Ein belastbares Gesamturteil ist aufgrund des eingeschränkten Prüfumfangs derzeit nicht möglich.
25 von 53 Prüfpunkten waren auf Grundlage der erhobenen Daten auswertbar.
Einzelfeststellungen
Ergebnisse nach Prüfpunkt
Jeder Prüfpunkt dokumentiert Prüfmaßstab, Feststellung, mögliche Auswirkung, Prüfverfahren und Einschränkungen, Empfehlung sowie den erforderlichen Abschlussnachweis. Damit sind Prüfentscheidung und Folgebearbeitung nachvollziehbar.
IAM-01Admin-MFA und AuthentifizierungsstärkeIdentitäten und privilegierter ZugriffRisiko: Hoch Verbesserung empfohlen
Feststellung
Security Defaults sind aktiviert und stellen eine grundlegende MFA-Absicherung für Administratorkonten bereit. Eine phishing-resistente Authentifizierungsstärke und eine granulare Rollenabdeckung sind damit jedoch nicht nachgewiesen.
Prüfmaßstab
Erwarteter Sollzustand
Privilegierte Konten sind durch MFA und möglichst phishing-resistente Anmeldeverfahren geschützt.
Risikobewertung
Mögliche Auswirkung
Unzureichend geschützte Administratorkonten können zur vollständigen Übernahme des Tenants führen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft, ob privilegierte Rollen durch Conditional Access und möglichst phishing-resistente Verfahren geschützt sind.
Empfohlene Maßnahme
Für privilegierte Rollen sollte eine eigene Conditional-Access-Richtlinie mit starker, möglichst phishing-resistenter Authentisierung eingerichtet und anhand aller betroffenen Rollen getestet werden.
Erforderlicher Abschlussnachweis
Der Abschluss ist nachgewiesen, wenn die Zielrichtlinie aktiv ist, alle privilegierten Rollen abdeckt und ein Test die geforderte starke Authentisierung bestätigt.
Datenbasis der Prüfung
Als Datenquelle wurde Graph Security Defaults verwendet.
Benötigte Microsoft-Graph-Berechtigungen: Policy.Read.All.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-02MFA-Abdeckung aller BenutzerIdentitäten und privilegierter ZugriffRisiko: Hoch Verbesserung empfohlen
Feststellung
Security Defaults sind aktiviert und erzwingen eine grundlegende MFA-Registrierung sowie risikobasierte MFA-Abfragen. Eine ausdrückliche Abdeckung aller Benutzer und Ressourcen durch Conditional Access ist damit nicht nachgewiesen.
Prüfmaßstab
Erwarteter Sollzustand
Für alle Benutzer und Gäste wird bei relevanten Zugriffen MFA verlangt.
Risikobewertung
Mögliche Auswirkung
Konten ohne wirksame MFA-Absicherung sind bei gestohlenen Kennwörtern unmittelbar gefährdet.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung sucht nach Benutzern, Gästen, Ausnahmen und Richtlinienlücken ohne ausreichenden MFA-Schutz. Risikobasierte Kontrollen werden nur ausgewertet, wenn die benötigte Lizenz verfügbar ist.
Empfohlene Maßnahme
Die MFA-Abdeckung sollte für Benutzer und Gäste vollständig ausgewertet werden. Nicht begründete Ausnahmen sind zu entfernen; Notfallzugriffskonten sind getrennt und kontrolliert zu behandeln.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn die MFA-Abdeckung für Benutzer und Gäste vollständig ausgewertet, jede Ausnahme genehmigt und die Wirksamkeit durch einen neuen Prüflauf bestätigt wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Benötigte Microsoft-Graph-Berechtigungen: Policy.Read.All.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-03Legacy Authentication blockiertIdentitäten und privilegierter ZugriffRisiko: Niedrig Anforderung erfüllt
Feststellung
Security Defaults sind aktiviert. Der von Microsoft verwaltete Basisschutz blockiert veraltete Authentifizierungsprotokolle.
Prüfmaßstab
Erwarteter Sollzustand
Veraltete Anmeldeprotokolle sind tenantweit wirksam blockiert.
Risikobewertung
Mögliche Auswirkung
Veraltete Protokolle umgehen moderne Schutzmechanismen und erleichtern kennwortbasierte Angriffe.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung bewertet, ob veraltete Authentifizierungsprotokolle tenantweit und in Exchange Online blockiert sind.
Empfohlene Maßnahme
Der festgestellte Sollzustand sollte beibehalten und im nächsten turnusmäßigen Prüflauf erneut bestätigt werden.
Erforderlicher Abschlussnachweis
Als Abschlussnachweis genügt ein erfolgreicher Wiederholungslauf, sofern der zugrunde liegende Geltungsbereich unverändert ist.
Datenbasis der Prüfung
Als Datenquelle wurde Graph Security Defaults verwendet.
Benötigte Microsoft-Graph-Berechtigungen: Policy.Read.All.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-04Conditional-Access-InventarIdentitäten und privilegierter ZugriffRisiko: Mittel Verbesserung empfohlen
Feststellung
Es wurden keine benutzerdefinierten Conditional-Access-Richtlinien gefunden. Security Defaults bilden derzeit den aktiven, von Microsoft verwalteten Basisschutz des Free-Tenants.
Prüfmaßstab
Erwarteter Sollzustand
Conditional-Access-Richtlinien decken die maßgeblichen Zugriffsrisiken vollständig und nachvollziehbar ab.
Risikobewertung
Mögliche Auswirkung
Lücken oder widersprüchliche Regeln können schutzbedürftige Zugriffe ohne die vorgesehenen Kontrollen zulassen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst aktive, deaktivierte und im Report-only-Modus betriebene Conditional-Access-Richtlinien. Ob alle Benutzer, Ressourcen und Zugriffsszenarien lückenlos abgedeckt sind, muss zusätzlich fachlich geprüft werden.
Empfohlene Maßnahme
Es sollte ein genehmigter Conditional-Access-Basissatz für Benutzer, Administratoren, Geräte, Standorte und risikobehaftete Anmeldungen eingeführt und regelmäßig auf Lücken geprüft werden.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn der genehmigte Conditional-Access-Basissatz aktiv ist, dokumentierte Zielgruppen besitzt und ein Wiederholungslauf keine unbegründete Abdeckungslücke mehr zeigt.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-05Schutz der Admin-PortaleIdentitäten und privilegierter ZugriffRisiko: Hoch Verbesserung empfohlen
Feststellung
Es wurde keine aktive Richtlinie gefunden, die den Zugriff auf Microsoft-Administrationsportale ausdrücklich mit MFA oder einer starken Authentifizierung absichert.
Prüfmaßstab
Erwarteter Sollzustand
Der Zugriff auf Microsoft-Administrationsportale erfordert starke Authentisierung und geeignete Zugriffsbeschränkungen.
Risikobewertung
Mögliche Auswirkung
Ein unzureichend geschützter Portalzugriff erhöht das Risiko einer missbräuchlichen administrativen Änderung.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft starke Authentisierung und geeignete Zugriffsbeschränkungen für Microsoft-Administrationsoberflächen.
Empfohlene Maßnahme
Der Zugriff auf Administrationsportale sollte durch eine eigene Richtlinie mit starker Authentisierung und geeigneten Geräte- oder Standortbedingungen abgesichert werden.
Erforderlicher Abschlussnachweis
Als Abschlussnachweis sind die aktive Richtlinie für Administrationsportale, ihre Zielgruppenzuweisung und ein erfolgreicher Zugriffstest mit der geforderten Authentisierung erforderlich.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-06Privilegierte Rollen und Least PrivilegeIdentitäten und privilegierter ZugriffRisiko: Hoch Verbesserung empfohlen
Feststellung
Es wurde eine privilegierte Rollenzuweisung erfasst. Ob jede Zuweisung erforderlich und angemessen begründet ist, wurde nicht automatisiert bewertet.
Prüfmaßstab
Erwarteter Sollzustand
Privilegierte Rollen sind auf den erforderlichen Umfang begrenzt und jede Zuweisung ist begründet.
Risikobewertung
Mögliche Auswirkung
Nicht erforderliche Rollen erweitern die Angriffsfläche und können zu unberechtigten administrativen Handlungen führen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst privilegierte Rollenzuweisungen und Mehrfachrollen. Die fachliche Begründung nach dem Least-Privilege-Prinzip muss anschließend manuell geprüft werden.
Empfohlene Maßnahme
Alle privilegierten Rollenzuweisungen sollten mit fachlicher Begründung, verantwortlicher Stelle und Ablaufdatum überprüft werden. Nicht erforderliche Zuweisungen sind zu entfernen.
Erforderlicher Abschlussnachweis
Für den Abschluss muss zu jeder erfassten privilegierten Zuweisung eine aktuelle Begründung oder eine dokumentierte Entfernung vorliegen. Das Ergebnis ist anschließend erneut zu erheben.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-07Privileged Identity ManagementIdentitäten und privilegierter ZugriffRisiko: Mittel Verbesserung empfohlen
Feststellung
Die PIM-Zuweisungen konnten in diesem Tenant nicht abschließend ausgewertet werden. Ob privilegierte Rollen nur zeitlich begrenzt und nach Freigabe aktiviert werden, bleibt daher offen.
Prüfmaßstab
Erwarteter Sollzustand
Privilegierte Rollen werden über Privileged Identity Management zeitlich begrenzt und kontrolliert aktiviert.
Risikobewertung
Mögliche Auswirkung
Dauerhaft aktive Privilegien erhöhen sowohl das Missbrauchsrisiko als auch die Folgen einer Kontoübernahme.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst zeitlich aktivierbare Rollenzuweisungen. Für Aktivierungsanforderungen, Genehmigungen, MFA-Vorgaben und Ablaufzeiten werden zusätzliche PIM-Policy-Daten benötigt.
Empfohlene Maßnahme
Privilegierte Rollen sollten, soweit lizenzseitig möglich, über PIM mit zeitlich begrenzter Aktivierung, MFA, Begründung und gegebenenfalls Genehmigung vergeben werden.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn die Feststellung bewertet, eine Maßnahme wirksam umgesetzt oder die verbleibende Abweichung ausdrücklich als Risiko übernommen und genehmigt wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-08NotfallzugriffskontenIdentitäten und privilegierter ZugriffRisiko: Hoch Verbesserung empfohlen
Feststellung
Es wurden 2 mögliche Notfallzugriffskonten anhand der Namenskonvention erkannt. Die Konfiguration, Überwachung und regelmäßige Funktionsprüfung sind gesondert nachzuweisen. Von den 2 erkannten Konten sind 2 aktiviert.
Prüfmaßstab
Erwarteter Sollzustand
Es bestehen mindestens zwei sicher konfigurierte, überwachte und regelmäßig getestete Notfallzugriffskonten.
Risikobewertung
Mögliche Auswirkung
Fehlende oder nicht funktionsfähige Notfallkonten können in einer Störung den administrativen Zugriff auf den Tenant verhindern.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft Anzahl, Cloud-only-Status, Rollen, Conditional-Access-Ausnahmen, Authentisierung und erkennbare Monitoring-Indikatoren möglicher Notfallzugriffskonten.
Empfohlene Maßnahme
Mindestens zwei dedizierte Notfallzugriffskonten sollten nach Microsoft-Empfehlung konfiguriert, von üblichen Richtlinien kontrolliert ausgenommen, überwacht und regelmäßig getestet werden.
Erforderlicher Abschlussnachweis
Der Abschluss erfordert mindestens zwei aktiv nutzbare Notfallzugriffskonten, dokumentierte Schutzmaßnahmen, eine funktionsfähige Alarmierung und einen protokollierten Funktionstest.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-09Risky UsersIdentitäten und privilegierter ZugriffRisiko: Hoch Verbesserung empfohlen
Feststellung
Die Prüfung ergab eine Feststellung, aus der sich Verbesserungsbedarf ergeben kann.
Prüfmaßstab
Erwarteter Sollzustand
Benutzer mit erkanntem Anmelderisiko werden zeitnah untersucht und behandelt.
Risikobewertung
Mögliche Auswirkung
Unbehandelte Risikosignale können auf kompromittierte Konten hinweisen, die weiterhin auf Unternehmensdaten zugreifen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft offene Risky-User-Fälle. Risky Sign-ins und die vollständige Wirkung risikobasierter Richtlinien sind nicht Bestandteil dieses Prüfpunkts.
Empfohlene Maßnahme
Für Risky Users sollte ein verbindlicher Bearbeitungsprozess mit Verantwortlichen, Reaktionsfristen und dokumentiertem Abschluss eingerichtet werden.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn die Feststellung bewertet, eine Maßnahme wirksam umgesetzt oder die verbleibende Abweichung ausdrücklich als Risiko übernommen und genehmigt wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-10AuthentifizierungsmethodenIdentitäten und privilegierter ZugriffRisiko: Niedrig Anforderung erfüllt
Feststellung
Die Konfiguration der Authentifizierungsmethoden wurde erfolgreich erhoben. Ob die zugelassenen Methoden und Zielgruppen den Unternehmensvorgaben entsprechen, ist gesondert zu beurteilen. Von 10 erfassten Authentifizierungsmethoden sind 5 aktiviert und 5 deaktiviert.
Prüfmaßstab
Erwarteter Sollzustand
Es sind ausschließlich angemessene Authentifizierungsmethoden zugelassen; starke Verfahren werden bevorzugt.
Risikobewertung
Mögliche Auswirkung
Schwache Anmeldeverfahren erleichtern Phishing, Token-Diebstahl und die Übernahme von Benutzerkonten.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung bewertet erlaubte Authentifizierungsmethoden, die Nutzung von SMS oder Voice, FIDO2 beziehungsweise Passkeys, Temporary Access Pass und die kombinierte Registrierung.
Empfohlene Maßnahme
Der festgestellte Sollzustand sollte beibehalten und im nächsten turnusmäßigen Prüflauf erneut bestätigt werden.
Erforderlicher Abschlussnachweis
Als Abschlussnachweis genügt ein erfolgreicher Wiederholungslauf, sofern der zugrunde liegende Geltungsbereich unverändert ist.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-11Passwortschutz und SSPRIdentitäten und privilegierter ZugriffRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für Password Protection und Self-Service Password Reset lagen keine ausreichenden Nachweise zu Geltungsbereich, Registrierungsverfahren, Sperrlisten und Smart Lockout vor.
Prüfmaßstab
Erwarteter Sollzustand
Password Protection und Self-Service Password Reset sind nach den Sicherheitsvorgaben konfiguriert.
Risikobewertung
Mögliche Auswirkung
Unzureichender Passwortschutz und unsichere Rücksetzverfahren können Kennwortangriffe oder Identitätsmissbrauch begünstigen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft benutzerdefinierte Sperrlisten, Smart Lockout, Self-Service Password Reset und den Schutz des Registrierungsprozesses.
Empfohlene Maßnahme
Geltungsbereich und Einstellungen von Password Protection, Smart Lockout und SSPR sollten dokumentiert, sicher konfiguriert und durch eine Stichprobe bestätigt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
IAM-12Servicekonten und Workload IdentitiesIdentitäten und privilegierter ZugriffRisiko: Hoch Verbesserung empfohlen
Feststellung
Es wurde ein mögliches benutzerbasiertes Servicekonto anhand der Namenskonvention erkannt. Die Erkennung anhand von Namen ist ein Indikator und kein vollständiger Bestandsnachweis. Von den 1 erkannten Konten sind 1 aktiviert.
Prüfmaßstab
Erwarteter Sollzustand
Servicekonten und Workload Identities sind minimiert, geschützt und eindeutig verantwortlichen Stellen zugeordnet.
Risikobewertung
Mögliche Auswirkung
Unkontrollierte technische Identitäten können dauerhaft und ohne persönliche Verantwortlichkeit auf Ressourcen zugreifen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung sucht nach hochprivilegierten Dienstkonten, interaktiver Nutzung, fehlenden Besitzern und ungeschützten Workload Identities.
Empfohlene Maßnahme
Servicekonten sollten vollständig inventarisiert, verantwortlichen Stellen zugeordnet und auf interaktive Anmeldung geprüft werden. Wo möglich sind Managed Identities oder Service Principals zu verwenden.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn alle erkannten Servicekonten inventarisiert, verantwortlichen Stellen zugeordnet und hinsichtlich Anmeldeart, Berechtigungen und Ablösung bewertet wurden.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
APP-01Benutzer- und Admin-ConsentAnwendungen, OAuth und LieferketteRisiko: Hoch Verbesserung empfohlen
Feststellung
Die Regeln für App-Zustimmungen wurden erfasst. Benutzer dürfen Anwendungen derzeit selbst bestimmte Zugriffsrechte geben. Ein aktiviertes Freigabeverfahren durch Administratoren wurde nicht gefunden.
Prüfmaßstab
Erwarteter Sollzustand
Benutzer können App-Berechtigungen nur innerhalb eines kontrollierten und genehmigten Verfahrens erteilen.
Risikobewertung
Mögliche Auswirkung
Unkontrollierte App-Zustimmungen können Anwendungen einen unerwünschten Zugriff auf Unternehmensdaten verschaffen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft, ob Benutzerzustimmungen eingeschränkt sind und ein kontrollierter Admin-Consent-Workflow besteht.
Empfohlene Maßnahme
Benutzerzustimmungen sollten auf einen genehmigten Berechtigungsrahmen begrenzt werden. Für weitergehende Anforderungen sollte ein Admin-Consent-Workflow mit dokumentierter Prüfung eingerichtet werden.
Erforderlicher Abschlussnachweis
Der Abschluss ist nachgewiesen, wenn die Consent-Einstellungen dem genehmigten Berechtigungsrahmen entsprechen und ein funktionierender Admin-Consent-Workflow getestet wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
APP-02Hochprivilegierte App-BerechtigungenAnwendungen, OAuth und LieferketteRisiko: Niedrig Anforderung erfüllt
Feststellung
Es wurden keine erteilte, besonders weitreichende App-Berechtigungen festgestellt.
Prüfmaßstab
Erwarteter Sollzustand
Besonders weitreichende App-Berechtigungen sind auf erforderliche und genehmigte Zuweisungen beschränkt.
Risikobewertung
Mögliche Auswirkung
Der Missbrauch weitreichender App-Berechtigungen kann große Datenbestände oder administrative Funktionen betreffen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung ermittelt Anwendungen und Service Principals mit kritischen delegierten Berechtigungen oder Application Permissions.
Empfohlene Maßnahme
Der festgestellte Sollzustand sollte beibehalten und im nächsten turnusmäßigen Prüflauf erneut bestätigt werden.
Erforderlicher Abschlussnachweis
Als Abschlussnachweis genügt ein erfolgreicher Wiederholungslauf, sofern der zugrunde liegende Geltungsbereich unverändert ist.
Datenbasis der Prüfung
Als Datenquelle wurde Graph appRoleAssignments + oauth2PermissionGrants verwendet.
Benötigte Microsoft-Graph-Berechtigungen: Application.Read.All.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
APP-03App-Geheimnisse, Zertifikate und BesitzerAnwendungen, OAuth und LieferketteRisiko: Hoch Verbesserung empfohlen
Feststellung
Es wurden 4 Auffälligkeiten bei App-Geheimnissen, Zertifikaten, Laufzeiten oder Verantwortlichkeiten festgestellt. Aufteilung der Feststellungen: 3 betreffen eine fehlende verantwortliche Person; 1 betreffen Laufzeit oder Zustand eines Zugangsmittels.
Prüfmaßstab
Erwarteter Sollzustand
App-Geheimnisse und Zertifikate sind gültig, angemessen befristet und eindeutigen Verantwortlichen zugeordnet.
Risikobewertung
Mögliche Auswirkung
Abgelaufene, zu lange gültige oder nicht verantwortete Zugangsmittel erhöhen das Risiko eines unbemerkten App-Missbrauchs.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung sucht nach ablaufenden, abgelaufenen oder sehr langlebigen Credentials sowie nach Anwendungen ohne Besitzer.
Empfohlene Maßnahme
Für jede betroffene Anwendung sollten ein verantwortlicher Besitzer benannt und Zugangsmittel mit angemessener Laufzeit verwendet werden. Abgelaufene oder nicht benötigte Credentials sind zu entfernen.
Erforderlicher Abschlussnachweis
Für jede festgestellte Auffälligkeit muss eine dokumentierte Behebung oder genehmigte Ausnahme vorliegen. Ein neuer Prüflauf darf keine unbearbeitete Auffälligkeit mehr ausweisen.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
APP-04Workload-Identity Conditional AccessAnwendungen, OAuth und LieferketteRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für Conditional Access zum Schutz von Workload Identities lagen die erforderlichen Lizenz- und Richtliniendaten nicht vollständig vor.
Prüfmaßstab
Erwarteter Sollzustand
Workload Identities werden durch geeignete risikobasierte Conditional-Access-Regeln geschützt.
Risikobewertung
Mögliche Auswirkung
Kompromittierte Workload Identities können ohne risikobasierte Zugriffskontrolle automatisiert auf Cloud-Ressourcen zugreifen.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung müssen Workload-Identity-Risiken und die zugehörigen Conditional-Access-Richtlinien gemeinsam geprüft werden.
Empfohlene Maßnahme
Workload Identities sollten risikobasiert überwacht und durch geeignete Conditional-Access-Regeln oder gleichwertige technische Maßnahmen geschützt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
APP-05Publisher-VerifizierungsmetadatenAnwendungen, OAuth und LieferketteRisiko: Mittel Verbesserung empfohlen
Feststellung
Bei den erhobenen Service Principals sind die Metadaten zur Publisher-Verifizierung nicht durchgängig vorhanden. Bei 142 Service Principals fehlt die Microsoft-Metadatenangabe eines verifizierten Herausgebers. Dieser Umstand allein belegt keine unsichere Anwendung; auch systemseitige oder etablierte Anwendungen können ohne diese Angabe erscheinen.
Prüfmaßstab
Erwarteter Sollzustand
Eingebundene Unternehmensanwendungen stammen von nachvollziehbaren und möglichst verifizierten Herausgebern.
Risikobewertung
Mögliche Auswirkung
Nicht nachvollziehbare Herausgeber erschweren die Vertrauensbewertung und erhöhen das Risiko schädlicher Anwendungen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung sucht nach Application Service Principals ohne verifizierte Publisher-Metadaten. Diese Metadaten ersetzen keine vollständige Risikobewertung der Anwendung.
Empfohlene Maßnahme
Anwendungen ohne verifizierten Herausgeber sollten vor weiterer Nutzung hinsichtlich Herkunft, Zweck, Berechtigungen und verantwortlicher Stelle überprüft werden.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn alle betroffenen Service Principals nach Herkunft, Zweck, Berechtigungen und Verantwortlichkeit klassifiziert und nicht freigegebene Anwendungen entfernt wurden.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
APP-06Cross-Tenant AccessAnwendungen, OAuth und LieferketteRisiko: Mittel Verbesserung empfohlen
Feststellung
Die Standardrichtlinie für Cross-Tenant Access wurde erfasst. Eine vollständige Dokumentation partnerspezifischer Regeln und ihrer fachlichen Genehmigung lag nicht vor.
Prüfmaßstab
Erwarteter Sollzustand
Tenantübergreifende Vertrauensbeziehungen sind auf den erforderlichen Umfang beschränkt und genehmigt.
Risikobewertung
Mögliche Auswirkung
Zu weit gefasste externe Vertrauensstellungen können Schutzvorgaben des eigenen Tenants umgehen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst die Cross-Tenant-Default-Policy. Organisationsspezifische Partnerregeln und fachlich zulässige Vertrauensbeziehungen müssen zusätzlich manuell geprüft werden.
Empfohlene Maßnahme
Die Cross-Tenant-Access-Richtlinien sollten je Partnerorganisation auf erforderliche Benutzer, Anwendungen und Vertrauensmerkmale begrenzt und formal genehmigt werden.
Erforderlicher Abschlussnachweis
Als Abschlussnachweis sind eine genehmigte Partnerliste, dokumentierte Cross-Tenant-Regeln und ein technischer Abgleich der aktiven Richtlinien erforderlich.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
EXT-01Inaktive und verwaiste BenutzerBenutzer, Gäste und GruppenRisiko: Mittel Verbesserung empfohlen
Feststellung
Die Prüfung ergab eine Feststellung, aus der sich Verbesserungsbedarf ergeben kann.
Prüfmaßstab
Erwarteter Sollzustand
Nicht mehr benötigte oder dauerhaft inaktive Benutzerkonten werden zeitnah deaktiviert oder entfernt.
Risikobewertung
Mögliche Auswirkung
Nicht mehr benötigte Konten können unbemerkt missbraucht werden und behalten möglicherweise weiterhin Berechtigungen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung identifiziert lange inaktive, möglicherweise nicht mehr benötigte, lizenzierte oder privilegierte Benutzerkonten.
Empfohlene Maßnahme
Inaktive Benutzerkonten sollten mit der zuständigen Fachstelle abgeglichen und anschließend deaktiviert oder entfernt werden. Ausnahmen sind mit Zweck und nächstem Prüftermin zu dokumentieren.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn die Feststellung bewertet, eine Maßnahme wirksam umgesetzt oder die verbleibende Abweichung ausdrücklich als Risiko übernommen und genehmigt wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
EXT-02Inaktive GastbenutzerBenutzer, Gäste und GruppenRisiko: Niedrig Anforderung erfüllt
Feststellung
Für den automatisiert geprüften Umfang wurde keine Abweichung festgestellt.
Prüfmaßstab
Erwarteter Sollzustand
Nicht mehr benötigte Gastkonten werden entfernt; jedes aktive Gastkonto besitzt einen nachvollziehbaren Sponsor.
Risikobewertung
Mögliche Auswirkung
Veraltete Gastkonten ermöglichen externen Zugriff, obwohl kein aktueller geschäftlicher Bedarf mehr besteht.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung sucht nach inaktiven Gastkonten. Für Sponsoren, tatsächliche Ressourcenzugriffe und Access Reviews werden zusätzliche Daten benötigt.
Empfohlene Maßnahme
Der festgestellte Sollzustand sollte beibehalten und im nächsten turnusmäßigen Prüflauf erneut bestätigt werden.
Erforderlicher Abschlussnachweis
Als Abschlussnachweis genügt ein erfolgreicher Wiederholungslauf, sofern der zugrunde liegende Geltungsbereich unverändert ist.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
EXT-03Direkte privilegierte GastrollenBenutzer, Gäste und GruppenRisiko: Niedrig Anforderung erfüllt
Feststellung
Es wurden keine direkte privilegierte Rollenzuweisungen an Gastbenutzer festgestellt.
Prüfmaßstab
Erwarteter Sollzustand
Gastkonten besitzen keine direkte privilegierte Directory-Role-Zuweisung, sofern diese nicht ausdrücklich genehmigt ist.
Risikobewertung
Mögliche Auswirkung
Privilegierte Gastrollen übertragen administrative Kontrolle an externe Identitäten und erhöhen das Schadenspotenzial eines Missbrauchs.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft, ob Gastkonten direkt einer Directory Role zugewiesen sind. Gruppenbasierte, transitive und ressourcenspezifische Berechtigungen werden bei diesem Prüfpunkt nicht vollständig berücksichtigt.
Empfohlene Maßnahme
Der festgestellte Sollzustand sollte beibehalten und im nächsten turnusmäßigen Prüflauf erneut bestätigt werden.
Erforderlicher Abschlussnachweis
Als Abschlussnachweis genügt ein erfolgreicher Wiederholungslauf, sofern der zugrunde liegende Geltungsbereich unverändert ist.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
EXT-04Microsoft-365-Gruppen ohne BesitzerBenutzer, Gäste und GruppenRisiko: Niedrig Anforderung erfüllt
Feststellung
Es wurden keine Microsoft-365-Gruppen ohne Besitzer festgestellt. Die Besitzerabfragen wurden vollständig und ohne technischen Fehler ausgeführt.
Prüfmaßstab
Erwarteter Sollzustand
Jede Microsoft-365-Gruppe besitzt mindestens einen aktiven und verantwortlichen Besitzer.
Risikobewertung
Mögliche Auswirkung
Gruppen ohne verantwortlichen Besitzer werden häufig nicht überprüft; Mitgliedschaften und Freigaben können dadurch veralten.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung ermittelt Microsoft-365-Gruppen ohne Besitzer, nachdem die Owner-Abfrage erfolgreich abgeschlossen wurde. SharePoint-Sites ohne zugehörige Microsoft-365-Gruppe sind nicht enthalten.
Empfohlene Maßnahme
Der festgestellte Sollzustand sollte beibehalten und im nächsten turnusmäßigen Prüflauf erneut bestätigt werden.
Erforderlicher Abschlussnachweis
Als Abschlussnachweis genügt ein erfolgreicher Wiederholungslauf, sofern der zugrunde liegende Geltungsbereich unverändert ist.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
EXT-05Joiner-Mover-Leaver-NachweiseBenutzer, Gäste und GruppenRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Die Wirksamkeit des Joiner-Mover-Leaver-Prozesses ist aus dem Tenantzustand allein nicht erkennbar. Dafür werden Prozessnachweise und geprüfte Stichproben benötigt.
Prüfmaßstab
Erwarteter Sollzustand
Berechtigungen werden bei Eintritt, Rollenwechsel und Austritt fristgerecht vergeben, angepasst oder entzogen.
Risikobewertung
Mögliche Auswirkung
Verspätete Berechtigungsänderungen führen zu Überberechtigungen oder fortbestehendem Zugriff ausgeschiedener Personen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung vergleicht Aktivität, Kontostatus, Rollen und Lizenzen. Organisatorische Freigaben und Prozessschritte müssen zusätzlich durch Dokumente oder Stichproben belegt werden.
Empfohlene Maßnahme
Der Joiner-Mover-Leaver-Prozess sollte mit Fristen, Rollen und Eskalationen dokumentiert und anhand aktueller Eintritte, Wechsel und Austritte stichprobenartig geprüft werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DEV-01Compliant Device für sensible ZugriffeGeräte und EndpunktschutzRisiko: Hoch Verbesserung empfohlen
Feststellung
Es wurde keine aktive Conditional-Access-Richtlinie gefunden, die für sensible Zugriffe ein konformes oder verwaltetes Gerät verlangt.
Prüfmaßstab
Erwarteter Sollzustand
Sensible Zugriffe sind auf konforme oder verwaltete Geräte beschränkt.
Risikobewertung
Mögliche Auswirkung
Sensible Daten können von kompromittierten oder nicht kontrollierten Geräten abgerufen werden.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft Conditional-Access-Kontrollen, die für sensible Zugriffe ein konformes oder verwaltetes Gerät verlangen.
Empfohlene Maßnahme
Sensible Anwendungen und administrative Zugriffe sollten durch Conditional Access auf konforme oder verwaltete Geräte beschränkt werden. Notwendige Ausnahmen sind eng zu begrenzen.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn sensible Zugriffe technisch auf konforme oder verwaltete Geräte beschränkt sind und ein Test den erwarteten Zugriff sowie die Blockierung eines nicht verwalteten Geräts bestätigt.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DEV-02Intune ComplianceGeräte und EndpunktschutzRisiko: Hoch Abweichung festgestellt
Feststellung
Der festgestellte Zustand weicht vom definierten Prüfmaßstab ab.
Prüfmaßstab
Erwarteter Sollzustand
Intune-Compliance-Richtlinien sind vollständig zugewiesen und verwaltete Geräte melden einen konformen Zustand.
Risikobewertung
Mögliche Auswirkung
Fehlende Compliance-Vorgaben verhindern eine verlässliche Beurteilung des Sicherheitszustands verwalteter Geräte.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung bewertet die von Intune gemeldete Geräte-Compliance und vorhandene Richtlinien. Die vollständige Abdeckung aller Zuweisungen und Plattformen muss zusätzlich geprüft werden.
Empfohlene Maßnahme
Compliance-Richtlinien sollten für alle relevanten Plattformen definiert, vollständig zugewiesen und regelmäßig anhand nicht konformer Geräte ausgewertet werden.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn die Abweichung behoben, die technische Prüfung danach erfüllt und der Abschluss durch einen Verantwortlichen bestätigt wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DEV-03Mobile App ProtectionGeräte und EndpunktschutzRisiko: Hoch Abweichung festgestellt
Feststellung
Der festgestellte Zustand weicht vom definierten Prüfmaßstab ab.
Prüfmaßstab
Erwarteter Sollzustand
App-Protection-Richtlinien schützen Unternehmensdaten auf mobilen Geräten.
Risikobewertung
Mögliche Auswirkung
Ohne App-Schutz können Unternehmensdaten auf mobilen Geräten unkontrolliert kopiert, gespeichert oder weitergegeben werden.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst MAM- und App-Protection-Richtlinien. Zielgruppenzuweisungen und einzelne Schutzparameter werden bei diesem Prüfpunkt nicht vollständig bewertet.
Empfohlene Maßnahme
Für mobile Zugriffe sollten App-Protection-Richtlinien mit geeigneten Vorgaben zu Datentransfer, lokaler Speicherung, PIN und Gerätestatus eingeführt werden.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn die Abweichung behoben, die technische Prüfung danach erfüllt und der Abschluss durch einen Verantwortlichen bestätigt wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DEV-04Gemeldete GeräteverschlüsselungGeräte und EndpunktschutzRisiko: Nicht bewertet Nicht anwendbar
Feststellung
Der Prüfpunkt ist für den dokumentierten Geltungsbereich nicht anwendbar.
Prüfmaßstab
Erwarteter Sollzustand
Verwaltete Geräte verwenden eine wirksame Datenträgerverschlüsselung.
Risikobewertung
Mögliche Auswirkung
Unverschlüsselte Geräte können bei Verlust oder Diebstahl gespeicherte Unternehmensdaten offenlegen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung ermittelt den von Intune gemeldeten Verschlüsselungsstatus. Secure Boot ist nicht Bestandteil dieses Prüfpunkts.
Empfohlene Maßnahme
Die Begründung für die Nichtanwendbarkeit ist zu dokumentieren und bei wesentlichen Änderungen erneut zu prüfen.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn die Nichtanwendbarkeit begründet, genehmigt und mit einem Termin für die nächste Prüfung dokumentiert wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DEV-05Betriebssystem- und PatchstandGeräte und EndpunktschutzRisiko: Mittel Verbesserung empfohlen
Feststellung
Die Prüfung ergab eine Feststellung, aus der sich Verbesserungsbedarf ergeben kann.
Prüfmaßstab
Erwarteter Sollzustand
Betriebssysteme, Update-Ringe und Patchstände liegen innerhalb der festgelegten Sicherheitsgrenzen.
Risikobewertung
Mögliche Auswirkung
Veraltete Betriebssysteme und fehlende Sicherheitsupdates lassen bekannte Schwachstellen ausnutzbar.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung sucht nach veralteten Betriebssystemen, fehlenden Update-Ringen und Geräten außerhalb definierter Compliance-Grenzen.
Empfohlene Maßnahme
Verbindliche Mindeststände für Betriebssysteme und Sicherheitsupdates sollten definiert, technisch überwacht und bei Überschreitung eskaliert werden.
Erforderlicher Abschlussnachweis
Der Abschluss ist erreicht, wenn die Feststellung bewertet, eine Maßnahme wirksam umgesetzt oder die verbleibende Abweichung ausdrücklich als Risiko übernommen und genehmigt wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DEV-06Defender for Endpoint IntegrationGeräte und EndpunktschutzRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für die Bewertung von Defender for Endpoint fehlen Daten zum Onboarding der Geräte und zur Einbindung des Device Risk in Conditional Access.
Prüfmaßstab
Erwarteter Sollzustand
Geräte sind in Defender for Endpoint eingebunden und ihr Risikostatus fließt in Zugriffsentscheidungen ein.
Risikobewertung
Mögliche Auswirkung
Ohne Endpunktrisiken in Zugriffsentscheidungen können kompromittierte Geräte weiterhin auf Cloud-Daten zugreifen.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung werden Defender-Daten zum Geräte-Onboarding, zu Device-Risk-Signalen und zur Conditional-Access-Integration benötigt.
Empfohlene Maßnahme
Alle relevanten Geräte sollten in Defender for Endpoint eingebunden werden. Device-Risk-Signale sind in Compliance- und Conditional-Access-Entscheidungen einzubeziehen.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
MAIL-01SPF, DKIM und DMARCE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
SPF, DKIM und DMARC wurden noch nicht über die DNS-Einträge aller verwendeten E-Mail-Domains geprüft.
Prüfmaßstab
Erwarteter Sollzustand
SPF, DKIM und DMARC schützen alle verwendeten E-Mail-Domänen gegen Absenderfälschung.
Risikobewertung
Mögliche Auswirkung
Unzureichender Domänenschutz erleichtert gefälschte Absender und erhöht die Erfolgswahrscheinlichkeit von Phishing.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung bewertet den technischen Schutz der Absenderdomänen und weist auf fehlende oder schwache SPF-, DKIM- und DMARC-Richtlinien hin.
Empfohlene Maßnahme
SPF, DKIM und DMARC sollten für jede aktive Versanddomäne geprüft und schrittweise auf eine durchsetzende DMARC-Richtlinie mit kontrollierter Berichterstattung ausgerichtet werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
MAIL-02Anti-Phishing und IdentitätsschutzE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nicht im Prüfumfang
Feststellung
Exchange Online war nicht Bestandteil dieses Prüflaufs. Anti-Phishing-Richtlinien und Spoof Intelligence wurden deshalb nicht beurteilt.
Prüfmaßstab
Erwarteter Sollzustand
Anti-Phishing-Schutz und Spoof Intelligence sind aktiviert und den relevanten Empfängern zugewiesen.
Risikobewertung
Mögliche Auswirkung
Unvollständiger Anti-Phishing-Schutz kann betrügerische Nachrichten und Identitätsvortäuschungen unentdeckt lassen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst aktive Anti-Phishing-Policies und Spoof Intelligence. Regelzuweisung und vollständige Zielgruppenabdeckung müssen zusätzlich geprüft werden.
Empfohlene Maßnahme
Der ausgeschlossene Microsoft-365-Dienst sollte in einem ergänzenden Prüflauf untersucht werden. Alternativ ist die Abgrenzung des Prüfumfangs schriftlich zu genehmigen.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn der Workload nachträglich geprüft oder sein Ausschluss mit Geltungsbereich und Freigabe dokumentiert wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
MAIL-03Safe Links und Safe AttachmentsE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nicht im Prüfumfang
Feststellung
Exchange Online war nicht Bestandteil dieses Prüflaufs. Safe Links und Safe Attachments wurden deshalb nicht beurteilt.
Prüfmaßstab
Erwarteter Sollzustand
Safe Links und Safe Attachments sind für alle relevanten Empfänger aktiviert.
Risikobewertung
Mögliche Auswirkung
Ohne Link- und Anhangsschutz können schädliche Inhalte Benutzer und Endgeräte erreichen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst Safe-Links- und Safe-Attachments-Richtlinien. Zielgruppen, Ausnahmen und dynamische Zustellung müssen zusätzlich geprüft werden.
Empfohlene Maßnahme
Der ausgeschlossene Microsoft-365-Dienst sollte in einem ergänzenden Prüflauf untersucht werden. Alternativ ist die Abgrenzung des Prüfumfangs schriftlich zu genehmigen.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn der Workload nachträglich geprüft oder sein Ausschluss mit Geltungsbereich und Freigabe dokumentiert wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
MAIL-04Externe automatische WeiterleitungE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nicht im Prüfumfang
Feststellung
Exchange Online war nicht Bestandteil dieses Prüflaufs. Externe automatische Weiterleitungen wurden deshalb nicht beurteilt.
Prüfmaßstab
Erwarteter Sollzustand
Automatische externe E-Mail-Weiterleitungen sind blockiert oder auf genehmigte Ausnahmen begrenzt.
Risikobewertung
Mögliche Auswirkung
Unkontrollierte Weiterleitungen können vertrauliche E-Mails dauerhaft an externe Empfänger übertragen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung sucht nach tenantweiten oder benutzerspezifischen Regeln, die E-Mails unkontrolliert an externe Empfänger weiterleiten.
Empfohlene Maßnahme
Der ausgeschlossene Microsoft-365-Dienst sollte in einem ergänzenden Prüflauf untersucht werden. Alternativ ist die Abgrenzung des Prüfumfangs schriftlich zu genehmigen.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn der Workload nachträglich geprüft oder sein Ausschluss mit Geltungsbereich und Freigabe dokumentiert wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
MAIL-05SMTP AUTH und AltprotokolleE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nicht im Prüfumfang
Feststellung
Exchange Online war nicht Bestandteil dieses Prüflaufs. SMTP AUTH und weitere Altprotokolle wurden deshalb nicht beurteilt.
Prüfmaßstab
Erwarteter Sollzustand
SMTP AUTH und andere veraltete Protokolle sind deaktiviert oder auf begründete Ausnahmen beschränkt.
Risikobewertung
Mögliche Auswirkung
Veraltete Protokolle unterstützen moderne Schutzmechanismen häufig nicht und erhöhen das Risiko kennwortbasierter Angriffe.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft tenantweite und mailboxbezogene Ausnahmen für SMTP AUTH sowie weitere veraltete Authentifizierungsprotokolle.
Empfohlene Maßnahme
Der ausgeschlossene Microsoft-365-Dienst sollte in einem ergänzenden Prüflauf untersucht werden. Alternativ ist die Abgrenzung des Prüfumfangs schriftlich zu genehmigen.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn der Workload nachträglich geprüft oder sein Ausschluss mit Geltungsbereich und Freigabe dokumentiert wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
MAIL-06Audit-Ingestion aktiviertE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nicht im Prüfumfang
Feststellung
Exchange Online war nicht Bestandteil dieses Prüflaufs. Die Audit-Aufzeichnung wurde deshalb nicht beurteilt.
Prüfmaßstab
Erwarteter Sollzustand
Die organisationsweite Audit-Aufzeichnung für Exchange Online ist aktiviert.
Risikobewertung
Mögliche Auswirkung
Fehlende Auditdaten erschweren die Aufklärung von Sicherheitsvorfällen und administrativen Änderungen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft die organisationsweiten Schalter für Audit und Unified Audit. Erfasste Aktionen und Aufbewahrungsfristen werden in separaten Prüfpunkten bewertet.
Empfohlene Maßnahme
Der ausgeschlossene Microsoft-365-Dienst sollte in einem ergänzenden Prüflauf untersucht werden. Alternativ ist die Abgrenzung des Prüfumfangs schriftlich zu genehmigen.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn der Workload nachträglich geprüft oder sein Ausschluss mit Geltungsbereich und Freigabe dokumentiert wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
COL-01SharePoint-/OneDrive-FreigabenE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für SharePoint und OneDrive lagen keine Daten zu externen Freigaben und Freigabelinks vor. Eine Beurteilung erfordert eine zusätzliche Erhebung in SharePoint Online.
Prüfmaßstab
Erwarteter Sollzustand
Externe Freigaben in SharePoint und OneDrive sind auf den erforderlichen Umfang begrenzt.
Risikobewertung
Mögliche Auswirkung
Zu weit gefasste Freigaben können internen oder vertraulichen Inhalt unkontrolliert extern zugänglich machen.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung werden SharePoint-Online-Daten und eine fachliche Prüfung externer Freigaben benötigt.
Empfohlene Maßnahme
Freigaberichtlinien für SharePoint und OneDrive sollten auf den geschäftlich erforderlichen Umfang begrenzt werden. Anonyme Links und externe Freigaben sind regelmäßig auszuwerten.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
COL-02Unmanaged Device AccessE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für den Zugriff nicht verwalteter Geräte lagen keine zusammengeführten Nachweise aus SharePoint Online und Conditional Access vor.
Prüfmaßstab
Erwarteter Sollzustand
Der Zugriff nicht verwalteter Geräte auf SharePoint und OneDrive ist angemessen eingeschränkt.
Risikobewertung
Mögliche Auswirkung
Nicht verwaltete Geräte können Unternehmensdaten lokal speichern, ohne dass deren Schutz sichergestellt ist.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung müssen SharePoint-Einstellungen und Conditional-Access-Richtlinien gemeinsam betrachtet werden.
Empfohlene Maßnahme
Der Zugriff nicht verwalteter Geräte sollte abhängig vom Schutzbedarf blockiert oder auf Webzugriff ohne Download beschränkt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
COL-03Teams Gast- und externer ZugriffE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nicht im Prüfumfang
Feststellung
Microsoft Teams war nicht Bestandteil dieses Prüflaufs. Gastzugriff und externe Federation wurden deshalb nicht beurteilt.
Prüfmaßstab
Erwarteter Sollzustand
Gastzugriff und externe Kommunikation in Microsoft Teams sind kontrolliert und genehmigt.
Risikobewertung
Mögliche Auswirkung
Unkontrollierte externe Kommunikation kann Informationen an nicht autorisierte Personen oder Organisationen weitergeben.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst die Federation-Konfiguration. Fachlich zulässige Domänen und Gastfunktionen müssen zusätzlich manuell bewertet werden.
Empfohlene Maßnahme
Der ausgeschlossene Microsoft-365-Dienst sollte in einem ergänzenden Prüflauf untersucht werden. Alternativ ist die Abgrenzung des Prüfumfangs schriftlich zu genehmigen.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn der Workload nachträglich geprüft oder sein Ausschluss mit Geltungsbereich und Freigabe dokumentiert wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
COL-04Teams-Meeting-SicherheitE-Mail, Teams, SharePoint und OneDriveRisiko: Nicht bewertet Nicht im Prüfumfang
Feststellung
Microsoft Teams war nicht Bestandteil dieses Prüflaufs. Die Sicherheit der Meeting Policies wurde deshalb nicht beurteilt.
Prüfmaßstab
Erwarteter Sollzustand
Teams-Meeting-Richtlinien schützen vertrauliche Besprechungen angemessen.
Risikobewertung
Mögliche Auswirkung
Unzureichende Meeting-Richtlinien können unerwünschte Teilnahme, Aufzeichnung oder Weitergabe vertraulicher Inhalte ermöglichen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst die Teams-Meeting-Policies. Zielgruppen und unternehmensgerechte Einstellungen müssen zusätzlich manuell bewertet werden.
Empfohlene Maßnahme
Der ausgeschlossene Microsoft-365-Dienst sollte in einem ergänzenden Prüflauf untersucht werden. Alternativ ist die Abgrenzung des Prüfumfangs schriftlich zu genehmigen.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn der Workload nachträglich geprüft oder sein Ausschluss mit Geltungsbereich und Freigabe dokumentiert wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DATA-01Unified Audit und AufbewahrungDatenschutz, Klassifizierung und AufbewahrungRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für Unified Audit und die Aufbewahrungsdauer fehlen Nachweise aus Microsoft Purview beziehungsweise Exchange Online.
Prüfmaßstab
Erwarteter Sollzustand
Relevante Aktivitäten werden vollständig protokolliert und für den festgelegten Zeitraum aufbewahrt.
Risikobewertung
Mögliche Auswirkung
Unvollständige oder zu kurz aufbewahrte Protokolle verhindern eine belastbare Rekonstruktion von Sicherheitsereignissen.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung werden Purview- und Exchange-Rollen, Lizenzinformationen sowie Nachweise zur Aufbewahrungsdauer benötigt.
Empfohlene Maßnahme
Audit-Aufzeichnung und Aufbewahrungsdauer sollten anhand regulatorischer und forensischer Anforderungen festgelegt und durch eine aktuelle Abfrage belegt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DATA-02Data Loss PreventionDatenschutz, Klassifizierung und AufbewahrungRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Die Data-Loss-Prevention-Richtlinien wurden nicht aus Microsoft Purview erhoben. Ihre Abdeckung ist deshalb nicht bewertet.
Prüfmaßstab
Erwarteter Sollzustand
Data-Loss-Prevention-Richtlinien verhindern den unzulässigen Abfluss schützenswerter Daten.
Risikobewertung
Mögliche Auswirkung
Ohne wirksame DLP-Regeln können schützenswerte Daten unbeabsichtigt oder vorsätzlich die Organisation verlassen.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung werden die Purview-DLP-Richtlinien erhoben und anschließend auf ihre fachliche Abdeckung geprüft.
Empfohlene Maßnahme
DLP-Richtlinien sollten auf Grundlage der relevanten Datenarten und Übertragungswege definiert, zunächst überwacht und anschließend kontrolliert durchgesetzt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DATA-03Sensitivity LabelsDatenschutz, Klassifizierung und AufbewahrungRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Sensitivity Labels und ihre Veröffentlichungsrichtlinien wurden nicht aus Microsoft Purview erhoben. Ihre Abdeckung ist deshalb nicht bewertet.
Prüfmaßstab
Erwarteter Sollzustand
Sensitivity Labels sind definiert, veröffentlicht und den vorgesehenen Zielgruppen zugewiesen.
Risikobewertung
Mögliche Auswirkung
Fehlende oder falsch zugewiesene Kennzeichnungen führen zu uneinheitlichem Schutz sensibler Informationen.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung werden Sensitivity Labels, Veröffentlichungsrichtlinien und Zielgruppenzuweisungen aus Microsoft Purview benötigt.
Empfohlene Maßnahme
Ein abgestimmtes Klassifizierungsschema sollte eingeführt und über Veröffentlichungsrichtlinien den relevanten Zielgruppen bereitgestellt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DATA-04Retention und Records ManagementDatenschutz, Klassifizierung und AufbewahrungRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Die technischen Retention-Einstellungen und die fachlich oder rechtlich geforderten Aufbewahrungsfristen wurden noch nicht gemeinsam geprüft.
Prüfmaßstab
Erwarteter Sollzustand
Aufbewahrungs- und Löschregeln entsprechen den fachlichen und rechtlichen Vorgaben.
Risikobewertung
Mögliche Auswirkung
Ungeeignete Aufbewahrungsregeln können gesetzliche Pflichten verletzen oder Daten länger als erforderlich speichern.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung werden technische Retention- und Records-Daten mit den fachlichen und rechtlichen Aufbewahrungsfristen verglichen.
Empfohlene Maßnahme
Aufbewahrungs- und Löschregeln sollten mit Datenschutz, Recht und Fachbereichen abgestimmt, technisch umgesetzt und regelmäßig überprüft werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DATA-05eDiscovery- und Compliance-RollenDatenschutz, Klassifizierung und AufbewahrungRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Die Rollen für Microsoft Purview und eDiscovery wurden nicht erhoben. Eine ausreichende Funktionstrennung ist deshalb nicht nachgewiesen.
Prüfmaßstab
Erwarteter Sollzustand
eDiscovery- und Compliance-Rollen sind nach dem Prinzip der Funktionstrennung vergeben.
Risikobewertung
Mögliche Auswirkung
Fehlende Funktionstrennung kann unkontrollierten Zugriff auf besonders sensible Compliance- und Ermittlungsdaten ermöglichen.
Prüfverfahren
Vorgehen und Einschränkungen
Für eine abschließende Bewertung werden Purview- und eDiscovery-Rollenzuweisungen erhoben und auf eine ausreichende Funktionstrennung geprüft.
Empfohlene Maßnahme
Purview- und eDiscovery-Rollen sollten auf erforderliche Personen begrenzt, funktional getrennt und regelmäßig rezertifiziert werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DET-01Security AlertsErkennung, Reaktion und WiderstandsfähigkeitRisiko: Nicht bewertet Prüfung eingeschränkt: Lizenz fehlt
Feststellung
Sicherheitswarnungen stehen mit der vorhandenen Lizenz nicht vollständig zur Auswertung zur Verfügung. Offene kritische Warnungen können daher nicht ausgeschlossen werden.
Prüfmaßstab
Erwarteter Sollzustand
Hochkritische Security Alerts werden zeitnah bewertet, bearbeitet und geschlossen.
Risikobewertung
Mögliche Auswirkung
Unbearbeitete kritische Warnungen können auf fortbestehende Angriffe oder kompromittierte Ressourcen hinweisen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft offene hochkritische Security Alerts. Für die Vollständigkeit der Incidents und ihre operative Bearbeitung werden zusätzliche Daten benötigt.
Empfohlene Maßnahme
Es ist zu entscheiden, ob die benötigte Lizenz bereitgestellt oder ein gleichwertiger manueller Nachweis dokumentiert wird.
Erforderlicher Abschlussnachweis
Der Prüfpunkt ist abgeschlossen, wenn die benötigte Lizenz verfügbar ist oder ein anerkannter Ersatznachweis fachlich bewertet wurde.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Benötigte Microsoft-Graph-Berechtigungen: SecurityAlert.Read.All.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DET-02Log-Aufbewahrung und SIEM-ExportErkennung, Reaktion und WiderstandsfähigkeitRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für die Aufbewahrung und den SIEM-Export fehlen zusammengeführte Nachweise aus Entra, Purview, Defender, Azure und dem eingesetzten SIEM.
Prüfmaßstab
Erwarteter Sollzustand
Sicherheitsrelevante Protokolle werden ausreichend lange gespeichert und bei Bedarf an ein SIEM übertragen.
Risikobewertung
Mögliche Auswirkung
Fehlende zentrale oder langfristige Protokolle verzögern Erkennung, Untersuchung und Nachweisführung bei Vorfällen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung bewertet verfügbare Logquellen, Aufbewahrungszeiten sowie konfigurierte Exporte oder Konnektoren zu einem SIEM.
Empfohlene Maßnahme
Protokollquellen, Aufbewahrungsfristen und SIEM-Weiterleitungen sollten vollständig inventarisiert und durch Such-, Export- und Alarmtests nachgewiesen werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DET-03Warnungen für privilegierte ÄnderungenErkennung, Reaktion und WiderstandsfähigkeitRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für Änderungen an privilegierten Rollen, Conditional Access und App Consents wurden keine vollständigen Alert-Regeln und Zuständigkeiten nachgewiesen.
Prüfmaßstab
Erwarteter Sollzustand
Kritische Änderungen an Rollen, Conditional Access und App-Zustimmungen lösen verlässliche Meldungen aus.
Risikobewertung
Mögliche Auswirkung
Kritische Änderungen können ohne verlässliche Meldung unbemerkt bleiben und ihre Wirkung länger entfalten.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft Warnsignale für Rollenänderungen, Änderungen an Conditional Access, App-Zustimmungen und die Nutzung von Notfallkonten.
Empfohlene Maßnahme
Für Änderungen an privilegierten Rollen, Conditional Access und App-Zustimmungen sollten konkrete Alarmregeln, Empfänger und Eskalationsfristen eingerichtet und getestet werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
DET-04Service Health und Admin-KommunikationErkennung, Reaktion und WiderstandsfähigkeitRisiko: Mittel Verbesserung empfohlen
Feststellung
Die aktuellen Service-Health-Meldungen wurden erfolgreich erhoben. Ob die Meldungen die zuständigen Personen erreichen und fristgerecht bearbeitet werden, ist nicht nachgewiesen. Von 74 Meldungen sind 2 offen und 72 als gelöst gekennzeichnet; erfasst wurden 32 Incidents und 42 Advisories.
Prüfmaßstab
Erwarteter Sollzustand
Wichtige Microsoft-Service-Meldungen erreichen die zuständigen Personen und werden nach einem festgelegten Verfahren bearbeitet.
Risikobewertung
Mögliche Auswirkung
Nicht weitergeleitete oder verspätet bearbeitete Service-Meldungen können Betriebs- und Sicherheitsauswirkungen vergrößern.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung prüft technische Empfänger und administrative Rollen für Service-Health-Meldungen. Ein belastbarer Krisenkommunikationsplan muss zusätzlich durch Dokumente nachgewiesen werden.
Empfohlene Maßnahme
Empfänger und Eskalationswege für Service- und Sicherheitsmeldungen sollten verbindlich festgelegt und anhand einer aktuellen Meldung nachgewiesen werden.
Erforderlicher Abschlussnachweis
Der Abschluss ist nachgewiesen, wenn Empfänger, Vertretung und Eskalationsfristen dokumentiert sind, offene Meldungen bewertet wurden und eine aktuelle Meldung den vorgesehenen Kommunikationsweg erfolgreich durchlaufen hat.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
RES-01Backup-, Restore- und WiederanlaufkonzeptErkennung, Reaktion und WiderstandsfähigkeitRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für Backup, Wiederherstellung und Wiederanlauf lagen weder eine freigegebene Dokumentation noch der Nachweis eines erfolgreichen Wiederherstellungstests vor.
Prüfmaßstab
Erwarteter Sollzustand
Backup, Wiederherstellung und Wiederanlauf sind dokumentiert und durch erfolgreiche Tests nachgewiesen.
Risikobewertung
Mögliche Auswirkung
Nicht getestete Wiederherstellungsverfahren können im Ernstfall zu langen Ausfällen oder dauerhaftem Datenverlust führen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung erfasst vorhandene technische Indikatoren. Backupstrategie, Wiederanlaufkonzept und erfolgreiche Restore-Tests müssen zusätzlich durch aktuelle Dokumente nachgewiesen werden.
Empfohlene Maßnahme
Für kritische Microsoft-365-Daten und Konfigurationen sollte ein genehmigtes Sicherungs- und Wiederherstellungskonzept bestehen. Wiederherstellungen sind regelmäßig zu testen.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
RES-02Incident- und MeldeprozessErkennung, Reaktion und WiderstandsfähigkeitRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für Incident-Meldung und Eskalation fehlen ein freigegebener Ablauf, aktuelle Kontakte und ein dokumentierter Übungsnachweis.
Prüfmaßstab
Erwarteter Sollzustand
Der Incident- und Meldeprozess ist durch aktuelle Rollen, Kontakte, Fristen und Übungen belastbar nachgewiesen.
Risikobewertung
Mögliche Auswirkung
Unklare Zuständigkeiten und Meldewege verzögern die Eindämmung eines Vorfalls und können Meldefristen gefährden.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung kann Kontakte und technische Voraussetzungen erfassen. Meldefristen, Rollen, Eskalationswege und Übungen müssen zusätzlich organisatorisch geprüft werden.
Empfohlene Maßnahme
Der Incident- und Meldeprozess sollte Rollen, Kontakte, Entscheidungswege und Fristen enthalten und durch eine dokumentierte Übung bestätigt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
RES-03Wirksamkeitsprüfung und MaßnahmenverfolgungErkennung, Reaktion und WiderstandsfähigkeitRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für die Wirksamkeitsprüfung fehlen ein durchgängiges Maßnahmen-Tracking, genehmigte Ausnahmen, Wiederholungsprüfungen und ein Management Review.
Prüfmaßstab
Erwarteter Sollzustand
Sicherheitsmaßnahmen, Ausnahmen und Wiederholungsprüfungen werden bis zum wirksamen Abschluss verfolgt.
Risikobewertung
Mögliche Auswirkung
Nicht nachverfolgte Maßnahmen und Ausnahmen führen dazu, dass bekannte Risiken dauerhaft bestehen bleiben.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung dokumentiert Findings, Wiederholungsprüfungen, Ausnahmen und Risikofreigaben. Die Zustimmung des Managements und der wirksame Abschluss müssen zusätzlich organisatorisch nachgewiesen werden.
Empfohlene Maßnahme
Feststellungen, Maßnahmen, Risikoübernahmen und Wiederholungsprüfungen sollten in einem zentralen Register mit Verantwortlichen, Fristen und Wirksamkeitsnachweis verfolgt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
RES-04Schulung und CyberhygieneErkennung, Reaktion und WiderstandsfähigkeitRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für Cyberhygiene und Managementschulungen fehlen Nachweise zu Inhalten, Teilnahme und Wirksamkeitskontrolle.
Prüfmaßstab
Erwarteter Sollzustand
Beschäftigte und Geschäftsleitung werden angemessen geschult; die Wirksamkeit der Schulungen wird geprüft.
Risikobewertung
Mögliche Auswirkung
Unzureichend geschulte Personen erkennen Angriffe später und treffen häufiger sicherheitskritische Fehlentscheidungen.
Prüfverfahren
Vorgehen und Einschränkungen
Technische Daten können Hinweise liefern. Schulungsinhalte, Teilnahme, Wirksamkeitskontrolle und die Schulung der Geschäftsleitung müssen separat nachgewiesen werden.
Empfohlene Maßnahme
Ein rollenbezogenes Schulungsprogramm sollte Pflichtinhalte, Teilnahme, Wiederholungsintervalle und eine messbare Wirksamkeitskontrolle umfassen.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
RES-05Lieferketten- und DienstleistersteuerungErkennung, Reaktion und WiderstandsfähigkeitRisiko: Nicht bewertet Nachweis ausstehend
Feststellung
Für die Steuerung von Lieferanten und Dienstleistern fehlen Vertrags-, SLA-, Kontrollrechts-, Exit- und Risikonachweise.
Prüfmaßstab
Erwarteter Sollzustand
Sicherheitsrisiken von Lieferanten und Dienstleistern werden vertraglich und operativ gesteuert.
Risikobewertung
Mögliche Auswirkung
Unzureichend gesteuerte Dienstleister können Sicherheitslücken, Abhängigkeiten und unklare Verantwortlichkeiten verursachen.
Prüfverfahren
Vorgehen und Einschränkungen
Die automatisierte Auswertung wertet App-, Gast- und Partnerzugriffe als technische Indikatoren aus. Verträge, SLAs, Exit-Regelungen und Kontrollrechte müssen zusätzlich anhand von Dokumenten geprüft werden.
Empfohlene Maßnahme
Sicherheitsanforderungen an Lieferanten sollten in Verträgen und SLAs verankert, durch Kontrollrechte überprüfbar und um Exit- sowie Notfallregelungen ergänzt werden.
Erforderlicher Abschlussnachweis
Für den Abschluss ist ein aktueller und belastbarer Nachweis erforderlich. Quelle, verantwortliche Stelle, Prüfer, Prüfdatum und Ergebnis müssen dokumentiert sein.
Datenbasis der Prüfung
Die Daten stammen aus dem Microsoft-365-Dienst, der diesem Prüfpunkt zugeordnet ist.
Für diesen Prüfpunkt ist keine zusätzliche Microsoft-Graph-Berechtigung dokumentiert.
Technische Rohevidenz wurde für diese öffentliche Demo entfernt.
Für die gewählte Filterkombination wurden keine Prüfpunkte gefunden.