53 Kontrollen in sieben Prüfbereichen.
Der versionierte Katalog umfasst 12 Kontrollen zu Identitäten und privilegiertem Zugriff, 6 zu Apps und OAuth, 5 zum Benutzer-, Gast- und Gruppen-Lebenszyklus, 6 zu Geräten, 10 zu E-Mail und Zusammenarbeit, 5 zu Datenschutz und Aufbewahrung sowie 9 zu Detektion, Reaktion und Resilienz.
Eine Kontrolle beantwortet eine definierte technische oder organisatorische Frage. Das Ergebnis gilt für den Zeitpunkt des Prüflaufs und nur für die Daten, die mit den vorhandenen Lizenzen und Leserechten erreichbar waren.
Automatisch bedeutet nicht automatisch in jedem Tenant auswertbar.
Microsoft Graph bildet den Kern; Exchange Online und Teams sind optional.
M365 Audit liest unter anderem Daten zu Organisation und Domänen, Benutzern, Gruppen, Conditional Access, Security Defaults, Authentifizierungsmethoden, Rollen, PIM, Risky Users, Anwendungen, Service Principals, OAuth-Zustimmungen, Intune-Geräten, Compliance-Richtlinien, Security Alerts und Service Health.
Exchange Online und Microsoft Teams werden über ihre nativen PowerShell-Module angebunden. Werden diese Workloads bewusst ausgelassen, erscheinen die abhängigen Kontrollen als nicht im Prüfumfang. Microsoft Graph kann direkt oder über CIPP als Transport für GET-Abfragen angesprochen werden.
Jede Kontrolle durchläuft dieselbe nachvollziehbare Reihenfolge.
„Nicht geprüft“ ist nicht „bestanden“.
Drei Kennzahlen verhindern ein irreführendes Gesamturteil.
Für den Sicherheitswert zählen nur auswertbare Kontrollen: erfüllt mit 1 Punkt, Verbesserung empfohlen mit 0,5 Punkten und Abweichung mit 0 Punkten. Die Prüfabdeckung ist der Anteil dieser auswertbaren Kontrollen an allen 53 Kontrollen. Die Gesamtbewertung multipliziert Sicherheitswert und Prüfabdeckung.
Ein hoher Sicherheitswert bei niedriger Prüfabdeckung ist kein gutes Gesamturteil. Er beschreibt nur den bereits auswertbaren Teil des Katalogs. Diese Kennzahlen sind eigenständig und nicht mit Microsoft Secure Score identisch.
Der Bericht zeigt, worauf eine Bewertung beruht.
Der Prüflauf erzeugt einen interaktiven HTML-Bericht sowie JSON- und CSV-Dateien. Ein zusätzliches SHA-256-Manifest kann Veränderungen erkennen, wenn das Manifest selbst aus einer vertrauenswürdigen Quelle vorliegt. Es ist keine digitale Signatur.
Die JSON-Ausgabe kann personenbezogene oder tenantbezogene Rohdaten enthalten. Mit der Option OmitRawEvidenceFromHtml lassen sich Rohobjekte aus dem portablen HTML-Bericht entfernen; die JSON-Datei bleibt weiterhin vertraulich zu behandeln.
Ausgewählte BSI- und BSIG-Themen sind zugeordnet – keine Konformität.
Die Kontrollen enthalten thematische Zuordnungen zu ausgewählten BSIG-/NIS2-Risikomanagementbereichen und BSI-IT-Grundschutz-Themen beziehungsweise -Bausteinen. Diese Zuordnungen sind Orientierungspunkte und kein vollständiger BSI-, BSIG- oder NIS2-Konformitätsnachweis.
Ein vollständiges, versioniertes Mapping auf einzelne Empfehlungen des CIS Microsoft 365 Foundations Benchmark existiert derzeit nicht. M365 Audit ist deshalb kein CIS-Scanner und kein CIS-Benchmark-Audit.
Das Werkzeug unterstützt fachliche Entscheidungen, ersetzt sie aber nicht.
- Microsoft-APIs, Workloads und Lizenzmodelle können sich ändern.
- Nicht angebundene Dienste und lokale Systeme liegen außerhalb des Prüflaufs.
- Teilautomatische und manuelle Kontrollen benötigen fachliche Nachweise.
- M365 Audit ruft Microsoft Secure Score derzeit nicht ab.
- Der Bericht ersetzt keine Rechtsberatung, Zertifizierung, vollständige Risikoanalyse, ISO-27001-Prüfung oder DSGVO-Prüfung.
- Vor dem produktiven Einsatz ist ein Testlauf im eigenen Testtenant sinnvoll.