Darum geht es
In Microsoft 365 im Web können Mitarbeitende auch Dateien aus privaten Speicherdiensten wie Dropbox oder Google Drive öffnen. Dadurch vermischen sich Firmen- und Privatdaten, und Firmendokumente landen leicht in Speichern, die Sie nicht kontrollieren.
Was passieren kann
Firmendaten können unbemerkt in private Cloudspeicher außerhalb Ihrer Kontrolle abfließen.
Schritt für Schritt
Öffnen Sie im Microsoft 365 Admin Center Einstellungen > Organisationseinstellungen > Dienste > Microsoft 365 im Web.
Deaktivieren Sie die Option, mit der Benutzer Dateien aus Speicherdiensten von Drittanbietern öffnen dürfen (engl. „Let users open files stored in third-party storage services in Microsoft 365 on the web“).
Speichern Sie die Einstellung.
Klären Sie vorab, ob ein Fachbereich solche Dienste begründet nutzt, und bieten Sie OneDrive/SharePoint als Alternative an.
Starten Sie danach einen neuen Scan; Auditspiegel liest die Einstellung automatisch über den zuständigen Dienstprinzipal.
Hier finden Sie die Einstellung
- Microsoft 365 Admin Center (admin.microsoft.com)
- Einstellungen
- Organisationseinstellungen
- Dienste
- Microsoft 365 im Web
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Speicherdienste von Drittanbietern sind in Microsoft 365 im Web gesperrt
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Die Einstellung entspricht dem Dienstprinzipal mit AppId c1f33bc0-bdb4-4248-ba9b-096807ddb43e; Graph PowerShell: Get-MgServicePrincipal -Filter "appId eq 'c1f33bc0-bdb4-4248-ba9b-096807ddb43e'" | Select AccountEnabled. Erwartet: ein Eintrag mit AccountEnabled = False. Fehlt der Dienstprinzipal, ist die Einstellung im Standard (erlaubt).
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- APP.1.1.A12: Verzicht auf Cloud-Speicherung
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.