Die Vorlage für einen M365 Audit Report.
Diese Reihenfolge trennt Entscheidung, Nachweis und Umsetzung. Sie eignet sich für interne Audits ebenso wie für wiederkehrende MSP-Reports.
Prüfauftrag und Geltungsbereich
Formulierungsvorlage: „Der Bericht bewertet die im Prüfauftrag genannten Microsoft-365-Dienste und Konfigurationen zum Stichtag. Nicht erhobene Dienste, fehlende Berechtigungen und lizenzabhängige Funktionen sind als Einschränkung ausgewiesen.“
Gesamturteil mit Prüfabdeckung
Formulierungsvorlage: „Der auswertbare Umfang erreicht einen Sicherheitswert von X Punkten. Y von Z Prüfpunkten konnten bewertet werden. Das Ergebnis ist deshalb zusammen mit den offenen Prüflücken zu interpretieren.“
Höchstens fünf entscheidende Themen
Beschreiben Sie pro Priorität den Ist-Zustand, die mögliche Auswirkung, die geforderte Entscheidung und einen Zieltermin. Eine lange Liste ohne Reihenfolge führt selten zu Umsetzung.
Einzelfeststellungen für die IT
Jeder Prüfpunkt enthält Sollzustand, Feststellung, Risiko, Prüfverfahren, Einschränkungen, Maßnahme und Abschlussnachweis. Rohdaten gehören als Evidenz dazu, nicht an den Anfang.
Maßnahmenplan und Folgeprüfung
Ordnen Sie jeder offenen Feststellung einen Verantwortlichen, Termin und Status zu. Führen Sie nach relevanten Änderungen einen Wiederholungslauf aus, statt den Abschluss nur zu behaupten.
Was der Bericht nicht aussagt
Ein Konfigurationsaudit ist keine Zertifizierung und kein vollständiger Konformitätsnachweis. Benennen Sie den Unterschied klar, insbesondere bei NIS2, ISO 27001, BSI-Grundschutz oder DSGVO.
Jede Feststellung braucht diese sechs Antworten.
Was wurde geprüft?
Beschreiben Sie den technischen Gegenstand, etwa Rollen, Richtlinien, App-Berechtigungen oder externe Freigaben. Vermeiden Sie eine Beschreibung des Skripts statt des Prüfziels.
Was wurde festgestellt?
Formulieren Sie den konkreten Ist-Zustand. „Keine Richtlinie gefunden“ ist besser als eine allgemeine Vermutung über eine mögliche Sicherheitslücke.
Warum ist das relevant?
Erklären Sie die mögliche Auswirkung auf Angriffsfläche, Verfügbarkeit, Daten oder Nachweisfähigkeit. Das macht die Priorität für Nicht-Techniker verständlich.
Wie zuverlässig ist das Ergebnis?
Nennen Sie Datenquelle, Prüfmethode und Einschränkungen. Fehlende Lizenz, Berechtigung oder Workload ist ein offener Nachweis, keine bestandene Kontrolle.
Was soll geschehen?
Die Empfehlung nennt eine konkrete Handlung und lässt Raum für dokumentierte Kompensationsmaßnahmen oder bewusste Risikoübernahme.
Wann ist es erledigt?
Definieren Sie einen prüfbaren Abschlussnachweis: aktive Regel, korrekte Zielgruppe, erfolgreicher Test, genehmigte Ausnahme oder nachvollziehbare Entscheidung.
So wird aus einer Beobachtung eine brauchbare Feststellung.
Zu vage
„MFA sollte verbessert werden.“
Diese Aussage lässt offen, welche Konten betroffen sind, was konkret fehlt, wie dringend die Maßnahme ist und woran ihr Abschluss erkennbar wäre.
Umsetzbar
„Für die privilegierten Rollen wurde keine Richtlinie mit einer nachweisbar starken Anmeldeanforderung festgestellt. Die verantwortliche Stelle soll eine Richtlinie für die definierten Admin-Zielgruppen testen und aktivieren. Der Abschluss ist nachgewiesen, wenn Zielgruppen, Ausschlüsse und ein erfolgreicher Anmeldetest dokumentiert sind.“
Definition of Done für einen Audit Report
Ein Bericht ist fertig, wenn der Prüfumfang, alle Prüflücken, priorisierte Entscheidungen, technische Einzelbefunde und Abschlussnachweise sichtbar sind. Ein PDF-Export oder ein Score ohne diese Einordnung ist noch kein belastbarer Prüfbericht.
Von der Vorlage zur wiederholbaren Prüfung.
Prüfen
GraphSec-Prüfkatalog und M365 Sicherheitscheck erklären Umfang und Grenzen der technischen Bewertung.
Absichern
Microsoft 365 Security Baseline und Conditional Access Checkliste liefern die nächsten operativen Schritte.