Prüfnachweis: Kriterien und Grenzen

Kunden von Auditspiegel können zeigen, dass sie ihr Microsoft 365 prüfen lassen. Hier steht, was ein solcher Nachweis bedeutet und was nicht.

Beispiele: oben ein gültiger, unten ein abgelaufener Nachweis. Das Abzeichen aktualisiert sich selbst.

Was der Nachweis aussagt

Zum genannten Zeitpunkt hat Auditspiegel die Konfiguration des Microsoft-365-Tenants des Unternehmens automatisiert und nur lesend geprüft, und im Ergebnis dieses Scans war kein Befund mit der Bewertung „kritisch“ offen. Mehr nicht.

Auditspiegel ist ein Werkzeug, das das geprüfte Unternehmen selbst nutzt und bezahlt. Auditspiegel ist keine unabhängige Prüfstelle und vergibt kein Gütesiegel.

Wann ein Nachweis ausgestellt wird

Das Unternehmen stellt den Nachweis selbst in seinem Auditspiegel-Konto aus (freiwillig) und kann ihn jederzeit widerrufen.
Grundlage ist immer der letzte abgeschlossene Scan des verbundenen Tenants.
In diesem Scan ist kein Befund mit der Bewertung „kritisch“ offen. Befunde mit „Handlungsbedarf“ können offen sein; die Prüfseite nennt, wie viele der ausgewerteten Prüfungen bestanden sind.
Der Scan ist jung genug, dass der Nachweis noch eine Gültigkeit hat (siehe unten).
Name und Domain auf dem Nachweis gibt das Unternehmen selbst an; Auditspiegel prüft sie nicht. Die Prüfseite kennzeichnet sie als „eigene Angabe“.

Wie lange ein Nachweis gilt

Einmal-Audit: 90 Tage nach dem Scan.
Tenant-Flat-Abo: 45 Tage nach dem jeweils letzten Scan. Jeder Abo-Scan ohne offenen kritischen Befund verlängert den Nachweis; nach einem weiteren Einmal-Audit gilt er wieder 90 Tage ab diesem Scan.
Findet ein neuer Scan einen kritischen Befund, ist der Nachweis „ausgesetzt“, bis ein Scan wieder ohne kritischen Befund ist.
Endet das Abo, endet der Nachweis spätestens mit dem Abo.
Nach Ablauf zeigen Prüfseite und Abzeichen „abgelaufen“, nach einem Widerruf „widerrufen“. Ein eingebundenes Abzeichen wird höchstens eine Stunde zwischengespeichert und nie über das Ablaufdatum hinaus.

Was der Nachweis nicht aussagt

Er ist keine Zertifizierung und keine Aussage über Konformität mit einer Norm, einem Gesetz oder einem Regelwerk (etwa ISO/IEC 27001, BSI IT-Grundschutz, DSGVO oder NIS2).
Er sagt nicht, dass der Tenant oder das Unternehmen sicher ist. Er ist eine Momentaufnahme der Konfiguration zum Zeitpunkt des Scans.
Geprüft werden nur Einstellungen, die über die Schnittstellen von Microsoft lesbar sind: derzeit 121 von 151 Prüfpunkten des Katalogs automatisch. Was nicht automatisch geprüft wird, nennt jeder Bericht mit Grund.
Auditspiegel ist ein Werkzeug, das das geprüfte Unternehmen selbst nutzt und bezahlt, keine unabhängige Prüfstelle. Microsoft, die CISA und das BSI haben Auditspiegel weder geprüft noch empfohlen.
Befunde und Personen stehen nie auf der Prüfseite.

Die Prüfpunkte mit Anleitung stehen im Ratgeber, die Bedingungen in den AGB, §3b.

So prüfen Sie einen Nachweis

Öffnen Sie die Prüfseite über das Abzeichen, den QR-Code der PDF oder die Adresse auditspiegel.de/nachweis/<Prüf-ID>. Maßgeblich ist der Status dort.
Haben Sie die PDF, wählen Sie sie auf der Prüfseite unter „PDF prüfen“ aus. Ihr Browser berechnet die Prüfsumme (SHA-256) und vergleicht sie; die Datei wird nicht hochgeladen.
Unabhängig von uns: Auf der Prüfseite stehen unter „Signatur zum Nachprüfen“ die signierten Angaben und die Signatur (Ed25519). Speichern Sie die Angaben als angaben.json (genau diese Zeichenfolge, ohne Zeilenumbruch am Ende) und die Signatur als sig.b64.

curl -sO https://auditspiegel.de/.well-known/auditspiegel-nachweis.pub
base64 -d sig.b64 > sig.bin
openssl pkeyutl -verify -pubin -inkey auditspiegel-nachweis.pub \
  -rawin -in angaben.json -sigfile sig.bin

„Signature Verified Successfully“ bestätigt, dass die Angaben von Auditspiegel stammen und unverändert sind. Die Prüfsumme der PDF steht in den signierten Angaben (pdf_sha256). Nötig ist OpenSSL ab Version 3; das auf macOS vorinstallierte LibreSSL kennt Ed25519 nicht (dort z. B. OpenSSL über Homebrew verwenden).

Öffentlicher Schlüssel

Schlüssel-Kennung dfe9ae1026154e87 (die ersten 16 Zeichen der SHA-256-Prüfsumme des Schlüssels). Abrufbar unter /.well-known/auditspiegel-nachweis.pub.

-----BEGIN PUBLIC KEY-----
MCowBQYDK2VwAyEAAAET9KxrarP4xiXbo0IuHVPdOgDBbDCyhwvngQf/yp0=
-----END PUBLIC KEY-----