Wer schaut zwischen den Jahren in Ihr Microsoft 365?

23. Dezember, 16:30 Uhr. Die letzten Mails sind verschickt, das Büro leert sich. Microsoft 365 läuft weiter: Anmeldungen, Postfachregeln, Freigaben, App-Zustimmungen. Nur schaut in vielen Unternehmen bis Anfang Januar kaum noch jemand hin. Das gilt besonders für kleine Firmen, in denen „die IT“ eine Person ist, die ebenfalls Urlaub hat.

In diesem Artikel beschreibe ich, warum die Feiertage für Microsoft 365 eine besondere Lücke sind und was ich vorher, währenddessen und am ersten Arbeitstag prüfen würde. Die Liste ist bewusst kurz gehalten und lässt sich in ein bis zwei Stunden abarbeiten.

Die stille Frist: 7 oder 30 Tage

Microsoft protokolliert, wer sich wann von wo anmeldet und was im Verzeichnis geändert wird. Diese Anmelde- und Überwachungsprotokolle in Entra ID bleiben allerdings nicht beliebig lange erhalten: ohne Entra-ID-P1-Lizenz 7 Tage, mit P1 oder P2 30 Tage (Microsoft Learn: Datenaufbewahrung in Entra ID). Das Überwachungsprotokoll in Microsoft Purview (Audit Standard) hält Aktivitäten 180 Tage vor (Microsoft Learn: Überwachung in Purview), enthält aber nicht dieselben Details wie die Entra-Anmeldeprotokolle.

Ein Beispiel ohne P1-Lizenz: Meldet sich am 27. Dezember jemand mit gestohlenen Zugangsdaten an, ist dieser Eintrag am 3. Januar gelöscht. Wer am 7. Januar wegen einer seltsamen Weiterleitungsregel nachsehen will, findet zur Anmeldung nichts mehr.

Vor dem Urlaub, Teil 1: Zugänge aufräumen

• Notfallkonto testen. Funktioniert die Anmeldung mit dem Notfall-Administratorkonto (Break-Glass-Konto)? Wer kennt den Zugang, falls die MFA eines Admins ausfällt?
• Adminrechte zählen. Wer braucht über die Feiertage wirklich globale Administratorrechte? Rechte, die nicht gebraucht werden, entziehen oder befristen.
• Alte Konten und Gastzugänge schließen. Projekt beendet, Dienstleister gewechselt, Praktikum vorbei? Konten und Gastzugänge, die niemand mehr braucht, jetzt deaktivieren.

Vor dem Urlaub, Teil 2: Regeln prüfen, die nur grün aussehen

Eine fehlende Richtlinie fällt auf. Eine falsch gebaute nicht, denn sie steht mit vernünftigem Namen und grünem Status im Portal.

• Richtlinien im Nur-Melden-Modus: Eine Richtlinie für den bedingten Zugriff im Modus „Nur Bericht“ protokolliert, blockiert aber nichts.
• Ausnahmen „nur für kurz“: Eine Ausnahme für einen Dienstleister oder die Geschäftsführung, die seit Monaten gilt und deren Grund niemand mehr kennt.
• Geräte, die sich nicht mehr melden: Ein Gerät, das seit Wochen keinen Kontakt zu Intune hatte, kann trotzdem als „konform“ geführt werden und erhält weiter Zugriff.
• Veraltete Anmeldeverfahren: Ist die Legacy-Authentifizierung (z. B. POP3, IMAP, SMTP-Auth ohne moderne Anmeldung) wirklich blockiert? Darüber läuft MFA ins Leere.

Vor dem Urlaub, Teil 3: Zuständigkeit klären

• Erreichbar: Wer hat zwischen den Jahren Bereitschaft, mit Telefonnummer und nicht nur mit Mailadresse?
• Befugt: Wer darf ein Konto sperren, Sitzungen beenden oder ein Kennwort zurücksetzen, ohne erst die Geschäftsführung zu erreichen?
• Griffbereit: Liegt der Notfallplan mit den wichtigsten Kontakten auch offline vor? Ein gesperrtes Konto öffnet kein PDF in OneDrive.
• Protokolle sichern: Ohne P1-Lizenz lohnt es sich, die Protokolle über die Feiertage regelmäßig abzuholen oder an einen eigenen Speicher weiterzuleiten, damit sie im Januar noch vorhanden sind.

Am ersten Arbeitstag: erst prüfen, dann Postfach

Bevor der normale Betrieb wieder anläuft, lohnt ein kurzer Blick auf diese fünf Punkte:

1. Wurden seit Mitte Dezember Administratorrollen vergeben?
2. Gibt es Postfachregeln oder Weiterleitungen, die Mails an externe Adressen schicken?
3. Gab es Anmeldungen aus Ländern, aus denen sich das Konto bisher nie angemeldet hat?
4. Wurden Freigabelinks „für jeden“ auf Dateien oder Ordner erstellt?
5. Hat jemand einer fremden Anwendung Zugriff auf Postfach oder Dateien erteilt?

Fällt hier etwas auf, ist es sinnvoll, die Protokolle sofort zu sichern, bevor weitere Tage verstreichen.

Wie ich diese Lücke schließe

Für diese Situation habe ich meinen Prüfdienst für Microsoft 365 entwickelt. Ich prüfe damit die Sicherheitseinstellungen und werte verfügbare Anmelde- und Audit-Protokolle regelbasiert auf Auffälligkeiten aus. Diese Anomalieerkennung liefert Hinweise, keine automatische Bestätigung eines Angriffs. Umfang und Datenabdeckung hängen von den Lizenzen, Berechtigungen und freigegebenen Quellen Ihres Tenants ab.

Die Log-Prüfung erfolgt nach dem vereinbarten Zeitplan, nicht in Echtzeit. Kritische Befunde können nach dem Prüflauf über den eingerichteten E-Mail-Kanal gemeldet werden. Im Bericht halte ich auch fest, welche Daten fehlen und für welche Zeiträume keine Aussage möglich ist.

Das ist kein 24/7-Notdienst, und er wirkt nicht rückwirkend: Was Microsoft vor dem ersten Lauf gelöscht hat, bleibt verloren. Deshalb lohnt der Start vor den Feiertagen und nicht danach.