Datenschutz- & Konformitätsprüfung
Microsoft 365 prüfen: Datenschutz, Zugriff, Freigaben und Mail.
Wir prüfen Ihren Tenant in sechs Bereichen, rein lesend und per Skript. Jeder Befund hat einen Soll-Wert, den gefundenen Ist-Zustand, eine Ampel und eine konkrete Maßnahme. Die Rohdaten bleiben bei Ihnen, damit sich das Ergebnis im nächsten Jahr Punkt für Punkt vergleichen lässt.
Prüfkatalog
Sechs Bereiche, einzeln oder zusammen buchbar
Klappen Sie einen Bereich auf: Sie sehen, was wir dort prüfen, und einen typischen Befund, wie er in vielen gewachsenen Tenants auftaucht. Der farbige Punkt zeigt die Ampel dieses Beispiels.
Identität & ZugriffWer kommt wie rein, und mit welchen Rechten?
Was wir prüfen
- Conditional-Access-Richtlinien und ihre Ausnahmen
- MFA-Abdeckung und erlaubte Methoden, phishing-resistente Verfahren
- Legacy-Authentifizierung blockiert
- Anzahl und Schutz privilegierter Rollen
- Notfallkonten: ausgenommen, geschützt, überwacht
- Privileged Identity Management für Admin-Rollen
- Einwilligung in Apps durch Benutzer
- Gastzugriff und Einladungsrechte
Typischer Befund Kritisch
Sieben dauerhaft zugewiesene globale Administratoren, kein PIM.
- Soll
- Weniger als fünf globale Admins (Microsoft-Empfehlung), Rollen nur bei Bedarf aktiviert.
- Maßnahme
- Rollen reduzieren, PIM mit Genehmigung und Begründung einführen.
Datenstandort & Microsoft-EinstellungenWo liegen die Daten, und was darf Microsoft sehen?
Was wir prüfen
- Datenstandort des Tenants je Dienst
- EU Data Boundary
- Customer Lockbox (sofern lizenziert)
- Diagnosedaten der Office-Apps
- Optionale verbundene Erfahrungen
- Datenschutzeinstellungen per Cloud-Richtlinie
Typischer Befund Prüfen
Optionale verbundene Erfahrungen für alle Benutzer aktiv, ohne dokumentierte Entscheidung.
- Soll
- Bewusst entschieden und per Cloud-Richtlinie gesetzt, im Verarbeitungsverzeichnis vermerkt.
- Maßnahme
- Richtlinie im Office-Cloud-Richtliniendienst setzen, Entscheidung dokumentieren.
Freigaben & InformationsschutzWas verlässt das Haus, und wer merkt es?
Was wir prüfen
- Externe Freigabe in SharePoint und OneDrive, organisationsweit und je Site
- Standard-Linktyp und Ablauf von Links
- Gast- und Teams-Richtlinien
- Vertraulichkeitsbezeichnungen: veröffentlicht und genutzt
- DLP-Richtlinien und ihre Wirkung
- Freigaben aus OneDrives ausgeschiedener Mitarbeitender
Typischer Befund Kritisch
Standardlink „Jeder mit dem Link“, ohne Ablaufdatum.
- Soll
- Standardlink „Personen in Ihrer Organisation“, anonyme Links nur mit Ablauf oder gar nicht.
- Maßnahme
- Freigabestufen je Site festlegen, bestehende anonyme Links auswerten und bereinigen.
Aufbewahrung & ProtokollierungBleibt, was bleiben muss, und verschwindet der Rest?
Was wir prüfen
- Aufbewahrungsrichtlinien im Abgleich mit dem Löschkonzept
- Konflikte zwischen Aufbewahrung und Löschung
- Audit-Protokollierung aktiv
- Aufbewahrungsdauer der Audit-Daten
- Postfach-Überwachung
- Dokumentierte Aufbewahrungssperren (Holds)
Typischer Befund Prüfen
Audit-Daten werden 180 Tage aufbewahrt, das Löschkonzept verlangt ein Jahr Nachvollziehbarkeit.
- Soll
- Aufbewahrung der Audit-Daten passend zum eigenen Konzept, Lücke bewusst geschlossen oder begründet.
- Maßnahme
- Audit-Aufbewahrungsrichtlinie (lizenzabhängig) oder Export in ein eigenes Log-Archiv.
BeschäftigtendatenLässt sich Leistung oder Verhalten auswerten?
Was wir prüfen
- Anonymisierte Namen in Nutzungsberichten
- Auswertungsfunktionen in Teams und Viva
- Copilot-Dashboard und Nutzungsberichte
- Adoption Score
- Abgleich mit Dienst- oder Betriebsvereinbarung
Typischer Befund Prüfen
Klarnamen in den Nutzungsberichten des Admin Centers sichtbar.
- Soll
- Namen in Berichten verborgen, wie in der Betriebsvereinbarung festgelegt.
- Maßnahme
- Einstellung im Admin Center umstellen, Ausnahmen für berechtigte Rollen dokumentieren.
E-Mail-SicherheitKommt Schadcode rein, oder gehen Daten unbemerkt raus?
Was wir prüfen
- Schutzrichtlinien in Defender und Exchange Online
- Safe Links und Safe Attachments
- SPF, DKIM und DMARC aller Domains
- Automatische Weiterleitung nach extern
- Posteingangsregeln mit externer Weiterleitung
- SMTP AUTH und Direct Send
Typischer Befund Kritisch
Drei Postfächer leiten automatisch an private Adressen weiter.
- Soll
- Automatische Weiterleitung nach extern gesperrt, Ausnahmen begründet und befristet.
- Maßnahme
- Ausgehende Spamrichtlinie anpassen, Weiterleitungen mit Fachbereich klären und beenden.
Befunde sind typische, anonymisierte Beispiele. Jeder Bereich ist einzeln oder als Gesamtprüfung buchbar.
So sieht ein Ergebnis aus
Ein Befund pro Zeile, nachvollziehbar bis zur Rohdatei
Ein Auszug aus einem Beispielbericht. Jede Zeile hat eine feste Prüfnummer. Im Folgejahr steht daneben, ob sich der Befund verbessert, verschlechtert oder nicht verändert hat.
| Prüfpunkt | Soll | Ist | Ampel | Maßnahme |
|---|---|---|---|---|
| ID-04Globale Administratoren | weniger als fünf, Aktivierung bei Bedarf | sieben, dauerhaft zugewiesen | Kritisch | Rollen reduzieren, PIM einführen |
| ID-03Legacy-Authentifizierung | blockiert | blockiert per Conditional Access | In Ordnung | keine |
| FR-02Standard-Freigabelink | Personen in Ihrer Organisation | Jeder mit dem Link, ohne Ablauf | Kritisch | Freigabestufen je Site, anonyme Links bereinigen |
| DS-05Optionale verbundene Erfahrungen | bewusst entschieden, dokumentiert | aktiv, keine Entscheidung | Prüfen | Cloud-Richtlinie setzen, im Verzeichnis vermerken |
| AU-04Aufbewahrung der Audit-Daten | ein Jahr laut Löschkonzept | 180 Tage | Prüfen | Audit-Aufbewahrungsrichtlinie oder eigenes Log-Archiv |
| BD-01Namen in Nutzungsberichten | verborgen | Klarnamen sichtbar | Prüfen | Einstellung umstellen, mit Betriebsvereinbarung abgleichen |
| EM-04Automatische Weiterleitung nach extern | gesperrt, Ausnahmen begründet | drei Postfächer leiten weiter | Kritisch | Ausgehende Spamrichtlinie anpassen, Weiterleitungen klären |
| EM-03DMARC | p=reject für alle Domains | zwei von drei Domains auf p=none | Prüfen | Absender auswerten, Richtlinie stufenweise verschärfen |
Illustratives Beispiel mit erfundenem Tenant. Ihr Bericht enthält alle Prüfpunkte der gebuchten Module, dazu Management-Summary und Rohdaten.
Ablauf
Lesen, belegen, bewerten, besprechen
Die Erhebung verändert nichts im Tenant. Lesende Rollen wie Global Reader und Security Reader reichen für fast alle Prüfpunkte. Auf Inhalte von Postfächern, Chats oder Dokumenten greifen wir nicht zu.
Umfang klären
Module, Lizenzen, Soll-Vorgaben aus Löschkonzept und Betriebsvereinbarung, Ansprechpartner.
Lesend erheben
Per Skript mit Microsoft Graph und Exchange Online PowerShell. Rohdaten mit Zeitstempel.
Bewerten
Jeder Prüfpunkt gegen sein Soll, getrennt von der Erhebung. Ampel und Maßnahme mit Aufwand.
Besprechen
Ergebnis mit IT, Datenschutz und auf Wunsch der Mitarbeitervertretung. Prioritäten festlegen.
Umsetzen & vergleichen
Maßnahmen mit Pilot und Rückweg umsetzen. Im Folgejahr dieselben Prüfpunkte, direkt vergleichbar.
Buchbar als
Ein Modul, die ganze Prüfung oder jedes Jahr
Einzelmodul
Ein Bereich mit konkretem Anlass, zum Beispiel „Freigaben & Informationsschutz“ vor einem Audit oder „Beschäftigtendaten“ vor der Verhandlung einer Betriebsvereinbarung.
Gesamtprüfung
Alle sechs Bereiche mit Management-Summary, Befundliste, Rohdaten und Abschlussgespräch. Grundlage für ein Härtungsprojekt oder den Nachweis gegenüber Prüfern.
Jährliche Prüfung
Dieselben Prüfpunkte jedes Jahr, mit Vergleich zum Vorjahr. Passt zu Rahmenverträgen und lässt sich mit dem Evergreen-Management verbinden.
Worauf wir prüfen
Ihr Soll, nicht unseres
Ein Befund ist nur so gut wie die Vorgabe, gegen die er gemessen wird. Deshalb beginnt jede Prüfung mit Ihren eigenen Vorgaben.
- Ihr Löschkonzept und Ihr Verzeichnis von Verarbeitungstätigkeiten
- Ihre Dienst- oder Betriebsvereinbarung zu Microsoft 365
- CIS Microsoft 365 Foundations Benchmark als technische Referenz
- Empfehlungen von Microsoft und, wo gefordert, BSI IT-Grundschutz
- Branchenvorgaben, etwa der B3S Krankenhaus im Gesundheitswesen
Häufige Fragen
Fragen zur Prüfung
Verändern Sie bei der Prüfung etwas im Tenant?
Nein. Die Erhebung läuft mit lesenden Rollen und verändert keine Einstellung. Änderungen gibt es erst in einer separaten Umsetzungsphase, die Sie freigeben, mit Sicherung des Ist-Zustands und einem Rückweg.
Sehen Sie dabei Mails, Chats oder Dokumente?
Nein. Geprüft werden Konfigurationen, Richtlinien und Metadaten wie Freigabeeinstellungen oder Rollen. Inhalte von Postfächern, Chats oder Dokumenten brauchen wir dafür nicht.
Muss die Mitarbeitervertretung beteiligt werden?
Die Prüfung selbst wertet kein Verhalten von Beschäftigten aus. Das Modul „Beschäftigtendaten“ prüft aber genau die Einstellungen, die für Betriebs- oder Personalrat relevant sind. Viele Organisationen stellen das Ergebnis deshalb auch dort vor. Wir unterstützen dabei.
Welche Lizenzen setzen Sie voraus?
Keine bestimmten. Einige Prüfpunkte gibt es nur mit passenden Lizenzen, etwa Customer Lockbox oder längere Audit-Aufbewahrung. Dann prüfen wir, ob die Funktion verfügbar ist, und bewerten das im Bericht.
Wie lange dauert eine Gesamtprüfung?
Die Erhebung selbst dauert meist nur Stunden. Bewertung, Bericht und Abschlussgespräch hängen vom Umfang des Tenants und Ihrer Vorgaben ab und liegen typischerweise bei einigen Arbeitstagen.
Setzen Sie die Maßnahmen auch um?
Ja, auf Wunsch. Dabei gilt unser Muster: Ist-Zustand sichern, im Pilot ändern, bewusst ausrollen und belegen. Bei der nächsten Prüfung wird kontrolliert, ob die Maßnahme wirkt.
Wie steht Ihr Tenant da?
In 30 Minuten klären wir Umfang, Lizenzen, Mitbestimmung und Zugang. Danach wissen Sie, welche Module sinnvoll sind und was die Prüfung liefert.