Microsoft-365-Tenant-Prüfliste für Schweizer KMU

Zweck

Diese Prüfliste unterstützt Geschäftsleitung, interne IT und IT-Provider dabei, den Sicherheitszustand eines bestehenden Microsoft-365-Tenants strukturiert zu erfassen und Massnahmen zu priorisieren. Ein Tenant ist die logisch abgegrenzte Microsoft-365-Organisation eines Unternehmens. Die Liste konzentriert sich auf Identitäten, Administratorrechte, externe Zusammenarbeit, Protokollierung, Wiederherstellung und Provider-Governance.

Sie ist ein Arbeitsmittel zur Bestandsaufnahme und ersetzt keine technische Sicherheitsanalyse, keinen Wiederherstellungstest und keine individuelle Rechtsberatung. Bei Personendaten, Auftragsbearbeitung, Datenbekanntgaben ins Ausland oder Vertragsbestimmungen ist ⚖️ Fachprüfung erforderlich.^{[1] [2]}

Anwendung

Füllen Sie die Prüfliste gemeinsam mit der fachlich verantwortlichen Person für Microsoft 365 und – soweit vorhanden – dem IT-Provider aus. Bewerten Sie jeden Punkt mit erfüllt, teilweise erfüllt, nicht erfüllt, nicht anwendbar oder ungeprüft. Ein «erfüllt» ist nur angemessen, wenn ein nachvollziehbarer Nachweis vorliegt, beispielsweise eine Konfiguration, ein Protokollauszug, ein Verfahren oder ein Testprotokoll.

Ordnen Sie offene Punkte einer Priorität zu. Kritisch bedeutet: Es besteht ein unmittelbarer, nicht akzeptierter Schutz- oder Steuerungsmangel bei privilegierten Zugängen, kritischen Daten oder Wiederherstellbarkeit. Wichtig bedeutet: Die Kontrolle fehlt oder ist lückenhaft und soll risikobasiert eingeplant werden. Optimierend bedeutet: Die Kontrolle verbessert Transparenz, Konsistenz oder Effizienz, ohne dass aus der Checkliste allein ein unmittelbares hohes Risiko folgt.

Stammdaten

Kontrollpunkte

A. Identitäten und Anmeldung

Prüfnotiz zu A6: Microsoft empfiehlt mindestens zwei cloudnative Notfallkonten. Sie sollen unabhängig von föderierten oder synchronisierten Identitäten sein und eine phishing-resistente, von normalen Admin-Konten unterschiedliche Anmeldung mit Passkey (FIDO2) oder zertifikatbasierter Authentisierung verwenden. Die Konten sind zu überwachen und mindestens alle 90 Tage zu testen.^[3]

B. Administratorrechte und Anwendungen

Prüfnotiz zu B2: Microsoft empfiehlt das Prinzip der geringsten Rechte und nennt als Richtwerte weniger als fünf Global Administrators sowie weniger als zehn Zuweisungen privilegierter Rollen. Die angemessene Zahl muss jedoch aus Aufgaben, Stellvertretung und Risiko der eigenen Organisation abgeleitet werden.^[4]

Prüfnotiz zu B6–B7: Anwendungen und Dienstprinzipale können weitreichende Berechtigungen erhalten. Microsoft empfiehlt, neue Anmeldeinformationen, neue Eigentümer, Zustimmungen, Berechtigungen und privilegierte Rollenzuweisungen ausserhalb des vorgesehenen Änderungsprozesses zu überwachen.^[12] Der Herstellerbericht zu Storm-0940 vom 21. Oktober 2026 verlangt bei den vier dort konkret genannten ConnectWise-Application-IDs, nicht bloss beim Anzeigenamen, ein Inventar in aktuell und früher autorisierten Tenants. Die eingeschränkte Anweisung, diese betroffenen Anbindungen bis zu formellen Wiederherstellungsanweisungen von ConnectWise deaktiviert zu halten, gilt nicht pauschal für andere ConnectWise-Produkte oder Anwendungen. Enterprise Apps sollen nicht als erste Reaktion gelöscht werden: Verfügbare Konfiguration und Beweise sind vor irreversiblen Änderungen zu sichern; dringliche Eindämmung darf nicht auf Exporte warten.^[13]

Prüfnotiz zu widerrufenen Anmeldeinformationen: Ein Widerrufsfehler beweist nicht, dass Microsoft die Anmeldeinformation widerrufen hat. Prüfen Sie bei einer fachlich begründeten Untersuchung die tokenRevocations am Application- und Service-Principal-Objekt mit derselben Application ID sowie das passende Entra-Auditereignis. Ein Widerruf verhindert neue Tokens, kann aber je nach Ressource bereits ausgestellte Tokens bis zu 24 Stunden weiterwirken lassen. Bei bestätigter Kompromittierung empfiehlt Microsoft Ersatz und Umstellung der Workload; die kompromittierte Anmeldeinformation bleibt widerrufen.^[14] ⚖️ Fachprüfung erforderlich Diese Notiz ordnet keine App-Deaktivierung, Löschung, Credential-Rotation oder Wiederaktivierung eines Widerrufs an.

C. Externe Zusammenarbeit und Freigaben

Prüfnotiz zu C2–C4: SharePoint und OneDrive kennen organisationsweite Freigabestufen. Einzelne Sites dürfen nur gleich restriktiv oder restriktiver eingestellt sein; OneDrive darf nicht offener als SharePoint sein. «Jeder»-Links sind ohne Anmeldung verwendbar und bei Weitergabe nicht personenbezogen nachvollziehbar.^[5]

Prüfnotiz zu C7: Das BACS empfiehlt im Berufsalltag, vor jeder KI-Eingabe auf sensible oder persönliche Daten zu prüfen und diese zu anonymisieren; wenn möglich sollen Unternehmens- statt Privatkonten verwendet und Trainingsnutzung sowie vorhandene Opt-out-Möglichkeiten geprüft werden.^[10] ⚖️ Fachprüfung erforderlich Die konkrete Zulässigkeit, Datenflüsse und Einstellungen des eingesetzten Dienstes sind nicht mit dieser Vorlage beurteilt.

D. Protokollierung, Alarmierung und Notfallbezug

Prüfnotiz zu D2: Microsoft Purview Audit (Standard) ist in Organisationen mit passendem Abonnement standardmässig aktiviert und bewahrt Auditdaten grundsätzlich 180 Tage auf. Audit (Premium) und die konkrete Lizenzierung können längere Aufbewahrung ermöglichen. Prüfen Sie die tatsächliche Verfügbarkeit und Aufbewahrung in Ihrem Tenant.^{[6] [7]}

E. Wiederherstellung und Backup-Verantwortung

Prüfnotiz zu E3–E5: Das BACS empfiehlt bei Cloud-Diensten, dass Daten exportierbar und als Offline-Backup gegen Ransomware gesichert werden können. Es empfiehlt ausserdem, Backup-Konzept und erfolgreichen Wiederherstellungstest mit dem Dienstleister ausdrücklich zu klären.^{[8] [9]}

Prüfnotiz zum Vorfallbezug: Bei Malwareverdacht auf einem geschäftlich verwendeten Gerät empfiehlt das BACS, die zuständige IT zu informieren und eine Fachperson untersuchen zu lassen; bei bestätigter Infektion nennt es Neuaufsetzen und anschliessende Passwortwechsel.^[11] Das ist kein Ersatz für eine organisationsspezifische forensische oder Wiederanlaufentscheidung.

F. Provider-Governance und Datenschutz

Prüfnotiz zu F5: Das DSG verlangt, dass der Verantwortliche sich insbesondere vergewissert, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Eine Unterauftragsbearbeitung erfordert die vorgängige Genehmigung des Verantwortlichen.^[1] Der EDÖB empfiehlt unter anderem die Prüfung von Weisungsbindung, Sicherheitsmassnahmen, Unterauftragsbearbeitern, Bearbeitungsländern und Unterstützung im Vorfall.^[2] Diese Prüfliste kann keine rechtliche Einzelfallwürdigung ersetzen.

Priorisierte Massnahmenliste

Grenzen und Fachprüfung

Ein ausgefülltes Arbeitsmittel belegt nur, dass die genannten Punkte zu einem bestimmten Zeitpunkt bearbeitet wurden. Es garantiert weder die Sicherheit des Tenants noch die Verhinderung oder Erkennung eines Cyberangriffs. Neue Produkteinstellungen, Lizenzen, Anwendungen, Providerzugänge und Datenflüsse können die Bewertung verändern.

Die Liste ist keine Zertifizierung, kein Auditbericht und keine Zusage zur Wiederherstellbarkeit. Ergänzen Sie sie durch technische Tests, einen risikobasierten Massnahmenplan und einen abgestimmten Notfallprozess. ⚖️ Fachprüfung erforderlich Bei Verarbeitung von Personendaten oder Auslagerung an Cloud- und IT-Provider ist insbesondere die konkrete Vereinbarung über Auftragsbearbeitung sowie eine allfällige Datenbekanntgabe ins Ausland fachlich zu prüfen.^{[1] [2]}

Quellen