Woran erkennt man eine belastbare Baseline?
Sie beantwortet für jedes relevante Thema drei Fragen: Welcher Sollzustand gilt? Wer ist verantwortlich? Wodurch ist die Wirksamkeit nachweisbar? Ein hoher Secure Score oder eine aktivierte Standardfunktion allein beantwortet diese Fragen nicht.
Baseline bedeutet Mindestschutz
Definieren Sie Regeln, die für alle passenden Benutzer, Anwendungen und Geräte gelten. Abweichungen brauchen einen fachlichen Grund, eine verantwortliche Person, einen Ablauftermin und eine erneute Prüfung.
Baseline bedeutet nicht „alles einschalten“
Schutzmaßnahmen müssen zum Lizenzumfang, zu den genutzten Diensten und zu betrieblichen Anforderungen passen. Eine Richtlinie ohne Test und Rollback kann den Betrieb stärker gefährden als sie schützt.
Diese sechs Bereiche gehören an den Anfang.
Die Reihenfolge reduziert das Risiko eines kompromittierten Kontos oder Administrators, bevor Spezialthemen vertieft werden.
MFA und Anmeldemethoden
Prüfen Sie die vollständige MFA-Abdeckung, registrierte Verfahren und Ausnahmen. Für privilegierte Rollen sollten besonders starke, möglichst phishing-resistente Verfahren geplant werden.
Nachweis: Richtlinienzuweisung, Zielgruppe und ein erfolgreicher Testfall.
Admin-Rollen und Notfallzugriff
Reduzieren Sie dauerhafte privilegierte Rollen. Halten Sie getrennte, überwachte Notfallzugriffskonten vor und testen Sie sie regelmäßig, statt sie nur zu dokumentieren.
Nachweis: Rolleninventar, Genehmigung, Alarmierung und Testprotokoll.
Conditional Access
Schützen Sie zunächst Administratoren und kritische Anwendungen. Testen Sie neue Regeln im Report-only-Modus und werten Sie Auswirkungen in den Anmeldeprotokollen aus, bevor Sie erzwingen.
Nachweis: Richtlinie, Ausschlussliste, Report-only-Ergebnis und Freigabe.
OAuth und Einwilligungen
Ermitteln Sie Apps mit weitreichenden Berechtigungen, ablaufende Geheimnisse und Besitzer. Begrenzen Sie Benutzer- und Administrator-Consent nach einer klaren Regel.
Nachweis: App-Inventar, Berechtigungsprüfung und Eigentümer.
Geräte- und Freigabeschutz
Entscheiden Sie getrennt für verwaltete und private Geräte. Prüfen Sie externe Freigaben in SharePoint, OneDrive und Teams sowie den Umgang mit sensiblen Daten.
Nachweis: Geräte-Compliance, Freigaberegeln und regelmäßige Stichprobe.
Protokollierung und Reaktion
Ohne auswertbare Protokolle lassen sich Fehlkonfigurationen und Vorfälle nicht belastbar untersuchen. Legen Sie fest, welche Logs geprüft, wie lange sie benötigt und wer bei Warnungen handelt.
Nachweis: Audit-Suche, Aufbewahrung, Alarmweg und Testfall.
So starten kleine Teams ohne Großprojekt.
Tage 1–5: Bestand erheben
Erstellen Sie eine Liste der Global Admins, privilegierten Rollen, Notfallzugriffskonten, externen Gäste, Enterprise Apps, Conditional-Access-Richtlinien und zentralen Logquellen. Markieren Sie fehlende Daten explizit.
Tage 6–15: Kritische Lücken behandeln
Schließen Sie unberechtigte privilegierte Zuweisungen, prüfen Sie MFA für Administratoren, legen Sie Notfallzugriff fest und bewerten Sie besonders weitreichende App-Berechtigungen.
Tage 16–25: Regeln sicher einführen
Neue Conditional-Access-Regeln zuerst mit Pilotgruppe und Report-only testen. Dokumentieren Sie erwartete und tatsächliche Auswirkungen; halten Sie eine einfache Rückfallentscheidung bereit.
Tage 26–30: Nachweis und Folgelauf
Ordnen Sie offene Punkte Verantwortlichen und Zielterminen zu. Führen Sie einen neuen Prüflauf durch und bewerten Sie, welche Feststellungen geschlossen, akzeptiert oder weiter offen sind.
Definition of Done für die Baseline
Die Baseline ist nicht fertig, wenn Richtlinien erstellt wurden. Sie ist fertig, wenn ihre Zielgruppen, Ausnahmen, Wirksamkeitstests, Verantwortlichkeiten und offene Risiken nachvollziehbar dokumentiert sind. GraphSec zeigt diese Elemente pro Prüfpunkt im interaktiven Beispielbericht.
Primärquellen und nächste Schritte
Microsoft-Leitlinien
Microsoft: Baseline Security Measures ordnet Grundschutz über Identität, Geräte, Daten und Netzwerk ein.
Microsoft: Emergency Access Accounts beschreibt Anforderungen und Testintervalle für Notfallzugriff.
Passende GraphSec-Ressourcen
Conditional Access Checkliste hilft beim sicheren Rollout der Zugriffsregeln.
M365 Audit Report Vorlage zeigt, wie Nachweise und Maßnahmen adressatengerecht dokumentiert werden.