Darum geht es
Jedes Postfach hat einen eigenen Überwachungsschalter. Ist die Postfachüberwachung organisationsweit eingeschaltet, zeigt Exchange ihn für Benutzer- und freigegebene Postfächer automatisch als aktiv an. Fehlt er bei einzelnen Postfächern, ist meist die organisationsweite Überwachung abgeschaltet (Prüfpunkt AS-ZU-029), oder einzelne Postfächer wurden bewusst ausgenommen. Raum- und Gerätepostfächer unterstützt Microsoft für die Überwachung nicht; sie zählen hier nicht mit. Gerade Postfächer der Geschäftsführung oder Buchhaltung sollten lückenlos protokolliert werden.
Was passieren kann
Ohne Protokoll für einzelne Postfächer bleiben Zugriffe auf sensible E-Mails, etwa Rechnungen oder Personalunterlagen, unentdeckt und lassen sich nicht aufklären.
Schritt für Schritt
Verbinden Sie sich mit Exchange Online PowerShell (Connect-ExchangeOnline).
Prüfen Sie zuerst mit Get-OrganizationConfig | Format-List AuditDisabled, ob die Überwachung organisationsweit eingeschaltet ist (Wert False, Prüfpunkt AS-ZU-029). Ist sie abgeschaltet, schalten Sie sie dort wieder ein; das wirkt auf alle Benutzer- und freigegebenen Postfächer.
Listen Sie Postfächer ohne Überwachung auf: Get-EXOMailbox -ResultSize Unlimited -PropertySets Audit | ? { -not $_.AuditEnabled } | ft UserPrincipalName.
Aktivieren Sie die Überwachung für verbleibende Postfächer mit Set-Mailbox -Identity <UPN> -AuditEnabled $true.
Prüfen Sie, ob die Postfächer die Microsoft-Standardaktionen nutzen (DefaultAuditSet); stellen Sie diese bei Bedarf mit Set-Mailbox -DefaultAuditSet Admin,Delegate,Owner wieder her.
Wiederholen Sie die Abfrage und bestätigen Sie, dass keine Postfächer mehr ohne Überwachung gelistet werden.
Hier finden Sie die Einstellung
- Exchange Online PowerShell (Connect-ExchangeOnline), im Exchange Admin Center nicht einstellbar
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Die Postfachüberwachung ist für alle Benutzer aktiv
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Get-EXOMailbox -ResultSize Unlimited -PropertySets Audit | ? { -not $_.AuditEnabled } | select UserPrincipalName. Die Liste sollte leer sein. Korrektur: Set-Mailbox <UPN> -AuditEnabled $trueBezüge
- SCuBA-Baselines der CISA
- MS.EXO.13.1v1: Postfachüberwachung aktivieren
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- OPS.1.1.5.A3: Konfiguration der Protokollierung auf System- und Netzebene
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.