Microsoft 365 _ Entra
Technische Evidenz aus dem System-Report
Stand 20.01.2026
Microsoft 365 / Entra
| Host | mustermetall |
| Datum | 2026-01-20 |
| Erhebung | Microsoft Graph (read-only) |
Ergebnis: 4 erfüllt · 3 teilweise · 4 nicht erfüllt
Ergebnisse im Detail
M365 Privilegierte Rollen
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| nicht erfüllt | Anzahl Global Admins begrenzt + privilegiert minimiert | 7 Global Administratoren, alle dauerhaft/aktiv (kein PIM/eligible): Steiner, Muster, Koller, Haas (TechPartner), Wimmer (TechPartner) + Dienstkonto 'Config' + geteiltes Konto [email protected] | <5 Global Admins, zeitlich begrenzt über PIM (eligible), keine geteilten/Dienstkonten als GA |
| nicht erfüllt | Keine geteilten/Dienstkonten mit Global Admin | [email protected] (geteiltes Sammelkonto) und 'Config' (Dienstkonto) haben dauerhaft Global Admin | personengebundene Admin-Konten; Dienst-/Sammelkonten ohne GA |
| nicht erfüllt | Just-in-Time-Administration (PIM) | Alle 7 GA-Zuweisungen 'Permanent' — kein Privileged Identity Management (eligible/zeitlich begrenzt) im Einsatz | privilegierte Rollen über PIM eligible + Genehmigung/Zeitlimit |
M365 Conditional Access
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | Conditional Access aktiv + umfassend | 11 CA-Policies, überwiegend aktiv: Block device code flow (MS), MFA+Reauth bei Risiko (MS), CA001 MFA Admins, CA003 Block Legacy, CA004 MFA alle, CA005 MFA Gäste, CA006 MFA Azure-Mgmt, +App-spezifische (Devolution/FortiGate/XEOX) | CA deckt alle Benutzer/Apps ab, MFA erzwungen, Legacy-Auth blockiert |
| erfüllt | Definierte Policies auch aktiv | Policy 'Buchhaltung Block außerhalb Firma' aktiviert (Report-only 2 Wochen, dann scharf) | benötigte Policies aktiv oder entfernen, wenn nicht gewollt |
M365 Identity
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| teilweise | MFA für alle Benutzer erzwungen | CA004 'Require MFA for all users' aktiv (alle Benutzer/Apps) — ABER 3 Benutzer ausgenommen (IDs 3a8ebab8…, 4f044337…, 65b7740a…); CA001 Admin-MFA + CA005 Gast-MFA + CA006 Azure-Mgmt-MFA aktiv | MFA für alle; Ausnahmen nur dokumentierte Break-Glass-Konten mit FIDO2 |
M365 Legacy-Auth
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| teilweise | Legacy-Authentifizierung blockiert | CA003 'Block legacy authentication' aktiv (ExchangeActiveSync + other), alle Benutzer — 1 Benutzer ausgenommen (ID 110c93e7…) | Legacy-Auth für alle blockiert; keine Ausnahmen |
M365 Protokollierung
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | Audit-Protokollierung aktiv | Entra Audit-Log liefert Einträge (Group-/User-/App-/Device-Management, Authentication) — Zeitraum 13.–14.10.2025, Protokollierung aktiv | Unified Audit Log aktiv, Aufbewahrung definiert |
M365 Externe Zusammenarbeit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| erfüllt | Gastzugriff abgesichert | CA005 erzwingt MFA für Gäste; 19 inaktive Gäste entfernt (27 verbleiben), Zugriffsüberprüfung alle 90 Tage eingerichtet | Gast-MFA + restriktive externe Freigaben |
M365 App-Governance
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| nicht erfüllt | OAuth-/App-Consent eingeschränkt | User-Consent für alle Apps erlaubt (Standard); 14 Enterprise-Apps mit Benutzer-Consent, darunter ein KI-Notizdienst mit Mail.Read | User-Consent eingeschränkt, Admin-Consent-Workflow |
M365 Secure Score
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| teilweise | Microsoft Secure Score bewertet | Secure Score 44 % — erstmals ausgewertet, 12 Empfehlungen priorisiert | Secure Score erfasst + Maßnahmen priorisiert |
Technische Evidenz — Holisec Security Check.