Ein Audit-Agent prüft Ihren Microsoft-365- und Entra-ID-Tenant jeden Tag gegen CIS und BSI IT-Grundschutz — und bewahrt jeden Konfigurationsstand sieben Jahre auditfähig auf.
Microsoft 365 ist in den meisten Mittelständlern das zentrale Arbeitssystem — E-Mail, Dateien, Identitäten, Zugriffe. Entsprechend oft ändert sich die Konfiguration: eine Conditional-Access-Ausnahme für einen Dienstleister, ein neues Admin-Konto für eine Migration, ein App-Consent, den ein Mitarbeiter schnell bestätigt hat. Jede dieser Änderungen verschiebt die Sicherheitslage, und fast keine davon fällt im Alltag auf.
Für die IT-Sicherheit ist das ein schleichendes Risiko. Für die Compliance ist es ein handfestes Nachweisproblem: ISO 27001, TISAX und NIS2 verlangen nicht nur, dass Maßnahmen einmal umgesetzt wurden, sondern den Beleg, dass sie über den gesamten Prüfzeitraum wirksam waren. Ein Auditor fragt nicht "Ist MFA aktiviert?", sondern "Weisen Sie nach, dass MFA im letzten Jahr durchgängig aktiviert war." Screenshots aus dem Admin-Center, angefertigt in der Woche vor dem Audit, beantworten diese Frage nicht.
Dazu kommt der Vorfall-Fall: NIS2 verlangt eine Erstmeldung innerhalb von 24 Stunden. Wer dann erst rekonstruieren muss, wie der Tenant konfiguriert war und was sich zuletzt geändert hat, verliert genau die Zeit, die für die Reaktion fehlt.
Das M365-Security-Audit ist mein Prüfdienst für Microsoft-365- und Entra-ID-Umgebungen. Der Dienst verbindet sich einmal täglich mit Ihrem Tenant, liest die sicherheitsrelevante Konfiguration aus und prüft sie gegen einen kuratierten Regelkatalog auf Basis der CIS Microsoft 365 Foundations und des BSI IT-Grundschutz (Baustein APP.5.3). Drei Dinge unterscheiden ihn von einem einmaligen Assessment:
Jeder Scan bewertet die aktuelle Konfiguration neu. Aus der "vorübergehenden" Ausnahme wird ein Finding nach 24 Stunden — nicht ein Befund im nächsten Jahresaudit. Findings enthalten Schweregrad, betroffenes Objekt und einen konkreten Behebungshinweis.
Der Agent archiviert bei jedem Lauf den vollständigen Konfigurationsstand — unveränderlich, sieben Jahre aufbewahrt. Die Frage "Wie war das am 12. März konfiguriert?" beantworten Sie damit direkt, für Auditoren ebenso wie in der Vorfallsanalyse.
Pro Scan entsteht ein Finding-Report mit Verweis auf die jeweilige CIS- und BSI-Kontrolle. Neue, behobene und bestehende Findings sind getrennt ausgewiesen — Sie sehen die Entwicklung, nicht nur den Status.
Der Regelkatalog deckt den Microsoft-365-Stack von der Identitätsebene bis zu Endpoint und Datenschutz ab:
Der Katalog wird laufend an neue Versionen der CIS Foundations und des BSI IT-Grundschutz angepasst — ohne dass Sie dafür etwas tun müssen.
Ein Dienst, der Ihre Sicherheitskonfiguration liest, muss selbst höchsten Ansprüchen genügen. Deshalb gilt:
Zur Einordnung: Der Agent prüft die Konfigurationsebene. Er ersetzt kein ISMS und kein Management-System — er liefert die kontinuierlichen, belastbaren Nachweise, die ein ISMS für den Bereich Microsoft 365 braucht. Für das Management von Audits, Risiken und Maßnahmen setze ich auf AuditShield; beides greift ineinander.
Wir klären Tenant-Umfang, Compliance-Kontext (ISO 27001, TISAX, NIS2) und ob der Dienst für Ihre Umgebung sinnvoll ist.
Gemeinsame Einrichtung der App-Registrierung mit Read-only-Berechtigungen und Admin-Consent in Ihrem Tenant — dokumentiert und nachvollziehbar.
Der erste Finding-Report zeigt den Ist-Zustand. Die Ergebnisse gehen wir gemeinsam durch, priorisiert nach Risiko.
Tägliche Scans, fortlaufende Snapshots, Berichte im vereinbarten Rhythmus. Auf Wunsch begleite ich die Behebung der Findings.
Jede Umgebung betreue ich persönlich — mit kurzen Wegen und einem Ansprechpartner, der die Findings auch fachlich einordnen kann, statt nur einen Report zu verschicken. Sinnvoll ist der Dienst vor allem für Unternehmen, die:
Konditionen bespreche ich im Erstgespräch — abhängig von Tenant-Größe und Berichtsumfang. Einen inhaltlichen Einstieg ins Thema gibt der Blog-Artikel Microsoft 365 Security: Die Checkliste für den Mittelstand.
Nein. Die App-Registrierung erhält ausschließlich lesende Graph-API-Berechtigungen. Schreibzugriffe sind technisch nicht möglich. Behebungen setzen Sie selbst um oder beauftragen sie als separate Leistung — dann mit eigener, ausdrücklicher Freigabe pro Maßnahme.
Secure Score ist ein guter Anhaltspunkt, aber er priorisiert nach Microsoft-Logik, verändert sich mit Microsofts Produktstrategie und liefert keinen revisionssicheren Verlauf. Der Audit-Agent prüft gegen stabile, extern definierte Kontrollen (CIS, BSI), dokumentiert jede Bewertung mit Beleg und bewahrt die zugrunde liegende Konfiguration sieben Jahre auf — das ist die Form von Nachweis, die Auditoren akzeptieren.
Ausgelesen werden Konfigurationsobjekte (z. B. Conditional-Access-Richtlinien, Rollenzuweisungen, Mandanteneinstellungen) — keine E-Mails, keine Dokumente, keine Dateiinhalte. Die Snapshots werden verschlüsselt in deutschen Rechenzentren gespeichert; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gehört zum Onboarding.
Nein — es liefert die kontinuierliche Nachweisbasis dafür. Interne wie externe Audits werden dadurch erheblich schneller, weil die Frage "Wie war das konfiguriert?" jederzeit belegbar ist. Für den Aufbau eines ISMS oder die Auditvorbereitung selbst unterstütze ich mit TISAX- und ISO-27001-Beratung.
Etwa eine Stunde gemeinsamer Termin: App-Registrierung anlegen, Zertifikat hinterlegen, Admin-Consent erteilen, erster Testlauf. Es wird keine Software in Ihrer Umgebung installiert und kein Agent auf Ihren Systemen betrieben — die Prüfung läuft vollständig über die Microsoft-Graph-Schnittstelle.
Vereinbaren Sie ein kostenloses Erstgespräch. Ich zeige Ihnen an Ihrem konkreten Compliance-Kontext, was der Audit-Agent leistet — und was nicht.
