Darum geht es
Neben der organisationsweiten Einstellung hat jedes Postfach einen eigenen Überwachungsschalter. Ist er bei einzelnen Postfächern aus, etwa bei älteren oder migrierten Konten, entstehen genau dort Lücken im Protokoll. Gerade Postfächer der Geschäftsführung oder Buchhaltung sollten lückenlos protokolliert werden.
Was passieren kann
Ohne Protokoll für einzelne Postfächer bleiben Zugriffe auf sensible E-Mails, etwa Rechnungen oder Personalunterlagen, unentdeckt und lassen sich nicht aufklären.
Schritt für Schritt
Verbinden Sie sich mit Exchange Online PowerShell (Connect-ExchangeOnline).
Listen Sie Postfächer ohne Überwachung auf: Get-EXOMailbox -ResultSize Unlimited -PropertySets Audit | ? { -not $_.AuditEnabled } | ft UserPrincipalName.
Aktivieren Sie die Überwachung für betroffene Postfächer mit Set-Mailbox -Identity <UPN> -AuditEnabled $true.
Prüfen Sie, ob die Postfächer die Microsoft-Standardaktionen nutzen (DefaultAuditSet); stellen Sie diese bei Bedarf mit Set-Mailbox -DefaultAuditSet Admin,Delegate,Owner wieder her.
Wiederholen Sie die Abfrage und bestätigen Sie, dass keine Postfächer mehr ohne Überwachung gelistet werden.
Hier finden Sie die Einstellung
- Exchange Online PowerShell (Connect-ExchangeOnline), im Exchange Admin Center nicht einstellbar
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die Postfachüberwachung ist für alle Benutzer aktiv
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Diese Exchange-Einstellung ist nur über Exchange Online PowerShell auslesbar, nicht über die Microsoft-Schnittstelle, die Auditspiegel heute nutzt. Auditspiegel prüft sie in einer späteren Version automatisch. Bis dahin prüfen Sie sie bitte im Exchange Admin Center (admin.exchange.microsoft.com). Manche dieser Werte zeigt nur PowerShell; den Befehl nennt die Empfehlung zu diesem Punkt, Ihr IT-Dienstleister kann ihn für Sie ausführen.
Für Ihre IT: per PowerShell nachsehen
Get-EXOMailbox -ResultSize Unlimited -PropertySets Audit | ? { -not $_.AuditEnabled } | select UserPrincipalName. Die Liste sollte leer sein. Korrektur: Set-Mailbox <UPN> -AuditEnabled $trueBezüge
- SCuBA-Baselines der CISA
- MS.EXO.13.1v1: Postfachüberwachung aktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.5.A3: Konfiguration der Protokollierung auf System- und Netzebene
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.