Compliance · FINMA · nDSG · CIS
Für Banken, Versicherungen, Vermögensverwalter, Pensionskassen und Treuhänder: Wir prüfen Ihren Microsoft-365-Tenant gegen den CIS-Benchmark und die Anforderungen Ihrer Aufsicht, schliessen die Lücken und liefern Nachweise, die sich jederzeit auf Knopfdruck wiederholen lassen.
Kennen Sie das?
Microsoft 365 ist eingeführt, die Prüfgesellschaft oder die interne Revision stellt Fragen, und die Antworten entstehen jedes Mal neu: mit Screenshots, Exporten und viel Hoffnung.
«Die Revision will wissen, wer Admin-Rechte hat. Wir schicken Screenshots.»
Nachweise, die niemand reproduzieren kann.«Unser Secure Score ist gut. Reicht das?»
Punkte sind kein Nachweis für ein beherrschtes Risiko.«Die Prüfgesellschaft kommt in sechs Wochen.»
Und niemand weiss genau, wo die Lücken liegen.«Wir haben Microsoft 365 eingeführt, aber nie als Auslagerung betrachtet.»
Cloud-Nutzung ist für Regulierte mehr als eine IT-Entscheidung.«Wo liegen unsere Daten eigentlich?»
Datenstandort, Zugriffe und Aufbewahrung sauber belegen.«Letztes Jahr war alles in Ordnung. Und seither?»
Konfigurationen driften, wenn niemand hinschaut.Messlatten
Wir übersetzen allgemeine Anforderungen in konkrete, prüfbare Einstellungen. Der CIS-Benchmark liefert dafür die technische Messlatte, Aufsicht und Datenschutz den Rahmen.
International anerkannte, konkrete Empfehlungen für die sichere Konfiguration von Microsoft 365, gegliedert in Level 1 und Level 2. Ideal als objektive, technische Basis. Nicht jede Empfehlung passt zu jedem Betrieb, deshalb entscheiden wir begründet.
Für beaufsichtigte Institute stehen der Umgang mit IKT- und Cyberrisiken sowie die Anforderungen an Auslagerungen im Vordergrund. Wir liefern die technischen Nachweise zu Identitäten, Zugriffen, Protokollierung und Datenstandort, die Ihre Compliance und Ihre Prüfgesellschaft brauchen.
Das Datenschutzgesetz verlangt angemessene technische und organisatorische Massnahmen zur Datensicherheit. Für Treuhänder, Pensionskassen und Dienstleister, die sensible Daten bearbeiten, zeigen wir, was davon in Microsoft 365 umgesetzt und belegbar ist.
Klare Rollen: Wir sind keine Prüfgesellschaft und keine Rechtsberatung. Wir liefern die technische Analyse, die Umsetzung und reproduzierbare Nachweise. Die regulatorische Beurteilung bleibt bei Ihrer Compliance, Ihrer Revision und Ihrer Prüfgesellschaft, und genau dafür bereiten wir die Grundlagen auf.
Was geprüft wird
Wer hat welche Admin-Rolle, seit wann, mit welcher Absicherung? Notfallkonten, dauerhafte und zeitlich begrenzte Rechte.
Conditional Access, MFA-Methoden, Schutz vor Phishing und das Abschalten veralteter Anmeldeverfahren.
Ist das Audit-Log aktiv, wie lange werden Ereignisse aufbewahrt, und kann man im Ernstfall nachvollziehen, wer was getan hat?
Wo liegen die Daten, welche Dienste sind im Einsatz, und ist die Cloud-Nutzung als Auslagerung sauber dokumentiert?
Externe Freigaben in SharePoint und OneDrive, Gastzugriffe in Teams und der Schutz vor ungewolltem Datenabfluss.
SPF, DKIM und DMARC, Schutzrichtlinien gegen Phishing und Schadsoftware sowie der Umgang mit Quarantäne.
Das Nachweis-Kit
Statt Screenshots entsteht ein skriptbasiertes Kit, das den Ist-Zustand ausliest, gegen die vereinbarte Messlatte prüft und einen nachvollziehbaren Bericht erzeugt. Rein lesend, ohne Änderungen am Tenant.
Welche Messlatte gilt? CIS-Level, interne Weisungen, Anforderungen von Aufsicht und Prüfgesellschaft werden zu einer prüfbaren Liste.
Skriptbasiert und rein lesend: Rollen, Richtlinien, Protokollierung, Freigaben, Mail-Schutz, Geräte.
Befunde nach Risiko priorisiert, mit Empfehlung: umsetzen, kompensieren oder begründet akzeptieren.
Eine Seite für Geschäftsleitung und Verwaltungsrat: Wo stehen wir, was ist zu tun, was kostet es?
Auf Wunsch setzen wir die Härtung um, mit Pilot, Kommunikation und Rückweg.
Nachweis erneut erzeugen: Vorher und Nachher, belegt statt behauptet.
Reproduzierbare Nachweise, jederzeit erneut erzeugbar
Wer davon profitiert
Wir kennen die Anforderungen aus Projekten in der beruflichen Vorsorge, der Vermögensverwaltung und im Treuhand. Und wir wissen, dass Sicherheit dort nur funktioniert, wenn der Betrieb weiterläuft.
Zur technischen Härtung nach CISWeiterlesen
Häufige Fragen
Nein. Wir sind keine Prüfgesellschaft. Wir liefern die technische Analyse, die Umsetzung und reproduzierbare Nachweise, auf die sich Ihre Compliance, Ihre Revision und Ihre Prüfgesellschaft stützen können.
Ja. Auch wenn Sie nicht direkt der FINMA unterstehen, gelten Datenschutzgesetz, Anforderungen Ihrer Aufsicht und die Erwartungen Ihrer Kunden. Die technischen Fragen sind dieselben: Wer hat Zugriff, ist er abgesichert, und lässt sich das belegen?
Der Secure Score ist ein nützlicher Indikator, aber kein Nachweis. Er vergibt Punkte für Massnahmen, unabhängig davon, wie relevant sie für Ihr Risiko sind. Wir verwenden ihn ergänzend, die Messlatte bilden CIS-Benchmark und Ihre konkreten Anforderungen.
Nicht zwingend. Einige Kontrollen hängen von der Lizenz ab. Wir zeigen, was mit Ihrer bestehenden Lizenz möglich ist, und wo eine Erweiterung echten Nutzen bringt. Eine Empfehlung zum Lizenzkauf gibt es nur, wenn sie begründet ist, und wir verdienen nicht daran.
Mindestens jährlich und vor anstehenden Prüfungen. Wer es laufend im Blick haben will, kombiniert das Nachweis-Kit mit unserer monatlichen Kontrolle auf Abweichungen.
Je früher, desto entspannter. Im Erstgespräch klären wir, welche Nachweise Sie brauchen und was bis zum Termin realistisch ist.