Warum SuperSupport keine Kennwörter zurücksetzt

Ein KI-Agent, der Passwörter zurücksetzt, ist ein Angriffsweg mit Chatfenster.

„Passwort-Reset in Sekunden, vollautomatisch per KI.“ Mit diesem Versprechen werben viele KI-Service-Desks. Technisch ist das einfach: Man verbindet den Bot mit Active Directory oder Microsoft Entra ID, gibt ihm Schreibrechte, und er setzt Kennwörter und MFA-Methoden zurück, wenn ein Mitarbeiter im Chat darum bittet.

SuperSupport macht das bewusst nicht. Hier ist, warum – und was stattdessen passiert.

Was SuperSupport ist – und was nicht

SuperSupport ist 1st-Level-Support am Gerät. Der Agent läuft auf dem Windows- oder Mac-Rechner des Mitarbeiters, prüft dort, was los ist – Drucker, Outlook, OneDrive, Netzwerk, Updates, Speicher –, behebt Gefahrloses selbst und legt alles Heikle der IT zur Freigabe vor.

SuperSupport ist keine Identitätsverwaltung. Es gibt keine schreibende Anbindung an Active Directory oder Entra ID. Konten anlegen, Kennwörter zurücksetzen, MFA-Methoden ändern, Gruppen zuweisen – das bleibt bei der IT und bei den Werkzeugen, die dafür gebaut sind.

Grund 1: MFA-Reset ist das Lieblingsziel von Angreifern

Eine gestohlene Kennwortliste nützt Angreifern wenig, solange MFA aktiv ist. Deshalb versuchen sie, die zweite Stufe auszuhebeln – und der bequemste Weg ist der Helpdesk. Mehrere bekannte Angriffe auf große Unternehmen begannen mit einem Anruf: Jemand gab sich als Mitarbeiter aus und bat darum, die Mehr-Faktor-Anmeldung zurückzusetzen.

Ein Chatbot, der auf Zuruf MFA zurücksetzt, macht diesen Angriff noch einfacher: kein Mensch, der misstrauisch werden kann, keine Rückfrage beim Vorgesetzten, rund um die Uhr erreichbar. Siehe auch Unerwartete MFA-Anfrage und Falscher Microsoft-Support.

Grund 2: Weniger Rechte, weniger Angriffsfläche

Jedes System mit Schreibzugriff auf die zentrale Benutzerverwaltung ist ein Schlüssel zum ganzen Unternehmen. Wer es kompromittiert, kann Kennwörter ändern, Konten übernehmen, sich selbst Rechte geben.

Das Prinzip der geringsten Rechte gilt auch für Support-Werkzeuge: SuperSupport braucht keinen Schreibzugriff auf Entra ID, um einen Drucker zu reparieren oder Outlook wieder zum Laufen zu bringen – also bekommt es ihn nicht. Das passt zu dem, was Versicherer und Prüfer fragen, siehe Cyberversicherung und NIS2.

Grund 3: Identitätsprüfung gehört nicht in einen Chat

Vor einem Reset muss feststehen, dass wirklich der Mitarbeiter fragt. Ein Chatfenster auf einem Rechner beweist das nicht – der Rechner kann gestohlen, entsperrt oder von jemand anderem benutzt sein. Die Identitätsprüfung macht Microsoft bei der Self-Service-Zurücksetzung mit hinterlegten Methoden, oder die IT per Rückruf unter bekannter Nummer, persönlich oder mit einem befristeten Zugriffspass.

Grund 4: Microsoft löst es schon – besser

Die Self-Service-Kennwortzurücksetzung (SSPR) in Entra ID ist genau dafür gebaut. Mitarbeiter bestätigen sich mit Authenticator, Telefon oder Passkey und setzen ihr Kennwort selbst zurück – in zwei Minuten, mit Microsofts Sicherheitsprüfungen und Protokoll. Eine zusätzliche KI-Schnittstelle, die dasselbe mit mehr Rechten macht, bringt keinen Mehrwert, aber mehr Risiko. Siehe Kennwort vergessen? Self-Service-Reset.

Was SuperSupport stattdessen tut

Beta

IT-Support, der sich selbst erledigt.

supersupport.ai übernimmt deinen 1st-Level-Support vollautomatisch. Sichere dir jetzt deinen Platz auf der Waitlist.

Auf die Waitlist

„Ich komme nicht mehr rein“ ist trotzdem ein 1st-Level-Fall – nur anders gelöst:

• Kennwort vergessen – führt durch die Self-Service-Zurücksetzung
• Konto gesperrt durch alte Anmeldedaten – findet und entfernt am Gerät gespeicherte alte Kennwörter, die die Sperre auslösen
• Office/Outlook fragt ständig nach Anmeldung – prüft verbundene Konten, Uhrzeit, Anmeldeinformationsverwaltung – siehe Office-Anmeldung
• Neues Handy, Authenticator weg – führt durch den Wechsel, solange das alte Gerät da ist – siehe Authenticator aufs neue Handy
• Nur ein Admin kann helfen – übergibt den Fall mit allen Angaben an die IT – ohne selbst etwas an der Identität zu ändern

Das Ergebnis: Die meisten „Ich komme nicht rein“-Fälle sind gelöst, bevor jemand anrufen muss – und die heiklen landen vollständig beschrieben bei der IT, statt automatisch durchgewunken zu werden.

Für wen ist das die richtige Wahl?

• KMU, die kein weiteres System mit Admin-Rechten auf ihre Benutzerverwaltung wollen.
• Systemhäuser, die viele Mandanten betreuen und nicht in jedem Kundenmandanten einem Bot Schreibrechte geben möchten.
• Unternehmen mit Prüf- und Versicherungsanforderungen, die klare Rollen und wenig privilegierte Zugänge nachweisen müssen.

Wer dagegen jede Anfrage – auch Kontoverwaltung – vollautomatisch erledigen lassen will und eine eigene Identitätsprüfung davor baut, ist mit einem klassischen KI-Service-Desk möglicherweise besser bedient. Siehe rezolve.ai Alternative und Moveworks Alternative.

Was bietet SuperSupport?

SuperSupport übernimmt den 1st-Level-IT-Support per Chat, direkt am Windows- oder Mac-Gerät: Gefahrloses erledigt der Agent selbst, Heikles legt er der IT zur Freigabe vor, jeder Schritt wird protokolliert, jeder Chat ist zugleich der Fall. Wie das für interne IT-Teams und Systemhäuser aussieht, steht auf den jeweiligen Seiten.

Häufige Fragen

Kann SuperSupport Kennwörter oder MFA zurücksetzen?

Nein, bewusst nicht. SuperSupport hat keine schreibende Anbindung an Active Directory oder Microsoft Entra ID. Kennwort- und MFA-Resets laufen über die Self-Service-Kennwortzurücksetzung von Microsoft oder über die IT – mit Identitätsprüfung.

Warum ist ein automatischer MFA-Reset per KI riskant?

Weil ein MFA-Reset genau das ist, was Angreifer wollen. Bekannte Angriffe auf Unternehmen begannen damit, dass jemand sich beim Helpdesk als Mitarbeiter ausgab und die Mehr-Faktor-Anmeldung zurücksetzen ließ. Ein Chatbot, der das automatisch erledigt, ist ein besonders bequemes Ziel für solche Täuschungen.

Was macht SuperSupport stattdessen, wenn jemand nicht mehr hineinkommt?

Der Agent klärt, ob das Kennwort vergessen, abgelaufen oder das Konto gesperrt ist, entfernt am Gerät alte gespeicherte Anmeldedaten, die Sperren auslösen, führt durch die Self-Service-Zurücksetzung von Microsoft 365 und übergibt alles, was nur ein Administrator lösen kann, mit vollständigen Angaben an die IT.

Ist das nicht ein Nachteil gegenüber anderen KI-Service-Desks?

Für Unternehmen, die jede Anfrage automatisieren wollen, vielleicht. Für KMU und Systemhäuser ist es meist ein Vorteil: weniger Rechte für ein weiteres System, kein Schreibzugriff auf die zentrale Benutzerverwaltung, klare Trennung zwischen Support am Gerät und Verwaltung von Identitäten.

Was ist mit Self-Service-Kennwortzurücksetzung?

Die ist der richtige Weg. Microsoft bietet sie in Entra ID an: Mitarbeiter bestätigen sich mit hinterlegten Methoden und setzen ihr Kennwort selbst zurück. Das ist schneller als jeder Chat und nutzt die Sicherheitsprüfungen von Microsoft statt einer zusätzlichen Schnittstelle.

Beta

IT-Support, der sich selbst erledigt.

supersupport.ai übernimmt deinen 1st-Level-Support vollautomatisch. Sichere dir jetzt deinen Platz auf der Waitlist.

Auf die Waitlist