Microsoft 365 Audit-Tool
Was hat dieses Konto im letzten Frühjahr angefasst? Lässt sich das noch herausfinden?
Die meisten Audit-Fragen reichen weiter als sechs Monate zurück, und bis dahin ist die Spur meist kalt. 1Security behält bis zu drei Jahre Microsoft 365 Aktivität, durchsuchbar, mit Benutzer, Datei, App, Gerät und Standort in jeder Zeile - damit "was hat dieses Konto berührt, und von wo?" zehn Minuten dauert statt eines Forensik-Auftrags.
- 3 Jahredurchsuchbare Aktivität auf einer Standardlizenz - von 180 Tagen auf drei Jahre
- 10 Minbis zur Antwort auf "wurde dieses Konto kompromittiert?" - statt einer 12-Stunden-Rekonstruktion
- 5Zuordnungen auf jedem Ereignis: Benutzer, Ressource, App, Gerät, Standort
Das Problem
Die Antwort existiert. Sie liegt verteilt über fünf Protokolle und eine Aufbewahrungsfrist.
Das einheitliche Überwachungsprotokoll speichert Ereignisse. Ein Auditor fragt nach Personen, Dateien und Folgen - die Distanz dazwischen ist der Ort, an dem Audit-Wochen verschwinden.
Eine rohe Audit-Zeile ist ein Vorgangsname, eine GUID und ein Zeitstempel. Daraus "der nicht verwaltete Laptop eines Auftragnehmers hat um 22:10 Uhr 61 Dateien mit Finanzdaten heruntergeladen, aus einem Netz, das wir nie zuvor gesehen haben" zu machen, heißt Anmeldeprotokolle, Gerätedaten, IP-Informationen und Dateimetadaten zu verknüpfen - für jedes Ereignis, von Hand.
Die Aufbewahrung ist das zweite Problem. Die Fragen, die zählen - wann hat das angefangen, lief es schon, bevor wir es bemerkt haben - reichen regelmäßig weiter als sechs Monate zurück, und in einem typischen Mandanten lautet die ehrliche Antwort auf "zeigen Sie mir letztes Frühjahr": die Beweise sind weg. 1Security verlängert das Audit-Gedächtnis Ihres Mandanten von 180 Tagen auf drei Jahre, auf der Lizenz, die Sie schon haben.
1Security führt diese Verknüpfungen fortlaufend durch und behält das Ergebnis: eine Zeitleiste, auf der jedes Ereignis bereits zugeordnet ankommt, nach allem filterbar, mit dem rohen Microsoft-Datensatz einen Klick entfernt.
Funktionen
Ein Protokoll, das in Sätzen antwortet, nicht in GUIDs.
Jede Aktion in Dateien, E-Mail, Teams, SharePoint, Anmeldungen, KI-Agenten und Drittanbieter-Apps an einem durchsuchbaren Ort.
- 3 Jahre
Drei Jahre durchsuchbare Zeitleiste
Von Haus aus auf einer Standardlizenz aufbewahrt - keine Rechnung für Protokollspeicher, kein Premium-Add-on. Öffnen Sie Aktivitätsprotokolle, tippen Sie eine E-Mail-Adresse ein und lesen Sie drei Jahre zurück.
Fünf Zuordnungen in jeder Zeile
Benutzer, Ressource, App, Gerät (verwaltet oder nicht) und Standort bei jedem Ereignis, mit Schweregrad und Klartextbeschreibung. Der rohe Quelldatensatz bleibt für den Skeptiker einen Klick entfernt.
Standort- und Neuheitsfilter
Filtern nach Land, nach Netztyp - VPN, Tor, Rechenzentrum, Microsoft-Dienstverkehr - oder nach Standortneuheit: nur Ereignisse von Orten, an denen dieser Benutzer nie zuvor gesehen wurde. Die schnellste Frage nach einer Kompromittierung, die es gibt.
Die Aktionsliste
Jede Behebung, automatisch oder manuell, wird mit Freigebendem, Ausführungszeitpunkt und Änderung festgehalten. "Wir haben es gefunden" und "wir haben es behoben" werden zu einer exportierbaren Spur.
- 12
Sofort bei 500M+ Dateien
Tägliche Rollups über 12 Aktionsgruppen machen die 30- und 90-Tage-Fragen sofort beantwortbar, auch bei Mandanten jenseits von 40 Millionen Dateien. Die 1-, 12- und 24-Stunden-Fenster lesen Rohprotokolle. Die Größe zeigt sich nie in der Abfragezeit.
Ein Feed, dem Ihr SIEM vertrauen kann
Die schreibgeschützte REST-API trennt occurredAt von discoveredAt, weil Audit-Ereignisse Minuten oder Stunden nach dem Vorgang eintreffen können - ein SIEM, das nach Ingestionszeit abfragt, verliert nie einen Nachzügler. Deterministische Reihenfolge, Cursor-Paginierung.
Regulatorische Fristen
Gebaut für die 24-Stunden-, 72-Stunden- und Ein-Monats-Frage.
NIS2 gibt Ihnen 24 Stunden für eine Frühwarnung, 72 für eine Meldung mit erster Bewertung und einen Monat für den Abschlussbericht - und macht die Geschäftsleitung persönlich verantwortlich. Die DSGVO gibt 72 Stunden zur Meldung.
Die 24-Stunden-Warnung braucht einen Blick: Die Zeitleiste mit Standort in jeder Zeile trennt eine echte Anmeldung aus einem anderen Land auf einen Blick von routinemäßigem Dienstverkehr. Die 72-Stunden-Bewertung braucht den Wirkungsradius auf Abruf: worauf das betroffene Konto zugreifen konnte, ob regulierte Daten im Spiel waren, welches Gerät es trug - "konnte 214.000 Dateien erreichen, 3.100 davon mit personenbezogenen Daten" statt "möglicherweise betroffen".
Der Abschlussbericht reicht zurück: Drei Jahre aufbewahrter Historie rekonstruieren Einstiegspunkte, die Monate alt sind, und die Aktionsliste ist der Nachweis der Reaktion. Dieselbe Spur dient ISO 27001 und SOC 2 als fortlaufender Nachweis statt als jährliche Hektik.
In der Praxis
Dienstag, 08:12: "wurde dieses Konto kompromittiert?"
Eine Untersuchung mit Stoppuhr.
- 01
08:12 - eine Suche
Öffnen Sie Aktivitätsprotokolle und tippen Sie die E-Mail des Kontos ein. Seine gesamte Historie ist eine gefilterte Zeitleiste: Anmeldungen, Dateien, E-Mail, Agenten, Berechtigungsänderungen - bis zu drei Jahre zurück.
- 02
08:15 - die Herkunftsprüfung
Die Standortspalte erzählt die Geschichte: zwei Jahre Aktivität aus zwei Städten und einem Heim-Provider. Dann, Donnerstagnacht, ein erstmals gesehenes Rechenzentrum - automatisch als neu markiert.
- 03
08:20 - Umfang in Zahlen
Auf die neue Herkunft filtern: 34 Downloads, ein nicht verwaltetes Gerät, zwei Stunden. Jede Datei mit Namen, die Anzahl sensibler Informationen daneben. Der Abschnitt "worauf haben sie zugegriffen" im Bericht schreibt sich selbst.
- 04
08:25 - Beweise, exportiert
Ansicht speichern, Zeilen exportieren, die Behebungsspur aus Aktionen anhängen. Was früher eine 12-Stunden-Rekonstruktion war, ist mit dem ersten Kaffee fertig.
Der Unterschied
Was Sie zusätzlich zum Überwachungsprotokoll bekommen.
Dieselben Quelldaten, länger aufbewahrt und mit allem anderen verknüpft.
- Bis zu drei Jahre Aufbewahrung auf einer Standardlizenz - von 180 Tagen auf drei Jahre, ohne Premium-Add-on
- Standortneuheit als Filter: nur Ereignisse von Orten, an denen dieser Benutzer nie zuvor gesehen wurde
- Microsoft-Dienst- und Relay-Verkehr gekennzeichnet, sodass die Zeitleiste sauber lesbar ist statt voller Phantom-Anmeldungen aus Rechenzentren
- Aktivität von KI-Agenten, Geräten und blockierte Zugriffe als eigene, filterbare Protokolltypen
- Nicht zugeordnete Ereignisse in einem expliziten "Sonstige"-Eimer - nichts wird stillschweigend verworfen
- 1Securitys eigene Dienstaktivität standardmäßig aus Ihren Protokollen herausgefiltert
- Gespeicherte Ansichten, die Sie benennen, teilen und erneut ausführen können - eine wiederkehrende Audit-Frage wird zum Link
- occurredAt vs. discoveredAt in der API, damit nachgelagerte Systeme nie verspätete Ereignisse verpassen
Bereitstellung
Beweissicherung, die heute beginnt.
Verbinden Sie schreibgeschützt, und die Zeitleiste sammelt sich noch am selben Tag; das historische Backfill importiert die zum Zeitpunkt der Verbindung verfügbare Audit-Historie. Keine Agenten, kein Log-Forwarder, keine Speicherrechnung, die mit Ihrem Ereignisvolumen wächst, keine Premium-Lizenz als Voraussetzung.
- 1 Tagvon der schreibgeschützten Zustimmung zur durchsuchbaren Live-Zeitleiste
- 180 T → 3 Jwas mit Ihrem Audit-Gedächtnis passiert
- 0Agenten, Log-Forwarder oder Premium-Lizenzen erforderlich
Anwendungsfälle
Dasselbe Protokoll, drei Zielgruppen.
Für den Auditor: Wiederkehrende Nachweisanfragen werden zu gespeicherten Ansichten. Zugriffshistorie, Berechtigungsänderungen und Behebungsnachweise exportieren aus einem Ort, mit Klartextbeschreibungen, die ein Prüfer ohne Graph-API-Glossar lesen kann.
Für den Responder: Einstiegspunkte, die Monate alt sind, stehen noch im Protokoll. Drei Jahre zugeordneter Historie bedeuten, dass "wann hat das wirklich angefangen" eine Antwort hat, selbst wenn die ehrliche Antwort "letztes Frühjahr" lautet.
Für Regulierte: Üben Sie die 72 Stunden vor dem Vorfall. Wählen Sie einen Benutzer, starten Sie die Uhr und produzieren Sie Frühwarnung, Umfangsbewertung und Beweispaket von einem Bildschirm aus.
Microsoft 365 Warnungen
Erkennungen auf Basis dieses Protokolls: sofort, als Zusammenfassung und eine Anomalielinie, die gegen die eigene Baseline jedes Kontos bewertet wird.
Warnungen ansehen →Microsoft 365 Überwachung
Die Live-Ein-Stunden-Fenster, die einen Massendownload noch während des Laufens erkennen.
Überwachung ansehen →Zugriffsverwaltung
Der Berechtigungsgraph, der "was ist passiert" in "worauf konnten sie zugreifen" verwandelt - Hunderttausende Dateien für ein gewöhnliches Konto.
Zugriffsverwaltung ansehen →
FAQ
Fragen, die Auditoren und Responder zuerst stellen.
Wie ist eine dreijährige Aufbewahrung ohne riesige Speicherrechnung möglich?
Die Aufbewahrung ist Teil des Produkts, keine nach Volumen abgerechnete Position für Protokollspeicher. 1Security speichert zugeordnete Sicherheitsmetadaten - wer was wann von wo auf welchem Gerät getan hat - keine zweite Kopie Ihrer Dokumente oder Postfächer, sodass die Wirtschaftlichkeit nichts mit der Ingestionspreisliste eines SIEM zu tun hat.
Wird die Historie von vor der Verbindung nachgeladen?
Ja. Das historische Backfill importiert die zum Zeitpunkt der Verbindung verfügbare Audit-Historie - typischerweise die letzten 180 Tage - und ab dann übernimmt 1Securitys eigene Aufbewahrung. Drei Jahre Abonnement ergeben drei Jahre Historie.
Können Auditoren direkt darin arbeiten?
Genau dafür ist es gedacht. Jedes Ereignis trägt eine Klartextbeschreibung, Ansichten lassen sich speichern, benennen und teilen, vollständige Listen exportieren als CSV, und der rohe Quelldatensatz bleibt einen Klick entfernt, wenn der Auditor den Primärbeweis will.
Wie hilft das bei NIS2- und DSGVO-Fristen?
Die 24-Stunden-Frühwarnung, die 72-Stunden-Meldung und der Abschlussbericht nach einem Monat bilden sich auf das Protokoll ab: Der Standort in jeder Zeile trennt echte ausländische Aktivität mit einem Blick von routinemäßigem Dienstverkehr, der Wirkungsradius kommt auf Abruf aus dem Berechtigungsgraphen, und drei Jahre Historie plus die Aktionsliste tragen den Abschlussbericht.
Brauchen wir eine Premium-Lizenz?
Nein. Audit-Zeitleiste, Aufbewahrung, Standortinformationen und Exporte laufen auf Standardlizenzen ab Business Basic, über eine schreibgeschützte Verbindung ohne zu installierenden Agenten. Höhere Microsoft-SKUs sind nur für optionale Extras relevant, etwa das Einlesen von Defender-Warnungen oder die Synchronisierung von Purview-Bezeichnungen.
Die 1Security-Plattform
Microsoft 365 Audit-Tool ist erst der Anfang
Microsoft 365 Audit-Tool ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- Dateien, Websites und der SpaltenbrowserDen Mandanten wie ein Dateisystem durchsuchen: Website, Bibliothek, Ordner, Datei, mit Berechtigungen und Vertraulichkeit jeder Ebene daneben. Ein Problem, das sich damit von selbst erledigt.
- Benutzer, Gruppen und LebenszyklusRuhende Konten, Gäste, die nie gegangen sind, dreifach verschachtelte Gruppen, verwaiste Eigentümer, Admins ohne MFA. Die Prüfung, die überall sonst eine Tabelle ist.
- Externe DomänenJede fremde Organisation mit einem Fuß im Mandanten, ihre Vertrauenslage, ihre Drift und wer sie eingeladen hat.
- E-Mail und PostfächerWer wessen Postfach lesen kann, Weiterleitungsregeln, Threads mit sensiblem Inhalt, eingehende und ausgehende Exposition.
- LizenzenWas zugewiesen ist, was ungenutzt bleibt und welches Paket eine Aktion oder Funktion noch braucht, damit das Upgrade, das Sie verkaufen, das ist, das der Kunde braucht.
- SicherheitsbewertungDie Bewertung, ihre Historie, die Kontrollen dahinter und die Benchmarks, damit die Zahl im Vorstandsbericht etwas bedeutet.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Geben Sie Ihrem Mandanten ein Gedächtnis von drei Jahren.
Verbinden Sie schreibgeschützt, und die Zeitleiste beginnt heute zu wachsen - drei Jahre zugeordneter Historie, Antworten in zehn Minuten und eine Beweisspur, die Ihr Auditor in die Hand nehmen kann.
Oder hoffen Sie, dass die nächste Frage in den letzten sechs Monaten bleibt.