CIS Benchmark im M365 Tenant Check

Warum ein externer Benchmark hilft

Ein Tenant Check soll zeigen, wo die Konfiguration von bewährten Empfehlungen abweicht. Ohne gemeinsamen Massstab hängt das Ergebnis stark von der Erfahrung der beauftragten Person ab. Der CIS Microsoft 365 Foundations Benchmark schafft hier eine gemeinsame Sprache: Jede Empfehlung ist nummeriert, begründet und mit einer Prüfanleitung versehen.

Ein Check auf Basis des Benchmarks bleibt ein frei definiertes Beratungsformat. Er enthält kein Prüfungsurteil, schafft aber Transparenz und Vergleichbarkeit über die Zeit.

Level bewusst wählen

Level 1 enthält grundlegende Einstellungen mit geringer Auswirkung auf den Betrieb. Level 2 richtet sich an Umgebungen mit erhöhtem Schutzbedarf. Viele Organisationen starten mit Level 1 als verbindlichem Ziel und nehmen ausgewählte Empfehlungen aus Level 2 auf, wo es der Schutzbedarf rechtfertigt.

Lizenzen berücksichtigen

Einzelne Empfehlungen setzen bestimmte Lizenzen voraus, etwa Microsoft Entra ID P1 oder P2 oder Microsoft Defender for Office 365. Fehlt die Lizenz, kann die Empfehlung nicht umgesetzt werden. Ein guter Check weist dies separat aus und beziffert, welche Risiken ohne diese Funktionen bestehen bleiben. So entsteht eine sachliche Grundlage für Lizenzentscheide.

Ablauf eines Checks

• Version des Benchmarks, Level und Umfang festlegen
• Konfiguration mit Lesezugriff und, wo möglich, automatisierten Abfragen erheben
• Jede Empfehlung als erfüllt, teilweise erfüllt, nicht erfüllt oder nicht anwendbar einstufen
• Abweichungen nach Risiko und Aufwand priorisieren
• Akzeptierte Abweichungen mit Begründung und Verantwortlichem dokumentieren
• Ergebnis und Massnahmenplan mit IT und Management besprechen

Was ein Tenant Review umfasst

Ein Microsoft 365 Tenant Review ist eine strukturierte Bestandsaufnahme eines Mandanten. Der Begriff ist weder gesetzlich geschützt noch methodisch einheitlich definiert. Deshalb ist der vereinbarte Umfang wichtiger als die Bezeichnung.

Ein Review sollte beim Risiko und nicht beim verfügbaren Scanner beginnen. Zum Scope gehören auch Organisation und Betrieb. Interviews und Stichproben ergänzen deshalb die Konfigurationsanalyse. Typische Prüffelder sind:

• Mandantenstruktur, administrative Rollen und Notfallzugänge
• Authentifizierung, Conditional Access und Schutz privilegierter Konten
• Externe Zusammenarbeit in Entra ID, Teams und SharePoint
• Protokollierung, Alarmierung und Reaktion auf sicherheitsrelevante Ereignisse
• Informationsklassifikation, Data Loss Prevention, Aufbewahrung und Löschung
• Gerätezugriff und Abhängigkeiten zu Intune oder anderen Managementlösungen
• Governance für Änderungen, Ausnahmen, neue Dienste und KI-Funktionen

Ein gutes Review zeigt, welche Konfigurationen und Prozesse betrachtet wurden, welcher Referenzrahmen verwendet wurde und welche Grenzen bestehen. Es liefert Beobachtungen, Risiken und priorisierte Empfehlungen. Ohne formellen Prüfauftrag, definierte Assurance-Methode und entsprechende Unabhängigkeit entsteht daraus kein Prüfungsurteil.

Versionierung und Wiederholung

CIS veröffentlicht regelmässig neue Versionen. Wer einen Check jährlich wiederholt, sollte entscheiden, ob er auf die neue Version wechselt oder die alte zur Vergleichbarkeit beibehält. Beide Wege sind vertretbar, wenn sie im Bericht klar benannt werden.

Einordnung durch techtask

techtask führt Tenant Checks auf Basis des CIS Benchmarks durch und ergänzt sie um Governance-Fragen und die Sicht auf Daten und KI. Wir bezeichnen das Ergebnis als Review und nicht als Audit, weil es kein Prüfungsurteil enthält.