Ich prüfe Ihre Microsoft-365-Konfiguration, werte verfügbare Protokolle aus und mache Auffälligkeiten nachvollziehbar. Für kleine Unternehmen ab 5 Postfächern ebenso wie für die Vorbereitung Ihrer Audits.
Microsoft 365 ist in den meisten Mittelständlern das zentrale Arbeitssystem — E-Mail, Dateien, Identitäten, Zugriffe. Entsprechend oft ändert sich die Konfiguration: eine Conditional-Access-Ausnahme für einen Dienstleister, ein neues Admin-Konto für eine Migration, ein App-Consent, den ein Mitarbeiter schnell bestätigt hat. Jede dieser Änderungen verschiebt die Sicherheitslage, und fast keine davon fällt im Alltag auf.
Für die IT-Sicherheit ist das ein schleichendes Risiko. Für die Compliance ist es ein handfestes Nachweisproblem: ISO 27001, TISAX und NIS2 verlangen nicht nur, dass Maßnahmen einmal umgesetzt wurden, sondern den Beleg, dass sie über den gesamten Prüfzeitraum wirksam waren. Ein Auditor fragt nicht "Ist MFA aktiviert?", sondern "Weisen Sie nach, dass MFA im letzten Jahr durchgängig aktiviert war." Screenshots aus dem Admin-Center, angefertigt in der Woche vor dem Audit, beantworten diese Frage nicht.
Dazu kommen die Protokolle. Microsoft schreibt mit, wer sich wann von wo anmeldet und wer welche Postfachregel anlegt. Ohne Entra-ID-P1-Lizenz bleiben Anmelde- und Überwachungsprotokolle aber nur 7 Tage erhalten, mit P1 oder P2 sind es 30 Tage (Microsoft Learn). Meist verfallen sie ungelesen, und mit ihnen die Chance, einen Vorfall zu rekonstruieren.
Dazu kommt der Vorfall-Fall: NIS2 verlangt eine Erstmeldung innerhalb von 24 Stunden. Wer dann erst rekonstruieren muss, wie der Tenant konfiguriert war und was sich zuletzt geändert hat, verliert genau die Zeit, die für die Reaktion fehlt.
Das M365-Security-Audit ist mein Prüfdienst für Microsoft-365- und Entra-ID-Umgebungen. Er erledigt drei Aufgaben, technisch getrennt, damit die eine nicht die andere verdeckt. Das Regelwerk orientiert sich an den CIS Microsoft 365 Foundations und am BSI IT-Grundschutz (Baustein APP.5.3); die Verweise sind Orientierung, kein zertifiziertes Mapping.
Ich lese die verfügbaren Konfigurationsdaten täglich und vergleiche sie mit dem implementierten Regelwerk. Befunde nennen Schweregrad, betroffenes Objekt und Schritte zur Behebung. Die Richtlinienanalyse sucht beispielsweise nach Nur-Melden-Modi, problematischen Ausnahmen und widersprüchlichen Einstellungen. Sie ersetzt keine vollständige Prüfung aller möglichen Zugriffswege.
Ich rufe die freigegebenen Anmelde- und Audit-Protokolle ab und werte sie regelbasiert aus. Im Paket Kompakt einmal täglich, in der Daueraufsicht alle vier Stunden. Kritische Befunde können nach dem Prüflauf per E-Mail gemeldet werden, sofern der Benachrichtigungskanal eingerichtet ist. Das ist keine Echtzeitüberwachung.
Die gelesenen Datensätze und Konfigurationsstände bleiben erhalten, durchsuchbar und im Original einsehbar. Die Frage "Wie war das am 12. März konfiguriert?" beantworten Sie damit direkt. Am Monatsende entsteht ein PDF, das jeden Lauf, jeden Befund und auch jede Lücke benennt, also die Zeiträume, für die keine Aussage möglich war.
Der Dienst sucht mit festgelegten Regeln nach auffälligen Mustern in den verfügbaren Protokollen. Es handelt sich um regelbasierte Anomalieerkennung, nicht um ein selbstlernendes KI-System. Implementiert sind unter anderem:
Eine Auffälligkeit ist kein Beweis für einen Angriff. Ein VPN, eine Reise oder eine genehmigte administrative Änderung kann einen Hinweis erklären. Ich bewerte die Befunde im Kontext Ihrer Umgebung; Konten werden dadurch nicht automatisch gesperrt.
Beim Onboarding kläre ich mit Ihnen, welche Lizenzen, Berechtigungen, Audit-Einstellungen und Datenquellen vorhanden sind. Fehlende oder nicht abrufbare Daten werden als Lücke beziehungsweise nicht geprüft ausgewiesen, nicht als unauffälliges Ergebnis. Auch der verfügbare Prüfzeitraum wird dokumentiert. Bereits bei Microsoft gelöschte Protokolle lassen sich nicht nachträglich wiederherstellen.
Der aktuelle Regelkatalog enthält konkrete Prüfungen in diesen Bereichen. Welche davon für Ihre Umgebung ausführbar sind, hängt von den verfügbaren Daten und Berechtigungen ab:
Ich verspreche damit keine vollständige Abdeckung aller Microsoft-365-Einstellungen. Insbesondere folgt aus dem Abruf einer Datenquelle noch keine vollständige fachliche Prüfung. Der Abgleich mit Microsofts Empfehlungskatalog macht geprüfte und nicht abgedeckte Empfehlungen sichtbar; eine zertifizierte CIS- oder BSI-Konformitätsprüfung ist das nicht.
Ein Dienst, der Ihre Sicherheitskonfiguration liest, muss selbst höchsten Ansprüchen genügen. Deshalb gilt:
Zur Einordnung: Der Dienst prüft Konfiguration und Protokolle in Microsoft 365. Er ersetzt kein ISMS und kein Management-System — er liefert die kontinuierlichen, belastbaren Nachweise, die ein ISMS für den Bereich Microsoft 365 braucht. Für das Management von Audits, Risiken und Maßnahmen setze ich auf AuditShield; beides greift ineinander.
Wir klären Tenant-Umfang, Anzahl der Postfächer, gegebenenfalls Ihren Compliance-Kontext (ISO 27001, TISAX, NIS2) und ob der Dienst für Ihre Umgebung sinnvoll ist.
Gemeinsame Einrichtung der App-Registrierung mit lesenden Berechtigungen und Admin-Consent in Ihrem Tenant — dokumentiert und nachvollziehbar.
Der erste Finding-Report zeigt den Ist-Zustand. Die Ergebnisse gehen wir gemeinsam durch, priorisiert nach Risiko.
Ich prüfe nach dem vereinbarten Zeitplan. Bei eingerichtetem Benachrichtigungskanal werden kritische Befunde nach dem Prüflauf per E-Mail gemeldet. Der Monatsbericht fasst Ergebnisse und Datenlücken zusammen. Auf Wunsch begleite ich die Behebung; Änderungen erfolgen nicht automatisch.
Jede Umgebung betreue ich persönlich, mit kurzen Wegen und einem Ansprechpartner, der die Befunde auch fachlich einordnet. Sinnvoll ist der Dienst vor allem für:
Einen inhaltlichen Einstieg geben die Blogartikel Microsoft 365 über die Feiertage absichern und Microsoft 365 Security: Die Checkliste für KMU.
Das Regelwerk und die Auswertungen sind für jeden Kunden dieselben; es wird keine Regel zurückgehalten. Was Sie wählen, ist der Prüfrhythmus und die Aufbewahrungsdauer.
Für kleine Tenants von 5 bis 15 Postfächern ohne Nachweispflicht. Dasselbe Regelwerk und dieselben Auswertungen, Konfiguration und Protokolle einmal täglich. 3 Monate Aufbewahrung, Monatsbericht als PDF. Befundsichtung nach Aufwand.
Bis 25 aktive Postfächer, darüber 6 € je Postfach. Konfiguration täglich, Protokolle alle 4 Stunden, kritische Befunde per Mail, 3 Monate Aufbewahrung, prüffähiger Monatsbericht und 60 Minuten Befundsichtung je Monat. Ab dem 16. Postfach gilt die Daueraufsicht.
6 Monate + 180 €, 9 Monate + 320 €, 12 Monate + 450 € je Monat. Längere Fristen bis zu sieben Jahre biete ich auf Anfrage als eigenes Paket an, etwa für Audit- und Nachweispflichten. Längere Aufbewahrung kostet mehr, weil ich länger für personenbezogene Daten Ihrer Beschäftigten hafte.
Einrichtung einmalig 1.290 € für die erste vollständige Bestandsaufnahme und deren gemeinsame Durchsprache. Mindestlaufzeit 12 Monate, denn ein Nachweis, der monatlich kündbar ist, ist als Nachweis wenig wert. Alle Preise netto je Tenant und Monat, zuzüglich gesetzlicher Umsatzsteuer, sofern sie anfällt.
Zwischen den Jahren sind die Büros leer, Microsoft 365 läuft weiter. Dafür biete ich zwei befristete Pakete vom 14. Dezember 2026 bis 15. Januar 2027 an, ohne anschließende Mindestlaufzeit.
790 € einmalig
Für 5–15 aktive Postfächer.
Einrichtung, erste Bestandsaufnahme und gemeinsame Durchsprache vor den Feiertagen. Konfigurations- und Log-Prüfung mit regelbasierter Anomalieerkennung sowie Abschlussbericht im Januar.
1.290 € einmalig
Bis 25 aktive Postfächer.
Für größere kleine Tenants, insbesondere mit 16–25 aktiven Postfächern. Derselbe beschriebene Prüfumfang, mit Einrichtung, gemeinsamer Durchsprache und Abschlussbericht.
Für beide Feiertags-Pakete gilt:
Alle Paketpreise netto je Tenant, zuzüglich gesetzlicher Umsatzsteuer, sofern sie anfällt. Einrichtung inklusive. Buchbar bis 4. Dezember 2026. Bei anschließendem Wechsel in ein laufendes Paket rechne ich den gezahlten Paketpreis vollständig auf die reguläre Einrichtung von 1.290 € an. Mehr als 25 aktive Postfächer kalkuliere ich individuell.
Feiertags-Aufsicht anfragenNicht ohne Ihre Zustimmung. Standardmäßig erhält die Anwendung ausschließlich lesende Berechtigungen. Schreibende Rechte vergebe ich nur auf Ihren Wunsch, nur für einzelne Regeln und nur mit ausdrücklicher Bestätigung vor jeder Änderung; jede Änderung wird mit Zeitpunkt, Regel und auslösender Person protokolliert.
Secure Score ist ein guter Anhaltspunkt, aber er priorisiert nach Microsoft-Logik, verändert sich mit Microsofts Produktstrategie und liefert keinen revisionssicheren Verlauf. Mein Dienst prüft gegen ein eigenes, an CIS und BSI orientiertes Regelwerk, dokumentiert jede Bewertung mit Beleg, bewahrt Konfiguration und Protokolle für die gewählte Frist auf und misst die eigene Abdeckung offen an Microsofts Empfehlungskatalog.
Ausgelesen werden Konfigurationsobjekte (z. B. Conditional-Access-Richtlinien, Rollenzuweisungen, Mandanteneinstellungen) und die Microsoft-Protokolle, etwa Anmeldungen und Verzeichnisänderungen. Keine E-Mail-Inhalte, keine Dokumente, keine Dateiinhalte. Die Daten werden verschlüsselt in Deutschland gespeichert und nach der gewählten Frist automatisch gelöscht; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gehört zum Angebot.
Nein — es liefert die kontinuierliche Nachweisbasis dafür. Interne wie externe Audits werden dadurch erheblich schneller, weil die Frage "Wie war das konfiguriert?" jederzeit belegbar ist. Für den Aufbau eines ISMS oder die Auditvorbereitung selbst unterstütze ich mit TISAX- und ISO-27001-Beratung.
Für die Grundeinrichtung plane ich etwa eine halbe bis ganze Stunde gemeinsam mit Ihrer IT: App-Registrierung anlegen, Zertifikat hinterlegen, Berechtigungen freigeben und einen ersten Testlauf prüfen. Zusätzliche Datenquellen können weitere Schritte erfordern. Auf Ihren Endgeräten installiere ich keinen Agenten. Die Prüfung nutzt die jeweils benötigten Microsoft-Schnittstellen; verfügbare Quellen und Lücken dokumentiere ich beim Onboarding.
Vereinbaren Sie ein kostenloses Erstgespräch. Ich zeige Ihnen an Ihrem konkreten Compliance-Kontext, was der Dienst leistet — und was nicht.
