Darum geht es
Öffentliche Microsoft-365-Gruppen und Teams kann jeder Mitarbeitende ohne Freigabe betreten und dann alle Dateien, Mails und Chats darin lesen. Oft ist das bei der Erstellung nicht bewusst gewählt worden, etwa bei Teams für Personal, Geschäftsführung oder Projekte mit Kundendaten.
Was passieren kann
Vertrauliche Inhalte wie Gehaltslisten oder Kundendaten werden für alle Mitarbeitenden zugänglich; das kann eine DSGVO-relevante Datenpanne darstellen.
Schritt für Schritt
Öffnen Sie im Microsoft 365 Admin Center Teams & Gruppen > Aktive Teams & Gruppen und filtern Sie nach Datenschutz „Öffentlich“.
Klären Sie mit den Besitzern jeder Gruppe, ob der Inhalt wirklich für alle Mitarbeitenden gedacht ist.
Lassen Sie die Systemgruppen von Viva Engage („All Company“ und „Group for Answers in Viva Engage – DO NOT DELETE …“) unverändert; Auditspiegel zählt sie nicht als Befund.
Öffnen Sie bei nicht gewollten Fällen die Gruppe, wechseln Sie zu „Einstellungen“ und setzen Sie den Datenschutz auf „Privat“.
Prüfen Sie danach die Mitgliederliste: Personen, die zuvor beigetreten sind, bleiben Mitglied und müssen ggf. entfernt werden.
Legen Sie fest, dass neue Teams standardmäßig privat erstellt werden, und informieren Sie die Mitarbeitenden.
Hier finden Sie die Einstellung
- Microsoft 365 Admin Center (admin.microsoft.com)
- Teams & Gruppen
- Aktive Teams & Gruppen
- [Gruppe]
- Einstellungen
- Datenschutz
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Es gibt keine öffentlichen Microsoft-365-Gruppen, denen jeder beitreten kann
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: Get-MgGroup -Filter "groupTypes/any(c:c eq 'Unified')" -All -Property Id,DisplayName,Visibility | ? Visibility -eq 'Public'; ändern mit Update-MgGroup -GroupId <id> -Visibility Private
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A2: Einrichtung, Änderung und Entzug von Berechtigungen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
- Microsoft Secure Score
- Zu dieser Einstellung gibt es eine Maßnahme im Microsoft Secure Score.
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.