Sieben Pflichtmaßnahmen: Salesforce zieht die Sicherheitsschrauben an

Salesforce reagiert auf KI-gestützte Angriffe und erzwingt ab Juni 2026 strengere Sicherheitseinstellungen in allen Kunden-Orgs. Als Begründung nennt das Unternehmen drei Angriffsmuster, mit denen sein Security Operations Center täglich zu tun hat: Kontoübernahmen per automatisiertem Credential Stuffing und Phishing, Datenabfluss über massenhafte Report-Exporte und personalisiertes Social Engineering gegen Admins.

Die sieben Maßnahmen

1. MFA für alle Anmeldungen: MFA ist seit 2022 vorgeschrieben. Ab Juni 2026 wird sie bei jeder Anmeldung durchgesetzt – über die Oberfläche wie über SSO, in Produktion und Sandboxes.
2. Phishing-resistente MFA für privilegierte Nutzer: Wer das Profil System Administrator hat oder Berechtigungen wie Modify All Data, View All Data, Customize Application oder Author Apex, muss phishing-resistente Verfahren nutzen, etwa Sicherheitsschlüssel oder Passkeys. Diese sind kryptografisch an die Website gebunden und damit gegen Adversary-in-the-Middle-Angriffe geschützt.
3. Step-up-Authentifizierung für Report-Aktionen: Nach einer einstellbaren Zeit seit der letzten Prüfung (2 bis 120 Minuten, Standard 120) müssen Nutzer sich erneut verifizieren.
4. Step-up bei auffälligem Verhalten: Erkennt Machine Learning deutliche Abweichungen vom üblichen Muster, wird vor dem nächsten Export erneut geprüft.
5. Transaction Security Policies (Shield/Event Monitoring): Eine Standardrichtlinie verlangt Step-up, wenn ein Export über die Oberfläche mehr als 10.000 Datensätze umfasst.
6. E-Mail-Domain-Verifizierung: E-Mails aus Salesforce werden nur noch versendet, wenn die Domain per aktivem DKIM-Schlüssel oder über die Liste autorisierter Domains verifiziert ist.
7. Blockade anonymisierender Proxies: Verbindungen über anonymisierende VPNs, Proxies und riskante IP-Adressen werden blockiert.

Was Admins tun können

Für die genauen Termine verweist Salesforce auf den Hilfeartikel „Security-Related Product Updates“. Unabhängig davon empfiehlt sich ein Blick in den Security Health Check in Setup, der seit Spring ’26 Änderungen am Sicherheitswert proaktiv meldet. Wer MFA zuerst in Sandboxes testet, gibt Nutzern Zeit, ein Verfahren zu registrieren, bevor die Produktion folgt.