomas erw\u00e4hnte noch, dass er auch eine Freemail-Adresse bei web.de habe, die man ggf. auch als E-Mail-Adresse mit einem privaten \"Microsoft Konto\" verkn\u00fcpfen kann.In diesem Kontext weist Frank Carius auf eine weitere Falle hin:<\/p>\n

Achtung: Nutzt die die web.de-Adresse noch?\u00a0 Ich hatte fr\u00fcher mal eine gmx.net-Adresse drin [sprich: mit einem Microsoft-Konto verkn\u00fcoft] – aber da ich mich da selten angemeldet habe, war sie irgendwann weg, und jemand anderes hat sie nun.<\/p>\n

Ich war allerding schnell genug diese Adresse aus den \"R\u00fccksetzlinkzielen\" zu entfernen. Alles so Fallstricke.<\/p><\/blockquote>\n

Abschlie\u00dfende Gedanken<\/h2>\n

Ich hatte die Info von Thomas urspr\u00fcnglich mal als kurze Info zum Sonntag f\u00fcr diesen Blog geplant. War ja nur ein kurzer Sachverhalt, den ich mit einigen Zeilen dargestellt habe, als Hinweis an Administratoren, das ggf. im Hinterkopf zu behalten. Ich bin von so 200 bis 300 Abrufen ausgegangen, wen es interessiert\/tangiert, liest kurz dr\u00fcber und hakt es ab.<\/p>\n

Inzwischen ist das Thema ja regelrecht explodiert – sehe ich an den Abrufzahlen des Beitrags und den Kommentaren. Richtig spannend fand ich dann den Austausch zwischen Frank Carius und Thomas – da dort die \"Praxis\" spricht.<\/p>\n

Dass mal wieder die typischen Reflexe \"Microsoft-Bashing\" in den Kommentaren auftauchen, verorte ich als \"Fu\u00dfnote\". Der kluge Administrator liest ein Thema, sortiert es f\u00fcr sich ein und \"sieht nicht \u00fcberall Windm\u00fchlen, gegen die es zu k\u00e4mpfen gilt\" – letzteres sollten wir Cervantes \u00fcberlassen.<\/p>\n

Wenn ich es richtig interpretiere, \u00fcberlegt Frank Carius die oben angerissene Thematik bei sich auf MSFAQ separat nochmals aufzugreifen<\/a>. W\u00fcrde ich begr\u00fc\u00dfen. Sobald ich wei\u00df, dass der Artikel online ist, w\u00fcrde ich den hier verlinken. Dank an Thomas und Frank f\u00fcr die vielen Hinweise.<\/p>\n

\u00c4hnliche Artikel:<\/strong>
\nMicrosoft-Konto: Gesperrt oder gehackt, das braucht Microsoft<\/a>
\nMicrosoft-Kontensperrungen und die OneDrive 'Nacktfotos'<\/a>
\nMicrosoft Kontensperre wegen OneDrive-Inhalte und aktivierter Staatsanwalt<\/a>
\nTretmine Microsoft Konto: Willk\u00fcrliche Sperre bei Online-Funktionen<\/a>
\nOneDrive-Fallen: Konto eingefroren, keine Abmeldung m\u00f6glich<\/a>
\nAus der Gruft: Die Microsoft-Kontoaktivit\u00e4tsrichtlinie<\/a>
\nMicrosoft Konto: Passwort kann nicht ge\u00e4ndert werden \u2013 neue Posse?<\/a>
\nWindows 11: Internetverbindung und Microsoft-Konto wird beim Setup Pflicht<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Es ist ein ziemlich kruder Fall, den mir Blog-Leser Thomas gerade \"auf den Tisch\" gelegt hat. Es gab da die Notwendigkeit, den Rechner mit Windows zu wechseln – die Details kenne ich nicht. Im Anschluss an diese Aktion musste der … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7263,2029,426,301],"tags":[1171,3163,24,4328,3288],"class_list":["post-277976","post","type-post","status-publish","format-standard","hentry","category-cloud","category-ondrivedrive-internet","category-sicherheit","category-windows","tag-cloud","tag-onedrive","tag-problem","tag-sicherheit","tag-windows-en"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/277976","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=277976"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/277976\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=277976"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=277976"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=277976"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}