Security-Check für Unternehmen mit Microsoft-DienstenSecurity-Check · Microsoft-Dienste
Sie bekommen eine Stufe von 1 (kritisch) bis 5 (vorbildlich)
und die Schritte, die am meisten bringen.
30 Minuten per Teams. Danach wissen Sie, ob der Check passt. Wenn nicht, sagen wir das.
Das Bild zeigt Ihre IT: Das Haus ist Ihr Unternehmen, im Gebäude gegenüber liegt Ihr Microsoft 365. Wählen Sie einen Bereich und einen Punkt.
Vier Bereiche, 14 Punkte
Bereich 1 von 4
Ihr Microsoft 365 läuft woanders, in einem Gebäude, das Microsoft betreibt, und enthält trotzdem Ihre E‑Mails, Dateien und Benutzerkonten. Sind diese Daten und Ihre Geräte so geschützt, wie Ihre Lizenzen es erlauben? Und wer hat Administratorrechte?
Die Punkte dieses Bereichs
Bereich 2 von 4
Das Active Directory ist das Zentrum des Hauses: Hier hängen die Schlüssel zum Firmennetz. Wer hat welche Rechte? Verwaiste Konten, zu weite Rechte, Passwortregeln, Server und Domäne.
Was es bei Ihnen nicht gibt, zählt weder positiv noch negativ.
Die Punkte dieses Bereichs
Bereich 3 von 4
Rund um Ihr Unternehmen, von der Straße aus gesehen: Was ist aus dem Internet erreichbar, und ist Ihre E‑Mail‑Domain gegen Fälschung geschützt?
Die Punkte dieses Bereichs
Bereich 4 von 4
Sind Datensicherung, Notfallvorsorge, Fernzugriff und Zuständigkeiten geregelt? Das klären wir im Gespräch mit Geschäftsführung und IT und bewerten es nach Ihren Angaben, ohne Nachweis höchstens mit Stufe 4.
Im Bericht tragen diese Bewertungen den Zusatz „laut Angabe“.
Die Punkte dieses Bereichs
Microsoft 365 · die Eingangstür mit Kartenleser
Beispielbericht 1,3 von 5, kritisch
Microsoft 365 · der Nebeneingang mit Schlüsselkasten
Beispielbericht 1,8 von 5, kritisch
Microsoft 365 · die Poststelle
Beispielbericht 2,6 von 5, lückenhaft
Microsoft 365 · die Geräte auf dem Vorplatz
Beispielbericht 2,0 von 5, lückenhaft
Microsoft 365 · das Logbuch im Fenster
Beispielbericht 3,3 von 5, ausreichend
Active Directory · der Kasten mit Generalschlüsseln
Beispielbericht 4,0 von 5, gut
Active Directory · die Ausweise am Brett
Beispielbericht 2,0 von 5, lückenhaft
Active Directory · der Serverschrank
Beispielbericht 4,0 von 5, gut
Außensicht · das Firmenschild am Zaun
Beispielbericht 4,0 von 5, gut
Organisation · der Tresor neben der Gruppe
Beispielbericht 2,0 von 5, lückenhaft laut Angabe
Organisation · die Tafel mit dem Notfallplan
Beispielbericht 2,6 von 5, lückenhaft laut Angabe
Organisation · die Hintertür im Zaun
Beispielbericht 2,0 von 5, lückenhaft laut Angabe
Organisation · die Gruppe am Gartentisch
Beispielbericht 2,8 von 5, lückenhaft laut Angabe
Bericht in Klartext
Technischer Anhang, eigenes Dokument
Der Check bewertet Einstellungen, nicht Personen.
Der Bericht gehört Ihnen.
Die Stufe bestimmt der wichtigste offene Punkt, nicht die Zahl bestandener Einzelprüfungen.
Auszug aus einem Beispielbericht · Beispiel GmbH
Gesamtstufe
2,0von 5 · lückenhaft
| Microsoft 365 | 2,0 | lückenhaft | |
|---|---|---|---|
| Active Directory | 3,0 | ausreichend | |
| Außensicht | 4,6 | gut | |
| Organisation | 2,3 | lückenhaft |
1 kritisch · 2 lückenhaft · 3 ausreichend · 4 gut · 5 vorbildlich
Größtes Risiko
Ein Administrator-Passwort allein öffnet die gesamte Umgebung
Was wir gesehen haben: 2 von 4 Administratoren melden sich ohne zweiten Faktor an.
Schritt mit der größten Wirkung
Zweiten Faktor für alle Administratoren erzwingen und einen Notfallzugang einrichten.
1,8 auf 3,0
Das ist bereits gut
Fernsteuerung und Dateifreigaben sind nicht direkt aus dem Internet erreichbar.
Cyberversicherung
1 von 16 mit Ja
So viele typische Fragen der Versicherer kann die Beispiel GmbH heute wie gewünscht mit Ja beantworten. Teilweise: 2, noch nicht: 13.
Cyberversicherer fragen zum Beispiel, ob Administratorkonten nur mit zweitem Faktor angemeldet werden und ob Sicherungen vor Veränderung geschützt sind.¹
¹ Zweiter Faktor für Administratoren: Risikofragebögen deutscher Cyberversicherer, 2024. Sicherung: GDV-Musterbedingungen AVB Cyber, Stand 02/2024, Ziffer A1-16.1 e.
999 €netto, einmalig, bis 150 Benutzerkonten
1.490 €netto, einmalig, für 151 bis 300 Benutzerkonten
Buchen Sie binnen drei Monaten ein Managed-Paket, rechnen wir den Check voll an.
Nach dem Check setzen wir die Maßnahmen gern mit Ihnen um. Wenn Sie lieber mit Ihrer eigenen IT oder Ihrem bisherigen Dienstleister arbeiten, ist der technische Anhang genau dafür geschrieben.
Preise zzgl. USt. Das Angebot richtet sich an Unternehmen.
Nein. Ihr Dienstleister bekommt den technischen Anhang mit einer Maßnahmenliste nach Priorität und Risiko. Dass wir auch die Zugänge von Dienstleistern ansehen, gehört dazu, wie bei allen Verwaltungszugängen.
Für Microsoft 365 und das Active Directory einen Zugang, den Sie für den Check freigeben. Wir ändern nichts und lesen keine E-Mails oder Dateien. Danach löschen Sie den Zugang.
Nach festen Kriterien, die für alle gleich sind. Schwere Einzelbefunde begrenzen die Gesamtstufe auf höchstens 2.
Nicht vollständig. Für seine Verwaltungsportale verlangt Microsoft inzwischen einen zweiten Faktor. Viele andere Schutzfunktionen Ihrer Lizenzen müssen eingeschaltet und eingestellt werden.
Ja. Dann prüfen wir die anderen drei Bereiche. Was es bei Ihnen nicht gibt, zählt weder positiv noch negativ.
Ja, der Bericht gehört Ihnen, und Sie entscheiden, wem Sie ihn zeigen. Die Übersicht zu den 16 typischen Fragen der Versicherer zeigt, wie Sie diese heute beantworten können. Eine Zertifizierung ist der Bericht nicht.
Nein. Wir prüfen Einstellungen und greifen nichts an. Der Bericht ist eine Momentaufnahme vom Prüftag und keine Garantie gegen Angriffe. Ob alle Updates eingespielt sind, prüfen wir nicht.
Wir setzen die Maßnahmen gern mit Ihnen um. Für den laufenden Betrieb gibt es unsere Managed-Pakete. Welche davon zu Ihren Ergebnissen passen, sagen wir Ihnen, wenn wir den Bericht mit Ihnen durchgehen. Sie können die Maßnahmen auch mit Ihrer eigenen IT oder Ihrem bisherigen Dienstleister umsetzen. Der technische Anhang ist dafür geschrieben. Die Bewertung hängt nicht davon ab, wer umsetzt.
Das klären wir in 30 Minuten per Teams. Wenn nicht, sagen wir das.
