Microsoft 365 Audit

Wir prüfen unabhängig. Wir verkaufen weder Lizenzen noch Betriebsleistungen und beurteilen deshalb, was ist, nicht was wir anschliessend umsetzen möchten.

Für wen ein Microsoft 365 Audit sinnvoll ist

• Interne Revision, die Microsoft 365 im Prüfplan hat, aber kein eigenes Spezialwissen zur Plattform aufbauen will. Wir prüfen im Co-Sourcing oder vollständig im Auftrag.
• Banken und Versicherungen, die nachweisen müssen, dass IKT-Risiken und kritische Daten in der Cloud angemessen gesteuert werden.
• Öffentliche Verwaltungen, die Datenschutz, Datenhaltung und Zugriffskontrolle gegenüber Parlament, Finanzkontrolle oder Datenschutzbeauftragten belegen müssen.
• Geschäftsleitungen und Verwaltungsräte, die vor der Einführung von Copilot oder KI-Agenten eine unabhängige Standortbestimmung wünschen.

Prüffelder im Überblick

Der Prüfumfang wird zu Beginn gemeinsam festgelegt. Typischerweise decken wir die folgenden Prüffelder ab:

1. Identitäten und Zugriff Anmeldeverfahren, Multi-Faktor-Authentifizierung, Conditional-Access-Richtlinien, Umgang mit Gastkonten und externen Identitäten, Lebenszyklus von Benutzerkonten (Ein-, Um- und Austritte), Notfallkonten.

2. Privilegierte Rollen und Administration Anzahl und Zuweisung globaler und weiterer Administratorrollen, zeitlich begrenzte Rollenvergabe (Privileged Identity Management), Trennung von Administrations- und Alltagskonten, Freigabe- und Rezertifizierungsprozesse.

3. Datenfreigabe und Zusammenarbeit Externe Freigaben in SharePoint, OneDrive und Teams, Standardeinstellungen für Freigabelinks, Lebenszyklus von Teams und Gruppen, Berechtigungsstrukturen auf sensiblen Ablagen.

4. Informationsschutz mit Microsoft Purview Klassifizierungsschema und Vertraulichkeitsbezeichnungen, Data Loss Prevention, Schutz besonders schützenswerter Personendaten und Kundendaten, Abgleich mit der internen Datenklassifizierung.

5. Aufbewahrung, Archivierung und Löschung Aufbewahrungsrichtlinien und -bezeichnungen, Abdeckung gesetzlicher Aufbewahrungsfristen, Litigation Hold und eDiscovery, nachvollziehbare Löschung.

6. Protokollierung und Überwachung Aktivierung und Aufbewahrungsdauer des Audit-Logs, Anbindung an SIEM oder Security Operations, Alarmierung bei kritischen Ereignissen, Auswertung privilegierter Aktivitäten.

7. Geräte und Endpunkte Zugriff von verwalteten und nicht verwalteten Geräten, Compliance-Richtlinien in Intune, Schutz mobiler Endgeräte.

8. Copilot und KI-Agenten Berechtigungshygiene als Voraussetzung für Copilot, Steuerung von Agenten und Plug-ins, Inventar der KI-Anwendungen, Protokollierung von KI-Interaktionen, Abgleich mit der internen KI-Richtlinie.

9. Betrieb, Verträge und Datenhaltung Change-Management für Tenant-Einstellungen, Dokumentation der Konfiguration, Vertrags- und Auslagerungsgrundlagen, Datenstandort und Datenresidenz in der Schweiz.

Kriterien: woran wir messen

Ein Prüfungsurteil braucht einen Massstab. Je nach Organisation und Auftrag verwenden wir:

• CIS Microsoft 365 Foundations Benchmark als technische Referenz für sichere Grundkonfigurationen.
• FINMA-Rundschreiben 2023/1 «Operationelle Risiken und Resilienz – Banken» für Banken, insbesondere die Anforderungen an das IKT-Risikomanagement, den Umgang mit kritischen Daten und das Cyber-Risikomanagement.
• FINMA-Aufsichtsmitteilung 08/2024 «Governance und Risikomanagement beim Einsatz von Künstlicher Intelligenz» für Copilot und KI-Agenten: Inventar, Risikoklassifizierung, Tests, Erklärbarkeit, unabhängige Überprüfung und Auslagerung.
• FINMA-Rundschreiben 2018/3 «Outsourcing», wenn Microsoft 365 als wesentliche Auslagerung eingestuft ist.
• Revidiertes Datenschutzgesetz (DSG) und für Verwaltungen die kantonalen Informations- und Datenschutzgesetze.
• NIST CSF 2.0 oder ISO/IEC 27001 als übergeordneter Kontrollrahmen, wenn die Organisation diesen bereits verwendet.
• Interne Weisungen wie Informationssicherheitsrichtlinie, Datenklassifizierung oder KI-Richtlinie.

FINMA-Bezug: was Banken und Versicherungen beachten sollten

Für beaufsichtigte Institute ist Microsoft 365 selten «nur» eine Büroanwendung. Über die Plattform laufen Kundenkorrespondenz, Entscheidungsunterlagen und zunehmend KI-gestützte Arbeitsabläufe. Daraus ergeben sich typische Prüffragen:

• Sind kritische Daten identifiziert, klassifiziert und in Microsoft 365 entsprechend geschützt?
• Sind privilegierte Zugriffe beschränkt, überwacht und regelmässig rezertifiziert?
• Ist die Protokollierung so ausgestaltet, dass Sicherheitsvorfälle erkannt und nachvollzogen werden können?
• Ist Copilot im KI-Inventar erfasst, risikoklassifiziert und in die Governance eingebunden?
• Sind die Auslagerungsanforderungen gegenüber Microsoft vertraglich und organisatorisch abgedeckt?

Wir übersetzen diese Anforderungen in konkrete Prüfschritte und zeigen, welche Konfigurationen und Nachweise dafür aussagekräftig sind.

Welche Evidenz ist aussagekräftig?

Screenshots aus dem Admin Center genügen selten. Wir stützen das Urteil auf:

• Konfigurationsexporte direkt aus dem Tenant (lesender Zugriff, keine Änderungen),
• Auswertungen von Rollenzuweisungen, Gastkonten und Freigaben,
• Stichproben aus dem Audit-Log,
• Prozessdokumentation und Interviews mit Betrieb, Informationssicherheit und Datenschutz,
• Nachweise über durchgeführte Kontrollen wie Rezertifizierungen oder Freigaben.

Vorgehen

1. Kick-off und Prüfumfang: Prüfziel, Prüffelder, Kriterien und Zeitplan festlegen.
2. Erhebung: Lesender Zugriff auf den Tenant, Konfigurationsexporte, Dokumentenanalyse und Interviews.
3. Beurteilung: Abgleich mit den Kriterien, Bewertung der Feststellungen nach Risiko.
4. Bericht und Schlussbesprechung: Prüfungsurteil, Feststellungen mit Empfehlungen, Stellungnahme des Managements.
5. Nachprüfung (optional): Überprüfung der Umsetzung der Massnahmen.

Was Sie erhalten

• Prüfbericht mit Prüfungsurteil, nach den Gepflogenheiten der internen Revision aufgebaut,
• Feststellungen mit Risikobewertung, Empfehlungen und Priorisierung,
• technischen Anhang mit den konkreten Konfigurationsabweichungen für den Betrieb,
• Management-Zusammenfassung für Geschäftsleitung, Audit Committee oder Verwaltungsrat.

Prüfungsurteil oder Security Check?

Ein Security Check zeigt Schwachstellen. Ein Audit beurteilt, ob Kontrollen angemessen und wirksam sind, gemessen an definierten Kriterien. Wenn Ihr Ergebnis gegenüber Revision, Prüfgesellschaft oder Aufsicht bestehen muss, brauchen Sie ein Prüfungsurteil.

Weiterlesen

• IT-Audit: Definition, Kriterien und Prüfungsurteil
• Prüfungsurteil oder Security Check?
• NIST CSF 2.0 als Kriterienrahmen im IT-Audit
• Microsoft 365 Datenresidenz in der Schweiz
• Copilot-Readiness-Check
• Leistung: Microsoft Purview
• Leistung: Microsoft 365 Governance
• Branche: Banken