Ihr Microsoft 365 im Spiegel.
Automatische Sicherheitsprüfung für Microsoft 365 in Unternehmen: bis zu 121 Sicherheitseinstellungen je nach Lizenzen, nur lesend, der Bericht im Web und als PDF nach etwa 5 bis 15 Minuten.
Im Beispiel:
PDF mit Beispieldaten, 52 Seiten. Gehostet in Deutschland. Nur für Unternehmen, mit AVV nach Art. 28 DSGVO.
Was Auditspiegel in Ihrem Tenant prüft
Der Prüfkatalog folgt den Stellen, an denen Microsoft 365 in kleinen und mittleren Unternehmen am häufigsten offen steht.
Mehrstufige Anmeldung für alle Konten, die Zahl und der Schutz der Administratorkonten, Notfallzugänge und gesperrte veraltete Anmeldeprotokolle wie POP, IMAP und SMTP-Auth.
Anleitungen zur Anmeldung im Ratgeber- 121Einstellungen kann ein Scan automatisch auswerten, je nach Lizenzen des Tenants
- 151Prüfpunkte im Katalog, die übrigen nennt der Bericht mit Grund
- 5Bezugsrahmen: SCuBA, BSI IT-Grundschutz, DSGVO Art. 32, NIS2 und MITRE ATT&CK
- 17Berechtigungen in Ihrem Tenant; Auditspiegel liest nur und ändert nichts
Ein Bericht, den auch Ihr Auditor lesen kann
Seite 1 zeigt, wo Ihr Unternehmen steht und was zuerst zu tun ist.
Jeder Befund nennt die Messung, die Begründung und die Schritte bis zur Einstellung.
Was nicht automatisch geprüft wurde, steht mit Grund im Bericht.
Was Sie nach dem Scan sehen
Vier Stellen aus der App. Nach dem ersten Scan stehen hier Ihre Zahlen.
So läuft ein Audit ab
Sie installieren nichts und brauchen kein Sicherheitswissen.
- unter 5 Minuten1
Verbinden
Eine Person mit der Rolle „Globaler Administrator“ stimmt in Microsoft einmal zu und weist der App die Rolle „Globaler Leser“ zu. Auditspiegel erhält damit nur Leserechte, ohne Benutzerkennwort.
- Nicht selbst Admin? Sie schicken Ihrer IT einen Bestätigungslink, sieben Tage gültig.
- Die Zustimmung lässt sich jederzeit in Microsoft Entra widerrufen.
- 5 bis 15 Minuten2
Scannen
Der Scan liest bis zu 121 Einstellungen (je nach Lizenzen) über Microsoft Graph und Exchange Online und bewertet sie nach unserem Prüfkatalog.
- Eine E-Mail sagt Ihnen, wann der Bericht bereitsteht.
- Im Abo wöchentlich oder monatlich, ohne Ihr Zutun.
- Web und PDF3
Bericht
Mit Prüfplakette, Spiegel je Prüfbereich und Bezug zu SCuBA, BSI IT-Grundschutz, DSGVO, NIS2 und MITRE ATT&CK.
- Prüfkopf mit Zeitpunkt, Lizenzstand und Prüfumfang.
- Was nicht geprüft wurde, steht mit Grund im Bericht.
- Kritisches zuerst4
Maßnahmen
Jeder offene Punkt nennt die Messung, warum er zählt und die Schritte bis zur Einstellung.
- Mit Klickpfad im Admin Center und einer Anleitung zum Weitersenden an Ihre IT.
- Als erledigt vorgemerkt, bestätigt der nächste Scan die Änderung.
Für wen Auditspiegel gemacht ist
Für kleine und mittlere Unternehmen, die Microsoft 365 nutzen und wissen wollen, wie gut es eingestellt ist.
Inhaber und Geschäftsführung
Sie sehen auf einer Seite, wo Ihr Unternehmen steht, in ganzen Sätzen statt Fachbegriffen. Den Prüfbericht können Sie Ihrem Auditor oder Steuerberater vorlegen, den Prüfnachweis Ihren Kunden.
Was Sie dafür nutzen: Seite 1 des Berichts mit Plakette, Spiegel und Reihenfolge
Interne IT
Sie bekommen eine Arbeitsliste statt einer Checkliste zum Selbstausfüllen: jeder Befund mit Messwert, Schritten und Klickpfad, das Dringendste zuerst.
Was Sie dafür nutzen: Befundansicht mit Messlineal und Klickpfad
IT-Dienstleister
Sie prüfen die Microsoft-365-Tenants Ihrer Kunden mit demselben Maßstab und zeigen im Verlauf, was sich verbessert hat. Im Partnerkonto verwalten Sie alle Kunden-Tenants in einem Konto.
Was Sie dafür nutzen: Verlauf und PDF-Bericht je Kundentenant
Ohne und mit Auditspiegel
| Thema | Ohne Auditspiegel | Mit Auditspiegel |
|---|---|---|
| Prüfen | Ohne Auditspiegel: Einstellungen von Hand in mehreren Admin Centern nachsehen, Seite für Seite. | Mit Auditspiegel: Bis zu 121 Einstellungen in einem Scan, je nach Lizenzen, nur lesend. |
| Grundlage | Ohne Auditspiegel: Excel-Checklisten, deren Stand und Herkunft niemand kennt. | Mit Auditspiegel: Ein Prüfkatalog mit Bezug zu den SCuBA-Baselines der CISA, zum Microsoft Secure Score, zum BSI IT-Grundschutz, zur DSGVO (Art. 32), zu NIS2 (Durchführungsverordnung (EU) 2024/2690) und zu MITRE ATT&CK. |
| Kostenlose Werkzeuge | Ohne Auditspiegel: Microsoft Secure Score zeigt Punkte und Empfehlungen aus Sicht der Microsoft-Produkte. CISA ScubaGear prüft gegen die SCuBA-Baselines, läuft aber nur in PowerShell und liefert einen englischen Bericht. | Mit Auditspiegel: Deutsche Erklärungen, eine Reihenfolge nach Dringlichkeit, Klickpfade, ein PDF für Geschäftsführung und Auditor und im Abo der Verlauf, ohne PowerShell. |
| Verstehen | Ohne Auditspiegel: Unklar, was die Standardeinstellungen von Microsoft für Ihr Unternehmen bedeuten. | Mit Auditspiegel: Jeder Befund sagt in ganzen Sätzen, warum er zählt und was zu tun ist. |
| Reihenfolge | Ohne Auditspiegel: Alles wirkt gleich dringend; wo man anfangen soll, bleibt offen. | Mit Auditspiegel: Kritisches zuerst, mit Schritten und Klickpfad im Admin Center. |
| Nachweis | Ohne Auditspiegel: Der Stand steckt im Kopf einer Person und lässt sich schwer vorzeigen. | Mit Auditspiegel: Ein datierter Prüfbericht als PDF, mit Prüfumfang und offen genannten Grenzen. Ohne kritischen Befund dazu ein Prüfnachweis mit Abzeichen und öffentlicher Prüfseite. |
| Dranbleiben | Ohne Auditspiegel: Einmal geprüft, danach ändert sich der Tenant unbemerkt weiter. | Mit Auditspiegel: Im Abo wöchentlich oder monatlich geprüft, Veränderungen im Verlauf. |
Was Auditspiegel nicht tut: Es ändert nichts an Ihrem Tenant, liest keine E-Mails und keine Dateien und ersetzt weder eine Zertifizierung noch einen Penetrationstest.
Zwei Wege zu Ihrem Bericht
Der Beispielbericht ist ein ganzer Bericht mit Beispieldaten.
Beispielbericht ansehenPDF mit Beispieldaten, 52 Seiten
Einmal-Audit
Der Einstieg: ein einmaliger Prüfbericht, ohne Abo.
149 €einmalig*
- Bericht im Web und als PDF
- Scan innerhalb von 12 Monaten nach dem Kauf starten
- 30 Tage Zugang zum Bericht, nur lesend
- Bei kritischen Befunden: eine kostenlose Nachprüfung innerhalb von 30 Tagen
- Prüfnachweis für Ihre Website, 90 Tage gültig, wenn nichts Kritisches offen ist
- Wechsel ins Abo innerhalb von 30 Tagen: Beim Listenpreis kosten die ersten beiden Monate zusammen nur 9 € netto, weil wir die 149 € netto anrechnen (je 74,50 € netto auf einen Monatsbeitrag)
Tenant-Flat-Abo
Für laufende KontrolleLaufende Prüfung mit neuer Plakette nach jedem Scan.
79 €pro Monat*
- Für einen Microsoft-365-Tenant je Abo
- Scans wöchentlich oder monatlich, ohne Ihr Zutun
- Veränderungen zwischen den Scans im Verlauf
- Bericht per E-Mail, PDF jederzeit
- Prüfnachweis für Ihre Website, verlängert sich mit jedem Scan ohne kritischen Befund
- Monatlich kündbar, mit wenigen Klicks unter „Abrechnung“
Dazubuchbar, nur zum Abo: Zusatzabo KI-Assistent für 19 € im Monat, mit Fragen zum Bericht und der Auswertung von Versicherungs- und Auditor-Fragebögen.
So geht es nach dem Klick weiter
- Konto mit Zwei-Faktor-Anmeldung anlegen, etwa 3 Minuten
- Auftragsverarbeitungsvertrag annehmen und bezahlen
- In Microsoft zustimmen und den ersten Scan starten
* Gemäß § 19 UStG wird keine Umsatzsteuer berechnet.
Ab dem 01.01.2027 verstehen sich alle Preise zzgl. der gesetzlichen Umsatzsteuer. Bei laufenden Abos gilt das für die Leistung ab diesem Datum; ein Abrechnungszeitraum über den Jahreswechsel wird anteilig abgegrenzt.
Unsere Angebote richten sich ausschließlich an Unternehmer im Sinne von § 14 BGB, nicht an Verbraucher.
Alle Details auf der PreisseiteDie Fakten zu Daten und Zugriff
Ihre Daten
- Hosting
- Rechenzentren in DeutschlandRechenzentren in Falkenstein und Nürnberg. Ihre Tenant-Daten und Berichte speichern wir nur dort, auch die Backups.
- Zugriff
- Nur lesend, ohne Kennwörter17 Leseberechtigungen für Microsoft Graph und Exchange Online, freigegeben per Admin-Zustimmung. Keine Benutzerkennwörter, keine Inhalte aus Postfächern oder Dateien.Diese Rechte erteilen Sie
- Vertrag
- AVV nach Art. 28 DSGVOAuftragsverarbeitungsvertrag nach Art. 28 DSGVO beim Kauf, technische und organisatorische Maßnahmen zum Download.
Die Prüfung
- Prüfumfang
- Bis zu 121 von 151 Prüfpunkten automatischJe nach Lizenzen Ihres Tenants. Die übrigen nennt der Bericht mit Grund.
- Bezug
- SCuBA, Secure Score, BSI, DSGVO, NIS2, MITRE ATT&CKBezug zu den Microsoft-365-Sicherheitsbaselines der US-Behörde CISA (SCuBA, Version 2.0.0, gemeinfrei unter CC0 veröffentlicht), zum Microsoft Secure Score, zum BSI IT-Grundschutz-Kompendium (Edition 2023), zur DSGVO (Art. 32), zu NIS2 (Durchführungsverordnung (EU) 2024/2690) und zu MITRE ATT&CK. Die Zuordnung stammt von uns; CISA, BSI, MITRE und Microsoft prüfen oder empfehlen Auditspiegel nicht.
- Kunden
- Nur für UnternehmenAusschließlich Unternehmen, vor allem kleine und mittlere. Rechnung mit allen Pflichtangaben.
Diese Rechte erteilen Sie
Eine Person mit der Rolle „Globaler Administrator“ stimmt einmal in Microsoft zu und weist der App danach die Rolle „Globaler Leser“ zu; die Rolle ist nicht Teil der Zustimmung. Keine der Berechtigungen erlaubt Änderungen, keine liest E-Mails oder Dateien.
| Berechtigung | Was wir lesen | Wozu |
|---|---|---|
Organization.Read.All | Name und Grunddaten Ihres Tenants | Prüfkopf des Berichts; Voraussetzung jeder weiteren Prüfung |
Directory.Read.All | Übersicht über Benutzer, Gruppen und Verzeichniseinstellungen, keine Inhalte | Gäste, Gruppen und Einstellungen des Verzeichnisses bewerten |
User.Read.All | Status der Konten: aktiv, deaktiviert, Gast | Konten-Inventur, etwa veraltete Konten |
UserAuthenticationMethod.Read.All | welche Anmeldemethoden je Konto hinterlegt sind, keine Geheimnisse | messen, wie viele Konten mehrstufig angemeldet sind |
Policy.Read.All | Richtlinien für Anmeldung, Autorisierung und Gastzugriff | veraltete Anmeldung, Gästerechte und App-Zustimmungen prüfen |
Policy.Read.ConditionalAccess | die Regeln für bedingten Zugriff im Einzelnen | prüfen, ob MFA- und Sperrregeln wirklich greifen |
RoleManagement.Read.Directory | wer welche Administratorrolle hat | Zahl und Schutz der Administratorkonten |
SecurityEvents.Read.All | Microsoft Secure Score und Sicherheitsmeldungen aus Microsoft Defender | Secure Score im Bericht und im Verlauf |
AuditLog.Read.All | ob das Audit-Protokoll eingeschaltet ist, keine Inhalte der Protokolle | Nachvollziehbarkeit von Änderungen prüfen |
Reports.Read.All | Nutzungsstatistiken der Lizenzen | erkennen, welche Prüfungen Ihre Lizenzen zulassen |
Application.Read.All | Apps anderer Anbieter mit Zugriff auf Ihren Tenant | riskante App-Zustimmungen finden |
SharePointTenantSettings.Read.All | Freigabe-Einstellungen von SharePoint und OneDrive | externe Freigaben bewerten |
Exchange.ManageAsApp | Einstellungen von Exchange Online und Defender for Office 365, nur über Get-Befehle, keine Postfachinhalte | Spam- und Phishing-Schutz, Weiterleitungen und Postfachüberwachung prüfen |
AccessReview.Read.All | ob Zugriffsüberprüfungen eingerichtet sind | prüfen, ob Gäste und Adminrollen regelmäßig bestätigt werden |
DeviceManagementManagedDevices.Read.All | Zahl der Intune-Geräte nach Konformität, Verschlüsselung und Betriebssystemstand | den Schutz der Geräte bewerten |
DeviceManagementConfiguration.Read.All | die Intune-Konformitätsrichtlinien | prüfen, welche Mindestanforderungen für Geräte gelten |
IdentityRiskyUser.Read.All | wie viele Konten Microsoft als gefährdet einstuft, ohne Details | gefährdete Konten erkennen (Entra ID P2) |
| Entra-Rolle „Globaler Leser“ | Leserechte in den Admin Centern, keine Änderungen | damit Exchange Online die Get-Befehle von Auditspiegel beantwortet |
Exchange.ManageAsApp und die Rolle „Globaler Leser“ gehören zusammen: Die Rolle erlaubt nur Lesen, und Auditspiegel ruft in Exchange Online ausschließlich eine feste Liste von Get-Befehlen auf; jeder andere Befehl wird im Code abgelehnt, bevor er Microsoft erreicht.
So widerrufen Sie die Zustimmung
- Öffnen Sie das Microsoft Entra Admin Center und dort Entra ID > Unternehmens-Apps (englisch: Enterprise apps).
- Wählen Sie „Auditspiegel“. Unter Berechtigungen sehen Sie alle erteilten Rechte.
- Unter Eigenschaften löschen Sie die App aus Ihrem Tenant. Damit endet jeder Zugriff, auch die Rolle „Globaler Leser“ der App.
Erst selbst nachsehen
Kostenlos und ohne Anmeldung.
Selbsttest in zehn Fragen
Ohne Zugang zu Microsoft beantwortet. Danach sehen Sie Ihre Einschätzung und die drei wichtigsten offenen Punkte mit Anleitung.
Selbsttest startenEtwa drei Minuten, ohne Cookies.
Ratgeber mit Anleitungen
Zu jedem Prüfpunkt eine Anleitung: warum die Einstellung zählt, wie Sie sie selbst nachsehen und wie Sie sie ändern. Häufig gesucht:
- MFA für alle Benutzer erzwingen
- Veraltete Anmeldeprotokolle tenantweit blockieren
- Anonyme Freigabelinks abschalten
- Benutzerzustimmung zu Apps abschalten
- Überwachungsprotokoll für Exchange Online einschalten
Häufige Fragen
Ihre Frage ist nicht dabei? Schreiben Sie uns: support@auditspiegel.de