Wer in Ihrem Unternehmen auf welche Daten in Microsoft 365 zugreifen darf, steht nicht in einer Liste, die man einmal anlegt und dann vergisst. Diese Rechte wachsen über Jahre mit: durch neue Mitarbeitende, ausgeschiedene Kolleginnen, Projekte mit externen Partnern und Zusatzprogramme, die irgendwann einmal freigegeben wurden. Um Microsoft 365 Zugriffsrechte zu prüfen, braucht es keine Umstellung Ihrer IT, sondern eine Auswertung des aktuellen Stands — üblicherweise eine Woche Arbeit, danach liegt das Ergebnis schriftlich vor.
Wie kommen Angreifer in Microsoft 365, ohne eine Sicherheitslücke zu nutzen?
Bei einer der größten Angriffswellen des vergangenen Jahres wurde keine einzige Lücke in einer Software ausgenutzt. Hunderte Unternehmen weltweit waren betroffen, darunter bekannte Konzerne mit eigenen Sicherheitsabteilungen. Der Weg hinein war fast immer derselbe: ein Anruf bei jemandem, der im Alltag hilft. Eine plausible Geschichte, eine dringende Bitte, eine Freigabe, die freundlich erteilt wurde.
Danach hatten die Angreifer gültige Zugänge. Sie mussten nicht einbrechen, sie haben sich angemeldet.
Das ist der Punkt, der in Gesprächen mit Geschäftsführungen am häufigsten für Stille sorgt. Ein Angreifer mit gültigen Zugangsdaten sieht für Ihre Systeme aus wie ein Mitarbeitender an einem normalen Arbeitstag. Es gibt keinen Alarm, weil formal nichts Falsches passiert ist. Auffällig wird die Sache erst später — wenn Daten dort auftauchen, wo sie nicht hingehören, oder wenn ein Kunde fragt, warum seine Unterlagen jemand anderem vorliegen.
Warum sehen die eigenen Systeme davon nichts?
Weil die üblichen Schutzmaßnahmen für einen anderen Angriffsweg gebaut sind. Ein Virenschutz sucht nach Schadprogrammen auf Geräten. Eine Firewall trennt innen von außen. Der zweite Sicherheitsschritt bei der Anmeldung verhindert, dass ein gestohlenes Passwort allein ausreicht. All das arbeitet korrekt und ist weiterhin nötig.
Nur greift keine dieser Maßnahmen, wenn jemand einen gültigen Schlüssel bekommen hat. Stellen Sie es sich vor wie ein Haus mit gutem Schloss, Alarmanlage und Kameras — und einem Generalschlüssel, den vor drei Jahren jemand für ein Projekt ausgeliehen und nie zurückgegeben hat. Die Technik ist in Ordnung. Die Frage, wer alles einen Schlüssel besitzt, hat nur niemand mehr gestellt.
In Unternehmen bis 300 Mitarbeitende sammeln sich diese Schlüssel besonders leise an. Ein Postfach, das nach einem Krankheitsfall freigegeben wurde. Ein externer Dienstleister mit Zugang zu einem Projektordner. Ein Zusatzprogramm, das ein Mitarbeitender selbst installieren durfte und das seither Zugriff auf E-Mails und Dateien hat.
Reicht es nicht, wenn der IT-Dienstleister sich darum kümmert?
Ihr IT-Dienstleister sorgt dafür, dass E-Mail läuft, Drucker drucken und neue Geräte funktionieren. Das ist seine Aufgabe, und die erfüllt er in der Regel gut. Diese Aufgabe ist reaktiv: Es kommt ein Ticket, das Ticket wird gelöst.
Die Prüfung, wer worauf zugreifen darf, erzeugt kein Ticket. Niemand meldet, dass ein Zugriffsrecht seit zwei Jahren besteht, obwohl das Projekt längst beendet ist. Damit fällt diese Arbeit in eine Lücke, die weder Nachlässigkeit noch Absicht ist, sondern eine Frage der Zuständigkeit. Sie wird erst sichtbar, wenn jemand sie ausdrücklich beauftragt.
Dasselbe gilt für die Prozesse rundherum. Wer im Unternehmen darf den zweiten Sicherheitsschritt für ein Konto zurücksetzen, und welchen Nachweis muss die anrufende Person dafür erbringen? In den meisten Häusern ist das nirgends festgehalten. Unter Zeitdruck entscheidet dann jeder nach Gefühl — und genau darauf zielten die Anrufe des vergangenen Jahres.
Was es Sie kostet, wenn Sie nichts tun
Diese Rechnung lässt sich vor jedem Vorfall aufstellen, und sie fällt nüchterner aus, als viele erwarten.
Fällt ein Datenabfluss auf, laufen gesetzliche Meldefristen von 72 Stunden. In dieser Zeit muss belegt werden, wer wann auf welche Daten zugreifen konnte. Wer diese Auswertung erst im Ernstfall beginnt, arbeitet unter dem größtmöglichen Zeitdruck und in der teuersten Konstellation: externe Forensik, Rechtsberatung, parallel der laufende Betrieb.
Dazu kommen die Punkte, die sich nicht als Rechnung, sondern als Verzögerung zeigen. Ein Großkunde fordert einen Nachweis zur Informationssicherheit, und die Prüfung verschiebt sich um Monate, weil die Zugriffsdokumentation fehlt. Der Fragebogen der Cyber-Versicherung stellt genau diese Frage — wer hat Zugriff, und wie wird das kontrolliert. Bleibt die Antwort vage, steigt die Prämie oder der Schutz wird eingeschränkt.
Und schließlich die Wiederherstellung. Ein Unternehmen ohne dokumentierte Zugriffsrechte braucht nach einem Vorfall Tage, um überhaupt zu bestimmen, welche Konten gesperrt werden müssen. Jeder dieser Tage ist ein Tag, an dem nicht gearbeitet wird.
Was sich ändert, wenn Zugriffe regelmäßig geprüft werden
Der Zustand, den Sie nach einer solchen Prüfung erreichen, lässt sich in einem Satz beschreiben: Sie wissen, wer auf Ihre Daten zugreifen kann, Sie können es belegen, und Auffälligkeiten fallen auf, während sie passieren — nicht Wochen danach.
Nexus.365 Security macht daraus einen festen Bestandteil des laufenden Betriebs. Microsoft 365 wie Strom aus der Steckdose: Ihre Systeme laufen, und die Absicherung läuft mit, ohne dass Sie dafür intern jemanden freistellen.
Der Einstieg ist der Nexus.365 Security Scan. Sieben Tage, ein fester Preis, kein Eingriff in den laufenden Betrieb. Ausgewertet wird der tatsächliche Zustand Ihrer Microsoft-365-Umgebung: welche Konten bestehen und welche davon nicht mehr gebraucht werden, wer Zugriff auf welche Bereiche hat, welche externen Zusatzprogramme auf E-Mails und Dateien zugreifen dürfen, und wie die Anmeldung derzeit gesichert ist. Das Ergebnis ist ein Bericht in Geschäftssprache mit einer Reihenfolge: was zuerst zu tun ist, was danach, und was vertretbar liegen bleiben darf.
Was danach kommt, entscheiden Sie mit dem Bericht in der Hand. Manche Häuser beheben die dringendsten Punkte in wenigen Tagen und lassen es dabei. Andere übergeben die laufende Überwachung an Nexus.365 SecureWatch und erhalten monatlich einen Bericht, den sie einem Großkunden oder einer Versicherung vorlegen können.
Zwei Dinge liefern wir bewusst nicht: Wir betreuen keine Serverlandschaften im eigenen Haus mehr, und eine durchgehend besetzte Sicherheitszentrale stellen wir über Spezialpartner, nicht selbst. Wer das braucht, ist bei uns an der falschen Stelle — und erfährt das im ersten Gespräch, nicht im dritten.
Häufige Fragen zum Thema
Wie finde ich heraus, wer in unserem Microsoft 365 Zugriff auf welche Daten hat?+
Diese Information liegt in Ihrer Microsoft-365-Umgebung bereits vor, verteilt über verschiedene Bereiche der Verwaltung. Zusammengeführt und lesbar aufbereitet wird sie durch eine Auswertung von außen. Beim Nexus.365 Security Scan dauert das sieben Tage und endet mit einem Bericht, der ohne IT-Kenntnisse verständlich ist.
Müssen wir für eine Prüfung der Microsoft 365 Zugriffsrechte etwas an unserer IT umstellen?+
Nein. Die Auswertung liest den bestehenden Zustand und verändert nichts. Der Betrieb läuft während der sieben Tage unverändert weiter.
Wir haben einen IT-Dienstleister — brauchen wir eine Prüfung der Zugriffsrechte trotzdem?+
Der Bericht ist so aufgebaut, dass er an den bestehenden IT-Dienstleister weitergegeben werden kann. Viele Punkte setzt dieser anschließend selbst um. Die Geschäftsführung erhält damit eine Grundlage, um Aufträge klar zu formulieren und Ergebnisse zu prüfen.
Was kostet der Nexus.365 Security Scan?+
Der Scan wird zum Festpreis angeboten, abhängig von der Anzahl der Benutzerkonten. Preis und Enddatum stehen vor Beginn fest und werden nicht als Aufwandsschätzung nachgereicht.
Ist ein Unternehmen mit 50 bis 300 Mitarbeitenden für eine Sicherheitsprüfung zu klein?+
Die Angriffswellen des vergangenen Jahres richteten sich nicht gegen bestimmte Unternehmensgrößen, sondern gegen erreichbare Zugänge. Für Unternehmen ohne eigene IT-Abteilung ist eine standardisierte Prüfung meist die wirtschaftlichste Form, einen belastbaren Stand zu bekommen.
In sieben Tagen wissen Sie, wer heute Zugriff hat.
Der Scan wird vertraglich geregelt, Festpreis und Enddatum stehen vor Beginn fest. Ein Erstgespräch dauert maximal 30 Minuten.
Security Scan starten