365 Tenants: Vorlagen aus der Bibliothek und aus einem Referenzmandanten

Eine Vorlage beschreibt, wie ein Mandant eingestellt sein soll. Sie entsteht aus der Bibliothek oder aus einem Referenzmandanten.

Bibliothek „Conbool gehärtet“

Die Bibliothek enthält in ihrer zehnten Ausgabe 77 Einträge in fünf Themen. 25 davon sind vorgewählt, die übrigen wählen Sie ausdrücklich dazu. Mit Auswählen und übernehmen kreuzen Sie an, was Sie wollen; daraus wird ein Entwurf in Ihrem Konto. Haben Sie dem Mandanten noch keine Vorlage zugewiesen, erledigt Gleich freigeben und diesem Mandanten zuweisen Übernehmen, Freigeben und Zuweisen in einem Schritt.

Neben jedem Eintrag steht die Nummer der Kontrolle aus dem CIS Microsoft 365 Foundations Benchmark 7.0.0, die er herstellt, insgesamt 53. Wo ein Eintrag eine Kontrolle nur teilweise herstellt, steht „teilweise“ mit dem Grund.

Anmeldung absichern

• Vorgewählt: MFA für alle Benutzer, MFA für Administratoren, MFA für die Azure-Verwaltung, Legacy-Authentifizierung blockieren, Gerätecode und Übertragung der Anmeldung blockieren, Anmeldehäufigkeit für Administratoren, sichere Anmeldemethoden, Authenticator-App einrichten lassen, stärkste Methode zuerst, Sperre nach Fehlversuchen und verbotene schwache Kennwörter.
• Wahlweise: phishing-sichere MFA für Administratoren, SMS, Anruf und Code per Mail als Anmeldemethode abschalten, MFA bei riskanter Anmeldung, riskante Anmeldungen sperren, Kennwort ändern bei hohem Benutzerrisiko, Anmeldung bei der Geräteregistrierung, Sicherheitsinformationen nur von verwalteten Geräten, Zugriff nur von verwalteten Geräten, mobile Apps nur mit App-Schutz, unbekannte Plattformen sperren, kurze Sitzungen an fremden Geräten, Kennwortschutz im lokalen Active Directory.

MFA für alle und das Sperren der Legacy-Authentifizierung sind die Grundlage: wer eine weitere Richtlinie wählt, bekommt beide dazu. Die Security Defaults bleiben aktiv, bis die eigenen Richtlinien scharf geschaltet sind.

Gäste und Freigaben

• Vorgewählt: Gastrechte einschränken und keine eigenen Apps und Sicherheitsgruppen der Benutzer, Zustimmung zu Apps wie von Microsoft empfohlen, Anfragen zur Zustimmung an die Verwaltung, Gäste nicht als Besitzer von Gruppen, Freigabe nur an bekannte Gäste ohne Weiterteilen, kein pauschales Vertrauen zu fremden Organisationen.
• Wahlweise: Gruppen und Teams nur durch die Verwaltung, BitLocker-Schlüssel nur über die Verwaltung.

Bei der Zustimmung zu Apps setzt 365 Tenants nur, welchen Apps Benutzer selbst zustimmen dürfen. Bestehende Zustimmungen bleiben, und wer weniger erlaubt, wird nicht gelockert.

Exchange Online und Defender

• Vorgewählt: Postfachüberwachung und Hinweise für externe Empfänger, Kennzeichnung „Extern“, keine automatische Weiterleitung nach außen, gefährliche Anhänge sperren, keine sichere Liste von Microsoft, Überwachungsprotokoll an, kein fremder Speicher in Outlook im Web, sichere Anlagen für SharePoint, OneDrive und Teams.
• Wahlweise: Anti-Phishing, Phishing in die Quarantäne, keine ungefilterten IP-Adressen und Absenderdomänen, Grenzen für den Versand, SMTP mit Kennwort abschalten, Direct Send abweisen, keine privaten Postfächer im neuen Outlook, sichere Dokumente.

„Phishing in die Quarantäne“ lässt die Behandlung von Spam unverändert, damit sie zu MailGuard passt. Vor „SMTP mit Kennwort abschalten“ brauchen Drucker und Scanner einen anderen Weg.

Microsoft Teams

Alle Einträge sind wahlweise, weil sie für jede Besprechung im Mandanten gelten: externer Zugriff begrenzt, kein Chat mit anderen Organisationen, kein fremder Speicher, keine Mail an Kanäle, Besprechungen mit Wartebereich für Gäste, keine anonymen Teilnehmer, keine Aufzeichnung in der Cloud, Melden verdächtiger Nachrichten.

Geräte mit Intune

Alle Einträge sind wahlweise, weil sie auf Geräte wirken, sobald sie ausgerollt sind: Konformität für Windows, macOS, iOS und Android, Microsoft Defender Antivirus, Regeln gegen Angriffe über Makros und Skripte, Windows-Firewall, SmartScreen, lokales Administratorkennwort, Sperre nach Inaktivität, Credential Guard, USB-Speicher nur lesen, BitLocker, Update-Ring für Windows, App-Schutz für iOS und Android, höchstens zehn Geräte je Benutzer in Entra und kein lokaler Administrator beim Beitreten.

• Konformität markiert ein Gerät nur. Gesperrt wird erst über eine Richtlinie für bedingten Zugriff, die ein konformes Gerät verlangt.
• Die Regeln gegen Angriffe über Makros und Skripte stehen auf Überwachen. Sie melden, was sie sperren würden, und sperren nichts.
• Richtlinien für Intune gelten nach dem Ausrollen für alle Geräte oder alle Benutzer. App-Schutz entsteht ohne Zuweisung; die Gruppe wählt der Administrator in Intune.

Wahlweise Einträge mit Sperre

Einträge, die Benutzer aussperren können, haben eine Sperre:

• SMS und Anruf schaltet der Lauf nicht ab, solange jemand außer den Notfallkonten als zweiten Faktor nur eine Telefonnummer hat. Der Trockenlauf nennt die Namen.
• Phishing-sichere MFA für Administratoren lässt sich erst scharf schalten, wenn jeder Administrator außer den Notfallkonten einen Passkey, Windows Hello oder ein Zertifikat registriert hat.
• Die Einträge zu Risiken brauchen Entra ID P2. Ohne P2 legt 365 Tenants sie nicht an, und sie halten das Scharfschalten der übrigen nicht auf.
• „Kennwort ändern bei hohem Benutzerrisiko“ lässt sich nicht scharf schalten, solange der Mandant aus einem lokalen Active Directory synchronisiert wird.
• „Zugriff nur von verwalteten Geräten“ und „mobile Apps nur mit App-Schutz“ sperren jeden aus, der von einem eigenen Gerät arbeitet. Die Auswertung des Berichtsmodus zeigt vor dem Scharfschalten, wen es träfe.

Mit Auswahl ändern stellen Sie eine übernommene Vorlage neu zusammen. Wer eine frühere Ausgabe übernommen hat, sieht die neue als nächste Fassung.

Aus einem Referenzmandanten

Unter Vorlagen → Vorlage aus diesem Mandanten wird der heutige Stand zum Entwurf. Kennungen, Adressen und Domänen des Quellmandanten werden dabei zu Platzhaltern oder müssen erklärt werden, damit keine fremden Werte in andere Mandanten wandern.

Fassungen

Ein Entwurf wird mit Freigeben zur Fassung. Freigegebene Fassungen sind unveränderlich. Eine neue Fassung legen Sie mit Neue Fassung an; der Vergleich zeigt, was neu, geändert oder entfallen ist. Eine Fassung lässt sich zurückziehen; bestehende Zuweisungen bleiben dann auf ihr stehen.

Vor der Freigabe prüft 365 Tenants jede Fassung. Gesperrt ist die Freigabe unter anderem, wenn eine sperrende Richtlinie die Notfallkonten nicht ausnimmt.