Prüfe die Einstellungen deines Microsoft-365-Tenants

Was der Scan prüft

53 Checks: 32 nach dem CIS Microsoft 365 Foundations Benchmark 5.0.0 und 21 weitere zu Identitäten, bedingtem Zugriff, Geräten und Sicherheitssignalen. Zu jedem Check gibt es eine Begründung und einen Weg zur Behebung.

Administratorkonten und Rollen

Wie viele globale Administratoren es gibt, ob Administratorkonten reine Cloud-Konten sind und welche privilegierten Rollen dauerhaft statt bei Bedarf zugewiesen sind.

MFA und Anmeldemethoden

Ob alle Mitgliedskonten MFA-fähig sind, welche Authentifizierungsmethoden erlaubt sind und ob veraltete Anmeldeverfahren (Legacy-Authentifizierung) blockiert sind.

Bedingter Zugriff (Conditional Access)

Ob Richtlinien MFA für Administratoren und alle Konten verlangen, auf Benutzer- und Anmelderisiko reagieren und den Gerätecodefluss blockieren, dazu Richtlinien im Nur-Bericht-Modus und benannte Standorte.

Gäste und externe Freigaben

Gastzugriff auf das Verzeichnis, wer Gäste einladen darf, veraltete Gastkonten, Zugriffsüberprüfungen und das externe Teilen in SharePoint und OneDrive.

Apps und Einwilligungen

Ob Benutzer Apps zustimmen oder App-Registrierungen anlegen dürfen, ob es einen Workflow für die Administratoreinwilligung gibt, welche weitreichenden Berechtigungen Apps haben und wie lange App-Anmeldeinformationen gelten.

Geräte

Von Intune verwaltete Geräte, die gegen ihre Richtlinien verstoßen oder sich lange nicht synchronisiert haben.

Sicherheitssignale

Secure Score, offene Sicherheitsvorfälle und Warnungen aus Defender XDR, unbearbeitete DLP-Warnungen, riskante Konten und Anmeldungen sowie der Dienststatus von Microsoft 365. Was davon prüfbar ist, hängt von Lizenzen und Rechten im Tenant ab.

Lizenzen und Nutzung Mit Pro

Welche Lizenzen der Tenant hat, wie viele davon zugewiesen sind und wo sich Lizenzen zurückholen oder herabstufen lassen, mit einer geschätzten Einsparung. Die Schätzung beruht auf Listenpreisen, nicht auf deinen Konditionen.

Die CIS-Checks folgen der Fassung 5.0.0 des Benchmarks. Neuere Fassungen mit teils anderen Nummern bildet der Scan noch nicht ab.

Was der Scan nicht prüft

Der Scan liest ausschließlich über Microsoft Graph. Einstellungen, die Microsoft nur über PowerShell lesbar macht, prüft er nicht. Das betrifft vor allem Exchange Online, Microsoft Teams, Microsoft Purview und einen Teil von SharePoint Online.

Manche Checks lassen sich nicht automatisch bewerten; sie stehen im Bericht als „Von Hand prüfen“. Fehlt dem Tenant eine Lizenz oder dir ein Recht, bleiben einzelne Checks „Nicht prüfbar“.

Der Bericht ist eine Bestandsaufnahme der Einstellungen zum Zeitpunkt des Scans. Er sagt nicht, dass außerhalb der Checks nichts fehlt.

So läuft es ab

1. 1

   Bei patchletter anmelden

   Du brauchst ein patchletter-Konto. Die Anmeldung läuft ohne Passwort über einen Link an deine E-Mail-Adresse.

2. 2

   Tenant verbinden

   Du meldest dich bei Microsoft mit einem Konto des Tenants an. Beim ersten Mal stimmt ein Globaler Administrator den Leserechten für den ganzen Tenant zu.

3. 3

   Scan starten

   Jeden Scan startest du selbst, jedes Mal mit einer kurzen Anmeldung bei Microsoft. Der Scan läuft auf dem Server von patchletter; die Seite zeigt dir den Fortschritt.

4. 4

   Ergebnis lesen

   Ein Score, nach Priorität gewichtet, Zähler je Status und Priorität und, je nach Tarif, die offenen Befunde mit Begründung und Behebung.

Kostenlos anfangen, mit Pro alles sehen

Ergebnisse neben bekannten Rahmenwerken

Mit Pro ordnet der Bericht die Ergebnisse Anforderungen dieser Rahmenwerke zu. So siehst du, zu welchen der aufgeführten Anforderungen dein Tenant offene Befunde hat. Aufgeführt sind nur Anforderungen, zu denen der Scan Einstellungen in deinem Tenant prüft.

• BSI C5:2020 (Kriterienkatalog Cloud Computing)
• BSI IT-Grundschutz-Kompendium, Edition 2023
• NIS2-Richtlinie (EU) 2022/2555, Art. 21 Abs. 2
• ISO/IEC 27001:2022, Anhang A
• NIST Cybersecurity Framework 2.0
• CIS Microsoft 365 Foundations Benchmark v5.0.0, Level 1 (Teilkatalog)
• CIS Microsoft 365 Foundations Benchmark v5.0.0, Level 2 (Teilkatalog)

Orientierung, kein Nachweis: Die Zuordnung ersetzt weder Audit noch Testat oder Zertifizierung. Organisatorische Maßnahmen prüft der Scan nicht. Gehören zu einer aufgeführten Anforderung Einstellungen, die nur per PowerShell lesbar sind, stehen sie dort als „Nicht im Scan“.

Meldungen nach einem Scan

Mit Pro bekommen Inhaber und Admins deiner Organisation eine Mail, wenn ein vollständiger Scan schlechter ausfällt als der vorige desselben Tenants: wenn der Score um mindestens 5 Punkte sinkt oder ein neuer Befund mit hoher Priorität dazukommt. Der Rückgang muss auch bei den Checks bestehen, die in beiden Scans bewertet wurden: Sinkt der Score nur, weil Checks etwa wegen fehlender Rechte oder Lizenz übersprungen wurden, kommt keine Meldung. Auf Wunsch geht die Meldung auch an ein Webhook-Ziel, etwa in Slack. Die Meldung nennt Zahlen und einen Link, aber keine Befunde, keine Konten und keinen Tenant-Namen.

Meldungen entstehen nur nach einem Scan, den jemand aus deiner Organisation gestartet hat. Zwischen den Scans prüft patchletter deinen Tenant nicht.

Format des Webhooks in der API-Doku

Was der Scan darf

Nur lesend: Der Scan fragt 17 delegierte Leseberechtigungen von Microsoft Graph an. Microsoft zeigt sie dir vor der Zustimmung.

Der Scan liest keine Inhalte von E-Mails, Dateien oder Chats.

Das Zugangstoken speichern wir nicht; wir verwerfen es nach dem Scan. Für den nächsten Scan meldest du dich wieder bei Microsoft an.

Verbinden und scannen kannst du mit einer dieser Rollen im Tenant:

• Globaler Administrator
• Globaler Leser
• Sicherheitsadministrator
• Sicherheitsleseberechtigter
• Administrator für privilegierte Rollen

Gastkonten lehnt der Scan ab.

Den Bericht sehen Inhaber und Admins deiner patchletter-Organisation. Befunde zeigt patchletter nur Personen, die in den letzten 30 Tagen bei Microsoft bestätigt haben, dass sie im Tenant eine dieser Rollen haben.

Häufige Fragen

Kann der Scan etwas in meinem Tenant ändern?

Nein. Der Scan fragt bei Microsoft nur Leseberechtigungen an. Mit ihnen lässt sich nichts ändern, auch wenn du Globaler Administrator bist.

Welche Rolle brauche ich?

Eine dieser Rollen im Tenant: Globaler Administrator, Globaler Leser, Sicherheitsadministrator, Sicherheitsleseberechtigter oder Administrator für privilegierte Rollen. Beim ersten Verbinden stimmt ein Globaler Administrator den Leserechten für den ganzen Tenant zu. Danach reicht für jeden Scan die Rolle Globaler Leser.

Prüft patchletter meinen Tenant zwischen den Scans?

Nein. Jeden Scan startet jemand aus deiner Organisation, jedes Mal mit einer Anmeldung bei Microsoft. Einen dauerhaften Zugang speichern wir nicht, und ohne diese Anmeldung kann patchletter deinen Tenant nicht lesen.

Was ist kostenlos, was kostet Pro?

Kostenlos sind ein Tenant und ein Scan innerhalb von 7 Tagen, mit Score, Zählern, Verlauf und, sobald du deine Rolle im Tenant bestätigt hast, den 3 wichtigsten offenen Befunden. patchletter Pro kostet 49 € netto im Monat oder 490 € netto im Jahr, zzgl. gesetzlicher Umsatzsteuer. Damit siehst du alle Befunde mit betroffenen Objekten, den PDF-Bericht, die Lizenzanalyse und die Zuordnung zu Rahmenwerken (Orientierung, kein Nachweis), für bis zu 3 Tenants und mit Meldungen nach einem schlechteren Scan.

Ersetzt der Bericht ein Audit?

Nein. Er ist eine Bestandsaufnahme der Einstellungen, die Microsoft Graph liefert. Die Zuordnung zu Rahmenwerken ist Orientierung, kein Nachweis.

Im Zustimmungsdialog von Microsoft steht „tenantletter“. Ist das richtig?

Ja. tenantletter ist der Name der App, mit der der Scan bei Microsoft anfragt; sie gehört zu patchletter. Im selben Dialog zeigt Microsoft die Leseberechtigungen, denen du zustimmst.