Darum geht es
Die Überwachungsrichtlinie der Organisation legt fest, ob Exchange Online Postfachzugriffe grundsätzlich protokolliert. Ist sie deaktiviert, helfen auch die Einstellungen an einzelnen Postfächern nicht. Zusammen mit dem Microsoft-365-Überwachungsprotokoll bildet sie die Grundlage, um Sicherheitsvorfälle nachvollziehen zu können.
Was passieren kann
Ohne aktive Überwachungsrichtlinie fehlen bei einem Vorfall alle Nachweise über E-Mail-Zugriffe. Ermittlung, Schadensbewertung und Meldung an Behörden werden dadurch kaum möglich.
Schritt für Schritt
Verbinden Sie sich mit Exchange Online PowerShell (Connect-ExchangeOnline).
Prüfen Sie Get-OrganizationConfig | Format-List AuditDisabled; der Wert muss False sein. Andernfalls: Set-OrganizationConfig -AuditDisabled $false.
Prüfen Sie zusätzlich Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled; der Wert sollte True sein.
Ist er False, aktivieren Sie die Aufzeichnung im Microsoft Purview Portal unter Lösungen > Überwachung („Aufzeichnung starten“).
Führen Sie nach 24 Stunden im Purview-Portal eine Überwachungssuche aus und prüfen Sie, ob Exchange-Ereignisse erscheinen.
Hier finden Sie die Einstellung
- Exchange Online PowerShell (Connect-ExchangeOnline)
oder
- ergänzend Microsoft Purview Portal (purview.microsoft.com)
- Lösungen
- Überwachung
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die Überwachungsrichtlinie der Organisation ist nicht deaktiviert
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Diese Exchange-Einstellung ist nur über Exchange Online PowerShell auslesbar, nicht über die Microsoft-Schnittstelle, die Auditspiegel heute nutzt. Auditspiegel prüft sie in einer späteren Version automatisch. Bis dahin prüfen Sie sie bitte im Exchange Admin Center (admin.exchange.microsoft.com). Manche dieser Werte zeigt nur PowerShell; den Befehl nennt die Empfehlung zu diesem Punkt, Ihr IT-Dienstleister kann ihn für Sie ausführen.
Für Ihre IT: per PowerShell nachsehen
Get-OrganizationConfig | fl AuditDisabled (erwartet False); Get-AdminAuditLogConfig | fl UnifiedAuditLogIngestionEnabled (erwartet True).
Bezüge
- SCuBA-Baselines der CISA
- MS.EXO.13.1v1: Postfachüberwachung aktivierenMS.SECURITYSUITE.5.1v1: Einheitliche Überwachungsprotokollierung aktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.5.A3: Konfiguration der Protokollierung auf System- und Netzebene
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.