Microsoft Teams bleibt standardmäßig auf jedem Gerät, auf dem es geöffnet wurde, verbunden. Diese Sitzungspersistenz, die dafür gedacht ist, keine Benachrichtigung zu verpassen, stellt ein konkretes Problem dar, sobald ein Arbeitsplatz geteilt wird, ein Telefon verloren geht oder ein Konto kompromittiert scheint. Die lokale Abmeldung, das Schließen der Anwendung und der Widerruf von Sitzungen aus der Ferne decken nicht die gleichen Risiken ab. Zu verstehen, was jede Aktion tatsächlich schützt, hilft, falsche Gewissheiten zu vermeiden.
Sitzungstoken und Grenzen der Teams-Abmeldung
Wenn ein Benutzer in Teams auf “Abmelden” klickt, entfernt die Anwendung die lokal gespeicherten Kontoinformationen. Die Benachrichtigungen hören auf, der Zugriff auf die Gespräche verschwindet von diesem Gerät.
Was diese Aktion nicht tut: Sie trennt nicht die offenen Sitzungen an anderen Orten. Ein Webbrowser, ein zweiter Computer oder ein Smartphone behalten ihr eigenes Authentifizierungstoken. Jedes Gerät verwaltet seine Sitzung unabhängig, ohne automatische Synchronisierung der Abmeldung.
In einer professionellen Umgebung, die mit Microsoft Entra verbunden ist, kann ein Administrator die Sitzungen des Kontos widerrufen. Aber bereits ausgegebene Tokens oder Sitzungscookies können bis zu ihrem Ablauf weiterhin verwendet werden. Diese Verzögerung stellt eine vorübergehende Schwachstelle für jeden dar, der einen unbefugten Zugriff vermutet.
Um den vollständigen Prozess zu verstehen, um sich von Microsoft Teams abzumelden, muss man zwischen der lokalen Abmeldung und dem globalen Widerruf des Zugriffs unterscheiden.
Abmeldung auf gemeinsam genutztem Gerät: Was das Schließen der Sitzung nicht abdeckt
Auf einem öffentlichen Arbeitsplatz oder einem Computer, der von mehreren Personen genutzt wird, ist die Abmeldung über das Profilbild (oben rechts in der Anwendung, dann “Abmelden”) der minimale Schritt. Unter Windows und macOS ist das Verfahren in der Desktop-Anwendung identisch.
Das Schließen der Teams-Sitzung leert nicht den Cache des Browsers. Wenn die Verbindung über einen Webbrowser hergestellt wurde, kann ein offenes Fenster aktive Cookies behalten. Die Verwendung eines privaten Browsing-Fensters vor der Anmeldung verringert dieses Risiko, da die Daten beim Schließen aller Fenster gelöscht werden.
Konkrete Vorsichtsmaßnahmen auf einem nicht persönlichen Arbeitsplatz
- Alle Browserfenster nach der Abmeldung schließen, nicht nur den Teams-Tab, um die verbleibenden Sitzungscookies ungültig zu machen
- Überprüfen, dass die Option “Angemeldet bleiben” bei der ursprünglichen Anmeldung nicht aktiviert wurde, da sie die Lebensdauer des Authentifizierungstokens verlängert
- Unter Windows das Konto über die Systemeinstellungen (Einstellungen, Konten, E-Mail-Konten) zu löschen, verhindert, dass Teams sich beim nächsten Start automatisch wieder verbindet
Das Löschen des Kontos über die Systemeinstellungen geht über eine einfache Abmeldung hinaus: es entfernt das Konto aus allen Microsoft 365-Anwendungen, die mit diesem Windows- oder macOS-Profil verbunden sind.
Kompromittiertes Konto: Warum die lokale Abmeldung nicht ausreicht
Ein verlorenes Telefon, ein geleaktes Passwort oder ein Phishing-Versuch über einen Gerätecode versetzen das Konto in eine Situation, in der die Abmeldung von einem einzigen Gerät keine Auswirkungen auf den Angreifer hat. Das typische Szenario: Ein Zugriffstoken wurde abgefangen und von einem Drittgerät verwendet, das der legitime Benutzer nicht kontrolliert.
Der Widerruf der Sitzungen über Microsoft Entra ist die einzige angemessene Antwort. Ein IT-Administrator kann die Abmeldung aller aktiven Sitzungen des Kontos erzwingen. Aber selbst diese Aktion hat eine Grenze: Einige bereits an die Anwendungen verteilte Tokens bleiben bis zu ihrem natürlichen Ablauf gültig. Die Frist variiert je nach Konfiguration des Microsoft 365-Mandanten.
Empfohlene Maßnahmen bei Verdacht auf Kompromittierung
- Das Passwort des Microsoft-Kontos sofort ändern, was zukünftige Authentifizierungsversuche ungültig macht, jedoch nicht die laufenden Tokens
- Den Administrator bitten, alle aktiven Sitzungen im Entra-Portal zu widerrufen
- Die letzten Anmeldungen im Aktivitätsprotokoll des Kontos überprüfen, um ungewöhnliche Geräte oder Standorte zu identifizieren
- Die Multi-Faktor-Authentifizierung aktivieren, falls sie noch nicht aktiviert ist, um eine erneute Verbindung nur mit den Anmeldedaten zu verhindern
Mobile Teams-Abmeldung: Besonderheiten von iOS und Android
Auf dem Smartphone erfolgt die Abmeldung über das Profilbild und dann “Abmelden”. Die Anwendung entfernt dann die Kontodaten lokal. Unter iOS und Android hören die Push-Benachrichtigungen nach der Abmeldung auf, im Gegensatz zum einfachen Schließen der Anwendung, das sie aktiv hält.
Eine oft übersehene Besonderheit: Auf Geräten, die im “geteilten Geräte-Modus” (shared device mode) konfiguriert sind, bietet Teams eine globale Abmeldung an, die gleichzeitig die Sitzung aller installierten Microsoft 365-Anwendungen schließt. Dieser Modus, der für Frontline-Arbeiter gedacht ist, die dasselbe Terminal teilen, bietet eine höhere Sicherheit als die Abmeldung Anwendung für Anwendung.
Für Standardbenutzer trennt die Abmeldung von Teams auf Mobilgeräten weder Outlook, noch OneDrive, noch eine andere Microsoft-Anwendung, die auf demselben Telefon installiert ist. Jede Anwendung behält ihre eigene Sitzung.
Was die Teams-Abmeldung schützt und was sie offen lässt
Die lokale Abmeldung entfernt den Zugriff auf Gespräche, Dateien und Besprechungen von dem betroffenen Gerät. Sie verhindert, dass jemand, der diesen Arbeitsplatz physisch nutzt, auf das Konto zugreift. Sie ist jedoch keine ausreichende Sicherheitsmaßnahme gegen einen Token-Diebstahl.
Die Unterscheidung zwischen lokaler Abmeldung und Sitzungswiderruf bleibt in den meisten Benutzerhandbüchern unklar. Auf einem persönlichen Gerät, das allein genutzt wird, erfüllt die klassische Abmeldung den Bedarf. Auf einem gemeinsam genutzten Gerät muss sie durch das Schließen des Browsers und das Löschen des Systemkontos ergänzt werden. Bei einem vermuteten Kompromiss deckt nur das Eingreifen auf Kontobasis bei Microsoft Entra, kombiniert mit der Passwortänderung, tatsächlich den Risikobereich ab.
