Information Protection on Phillip Büchler

The MSA Key Leak: Why Your "Double Key" Wasn't a Deadbolt

Tue, 12 May 2026 00:00:00 +0000

The MSA Key Leak: Why Your “Double Key” Wasn’t a Deadbolt

We’ve all spent time dissecting the post-mortem of the Microsoft MSA signing key heist (Storm-0558). It’s one of those incidents that remains relevant for architectural teams because it didn’t just break a lock—it forged the master blueprint for the entire security desk.

In looking back at the past assessments of the impact, one claim keeps resurfacing: Even Double Key Encryption (DKE) was potentially compromised.

Microsoft Information Protection - wirklich verschlüsselt?

Tue, 21 Dec 2021 00:00:00 +0000

Wie sehe ich denn ob ein Dokument wirklich verschlüsselt ist, wie es Microsoft behauptet? Word kann mir ja viel erzählen.

Ein Office Dokument ist ja eigentlich nicht viel anderes als ein ZIP-Archiv mit XML Informationen. Sehen wir uns dieses unverschlüsselte Dokument an, sehen wir in Preview den Blindtext den Word bei Eingabe von =rand(5,50) generiert.

Öffnen wir dieses File in BBEdit, oder bei Windows über die Umbenennung in .zip, sehen wir den Inhalt in der Ordnerstruktur als XML Datei

Sensitivity Labels für Microsoft Teams

Mon, 27 Apr 2020 00:00:00 +0000

Als SBB 2018 Microsoft Teams fürs ganze Unternehmen einführte, hatte man mittels PowerShell Magie zwei verschiedene Arten Teams erstellt. Teams für vertrauliche Dokumente und Teams für maximal intern klassifizierte Dokumente. Diese Einstellung hatte unter anderem zur Folge ob externe Gäste hinzugefügt werden konnten oder nicht. Eine der Säulen der Microsoft 365 Sicherheit ist nämlich der Umgang mit Externen.

Heute ist dies im Standardumfang von Microsoft 365 enthalten und ich möchte kurz zeigen wie man es macht.

Windows 10 can't save pictures from the camera.

Tue, 24 Sep 2019 00:00:00 +0000

That was the error that a user reported which eventually landed on my desk. In the project I am responsible for Intune Device Management and so the thinking was, that there must be a policy that blocks the Camera app. There is not. But why this error then?

Error Message with WIP

Let me put the error here for Google to index:

Sorry — we weren’t able to save the photo. If you nee it, here’s the error code: 0xA00F4253 (0x80070005)

Office 365 Message Encryption

Thu, 11 Apr 2019 00:00:00 +0000

Diese Woche gerade von zwei Kunden zum Thema “Office 365 Message Encryption” (OME) befragt worden. Wenn wohl auch zwei Schwalben noch keinen Frühling machen, möchte ich doch etwas zu OME und den Unterschieden zu “Azure Information Protection” (AIP) sagen.

Ein erster Unterschied ist die notwendige Lizenz. Während AIP nur über Microsoft 365, Enterprise Mobility & Security oder einer separaten AIP-Lizenz genutzt werden kann, ist OME bereits in Office 365 E3 enthalten.

OME wird im Exchange Admin Center als “Mailflow rule” konfiguriert. Dabei lässt sich der Schutz entsprechend automatisiert hinzufügen:

Azure Information Protection lokalisieren

Tue, 27 Nov 2018 00:00:00 +0000

Die Klassifizierung von Dokumenten ist schon eine Wissenschaft für sich. Stellt man dann Software zur Verfügung die nicht völlig selbsterklärend ist, wird es unlösbar respektive schlicht nicht verwendet.

Mit Azure Information Protection ist es Microsoft gelungen, die meiner Erfahrung nach erste vollumfägliche (sprich inkl. Mobile) und sauber in die Anwendungen integriert (wo Dokumente entstehen, sprich Office) Klassifikationslösung einzuführen.

Zentral werden(noch) im Azure-Portal die Labels und Sub-Labels definiert. Diese Labels werden Gruppen/Anwendern zugeteilt und erscheinen dann in ihrem Office, wenn der “Azure Information Protection“-”Client verteilt wurde.

Dokumente aufgrund vorhandener Informationen kennzeichnen.

Fri, 12 Oct 2018 17:39:09 +0000

Mit Azure Information Protection kann man die Kennzeichnungen (respektive Labels) auch aufgrund von Informationen in SharePoint vergeben. So kann der allfällige Schutz von Dokumenten an MetaDaten verknüpft werden.

Der Microsoft Artikel hierzu findet sich hier:
https://docs.microsoft.com/en-us/azure/information-protection/rms-client/client-admin-guide-customizations#label-an-office-document-by-using-an-existing-custom-property

Ich werde kurz durch den Prozess führen.

SharePoint

Erst definiere ich die Information die ich in SharePoint vergeben will. In meinem Fall möchte ich eine Auswahl die drei Klassifikationsstufen abbildet:

Spaltendefinition in SharePoint online.

Die Information muss Labelbezeichnungen in MIP/AIP übereinstimmen. Als Standartwert definiere ich “intern”.

Der Weg in die Cloud ist ein Weg voller Unsicherheiten.

Thu, 19 Apr 2018 14:40:59 +0000

Der Weg in die Cloud ist ein Weg voller Unsicherheiten. Hat man die grundlegenden Überlegungen zu Datenhaltung, interner Governance und gesetzlichen Rahmenbedingungen einmal gemacht, hilft einem Microsoft in der Absicherung von Office 365 hervorragend weiter.

Als Enterprise Architect war ich bei unserem Weg in die “public cloud” von Microsoft, unter anderem für die Absicherung unserer Informationen zuständig. Hier möchte ich nicht erläutern was wir gemacht haben (vielleicht später), sondern was wir einfacher hätten machen können und dabei auf vielleicht weniger bekannte Hilfsmittel verweisen.