365 TenantsSicherheitseinstellungen für jeden Microsoft-365-MandantenEnthalten ab Suite 3
365 Tenants zeigt Ihnen, wo ein Microsoft-365-Mandant von Ihrem Sicherheitsstandard abweicht, und schließt die Lücken auf Ihre Freigabe. Bevor eine neue Anmelderegel wirksam wird, prüft 365 Tenants, ob sich danach noch alle anmelden können, Sie eingeschlossen.
Kennen Sie das?
„Wer hat das umgestellt?“
Ein Kunde meldet, dass Mitarbeiter plötzlich Dateien an neue Externe weitergeben können. Seit wann das so ist und wer es geändert hat, weiß niemand.
„Das hatten wir doch überall eingerichtet.“
Jeder Mandant wurde von Hand eingestellt, jeder ein wenig anders. Was beim ersten Kunden sorgfältig geplant war, sieht beim vierzehnten anders aus.
„Und wenn sich gleich niemand mehr anmelden kann?“
Die neue Anmelderegel ist fertig. Ein Fehler darin, und das ganze Unternehmen steht still, der eigene Administratorzugang eingeschlossen.
So funktioniert es
Sie beginnen rein lesend. Geändert wird erst, wenn Sie es freigeben.
Ein Administrator des Kunden stimmt einmal zu. Zunächst wird nur gelesen, im Mandanten ändert sich nichts.
Sie wählen Ihren Standard, etwa unsere fertige Empfehlung. Jede Lücke steht da, in klaren Worten.
Ein Probelauf zeigt jede Änderung, bevor sie passiert. Erst nach Ihrer Freigabe wird geschrieben, danach wird nachgeprüft.
Conditional Access ohne Risiko
Anmelderegeln, bei Microsoft Conditional Access genannt, sind der wirksamste Schutz für Microsoft 365 und zugleich der riskanteste Eingriff. Deshalb gibt es vier Sicherheitsnetze.
Sie sehen jede Änderung, bevor sie passiert. Geändert wird dabei nichts.
Neue Regeln laufen zunächst nur mit. Sie sehen, wessen Anmeldung abgelehnt worden wäre.
Ohne funktionierendes Notfallkonto wird nichts scharf geschaltet. Diese Sperre lässt sich nicht übergehen.
Der letzte Lauf lässt sich zurücknehmen. Gelöscht wird dabei nie etwas.
Configuration Drift
Kein Mandant bleibt, wie er eingerichtet wurde. Eine Ausnahme für ein Projekt, eine Einstellung beim Anbinden einer App, eine Freigabe unter Zeitdruck: 365 Tenants hält jede Änderung fest und meldet die riskanten sofort.
Standard zugewiesen: Conbool gehärtet, Fassung 3
IT-Partner, im Conbool-Portal
Gäste einladen: jetzt jeder Mitarbeiter
m.schulz@kanzlei-berger.de, im Entra Admin Center
Teilen in SharePoint: auch an neue Externe
admin@kanzlei-berger.de, im SharePoint Admin Center
Regel „Zweiter Faktor für alle“ abgeschaltet
Urheber folgt aus dem Protokoll von Microsoft
Der jüngste Lauf lässt sich zurücknehmen, soweit seine Änderungen noch so dastehen. Was seither jemand anderes geändert hat, bleibt unangetastet.
Probieren Sie es aus
Ist ein Kunde an einer Stelle strenger eingestellt als Ihr Standard, bleibt er es. Fehlt ihm eine Lizenz, wird nichts verlangt, was er gar nicht haben kann. Wählen Sie einen Beispielkunden:
3 Lücken
Drei Einstellungen fehlen oder weichen von Ihrem Standard ab. Der Probelauf schließt sie. Eine Einstellung ist strenger als verlangt und bleibt so.
Microsoft 365 Business Premium · 40 Benutzer
1 Lücke
Für Anmelderegeln fehlt diesem Kunden die Lizenz. Das zählt nicht als Lücke und wird nicht verlangt. Übrig bleibt eine echte Lücke beim Teilen.
Microsoft 365 Business Standard · 12 Benutzer, ohne Entra ID P1
Alles wie vorgesehen
Dieser Kunde entspricht Ihrem Standard. An zwei Stellen ist er sogar strenger eingestellt, und das bleibt so.
Microsoft 365 E3 mit Entra ID P1 · 180 Benutzer
Unsere Empfehlung
Zehn Einstellungen, die in fast jedem Mandanten fehlen. Sie übernehmen die Empfehlung und passen sie an. Oder Sie machen einen eigenen, gut eingerichteten Mandanten zum Standard für alle anderen.
Ein erbeutetes Kennwort allein reicht nicht mehr.
Sichere Wege bleiben offen, unsichere werden abgelöst.
Externe sehen nur, was sie sehen sollen.
Dateien gehen nicht an Unbekannte.
Ihr Standard lockert nie. Ist ein Kunde irgendwo strenger eingestellt, bleibt das so. Werte, die je Kunde verschieden sind, etwa die Notfallkonten, trägt jeder Kunde selbst ein.
Für IT-Dienstleister und MSPs
Statt dreißig Mandanten einzeln einzustellen, legen Sie Ihren Standard einmal fest und weisen ihn jedem Kunden zu.
Vertrauen
Ein Werkzeug, das in die Sicherheit Ihrer Kunden eingreift, braucht klare Grenzen. Das sind unsere.
Entra ID und Microsoft 365
Alle elf werden gelesen und mit Ihrem Standard verglichen. Zehn davon lassen sich angleichen, die Lizenzen werden nur gelesen.
365 Tenants hält einen sicheren Stand der Einstellungen eines Mandanten als Vorlage fest: welche Richtlinien für bedingten Zugriff gelten, welche Anmeldemethoden zugelassen sind, was Gäste dürfen und wie weit geteilt werden darf. Jeder Mandant wird regelmäßig damit verglichen, und die Vorlage lässt sich mit Probelauf in den Mandanten bringen.
Lesen und vergleichen geht in jedem Mandanten. Conditional Access setzt Entra ID P1 voraus, das etwa in Microsoft 365 Business Premium enthalten ist. Fehlt die Lizenz, schreibt 365 Tenants diese Einträge nicht und zählt sie nicht als Abweichung.
Security Defaults und eigene Richtlinien für bedingten Zugriff schließen einander aus. Sie bleiben an, bis scharf geschaltet wird, und gehen im selben Lauf aus, der die MFA für alle wirksam macht. Scheitert dieser Lauf, schaltet 365 Tenants sie wieder ein.
Genau dagegen ist das Scharfschalten gebaut. Es braucht mindestens ein taugliches Notfallkonto, eine Auswertung der Anmeldungen im Berichtsmodus und eine abgelaufene oder ausdrücklich verkürzte Beobachtungsfrist. Eine sperrende Richtlinie ohne Ausnahme der Notfallkonten lässt sich nicht freigeben.
Ein Notfallkonto mit der Rolle Globaler Administrator, das von Richtlinien für bedingten Zugriff ausgenommen ist und nur im Notfall benutzt wird. 365 Tenants prüft, ob es vorhanden, aktiv, Globaler Administrator und nicht aus einem lokalen Verzeichnis synchronisiert ist.
Der jüngste Lauf lässt sich zurückrollen, soweit seine Änderungen noch so dastehen. Geänderte Werte werden zurückgestellt, neue Richtlinien abgeschaltet. Gelöscht wird nie etwas, und was jemand anderes seither geändert hat, bleibt stehen.
Nein. Conbool gehärtet ist die Grundhärtung von Conbool mit zehn Einträgen und kein vollständiger Benchmark. Viele Einträge decken sich mit Empfehlungen des CIS-Benchmarks für Microsoft 365, etwa MFA für alle und das Blockieren alter Protokolle. Eigene Vorlagen lassen sich beliebig weiter fassen.
Nein. Geräteverwaltung und Intune-Richtlinien gehören nicht zum Umfang. 365 Tenants arbeitet mit den Einstellungen von Entra ID und den Freigabeeinstellungen von SharePoint und OneDrive.
Nein. 365 Tenants hält Einstellungen fest, vergleicht sie und rollt Vorlagen aus. Benutzer, Gruppen und Anwendungen sichert 365 Backup, mit eigener Wiederherstellung.
Lighthouse ist Microsofts Oberfläche für Partner mit eigenen Grundeinstellungen. 365 Tenants setzt auf eigene Vorlagen mit Platzhaltern je Kunde und unveränderlichen Fassungen, auf einen Trockenlauf vor jedem Schreiben und auf ein Scharfschalten erst nach Prüfung der Notfallkonten. Gelesen und geschrieben wird über Apps mit Zustimmung im Kundenmandanten.
Wir zeigen Ihnen 365 Tenants an einem echten Mandanten, von der ersten Prüfung bis zum Probelauf.