Ein Microsoft-365-Mandant ist kein System, das einmal eingerichtet und anschließend nur noch benutzt wird. Er verändert sich jeden Tag – und sollte deshalb ebenso regelmäßig überprüft werden.
Mitarbeitende kommen und gehen, Gäste erhalten Zugriff, neue Teams entstehen, Anwendungen werden autorisiert, Lizenzen wechseln und Microsoft führt neue Funktionen ein. Viele dieser Veränderungen sind sinnvoll. In ihrer Summe können sie jedoch dazu führen, dass Sicherheit, Kosten und Administration schleichend aus dem Gleichgewicht geraten.
Genau deshalb gehört die regelmäßige Mandantenprüfung zu einem professionellen Microsoft-365-Betrieb. Sie schafft Klarheit darüber, wie die Umgebung tatsächlich aufgestellt ist, welche Risiken bestehen und an welchen Stellen mit überschaubarem Aufwand eine spürbare Verbesserung erreicht werden kann.
Ein Microsoft-365-Mandant bleibt niemals stehen
Nach einer Einführung ist die Umgebung meist gut dokumentiert. Rollen sind abgestimmt, Sicherheitsrichtlinien eingerichtet, Lizenzen zugewiesen und Verantwortlichkeiten festgelegt. Einige Monate später sieht die Realität häufig anders aus.
Ein neuer Dienstleister wurde als Gast eingeladen. Für ein Projekt entstand kurzfristig ein Team. Eine Anwendung erhielt zusätzliche Microsoft-Graph-Berechtigungen. Ein ehemaliger Administrator besitzt noch eine privilegierte Rolle. Eine Richtlinie wurde für eine Fehleranalyse deaktiviert und anschließend nicht wieder eingeschaltet. Mehrere Mitarbeitende haben hochwertige Lizenzen, nutzen die darin enthaltenen Funktionen aber nur teilweise.
Keiner dieser Vorgänge muss für sich genommen ein Problem sein. Kritisch wird es, wenn Veränderungen nicht mehr im Zusammenhang betrachtet werden. Dann entsteht Konfigurationsdrift: Die tatsächliche Umgebung entfernt sich Schritt für Schritt vom ursprünglich geplanten Zustand.
Das Gefährliche daran ist, dass der Mandant weiterhin funktioniert. E-Mails werden zugestellt, Teams-Besprechungen finden statt und Dateien lassen sich öffnen. Ein grüner Betriebszustand bedeutet jedoch nicht automatisch, dass Berechtigungen, Sicherheitsmaßnahmen und Kosten weiterhin angemessen sind.
Was eine Mandantenprüfung leisten sollte
Eine gute Prüfung ist mehr als ein automatisierter Sicherheitsbericht. Sie verbindet technische Daten mit dem betrieblichen Kontext des Unternehmens.
Im Kern beantwortet sie vier Fragen:
- Wie ist der Mandant heute tatsächlich konfiguriert?
- Wo weicht dieser Zustand von Sicherheitsstandards, Microsoft-Empfehlungen oder internen Vorgaben ab?
- Welche Abweichungen sind für das Unternehmen wirklich relevant?
- Was sollte in welcher Reihenfolge verbessert werden?
Der letzte Punkt ist besonders wichtig. Ein Bericht mit 150 technischen Hinweisen hilft wenig, wenn nicht erkennbar ist, welche fünf Maßnahmen zuerst umgesetzt werden sollten. Eine sinnvolle Mandantenprüfung priorisiert deshalb nach Risiko, Auswirkung, Aufwand und vorhandenen Lizenzen.
Nicht jede Empfehlung passt zu jedem Unternehmen. Ein Energieversorger, ein Speditionsunternehmen und eine kommunal geprägte Organisation nutzen Microsoft 365 unterschiedlich. Sie haben andere regulatorische Anforderungen, andere Formen der Zusammenarbeit und andere betriebliche Abhängigkeiten. Eine Prüfung muss diese Unterschiede berücksichtigen.
Identitäten sind der Schlüssel zum gesamten Mandanten
In Microsoft 365 bildet die Identität die wichtigste Sicherheitsgrenze. Wer eine Identität kontrolliert, kann je nach Berechtigung auf E-Mails, Dateien, Anwendungen, Geräteinformationen und administrative Funktionen zugreifen.
Eine regelmäßige Prüfung sollte deshalb zunächst klären:
- Sind alle aktiven Benutzerkonten noch erforderlich?
- Gibt es deaktivierte oder verwaiste Konten mit Lizenzen oder Gruppenmitgliedschaften?
- Sind ehemalige Mitarbeitende vollständig aus allen relevanten Zugriffspfaden entfernt?
- Welche Gastkonten existieren und wann wurden sie zuletzt verwendet?
- Ist eine starke Mehrstufenauthentifizierung für alle relevanten Konten durchgesetzt?
- Werden privilegierte Konten ausschließlich für administrative Aufgaben verwendet?
- Gibt es Benutzer oder Anwendungen mit ungewöhnlich weitreichenden Rechten?
- Sind Synchronisationskonten, Dienstkonten und gemeinsam genutzte Konten nachvollziehbar dokumentiert?
Besondere Aufmerksamkeit verdienen administrative Rollen. In gewachsenen Umgebungen finden sich häufig mehr globale Administratoren, als für den laufenden Betrieb notwendig wären. Damit steigt nicht nur das Risiko eines erfolgreichen Angriffs. Auch Fehlkonfigurationen können größere Auswirkungen haben.
Weitreichende Rollen sollten auf wenige Konten begrenzt und nach dem Prinzip der geringsten erforderlichen Berechtigung vergeben werden. Statt für jede Aufgabe die Rolle Globaler Administrator zu verwenden, sind spezifische Rollen wie Exchange-Administrator, SharePoint-Administrator oder Benutzeradministrator vorzuziehen. Für besonders privilegierte Aufgaben kann Microsoft Entra Privileged Identity Management zeitlich begrenzte Aktivierungen ermöglichen.
Sicherheitsrichtlinien müssen nicht nur vorhanden, sondern wirksam sein
Viele Microsoft-365-Mandanten besitzen Conditional-Access-Richtlinien. Das allein sagt jedoch wenig über deren Schutzwirkung aus. Eine Richtlinie kann aktiviert sein und trotzdem wichtige Benutzer ausschließen. Sie kann nur auf einzelne Anwendungen wirken, veraltete Ausnahmen enthalten oder durch eine zweite Richtlinie unerwartet beeinflusst werden. Auch Richtlinien im Modus Nur Bericht werden im Alltag leicht übersehen.
Bei der Prüfung sollten deshalb nicht nur die Namen der Richtlinien betrachtet werden. Entscheidend sind Zielgruppen, Ausschlüsse, betroffene Anwendungen, Bedingungen und Zugriffskontrollen.
- Wird Mehrstufenauthentifizierung tatsächlich für alle relevanten Benutzer verlangt?
- Gelten strengere Regeln für administrative Konten?
- Sind veraltete Authentifizierungsverfahren blockiert?
- Werden riskante Anmeldungen angemessen behandelt?
- Ist der Zugriff auf sensible Anwendungen an verwaltete oder konforme Geräte gebunden?
- Welche Konten sind von Richtlinien ausgenommen und warum?
- Gibt es Lücken zwischen Benutzergruppen, Anwendungen oder Gerätetypen?
- Wurde die Auswirkung neuer Richtlinien vor der Aktivierung geprüft?
Eine sorgfältige Prüfung bewertet nicht nur den maximal möglichen Schutz. Sicherheitsmaßnahmen müssen zum Arbeitsalltag passen. Eine Richtlinie, die regelmäßig umgangen werden muss, ist selten eine gute Richtlinie. Ziel ist ein belastbares Gleichgewicht aus Schutz, Bedienbarkeit und betrieblichen Anforderungen.
Notfallzugänge müssen im Ernstfall funktionieren
Ein häufig unterschätzter Bestandteil des Mandantenbetriebs sind Notfallkonten, häufig auch als Break-Glass-Konten bezeichnet. Sie werden benötigt, wenn reguläre Administratoren durch eine fehlerhafte Richtlinie, eine Störung des Identitätsanbieters oder ein Problem mit dem üblichen Authentifizierungsverfahren ausgesperrt sind.
Es reicht nicht, diese Konten einmal anzulegen. Sie müssen geschützt, überwacht, dokumentiert und regelmäßig getestet werden. Microsoft empfiehlt mindestens zwei cloudbasierte Notfallkonten. Ebenso wichtig ist die Prüfung, ob Zugangsdaten und Authentifizierungsmittel erreichbar sind und ob eine Alarmierung bei einer Anmeldung ausgelöst wird.
Ein Notfallkonto, dessen Kennwort niemand kennt oder dessen Sicherheitsschlüssel nicht mehr auffindbar ist, bietet nur eine trügerische Sicherheit.
Unternehmensanwendungen und Einwilligungen im Blick behalten
Moderne Microsoft-365-Umgebungen bestehen längst nicht mehr nur aus Exchange, SharePoint und Teams. Fachanwendungen, Automatisierungen, mobile Apps, Analysewerkzeuge und Software-as-a-Service-Lösungen greifen über Microsoft Entra und Microsoft Graph auf Daten zu.
Diese Integrationen sind häufig notwendig. Sie können aber weitreichende Berechtigungen erhalten, beispielsweise zum Lesen von Benutzerprofilen, Dateien, E-Mails oder Verzeichnisinformationen. Besonders Anwendungsberechtigungen verdienen Aufmerksamkeit, weil sie ohne interaktiv angemeldeten Benutzer ausgeführt werden können.
- Welche Unternehmensanwendungen wurden neu angelegt?
- Wer hat einer Anwendung zugestimmt?
- Welche delegierten und anwendungsbezogenen Berechtigungen wurden erteilt?
- Benötigt die Anwendung diese Rechte weiterhin?
- Existieren Anwendungen ohne erkennbaren Besitzer?
- Sind Zertifikate und Geheimnisse aktuell?
- Gibt es abgelaufene oder bald ablaufende Anmeldeinformationen?
- Werden ungenutzte Anwendungen noch benötigt?
- Welche Dienstprinzipale besitzen privilegierte Verzeichnisrollen?
Gerade bei lange bestehenden Anwendungen ist oft nicht mehr bekannt, wer sie eingeführt hat oder welcher Geschäftsprozess davon abhängt. Ein vorschnelles Löschen wäre riskant. Zunächst müssen Eigentümer, Zweck und tatsächliche Nutzung geklärt werden. Danach lässt sich entscheiden, ob Berechtigungen reduziert, Anmeldeinformationen erneuert oder die Anwendung kontrolliert außer Betrieb genommen werden kann.
Gäste und externe Freigaben wachsen schneller als erwartet
Microsoft 365 macht die Zusammenarbeit mit Kunden, Lieferanten, Projektpartnern und externen Beratern ausgesprochen einfach. Gleichzeitig entstehen Zugriffe, die nach Abschluss eines Projekts leicht bestehen bleiben.
Ein Gastkonto kann weiterhin Mitglied eines Teams sein, auf SharePoint-Inhalte zugreifen oder einer Unternehmensanwendung zugewiesen bleiben. Wurde das Gastkonto später deaktiviert, bedeutet das nicht zwingend, dass alle zugrunde liegenden Freigaben fachlich sauber bewertet wurden.
- Gastkonten und deren letzte Aktivität
- Mitgliedschaften in Microsoft-365-Gruppen und Teams
- direkte SharePoint-Berechtigungen
- Freigabelinks und anonyme Freigaben
- externe Domänen und Freigabeeinstellungen
- Besitzer von Teams, Gruppen und SharePoint-Sites
- sensible Bereiche mit externer Beteiligung
- abgelaufene oder nie angenommene Einladungen
Die technische Entscheidung, ob ein Gastzugriff noch benötigt wird, kann die IT allein häufig nicht treffen. Hier sind die fachlichen Eigentümer gefragt. Microsoft Entra Access Reviews können solche Prüfungen wiederkehrend organisieren und Verantwortliche gezielt einbeziehen.
Teams und SharePoint brauchen Governance
Ein Team ist schnell erstellt. Im Hintergrund entstehen jedoch mehrere miteinander verbundene Objekte: eine Microsoft-365-Gruppe, eine SharePoint-Site, möglicherweise ein Postfach, ein Planner-Plan und weitere Dienste.
Über Jahre können so Hunderte Teams und Sites entstehen. Einige werden täglich genutzt, andere sind längst verwaist. Manche besitzen keine aktiven Eigentümer mehr. Andere enthalten weiterhin sensible Inhalte oder erlauben externe Freigaben, obwohl das ursprüngliche Projekt beendet ist.
- Ist ein fachlicher und technischer Eigentümer vorhanden?
- Wann fand die letzte erkennbare Aktivität statt?
- Gibt es externe Mitglieder oder Freigaben?
- Welche Datenschutz- und Aufbewahrungsvorgaben gelten?
- Ist der Arbeitsbereich noch erforderlich?
- Kann er archiviert oder kontrolliert gelöscht werden?
- Entspricht die Namensgebung den internen Vorgaben?
- Sind besonders sensible Bereiche angemessen geschützt?
Governance bedeutet nicht, jede Neuanlage durch ein langwieriges Freigabeverfahren zu blockieren. Gute Governance ermöglicht produktives Arbeiten innerhalb nachvollziehbarer Leitplanken.
Exchange Online bleibt ein attraktives Angriffsziel
E-Mail ist weiterhin einer der wichtigsten Kommunikationswege und ein bevorzugter Einstiegspunkt für Angriffe. Entsprechend gehört Exchange Online in jede fundierte Mandantenprüfung.
- externe Weiterleitungen und ungewöhnliche Postfachregeln
- Transportregeln sowie Stellvertretungs- und Senden-als-Rechte
- freigegebene Postfächer und deren Berechtigungen
- veraltete Authentifizierungsverfahren
- Anti-Phishing- und Anti-Spam-Richtlinien
- Schutz vor Identitätsvortäuschung
- DKIM-, SPF- und DMARC-Konfiguration
- administrative Rollen und Zugriffspfade
- Aufbewahrungs- und Archivierungseinstellungen
Eine externe Weiterleitung muss nicht bösartig sein. Vielleicht wurde sie für einen legitimen Geschäftsprozess eingerichtet. Trotzdem sollte klar sein, wer sie eingerichtet hat, wohin Nachrichten übertragen werden und ob der Zweck noch besteht. Nicht jede Auffälligkeit ist automatisch ein Sicherheitsvorfall. Sie ist zunächst ein Anlass, den Sachverhalt zu verstehen.
Lizenzen sind Kostenfaktor und Funktionsgrundlage zugleich
Microsoft-365-Lizenzierung ist kein reines Einkaufsthema. Lizenzen bestimmen, welche Sicherheits-, Compliance- und Verwaltungsfunktionen zur Verfügung stehen. Gleichzeitig können unpassende Zuweisungen erhebliche laufende Kosten verursachen.
- ungenutzte oder nur teilweise genutzte Lizenzen
- Lizenzen auf deaktivierten Konten
- Direktzuweisungen im Vergleich zur gruppenbasierten Lizenzierung
- unterschiedliche Lizenzstände bei vergleichbaren Benutzergruppen
- verfügbare, aber nicht eingesetzte Sicherheitsfunktionen
- Mehrfachzuweisungen und überlappende Produkte
- Test- und Zusatzlizenzen
- Kapazitäten, Add-ons und bevorstehende Verlängerungen
Eine geringe Aktivität bedeutet nicht automatisch, dass eine Lizenz entzogen werden kann. Führungskräfte, saisonal Beschäftigte, Bereitschaftsdienste oder technische Konten können legitime Gründe für eine abweichende Nutzung haben. Das Ziel ist nicht, jede Lizenz maximal auszulasten. Das Ziel ist eine nachvollziehbare Zuordnung zwischen Aufgabe, benötigter Funktion und gewähltem Produkt.
Microsoft Secure Score ist ein Ausgangspunkt, kein Endergebnis
Microsoft Secure Score liefert einen guten Überblick über die Sicherheitsposition des Mandanten. Der Wert darf jedoch nicht mit einem Prüfsiegel verwechselt werden. Ein hoher Score bedeutet nicht automatisch, dass alle unternehmensspezifischen Risiken berücksichtigt wurden. Umgekehrt kann eine bewusst nicht umgesetzte Empfehlung gute fachliche oder technische Gründe haben.
- Empfehlung technisch verstehen.
- Relevanz und Auswirkungen für die eigene Umgebung bewerten.
- Umsetzung, alternative Maßnahme oder bewusste Risikoakzeptanz dokumentieren.
Nicht der höchstmögliche Punktestand ist das Ziel, sondern ein belastbares Sicherheitsniveau.
Protokolle sind nur wertvoll, solange sie verfügbar sind
Wenn ein Sicherheitsvorfall untersucht werden muss, entscheidet die Qualität der Protokollierung darüber, welche Fragen noch beantwortet werden können. Wer hat eine Rolle vergeben? Wann wurde eine Anwendung registriert? Von welchem Standort erfolgte eine Anmeldung? Welche Konfiguration wurde verändert?
Bei Microsoft Entra unterscheiden sich die standardmäßigen Aufbewahrungszeiten nach Lizenz. Audit- und Anmeldeprotokolle werden in Entra ID Free sieben Tage, mit Entra ID P1 oder P2 grundsätzlich 30 Tage vorgehalten. Eine spätere Lizenzumstellung stellt bereits abgelaufene Daten nicht wieder her.
Für viele Unternehmen reichen 30 Tage nicht aus. Das gilt besonders dann, wenn Vorfälle erst spät entdeckt werden oder Prüfungs- und Nachweispflichten bestehen. In diesen Fällen sollten relevante Protokolle frühzeitig an Azure Monitor, einen Storage Account, Microsoft Sentinel oder ein anderes SIEM-System übertragen werden.
Microsoft verändert den Dienst laufend
Microsoft 365 ist ein kontinuierlich weiterentwickelter Cloud-Dienst. Funktionen werden ergänzt, Oberflächen verändert, APIs angepasst und ältere Verfahren eingestellt. Einige Änderungen werden automatisch ausgerollt. Andere erfordern Vorbereitung durch die Administration.
Das Microsoft-365-Nachrichtencenter informiert unter anderem über neue Funktionen, geplante Änderungen und notwendige Maßnahmen. Im Service-Health-Bereich werden Störungen und Hinweise zur Dienstverfügbarkeit veröffentlicht.
- Welche angekündigten Änderungen betreffen den Mandanten?
- Müssen Richtlinien, Anwendungen oder Schulungsunterlagen angepasst werden?
- Werden Funktionen abgekündigt, die noch produktiv verwendet werden?
- Gibt es neue Sicherheitsfunktionen, die mit bestehenden Lizenzen verfügbar sind?
- Wer bewertet Message-Center-Meldungen und verfolgt notwendige Maßnahmen?
- Sind Service-Health-Meldungen in den Supportprozess eingebunden?
Wie oft sollte ein Mandant geprüft werden?
Es gibt keinen starren Rhythmus, der für jedes Unternehmen passt. Größe, Schutzbedarf, Veränderungsgeschwindigkeit und regulatorische Anforderungen spielen eine wichtige Rolle. Für viele mittelständische Umgebungen hat sich eine Kombination mehrerer Prüfzyklen bewährt.
Laufende Überwachung
Sicherheitswarnungen, riskante Anmeldungen, privilegierte Veränderungen, neue Anwendungen, Dienststörungen und kritische Konfigurationsänderungen sollten möglichst zeitnah betrachtet werden.
Monatliche Betriebsprüfung
Ein monatlicher Blick eignet sich unter anderem für neue Benutzer, Gruppen, Rollenzuweisungen, Lizenzänderungen, Unternehmensanwendungen, offene Sicherheitsmaßnahmen und relevante Message-Center-Ankündigungen.
Vierteljährlicher Check-up
Alle drei Monate sollte der Mandant strukturiert gegen die vereinbarte Baseline geprüft werden. Dazu gehören Identitäten, Rollen, Gäste, Anwendungen, Sicherheitsrichtlinien, Freigaben, Lizenzierung und der Test der Notfallzugänge.
Jährliche Gesamtbewertung
Mindestens einmal im Jahr sollte zusätzlich die übergeordnete Strategie betrachtet werden: Passen die Sicherheits- und Governance-Vorgaben noch zur Organisation? Werden vorhandene Funktionen sinnvoll eingesetzt? Haben sich Geschäftsprozesse, gesetzliche Anforderungen oder Verantwortlichkeiten verändert?
Ereignisbezogene Prüfung
Unabhängig vom festen Rhythmus ist eine Prüfung nach wesentlichen Veränderungen sinnvoll, beispielsweise nach einer Übernahme, einer Migration, einem Sicherheitsvorfall, einem Wechsel des IT-Dienstleisters oder einer größeren Lizenzumstellung.
Woran erkennt man einen guten Prüfbericht?
Ein guter Bericht ist nicht möglichst lang, sondern verständlich und umsetzbar. Er sollte technische Feststellungen in einen geschäftlichen Zusammenhang stellen.
- eine verständliche Zusammenfassung für die Verantwortlichen
- der dokumentierte Ist-Zustand
- eine Priorisierung nach Risiko und Dringlichkeit
- konkrete technische Nachweise
- betroffene Benutzer, Dienste oder Geschäftsprozesse
- empfohlene Maßnahmen, notwendige Lizenzen und Abhängigkeiten
- eine realistische Einschätzung des Aufwands
- klare Verantwortlichkeiten und ein Zeitplan
- dokumentierte Ausnahmen und Risikoentscheidungen
Der CloudLights-Ansatz: verstehen, bewerten, verbessern
Bei CloudLights betrachten wir einen Microsoft-365-Mandanten nicht als Ansammlung einzelner Admin Center. Entra, Exchange, Teams, SharePoint, Intune, Defender, Purview und die Power Platform greifen ineinander. Eine Änderung an einer Stelle kann an einer anderen Stelle Auswirkungen haben.
Deshalb beginnt eine gute Prüfung mit Transparenz. Erst wenn Identitäten, Rollen, Anwendungen, Lizenzen, Freigaben und Richtlinien im Zusammenhang sichtbar sind, lässt sich vernünftig priorisieren.
Dabei geht es nicht darum, eine möglichst lange Mängelliste zu produzieren. Ebenso wenig geht es darum, jede Microsoft-Empfehlung ungeprüft zu übernehmen. Entscheidend ist, welche Maßnahmen zur Organisation passen und das beste Verhältnis aus Schutzwirkung, Betriebsstabilität und Aufwand bieten.
Oder einfacher gesagt: Nicht alles, was technisch möglich ist, ist automatisch sinnvoll. Aber alles, was sicherheitsrelevant ist, sollte bekannt, bewertet und bewusst entschieden sein.
Ein Mandant ist kein abgeschlossenes Projekt
Die regelmäßige Prüfung eines Microsoft-365-Mandanten ist weder Misstrauen gegenüber der eigenen IT noch ein Hinweis darauf, dass bei der Einführung schlecht gearbeitet wurde. Sie ist die logische Folge einer Plattform, die sich gemeinsam mit dem Unternehmen weiterentwickelt.
Ein Check-up schafft vor allem Klarheit: darüber, wer Zugriff besitzt, welche Anwendungen auf Daten zugreifen, welche Sicherheitsmaßnahmen tatsächlich wirken, wofür Lizenzen bezahlt werden und wo Handlungsbedarf besteht.
Microsoft 365 kann seine Stärken am besten ausspielen, wenn Sicherheit, Administration und Nutzung nicht getrennt betrachtet werden. Eine regelmäßige Mandantenprüfung schafft dafür die Grundlage. Ganz im Sinne von CloudLights: jeden Tag ein Stück besser.
Weiterführende Microsoft-Quellen
Die fachlichen Aussagen wurden gegen die folgenden offiziellen Microsoft-Dokumentationen geprüft:
