Legen Sie fest, welche Zugriffe der Bericht abdecken soll.
Beginnen Sie mit Tenant, Prüfdatum und den vereinbarten Entra-Rollen. Halten Sie fest, welche Datenquellen zugänglich sind und welche fehlen. Eine leere Ergebnisliste ist erst dann aussagekräftig, wenn Berechtigungen, Filter und Abruf vollständig geprüft wurden.
Betrachten Sie neben globalen Administratoren auch weitere privilegierte und benutzerdefinierte Rollen. Trennen Sie das Entra-Rolleninventar von zusätzlichen Berechtigungsmodellen, etwa in Azure-Ressourcen, Exchange oder Anwendungen. Dokumentieren Sie diese als eigene Prüfumfänge, statt aus einer Rollenliste einen vollständigen Zugriffsnachweis abzuleiten.
Rolle, Identität und Zuweisungsweg gemeinsam erfassen.
- Rollenliste öffnen: Rufen Sie im Microsoft Entra Admin Center unter Entra ID die Ansicht „Rollen und Administratoren“ auf. Prüfen Sie die Zuweisungen der vereinbarten Rollen.
- Identitäten zuordnen: Erfassen Sie Anzeigename, Objekt-ID und Identitätstyp. Ein Name allein ist für spätere Vergleiche nicht eindeutig genug.
- Geltungsbereich festhalten: Notieren Sie, ob die Zuweisung tenantweit oder auf einen unterstützten Teilbereich begrenzt ist. Gleicher Rollenname bedeutet nicht automatisch gleiche Reichweite.
- Gruppen nachvollziehen: Bei einer rollenzuweisbaren Gruppe gehören auch die relevanten Mitglieder und Verantwortlichen in die Prüfung. Markieren Sie direkte und über Gruppen vermittelte Zugriffe getrennt.
- Abruf dokumentieren: Speichern Sie Zeitpunkt, Quelle und verwendete Filter beim Export. Kennzeichnen Sie ungeklärte Gruppenmitgliedschaften oder nicht lesbare Zuweisungen ausdrücklich als offen.
Die Microsoft-Anleitung zum Anzeigen von Rollenzuweisungen beschreibt die Ansichten und Abfragemöglichkeiten für Benutzer, Gruppen und Geltungsbereiche.
Aktive Rechte und PIM-Berechtigungen getrennt prüfen.
Wenn PIM verfügbar ist, vergleichen Sie aktive und berechtigte Zuweisungen. Prüfen Sie unter anderem Aktivierungsdauer, Begründung, Genehmigung und geforderte Authentifizierung. Diese Bedingungen sind zu kontrollieren; das Vorhandensein von PIM allein belegt sie nicht. Bei Gruppen müssen gegebenenfalls auch zeitlich aktivierbare Mitgliedschaften betrachtet werden.
Microsoft erläutert die Unterscheidung in der Dokumentation zu Entra-Rollenzuweisungen in PIM. Ist die Funktion oder ihre Datenbasis nicht verfügbar, halten Sie diese Prüfgrenze fest.
Jede Zuweisung braucht einen nachvollziehbaren Zweck.
Ordnen Sie jeder Rolle eine aktuelle Aufgabe und eine verantwortliche Stelle zu. Prüfen Sie anschließend, ob eine engere Rolle, ein kleinerer Geltungsbereich oder eine kürzere Dauer ausreichen würde. Das entspricht dem von Microsoft beschriebenen Prinzip der geringsten Rechte.
- Unklarer Zweck: Lassen Sie die fachliche Notwendigkeit bestätigen und setzen Sie einen Termin für die Entscheidung.
- Mehrere Rollen: Bewerten Sie die Kombination der Rechte und mögliche Überschneidungen.
- Fehlender Schutz-Nachweis: Ergänzen Sie die Prüfung der Anmeldung und der Conditional-Access-Richtlinien.
- Notfallzugriff: Dokumentieren Sie begründete Ausnahmen separat anhand der Prüfung von Notfallzugriffskonten.
Eine Feststellung ist noch kein Löschauftrag. Lassen Sie Änderungen freigeben, prüfen Sie betriebliche Abhängigkeiten und den verbleibenden Administrationszugang. Dokumentieren Sie nach der Umsetzung, ob der gewünschte Zustand erreicht wurde.
Eine einfache Vorlage macht die Prüfung wiederholbar.
Führen Sie pro Zuweisung einen Datensatz. Verwenden Sie „offen“, wenn ein Nachweis fehlt, und halten Sie die technische Feststellung von der fachlichen Entscheidung getrennt.
Fiktives Beispiel: Ein Projektkonto hat nach Projektende weiterhin eine aktive Rolle. Der Bericht hält die Zuweisung und die fehlende aktuelle Begründung fest. Die verantwortliche Stelle entscheidet über den weiteren Bedarf; ein späterer Export dokumentiert die freigegebene Änderung.
Für die Einbettung in einen Gesamtbericht bietet die M365-Audit-Report-Vorlage weitere Orientierung.
Technische Feststellungen liefern die Grundlage für Ihre Bewertung.
Die Kontrolle IAM-06 im Prüfkatalog erfasst privilegierte Rollenzuweisungen und Mehrfachrollen. Die fachliche Begründung bleibt eine manuelle Prüfung. Welche Daten ein konkreter Lauf tatsächlich erfasst hat, muss anhand seiner Datenquellen und ausgewiesenen Einschränkungen beurteilt werden.
Diese Anleitung beschreibt auch ergänzende manuelle Schritte. Sie verspricht keine vollständige automatische Auflösung aller Gruppen-, PIM- oder dienstspezifischen Rechte. Fehlende Berechtigungen und nicht verfügbare Daten sind offene Prüfpunkte, kein bestandener Sicherheitsnachweis.
Was muss ein Rollen-Audit beantworten?
Reicht die Liste globaler Administratoren?
Sie ist ein sinnvoller Einstieg. Für den vereinbarten Rollen-Prüfumfang müssen auch weitere relevante Rollen und Zuweisungswege betrachtet werden. Die Prüfung globaler Administratoren vertieft diesen einzelnen Schwerpunkt.
Wie oft sollte die Prüfung stattfinden?
Legen Sie einen Verantwortlichen und ein zum Betrieb passendes Intervall fest. Wiederholen Sie die Prüfung außerdem bei Rollenwechseln, Projektenden und wesentlichen Änderungen der Administration.
Ist ein Rollenexport bereits ein abgeschlossener Audit-Nachweis?
Er belegt den erfassten technischen Stand. Für den Abschluss brauchen Sie zusätzlich eine Bewertung, Entscheidungen zu offenen Punkten und Nachweise zu vereinbarten Änderungen.
Stand: 28. September 2026. Technische Referenzen: die oben verlinkte Microsoft-Learn-Dokumentation.