Microsoft 365 · Security · CIS Benchmark
Microsoft 365 Tenant Check: Sicherheit und Konfiguration geprüft
Ein Microsoft-365-Tenant wächst mit jeder neuen Funktion, jedem Gast und jeder App-Registrierung. Standardeinstellungen sind dabei kein Sicherheitskonzept. Der Tenant Check zeigt, wo Ihre Konfiguration vom anerkannten Standard abweicht, welche Risiken daraus entstehen und was zuerst zu tun ist.
Was ist ein Tenant Check?
Ein Tenant Check ist eine strukturierte Prüfung der Sicherheits- und Konfigurationseinstellungen Ihres Microsoft-365-Tenants. Grundlage ist der CIS Microsoft 365 Foundations Benchmark, ergänzt um Erfahrungswerte aus regulierten Schweizer Organisationen. Die Prüfung ist lesend: Wir verändern nichts an Ihrer Umgebung.
Elf Prüfbereiche
- Tenant-Grundlagen und Governance
- Privilegierter Zugriff
- Authentisierung und Conditional Access
- Hybride Identität
- Applikationen und Gäste
- E-Mail und Domains
- Bedrohungsschutz
- Zusammenarbeit und Freigaben
- Informationsschutz und Compliance
- Endgeräte
- KI-, Copilot- und Agent-Bereitschaft
Was Sie erhalten
Einen Bericht mit Gesamtbewertung, Befunden nach Schweregrad und einem priorisierten Massnahmenplan. Wie der Bericht aussieht, zeigt der Musterbericht auf der Paketseite.
Musterbericht
So sieht Ihr Bericht aus
Ein Bericht, den Geschäftsleitung, Revision und Ihr IT-Team gleichermassen nutzen: mit Ampel, Nachweisen und einem Massnahmenplan, den Sie direkt umsetzen können.
1 · Management Summary
Solide Basis, aber offene Türen bei Administration und Freigaben
56 %
Erfüllungsgrad
7
Befunde mit hohem Risiko
- 1 · Tenant-Grundlagen und Governance75 %
- 2 · Privilegierter Zugriff43 %
- 3 · Authentisierung und Conditional Access56 %
- 4 · Hybride Identität50 %
- 5 · Applikationen und Gäste54 %
- 6 · E-Mail und Domains73 %
- 7 · Bedrohungsschutz71 %
- 8 · Zusammenarbeit und Freigaben44 %
- 9 · Informationsschutz und Compliance57 %
- 10 · EndgeräteOption
- 11 · KI-, Copilot- und Agent-Bereitschaft31 %
5 · Befunde im Detail
F-04 · Administratoren ohne phishingresistente MFA
Hoch- Ist-Zustand
- 9 Konten mit administrativen Rollen. Alle nutzen MFA, aber 7 davon mit Push-Benachrichtigung oder SMS. Keine Richtlinie verlangt für Administratoren eine phishingresistente Methode.
- Soll-Zustand
- Für alle administrativen Rollen ist eine phishingresistente Methode Pflicht, etwa FIDO2-Sicherheitsschlüssel, Passkeys oder Windows Hello for Business.
- Empfehlung
- Sicherheitsschlüssel oder Passkeys an alle 9 Administratoren verteilen, danach Richtlinie mit Authentisierungsstärke «Phishingresistente MFA» aktivieren. Notfallkonten ausnehmen und separat überwachen. Umsetzung siehe Leitfaden, Kapitel 8.
- Auswirkung auf Benutzer
- Nur Administratoren, einmalige Registrierung
- Aufwand und Lizenz
- Aufwand tief · Entra ID P1 vorhanden · Sicherheitsschlüssel als Hardware
Rollenmitglieder: 9 Phishingresistent: 2 (FIDO2) Push / SMS: 7 Richtlinie mit Auth.-Stärke für Admins: keine
7 · Priorisierter Massnahmenplan
Was zuerst zu tun ist
| Nr. | Massnahme | Priorität | Lizenz |
|---|---|---|---|
| M1 | Phishingresistente MFA für Administratoren | sofort | vorhanden |
| M2 | Legacy-Authentisierung blockieren, Dienstkonten umstellen | sofort | vorhanden |
| M3 | Anonyme Links abschalten, bestehende bereinigen | sofort | vorhanden |
| M4 | Globale Admins reduzieren, getrennte Admin-Konten | sofort | vorhanden |
| M5 | Sync-Server absichern | 30 Tage | vorhanden |
| M6 | 27 Sites bereinigen, Standardfreigabe anpassen | 30 Tage | vorhanden |
| M7 | Zeitlich begrenzte Rollenaktivierung (PIM) | 30 Tage | Entra ID P2 |
| M8 | Alarmierung an überwachtes Postfach und Bereitschaft | 30 Tage | vorhanden |
| M9 | Einwilligung für Apps auf Admin-Freigabe umstellen | 30 Tage | vorhanden |
Musterbericht mit fiktiven Daten
Inhaltsverzeichnis
- 1Management Summary: Gesamtbewertung und Ampel für jeden der elf Prüfbereiche
- 2Umfang und Methode: CIS Benchmark je nach Paket Level 1 oder Level 1 und 2, geprüfte Workloads, Bewertungslogik
- 3Security Scorecard
- 4Befundliste
- 5Befunde im Detail: Ist, Soll, Nachweis, Empfehlung, Auswirkung auf Benutzer, Lizenz
- 6Copilot-Oversharing-Kurzanalyse: Plus und Audit-Ready
- 7Priorisierter Massnahmenplan
- 8Umsetzungsleitfaden
- 9Roadmap und Re-Check
- AAnhang: alle Kontrollen mit Status
Für wen sich der Tenant Check eignet
- vor der Einführung von Copilot oder KI-Agenten
- nach einem Sicherheitsvorfall oder einer Prüfungsfeststellung
- bei einem Wechsel des IT-Dienstleisters oder nach einer Fusion
- als unabhängige Standortbestimmung für Geschäftsleitung, Revision oder Verwaltungsrat
Tenant Check, Security Check, IT-Audit: der Unterschied
Der Tenant Check vergleicht Ihre Konfiguration mit einem Standard und zeigt Abweichungen und Massnahmen. Ein IT-Audit geht weiter: Es beurteilt die Wirksamkeit von Kontrollen und endet mit einem Prüfurteil für Revision und Audit Committee.
Häufige Fragen
Häufige Fragen
Weiterlesen
Weiterführende Insights
M365 Review
CIS Benchmark im M365 Tenant Check
M365 Review
Microsoft Secure Score richtig einordnen
M365 Review
Logging und Monitoring im M365 Review
M365 Review
Verwaiste synchronisierte Benutzer und Gruppen in Microsoft Entra ID bereinigen
M365 Review
Conditional Access im Tenant Security Review
M365 Review
Privilegierte Rollen in Microsoft 365 prüfen
Verwandte Themen und Leistungen
Microsoft 365 Audit
Unabhängiges Microsoft 365 Audit für Banken, Versicherungen und Verwaltungen: Prüffelder, Kriterien, Evidenz und ein belastbares Prüfungsurteil.
IT-Audit & interne IT-Revision
Prüfungsunterstützung für die interne Revision: Microsoft 365, Entra ID, Power Platform und Copilot – unabhängig, mit belastbarer Evidenz.
Cyber Security
Zero Trust, Identitäten und Security-Architektur.