Beispielbericht · anonymisiert
So sieht das Ergebnis eines M365 Security Checks aus.
Bevor Sie einen Check beauftragen, sollen Sie wissen, was Sie dafür bekommen. Diese Seite zeigt den Aufbau eines Berichts an einem erfundenen Beispiel: einer Firma mit rund 60 Benutzern. Die Befunde sind typisch für gewachsene Tenants, die Firma gibt es nicht.
Teil 1 · Management-Summary
Eine Seite für die Geschäftsleitung
Der Bericht beginnt mit dem Urteil, nicht mit der Methodik.
Muster Treuhand AG · 62 Benutzer · Microsoft 365 Business Premium
Der Tenant ist nutzbar, aber ein gestohlenes Passwort reicht heute für den Zugriff auf alle Daten.
Vier Befunde sind kritisch und sollten in den nächsten 30 Tagen behoben werden. Vier weitere sind Nachbesserungen ohne Zeitdruck. Zwei geprüfte Bereiche sind in Ordnung. Bis auf das Backup reichen für alle Massnahmen die vorhandenen Lizenzen.
- 4 kritisch
- 4 nachbessern
- 2 in Ordnung
Die drei wichtigsten Massnahmen
- Alte Anmeldeverfahren ohne MFA sperren und MFA für alle Benutzer erzwingen.
- Zahl der globalen Administratoren senken und Admin-Konten mit phishing-resistenter MFA schützen.
- DMARC von «none» auf «reject» führen, damit niemand im Namen der Firma Mails verschickt.
Teil 2 · Befunde
Jeder Befund mit Ist, Soll, Massnahme und Aufwand
Sortiert nach Risiko, nicht nach Anzahl. Der Aufwand ist in drei Stufen angegeben: klein (unter einem halben Tag), mittel (ein bis zwei Tage), gross (mehrere Tage mit Abstimmung).
- Kritisch
Alte Anmeldeverfahren sind nicht gesperrt
Ist: Legacy-Authentifizierung (IMAP, POP, SMTP AUTH) ist für alle Benutzer möglich. Diese Verfahren kennen keine MFA.
Soll: Conditional-Access-Richtlinie, die Legacy-Authentifizierung blockiert.
Massnahme: Anmeldeprotokolle 30 Tage auswerten, betroffene Geräte und Dienste umstellen, dann blockieren.
Aufwand: mittel - Kritisch
Sieben globale Administratoren, dauerhaft zugewiesen
Ist: Sieben Konten haben dauerhaft die höchste Rolle, darunter zwei Alltagskonten mit Postfach.
Soll: Weniger als fünf globale Administratoren, getrennte Admin-Konten, Rollen nur bei Bedarf.
Massnahme: Rollen auf das Nötige reduzieren, eigene Admin-Konten ohne Postfach, zwei Notfallkonten einrichten und überwachen.
Aufwand: klein - Kritisch
Administratoren melden sich mit SMS-Code an
Ist: MFA ist aktiv, als Methode sind aber SMS und Anruf erlaubt. Beide lassen sich abfangen oder umleiten.
Soll: Phishing-resistente MFA für Admin-Rollen (FIDO2-Schlüssel oder Passkeys), Authenticator-App für alle anderen.
Massnahme: Authentifizierungsmethoden-Richtlinie anpassen, Authentifizierungsstärke per Conditional Access für Admin-Rollen verlangen.
Aufwand: klein - Kritisch
DMARC steht auf «none»
Ist: SPF und DKIM sind eingerichtet, DMARC beobachtet nur. Gefälschte Mails im Namen der Firma werden zugestellt.
Soll: DMARC mit «reject».
Massnahme: Berichte zwei bis vier Wochen auswerten, fehlende Versanddienste nachtragen, über «quarantine» auf «reject» gehen.
Aufwand: mittel - Nachbessern
Freigabelinks ohne Anmeldung und ohne Ablauf
Ist: Standard-Freigabe in SharePoint und OneDrive ist «Jeder mit dem Link», ohne Ablaufdatum.
Soll: Standard «Personen in Ihrer Organisation», anonyme Links nur mit Ablauf.
Massnahme: Freigabestufen festlegen, bestehende anonyme Links auswerten und bereinigen.
Aufwand: mittel - Nachbessern
Zugriff von nicht verwalteten Geräten
Ist: 38 von 71 Geräten sind in Intune verwaltet. Der Zugriff auf Daten ist von jedem Gerät möglich.
Soll: Zugriff auf Firmendaten nur von konformen Geräten, App-Schutz für private Mobilgeräte.
Massnahme: Compliance-Richtlinien definieren, restliche Geräte aufnehmen, Conditional Access schrittweise scharf schalten.
Aufwand: gross - Nachbessern
Kein Backup ausserhalb von Microsoft 365
Ist: Es gibt nur Papierkorb und Versionierung. Gelöschte Postfächer und überschriebene Bibliotheken sind nach Ablauf der Fristen verloren.
Soll: Eigenständige Sicherung von Exchange Online, SharePoint, OneDrive und Teams mit geprobter Wiederherstellung.
Massnahme: Backup-Lösung auswählen, einrichten und eine Wiederherstellung testen.
Aufwand: mittel - Nachbessern
Benutzer dürfen beliebigen Apps Zugriff geben
Ist: Jeder Benutzer kann Drittanbieter-Apps den Zugriff auf Postfach und Dateien erlauben.
Soll: Einwilligung nur für geprüfte Herausgeber und unkritische Berechtigungen, alles andere über einen Admin-Freigabeablauf.
Massnahme: Einwilligungsrichtlinie anpassen, bestehende App-Berechtigungen prüfen.
Aufwand: klein - In Ordnung
Schutz vor schädlichen Links und Anhängen
Safe Links und Safe Attachments aus Defender for Office 365 sind für alle Benutzer aktiv, die voreingestellte Sicherheitsrichtlinie «Standard» ist zugewiesen.
- In Ordnung
Überwachungsprotokoll
Das Audit-Protokoll ist eingeschaltet, Anmeldungen und Admin-Änderungen sind nachvollziehbar.
Teil 3 · Plan
Was in welcher Reihenfolge passiert
Aus den Befunden wird ein Plan in drei Etappen. Sie entscheiden, ob Ihr Team, Ihr Dienstleister oder wir umsetzen.
- 1
Erste 30 Tage
Legacy-Authentifizierung sperren, Admin-Rollen reduzieren, phishing-resistente MFA für Admins, DMARC-Auswertung starten.
- 2
Bis 60 Tage
Freigaben einschränken, App-Einwilligung regeln, Backup einrichten und Wiederherstellung testen, DMARC auf «reject».
- 3
Bis 90 Tage
Restliche Geräte in Intune aufnehmen, Zugriff nur noch von konformen Geräten, danach Nachprüfung aller Befunde.
Was Sie zusätzlich erhalten
Der Bericht ist nicht alles
Rohdaten mit Zeitstempel
Die Auswertung ist per Skript erhoben und lässt sich wiederholen. So sehen Sie nach der Umsetzung, was sich geändert hat.
Besprechung
Wir gehen die Befunde mit Geschäftsleitung und IT durch und klären, was für Ihren Betrieb wirklich zählt.
Rückweg je Massnahme
Zu jeder Änderung steht, wie sie sich zurücknehmen lässt, falls im Alltag etwas klemmt.
Häufige Fragen
Zum Bericht: was Sie wissen sollten
Ist das ein echter Kundenbericht?
Nein. Firma und Zahlen sind erfunden. Die Befunde sind typisch für Tenants, die über Jahre gewachsen sind, und der Aufbau entspricht dem Bericht, den Sie erhalten.
Wie viele Punkte prüfen Sie tatsächlich?
Deutlich mehr als die zehn hier gezeigten. Geprüft werden Identitäten, Conditional Access, Mail-Schutz, Freigaben und Geräte gegen den CIS-Benchmark und die Empfehlungen von Microsoft. Im Bericht stehen die Befunde, die für Ihr Risiko zählen.
Welchen Zugang brauchen Sie für den Check?
Leserechte auf die Konfiguration des Tenants. Wir ändern während der Analyse nichts.
Müssen wir danach mit Ihnen umsetzen?
Nein. Der Bericht gehört Ihnen und ist so geschrieben, dass Ihr Team oder Ihr Dienstleister damit arbeiten kann.
Wie sähe dieser Bericht für Ihren Tenant aus?
In 30 Minuten klären wir Umfang und Zugang. Danach erhalten Sie eine Offerte mit Festpreis, und nach drei bis fünf Arbeitstagen Ihren eigenen Bericht.