Darum geht es
Angriffe werden oft erst Wochen später entdeckt. Microsoft Entra speichert Anmelde- und Überwachungsprotokolle je nach Lizenz aber nur 7 Tage (Free) oder 30 Tage (P1/P2). Danach sind die Spuren weg. Für eine Aufklärung sollten mindestens 90 Tage verfügbar sein.
Was passieren kann
Wird ein Angriff spät entdeckt, lässt sich nicht mehr klären, wann und wie er begann und welche Daten betroffen sind.
Das Ziel
Die Aufbewahrungsdauer der Anmelde- und Audit-Protokolle reicht für eine Vorfallsaufklärung aus.
Schritt für Schritt
Prüfen Sie im Auditspiegel-Ergebnis, welche Lizenzgruppen eine kürzere Aufbewahrung als 90 Tage haben.
Option A (mit Entra ID P1/P2 und Azure-Abonnement): Leiten Sie unter Entra ID > Überwachung und Integrität > Diagnoseeinstellungen SignInLogs und AuditLogs in einen Log-Analytics-Arbeitsbereich oder ein Speicherkonto.
Wählen Sie dafür eine Azure-Region in Deutschland (z. B. „Germany West Central“) und eine Aufbewahrung von mindestens 90 Tagen; beachten Sie die laufenden Azure-Kosten.
Option B: Nutzen Sie ergänzend das Purview-Überwachungsprotokoll (Audit Standard, 180 Tage) für Anmelde- und Admin-Ereignisse; es muss eingeschaltet sein.
Auditspiegel bewertet die Standard-Aufbewahrung Ihrer Lizenzen; einen eigenen Export erkennt die Prüfung nicht. Dokumentieren Sie den Export daher für Ihren Auditor.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Überwachung und Integrität
- Diagnoseeinstellungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die Aufbewahrungsdauer der Anmelde- und Audit-Protokolle reicht für eine Vorfallsaufklärung aus
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Lizenzübersicht per Microsoft Graph PowerShell: Get-MgSubscribedSku | Select SkuPartNumber,ConsumedUnits
Bezüge
- SCuBA-Baselines der CISA
- MS.SECURITYSUITE.5.2v1: Überwachungsprotokolle ausreichend lange aufbewahren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.5.A8: Archivierung von Protokollierungsdaten
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.