Daniel AcarMicrosoft-365-Baseline über alle Mandanten
Ein einzelner Tenant lässt sich per Hand härten. Über zwanzig, fünfzig oder hundert Kunden hinweg wird jede manuelle Einstellung zur Fehlerquelle: Bei einem Kunden fehlt MFA, beim nächsten wurde Legacy-Auth „nur kurz" wieder aktiviert, beim dritten hat niemand das Break-Glass-Konto geprüft. Eine gemeinsame Baseline ist die Antwort darauf.
Was eine Baseline ist
Eine Sicherheits-Baseline ist der Mindeststandard, der bei jedem Kunden gelten soll – unabhängig von Größe oder Branche. In TenantSecure sind das die acht Härtungs-Checks, die den Kern einer Microsoft-365-Absicherung ausmachen:
- MFA-Abdeckung je Nutzer – wer ist wirklich durch Multi-Faktor geschützt.
- Legacy-Authentifizierung per Conditional-Access-Block unterbunden.
- Break-Glass-Konto vorhanden und sauber konfiguriert.
- Security Defaults bzw. äquivalente Conditional-Access-Richtlinien aktiv.
- Kontrollierte Verteilung privilegierter Rollen.
- Eingeschränkte Nutzer-Zustimmung für Apps.
- Blockierte automatische externe Mail-Weiterleitung.
- Regelmäßige Posture-Snapshots als Verlaufsbeleg.
Warum Drift über Kunden gefährlich ist
„Drift" heißt: Ein Tenant, der einmal sauber eingestellt war, weicht mit der Zeit von der Baseline ab. Ein Admin schaltet eine Richtlinie für einen Sonderfall aus, ein neuer Nutzer landet ohne MFA, eine Ausnahme bleibt dauerhaft. Bei einem Kunden fällt das vielleicht auf – über das ganze Portfolio verteilt bleibt es unsichtbar, bis genau dieser Tenant kompromittiert wird. Ohne zentrale Sicht merkst du Drift erst im Schadensfall.
Portfolio-Compliance in TenantSecure
- Snapshots: Der Sicherheits-Score und die Härtungs-Checks jedes Kunden werden regelmäßig als Momentaufnahme gespeichert – so wird der Verlauf sichtbar.
- Drift-Erkennung: Weicht ein Tenant von der Baseline ab, fällt er im Portfolio-Überblick auf, statt in einem einzelnen Portal unterzugehen.
- Gezielte Fragen beantworten: „Welche Kunden haben kein MFA?", „Wo ist Legacy-Auth noch offen?" – über alle Mandanten in einer Ansicht, nicht Tenant für Tenant.
Ein Caveat zu den Lizenzen
Nicht jeder Check ist ohne Zusatzlizenz voll aussagekräftig. Insbesondere das Blockieren von Legacy-Authentifizierung über Conditional Access setzt Entra ID P1 beim Kunden voraus. Fehlt die Lizenz, kann TenantSecure den Check nicht sicher als erfüllt werten und zeigt „Unbekannt" statt eines falschen Grüns – Ehrlichkeit vor Schönfärberei.
Mit TenantSecure
TenantSecure macht deine Baseline messbar: acht Checks, regelmäßige Snapshots und ein Portfolio-Überblick, der Drift sichtbar macht, bevor er zum Vorfall wird. Die Belege daraus fließen direkt in deine NIS2-Dokumentation.
Häufige Fragen
- Was gehört in eine Microsoft-365-Sicherheits-Baseline?
- Typischerweise MFA-Abdeckung, das Blockieren von Legacy-Authentifizierung, ein sauberes Break-Glass-Konto, aktive Security Defaults oder äquivalente Conditional-Access-Richtlinien, kontrollierte privilegierte Rollen, eingeschränkte Nutzer-Zustimmung, blockierte externe Auto-Weiterleitung und regelmäßige Posture-Snapshots.
- Was bedeutet „Drift“ bei einer Baseline?
- Drift heißt, dass ein einmal sauber konfigurierter Tenant mit der Zeit von der Baseline abweicht – etwa ein neuer Nutzer ohne MFA oder eine deaktivierte Richtlinie. Über viele Mandanten bleibt das ohne zentrale Sicht meist unbemerkt, bis genau dieser Tenant kompromittiert wird.
- Brauche ich Entra ID P1 für die Baseline-Checks?
- Für einige Checks ja, insbesondere für das Blockieren von Legacy-Auth über Conditional Access. Fehlt die Lizenz, sollte der Check ehrlich „Unbekannt“ zeigen statt fälschlich „erfüllt“.
Weiterführende Links
Deine Baseline über alle Kunden messbar machen?
TenantSecure prüft acht Härtungs-Checks je Mandant, speichert regelmäßige Snapshots und macht Drift im Portfolio sichtbar, bevor er zum Vorfall wird.