Auditspiegel

Wie gut ist Ihr Microsoft 365 eingestellt?

Zehn Fragen zu den wichtigsten Einstellungen. Sie brauchen keinen Zugang zu Microsoft, nur Ihr Wissen oder einen kurzen Anruf bei Ihrer IT. Danach sehen Sie Ihre Einschätzung und die drei wichtigsten offenen Punkte, jeweils mit Anleitung.

  • Dauert etwa drei Minuten, ohne Anmeldung und ohne Cookies.
  • Wir speichern Ihre Antworten nur, wenn Sie die Auswertung per E-Mail anfordern.
  1. Frage 1 von 10: Müssen sich alle Administratoren bei jeder Anmeldung mit einem zweiten Faktor ausweisen, etwa mit der Authenticator-App?

    Ein übernommenes Adminkonto bedeutet die Übernahme des gesamten Tenants.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  2. Frage 2 von 10: Sind die Sicherheitsstandards von Microsoft oder Richtlinien für bedingten Zugriff eingeschaltet, die von allen Mitarbeitenden einen zweiten Faktor verlangen?

    Ohne zweiten Faktor genügt ein abgefischtes Passwort, um ein Postfach zu übernehmen.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  3. Frage 3 von 10: Sind veraltete Anmeldeverfahren wie POP, IMAP und SMTP-Authentifizierung gesperrt?

    Über diese Verfahren lässt sich der zweite Faktor umgehen.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  4. Frage 4 von 10: Sind in SharePoint und OneDrive Freigabelinks für „Jeder mit dem Link“ abgeschaltet, also Links, die ohne Anmeldung funktionieren?

    Solche Links werden weitergeleitet, und niemand sieht, wer die Datei geöffnet hat.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  5. Frage 5 von 10: Dürfen nur Administratoren oder ausgewählte Personen Gäste in Ihr Microsoft 365 einladen?

    Jeder Gast ist ein Konto mit Zugang zu Teams, Dateien und dem Verzeichnis.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  6. Frage 6 von 10: Ist es Mitarbeitenden untersagt, fremden Apps selbst Zugriff auf Postfach oder Dateien zu erteilen?

    Eine bösartige App mit Zustimmung liest Daten, auch nach einer Kennwortänderung.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  7. Frage 7 von 10: Sind E-Mails, OneDrive und SharePoint gegen Löschen geschützt, durch eine Aufbewahrungsrichtlinie oder ein zusätzliches Backup außerhalb von Microsoft 365?

    Gelöschte oder verschlüsselte Dateien sind nach Ablauf des Papierkorbs endgültig verloren.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  8. Frage 8 von 10: Haben Ihre Administratoren ein eigenes Konto nur für die Verwaltung, getrennt vom Konto für E-Mail und Alltag?

    Wer mit dem Adminkonto E-Mails liest, öffnet Phishing mit vollen Rechten.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  9. Frage 9 von 10: Ist die Überwachungsprotokollierung (Audit-Log) von Microsoft 365 eingeschaltet?

    Ohne Protokoll lässt sich nach einem Vorfall nicht nachvollziehen, was geschah.

    Anleitung im Ratgeber (öffnet in neuem Tab)
  10. Frage 10 von 10: Dürfen nur Geräte, die Ihr Unternehmen verwaltet (zum Beispiel mit Intune), auf Firmendaten zugreifen?

    Sonst landen Firmendaten auf privaten Rechnern ohne Verschlüsselung und Virenschutz.

    Anleitung im Ratgeber (öffnet in neuem Tab)