Darum geht es
In Microsoft 365 im Web können Mitarbeitende auch Dateien aus privaten Speicherdiensten wie Dropbox oder Google Drive öffnen. Dadurch vermischen sich Firmen- und Privatdaten, und Firmendokumente landen leicht in Speichern, die Sie nicht kontrollieren.
Was passieren kann
Firmendaten können unbemerkt in private Cloudspeicher außerhalb Ihrer Kontrolle abfließen.
Schritt für Schritt
Öffnen Sie im Microsoft 365 Admin Center Einstellungen > Organisationseinstellungen > Dienste > Microsoft 365 im Web.
Deaktivieren Sie die Option, mit der Benutzer Dateien aus Speicherdiensten von Drittanbietern öffnen dürfen (engl. „Let users open files stored in third-party storage services in Microsoft 365 on the web“).
Speichern Sie die Einstellung.
Klären Sie vorab, ob ein Fachbereich solche Dienste begründet nutzt, und bieten Sie OneDrive/SharePoint als Alternative an.
Dokumentieren Sie die Prüfung, da Auditspiegel diese Einstellung nicht automatisch lesen kann.
Hier finden Sie die Einstellung
- Microsoft 365 Admin Center (admin.microsoft.com)
- Einstellungen
- Organisationseinstellungen
- Dienste
- Microsoft 365 im Web
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Speicherdienste von Drittanbietern sind in Microsoft 365 im Web gesperrt
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Für diese Einstellung bietet Microsoft keine auslesbare Schnittstelle (nur im Admin-Center sichtbar). Bitte prüfen Sie sie manuell anhand der Empfehlung.
Für Ihre IT: per PowerShell nachsehen
Die Einstellung entspricht dem Dienstprinzipal mit AppId c1f33bc0-bdb4-4248-ba9b-096807ddb43e; Graph PowerShell: Get-MgServicePrincipal -Filter "appId eq 'c1f33bc0-bdb4-4248-ba9b-096807ddb43e'" | Select AccountEnabled
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.1.1.A12: Verzicht auf Cloud-Speicherung
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.