Microsoft 365 Sicherheit
Security-Analyse Microsoft 365
Microsoft 365 ist in vielen Unternehmen E-Mail, Dateiablage und Besprechungsraum zugleich. Die Standardeinstellungen sind auf einfache Zusammenarbeit ausgelegt, nicht auf Ihren Schutzbedarf. Ich prüfe die Konfiguration Ihres Mandanten mit reinen Leserechten und zeige, was gut eingestellt ist, wo Risiken liegen und was in welcher Reihenfolge zu tun ist.
Projekt besprechen
Ob Ihre Einstellungen zu Ihrem Schutzbedarf passen, zeigt kein Dashboard auf einen Blick. Typische Fragen, die bei der Analyse auf den Tisch kommen:
- Gilt die Anmeldung mit zweitem Faktor wirklich für alle Konten, auch für Administratoren?
- Kann ein weitergeleiteter Freigabelink von jedem geöffnet werden, ohne Anmeldung und ohne Ablaufdatum?
- Ist Ihre Domäne gegen gefälschte Absender geschützt, oder kann jeder Mails in Ihrem Namen verschicken?
- Wer hat die höchsten Administratorrechte, und gibt es einen Notfallzugang, wenn diese Konten ausfallen?
- Nutzen Sie die Schutzfunktionen, die Sie mit Ihrer Lizenz schon bezahlen, und passt der Lizenzplan überhaupt?
Jede Maßnahme wird gegen das Risiko abgewogen. Ziel ist ein angemessenes Schutzniveau, nicht jede denkbare Einstellung.
Was geprüft wird
Die Prüfung umfasst zwölf Bereiche. Die Beispiele zeigen, worauf es jeweils ankommt. Dienste, die Ihr Unternehmen nicht nutzt, werden als nicht anwendbar gekennzeichnet.
| Prüfbereich | Beispiele für Prüfpunkte |
|---|---|
| Identität und Anmeldung | MFA für alle Konten, zugelassene Anmeldemethoden wie SMS, Authenticator oder Passkeys, Sperre veralteter Anmeldeverfahren |
| Administratorkonten und Rollen | Anzahl der Globalen Administratoren, getrennte Verwaltungskonten ohne Postfach, Notfallkonten, Zugriffsrechte von IT-Dienstleistern |
| Anwendungen und Zustimmungen | Wer Anwendungen registrieren oder ihnen Zugriff erteilen darf, welche Drittanbieter-Apps Mail und Dateien lesen dürfen |
| Gäste und externe Zusammenarbeit | Wer Gäste einladen darf, offene Einladungen, Zugriffseinstellungen gegenüber anderen Microsoft-365-Organisationen |
| Geräte | Bestand in Entra ID, Registrierung und Verwaltung, Konformität, soweit Intune lizenziert ist |
| E-Mail-Schutz | Richtlinien gegen Spam, Phishing und Schadsoftware, voreingestellte Schutzprofile, Ausnahmen und Zulassungslisten |
| E-Mail-Authentifizierung | SPF, DKIM und DMARC für jede Domäne, MTA-STS, Schutz ungenutzter Domänen |
| Exchange Online | Weiterleitungen nach außen, SMTP AUTH, POP und IMAP, Postfachgrößen und Archiv, freigegebene Postfächer |
| SharePoint und OneDrive | Freigabestufe, Standardlink, „Jeder“-Links und deren Ablauf, Ablauf des Gastzugriffs |
| Microsoft Teams | Kommunikation mit externen Organisationen, anonyme Teilnahme und Wartebereich, Gastzugriff, Speicherdienste von Drittanbietern |
| Purview und Protokollierung | Überwachungsprotokoll, Aufbewahrungsrichtlinien, Vertraulichkeitsbezeichnungen, E-Mail-Verschlüsselung mit Bordmitteln |
| Organisation, Sicherung und Lizenzen | Sicherheitskontakt, Käufe durch Benutzer, Wiederherstellungsfristen und Datensicherung, lizenzierte Pläne |
Nicht Teil der Prüfung sind die Endgeräte selbst, etwa Virenschutz oder Updates auf einzelnen Rechnern, sowie Telefonie und Server außerhalb von Microsoft 365.
Auf welcher Grundlage geprüft wird
| Grundlage | Wie sie verwendet wird |
|---|---|
| Empfehlungen von Microsoft und Microsoft Secure Score | Hauptmaßstab. Jede Empfehlung stützt sich auf die aktuelle Dokumentation von Microsoft und nennt die nötige Lizenz. So sehen Sie, was mit Ihrer vorhandenen Lizenz umsetzbar ist. |
| CIS Microsoft 365 Foundations Benchmark | Abgleich mit einem verbreiteten, herstellerunabhängigen Prüfkatalog. Der Bericht nennt zu jedem Befund die Kontrollnummer, damit Ihre IT gezielt nachlesen kann. |
| Art. 32 DSGVO | Datenschutzbezogene Einordnung der technischen Maßnahmen wie Zugriffsschutz, Protokollierung und Aufbewahrung. Keine Rechtsberatung und keine Bestätigung der DSGVO-Konformität. |
| DIN SPEC 27076 | Die Befunde werden den Themenbereichen der DIN SPEC 27076 zugeordnet. Wer einen CyberRisikoCheck plant oder hat, kann die Ergebnisse dort einordnen. |
Wie geprüft wird
Die Prüfung verbindet drei Wege. Jeder sieht etwas, das die anderen nicht zeigen.
- Admincenter. Entra, Microsoft 365, Exchange, Defender, SharePoint, Teams und Purview werden mit einem Lesekonto durchgesehen.
- Lesende PowerShell- und Graph-Auswertung. Ein eigenes Prüfwerkzeug liest die Konfiguration vollständig aus, auch dort, wo ein Portal nur einen Ausschnitt anzeigt. Weichen Portal und Abfrage voneinander ab, wird der Befund gegengeprüft.
- Öffentliche DNS-Abfragen. MX, SPF, DKIM, DMARC und MTA-STS Ihrer Domänen.
Gelesen werden Einstellungen und Metadaten wie Kontennamen, Rollen und Postfachgrößen. Inhalte von Mails, Dokumenten oder Chats sind nicht Gegenstand der Prüfung. Am Mandanten wird nichts verändert.
Was Sie erhalten
| Teil | Für wen | Inhalt |
|---|---|---|
| A Zusammenfassung | Geschäftsführung | Zwei Seiten ohne Fachjargon: Bewertung nach Bereichen, was zuerst zu tun ist, was bereits gut ist, Lizenzentscheidung |
| B Technischer Teil | IT oder IT-Dienstleister | Alle Befunde mit Empfehlung, Kontrollnummer, Lizenzbezug und Ampel, Projektplan in drei Phasen, Quellen |
| C Benutzer- und Lizenzübersicht | Geschäftsführung und IT | Benutzer, Lizenzen, Postfachgrößen, freigegebene Postfächer und ein Vergleich der passenden Lizenzpläne |
Die Ampel ordnet jeden Befund ein: Rot heißt kritisch, sofort umsetzen. Orange heißt hoch, in zwei bis drei Monaten. Gelb heißt mittel, in drei bis sechs Monaten. Grün heißt in Ordnung. In einer Ergebnisbesprechung per Teams gehen wir den Bericht gemeinsam durch, gern mit Ihrem IT-Dienstleister.
Wie die Analyse abläuft
- Kick-off. Ansprechpartner, genutzte Dienste und Domänen, Einzelheiten zum Lesezugang.
- Lesezugang. Ihre IT oder Ihr IT-Dienstleister richtet ein Konto ein, das Einstellungen lesen, aber nichts ändern kann.
- Prüfung und Bewertung. Erhebung, Bewertung, Projektplan und Lizenzvergleich.
- Bericht und Besprechung. Sie erhalten den Bericht und entscheiden, welche Maßnahmen Sie angehen.
Die Prüfung erfolgt remote.
Was nicht enthalten ist
Die Analyse ist eine zeitpunktbezogene Prüfung der Konfiguration. Umsetzung der Maßnahmen, Prüfung einzelner Endgeräte, Penetrationstests und eine Nachprüfung nach der Umsetzung lassen sich gesondert vereinbaren.
Ein ausführliches Angebot mit Auftragsformular sende ich Ihnen auf Anfrage zu.
Kontakt