MFA, Conditional Access und Authentifizierungsmethoden gemeinsam betrachten.
Der Prüfkatalog enthält Kontrollen für den MFA-Schutz privilegierter Rollen und weiterer Benutzer, den Schutz von Administrationsportalen, den Umgang mit veralteter Authentifizierung sowie erlaubte Authentifizierungsmethoden. Conditional-Access-Richtlinien werden mit ihrem Status und erkennbaren Ausschlüssen erfasst.
Die Anleitung MFA-Registrierung prüfen zeigt, wie Sie Registrierungsstatus, erlaubte Methoden und Anmeldenachweise getrennt erfassen.
Rollenzuweisungen zeigen, wer weitreichende Rechte besitzt.
M365 Audit erfasst privilegierte Rollenzuweisungen und Mehrfachrollen. Zeitlich aktivierbare PIM-Zuweisungen werden ausgewertet, wenn die benötigten Daten verfügbar sind. Die geschäftliche Begründung einer Zuweisung und die vollständigen Aktivierungsbedingungen bleiben eine fachliche Prüfung.
Eine konkrete Anleitung mit Inventar, Gruppen-Zugriffen und Nachweisvorlage finden Sie unter Entra-ID-Rollen prüfen.
Für mögliche Notfallzugriffskonten betrachtet das Werkzeug erkennbare Merkmale wie Rollen, Cloud-only-Status, Conditional-Access-Ausnahmen und Authentisierung. Zweck, sichere Aufbewahrung und regelmäßige Funktionstests müssen zusätzlich dokumentiert werden.
Gäste, Anwendungen und OAuth-Berechtigungen erweitern den Identitätsperimeter.
Der Prüfkatalog umfasst inaktive Gäste, direkt privilegierte Gastrollen, Benutzer- und Admin-Consent, hochprivilegierte App-Berechtigungen, App-Credentials, fehlende Besitzer und Publisher-Metadaten. Gruppenbasierte oder ressourcenspezifische Rechte und die fachliche Zulässigkeit einer Anwendung werden dadurch nicht vollständig bewertet.
Risky Users werden geprüft, wenn die benötigte Entra-Lizenz und Leseberechtigung verfügbar sind. Risky Sign-ins und die vollständige Wirkung risikobasierter Richtlinien gehören nicht zu dieser Kontrolle.
Nicht verfügbare Daten werden nicht als bestanden gewertet.
- Fehlende Graph-Berechtigungen führen zu einem ausgewiesenen Berechtigungsproblem.
- Nicht verfügbare lizenzabhängige Funktionen werden als Lizenzgrenze gekennzeichnet.
- Teilautomatische Kontrollen verlangen eine zusätzliche fachliche Einordnung.
- M365 Audit ist kein Penetrationstest und kein vollständiger Identitäts-Governance- oder Compliance-Nachweis.
So sieht das Ergebnis einer Entra-ID-Prüfung aus.
Der gekennzeichnete Demobericht zeigt für jeden Prüfpunkt Status, Prüfziel, Feststellung, mögliche Auswirkung, Empfehlung, Datenquelle und erforderlichen Abschlussnachweis. Management und Administration erhalten unterschiedliche Ansichten derselben Datenbasis.