Überwachung externer Domains in Microsoft 365
Welche fremden Unternehmen sehen Ihre Dateien? Könnten Sie alle nennen?
Ein Gast tritt einer Gruppe bei, eine Datei geht an eine externe Adresse, die Leute eines Partners tauchen im Überwachungsprotokoll auf - jedes davon ist eine Beziehung zu einer externen Organisation, und die meisten Mandanten haben die Liste nie gesehen. 1Security macht aus jeder irgendwo im Mandanten beobachteten Domain eine Zeile: die reale Firma dahinter, ihre Gäste, der E-Mail-Verkehr, die Dateien in Reichweite ihrer Leute - neben dem, was Ihre eigenen Microsoft-Kontrollen über sie sagen. Wo die beiden Bilder auseinanderlaufen, bekommen Sie ein Flag statt einer Überraschung.
- 1 Zeilepro Gegenseite - Gäste, Korrespondenten, erreichbare Dateien, Sensibilitätsexposition, erste und letzte Aktivität
- 4 QuellenE-Mail-Verkehr, Gastkonten, geteilte Dateien und Akteure des Überwachungsprotokolls, verbunden über einen Schlüssel: die Domain
- 3 Kontrollengelesen und abgeglichen - SharePoint-Freigabelisten, mandantenübergreifende Zugriffspartner, E-Mail-Zulassungs- und Sperrlisten
Das Problem
Jedes Admin Center kennt ein Stück. Kein Bildschirm kennt die Firma.
Ein mittelgroßer Mandant tauscht Daten mit mehreren hundert externen Domains aus - Kunden, Lieferanten, Agenturen, Auditoren und die privaten Adressen, die nebenher hereinkommen. Kein Admin Center zeigt diese Liste an einem Ort, weshalb die Überwachung externer Domains in Microsoft 365 meist in einer Tabelle lebt, die jemand nach dem letzten Vorfall anlegte und vor dem nächsten nicht mehr pflegte.
Der tiefere Mechanismus: Microsoft liefert mehrere Kontrollen für vertrauenswürdige Domains - die Freigabe-Domainlisten von SharePoint und OneDrive, mandantenübergreifende Zugriffspartner, die E-Mail-Zulassungs- und Sperrlisten. Sie leben in verschiedenen Admin Centern, verwenden verschiedene Schlüssel und prüfen einander nie. Eine in einer Kontrolle gesperrte Domain kann über die anderen lebende Gäste, funktionierende Freigabelinks und täglichen E-Mail-Verkehr halten, und kein Bildschirm legt diese Fakten nebeneinander.
Derweil driften die Beziehungen nach eigenem Zeitplan. Gäste überleben die Projekte, die sie rechtfertigten, oft um Jahre. Vertrauen, das für einen Partner konfiguriert wurde, mit dem niemand mehr arbeitet, bleibt konfiguriert. Und die Domains, auf die es am meisten ankommt - die, zu denen sensible Dateien tatsächlich fließen - sind häufig genau die, die keine Kontrolle und kein Urteil abdeckt.
Was Sie bekommen
Ein Bildschirm, auf dem Domains zu Organisationen werden.
Jede Signalquelle in Microsoft 365 spricht denselben Schlüssel - die Mail-Domain - also ist sie die Einheit des Bildschirms.
Eine Zeile pro Gegenseite
Jede irgendwo im Mandanten beobachtete Domain - E-Mail-Absender und -Empfänger, Gastkonten, geteilte Dateien, Akteure des Überwachungsprotokolls - wird eine Zeile mit der ganzen Beziehung: Gäste, Korrespondenten, ausgetauschte Nachrichten, erreichbare Dateien, Sensibilitätsexposition, Beginn und letzte Aktivität.
Domains werden Firmen
Jede Domain wird gegen das Mandantenverzeichnis von Microsoft Entra aufgelöst: eine reale Organisation mit Anzeigename und Schwester-Domains, Freemail, das einer Person statt einer Firma gehört, oder eine unerkannte Domain, hinter der keine Organisation steht. Ihre eigenen verifizierten Domains bleiben aus der Standardansicht heraus.
Konfiguration trifft Realität
1Security liest die erreichbaren Kontrollen für vertrauenswürdige Domains - die mandantenweiten SharePoint-Freigabelisten, mandantenübergreifende Zugriffspartner, die E-Mail-Zulassungs- und Sperrlisten - und legt den konfigurierten Stand jeder Domain neben ihre beobachtete Aktivität.
Drift-Flags, die alarmieren
Gesperrt, aber aktiv; vertraut, aber ungenutzt; aktiv, aber ungeregelt; widersprüchliche Listen - jeder Widerspruch kommt als fertige Erkennung, sodass Drift einen Alarm auslöst, statt darauf zu warten, dass jemand die Liste durchsieht.
Ein Urteil, das hält
Jede Organisation bekommt eine Entscheidung - vertraut, beobachtet oder gesperrt - mit Notiz und vollständiger Wer-wann-warum-Historie. Eine Sperre wird direkt in die SharePoint-Freigabelisten Ihres Mandanten durchgesetzt, innerhalb des Beschränkungsmodus, den Sie bereits fahren.
Die ganze Beziehung in einem Panel
Personen listet die Gäste und die reinen Mail-Korrespondenten, die in keinem Verzeichnis existieren. Dateien ordnet alles, was die Domain erreicht, nach Sensibilität. E-Mails zeigt den Verkehr in beide Richtungen, Aktivität die Audit-Ereignisse ihrer Leute.
Wie tief es geht
Eine Domain, verfolgt von der Überraschung zum Urteil.
Die Durchsicht, die die meisten Teams in ihrer ersten Sitzung fahren.
Beginnen Sie bei der Filterleiste: gesperrt, aber aktiv. Eine Agentur-Domain, die jemand vor drei Jahren auf die SharePoint-Sperrliste setzte, steht noch dort - zusammen mit sechs Gästen, die ihre Einladungen vor der Sperre eingelöst haben, und einem Mail-Verlauf, der nie abriss. Eine Sperre stoppt neue Freigaben; sie entfernt nie Zugriff, der bereits existiert, und genau dieses Flag macht die Überraschung sichtbar.
Öffnen Sie die Zeile. Haltung zeigt, wo die Domain in jeder Kontrolle steht, die 1Security liest: auf der Freigabe-Sperrliste, abwesend bei den mandantenübergreifenden Partnern, sauber auf den E-Mail-Listen. Personen nennt die sechs Gäste, Dateien ordnet, was sie noch erreichen - zwei Ordner mit Zahlungsdaten - und Aktivität zeigt, dass einer von ihnen letzten Dienstag Dateien öffnete.
Entscheiden Sie, und lassen Sie es halten. Lassen Sie den verbliebenen Zugriff über die gestaffelten Aktionen auslaufen, halten Sie das Urteil gesperrt mit einer Notiz fest, und die Drift-Erkennung wacht weiter: Kehrt Aktivität aus dieser Domain je zurück, bekommen Sie einen Alarm mit der Historie im Anhang, kein Rätsel.
In der Praxis
Vier Schritte von Zeichenketten zu geregelten Gegenseiten.
Die Filterleiste über der Liste ist der Prüfablauf im Kleinen, jeder Chip mit Live-Zähler.
- 01
Die Prüfschlange lesen
Öffnen Sie Domains und wählen Sie den Chip aktiv, aber ungeregelt: Zu diesen Domains fließen sensible Daten, und keine Kontrolle und kein Urteil deckt sie ab. Die Liste ist danach geordnet, was tatsächlich abfließt - die obersten Zeilen sind die Tagesordnung.
- 02
Klären, mit wem Sie sprechen
Die Chips unerkannt und Freemail teilen die Liste danach, was hinter jeder Domain steht. Eine Freemail-Adresse mit Gastzugriff ist ein Gespräch über eine Person; eine unerkannte Domain, die sensible Dateien empfängt, ist eine Gegenseite, die noch niemand benannt hat.
- 03
Urteile festhalten
Arbeiten Sie ungeprüft durch: vertraut für die Partner, die Sie kennen, beobachtet für die unsicheren, gesperrt für die, die nie hätten auftauchen dürfen. Jedes Urteil trägt eine Notiz und landet mit Name und Datum in der Historie.
- 04
Durchsetzen und den Drift beobachten
Sperren Sie aus dem Reiter Haltung - 1Security ergänzt Ihre eigene Sperrliste oder entfernt aus Ihrer Zulassungsliste und schaltet nie hinter Ihrem Rücken den Beschränkungsmodus um. Den Rest übernehmen die Drift-Erkennungen.
Der Unterschied
Was die Admin Center nicht nebeneinanderlegen können
Jeder Fakt unten existiert irgendwo in Microsoft 365. Kein Bildschirm dort hält sie zusammen.
- Eine Zeile pro externer Organisation über E-Mail-Verkehr, Gastkonten, geteilte Dateien und Akteure des Überwachungsprotokolls
- Entra-Auflösung: Anzeigename, Mandantenidentität und Schwester-Domains - oder Freemail und unerkannt, klar benannt
- Konfigurierter Stand aus SharePoint-Freigabelisten, mandantenübergreifenden Zugriffspartnern und E-Mail-Listen, abgeglichen
- Vier Drift-Flags als fertige Erkennungen - gesperrt, aber aktiv; vertraut, aber ungenutzt; aktiv, aber ungeregelt; widersprüchliche Listen
- Urteile mit Wer-wann-warum-Historie, die ein Audit übersteht
- Sperren, das Ihre eigenen Listen ergänzt und nie Ihren Beschränkungsmodus umschaltet
- Ehrlicher Umfang: die Reiter Personen und Dateien zeigen genau, was eine Sperre überlebt
- Sensibilitätsexposition pro Domain - was ihre Leute tatsächlich erreichen, geordnet
Lizenzierung und Umfang
Standardlizenzen, optionale Berechtigungen, ehrliche Lücken.
Erkennung, Beziehungsübersichten und Urteile arbeiten mit Daten, die 1Security bereits sammelt - ohne Premium-Microsoft-Lizenzen und ohne zusätzliche Berechtigungen. Drei optionale Leseberechtigungen schalten den Rest frei: die Auflösung von Domains zu Entra-Organisationen, die mandantenweiten Freigabelisten und die mandantenübergreifenden Zugriffspartner. Das Sperren braucht zusätzlich die separat genehmigte Schreibberechtigung für SharePoint-Einstellungen. Eine fehlende Berechtigung wird als genau das angezeigt, nie als leerer Bildschirm.
- 4 Flagsgesperrt, aber aktiv; vertraut, aber ungenutzt; aktiv, aber ungeregelt; widersprüchliche Listen - jedes eine fertige Erkennung
- 90 Tageohne Aktivität machen aus konfiguriertem Vertrauen das Flag vertraut, aber ungenutzt
- 0Premium-Microsoft-Lizenzen erforderlich - Erkennung und Urteile laufen auf Standardlizenzierung
Verwandt
Wo das hingehört
Domains ist die ausgehende Hälfte der Lieferkettenantwort - wem geben wir Daten. Die Seiten unten decken die Menschen hinter den Domains ab, die Websites, von denen Dateien abfließen, und die hereinkommende Software.
Gastzugriffs-Berichte
Jedes Gastkonto mit dem, was es erreicht - die Menschen hinter den Domains.
Zu den Gastberichten →Externes Teilen in SharePoint
Die Sicht Website für Website auf das, was nach außen geht, und die Links, die es tragen.
Zum externen Teilen →App-Governance
Die eingehende Hälfte: jede Drittanbieter-App mit Standbein im Mandanten.
Zur App-Governance →
Die 1Security-Plattform
Überwachung externer Domains ist erst der Anfang
Überwachung externer Domains ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- Apps und EinwilligungenJede App mit Zugriff auf den Mandanten, was sie erreichen kann, wer eingewilligt hat und ob das noch nötig ist.
- KI-Agenten und CopilotDas Agentenregister: Eigentümer, Reichweite, als wer jeder Agent handelt, was Copilot sehen wird. Die EU-AI-Act-Prüfungen pro Agent, verantwortlicher Eigentümer, transparente Anweisungen und Folgenabschätzung, aus dem Mandanten gemessen. Readiness vor den Lizenzen, Governance danach.
- Aktivitätsprotokolle und ForensikBis zu drei Jahre durchsuchbare Aktivität auf einer Standardlizenz. Was geöffnet, heruntergeladen, freigegeben wurde, von wem, von wo, auf welchem Gerät.
- Anomalien und ErkennungenAusschläge bei Freigaben, Downloads, Anmeldungen, Einwilligungen und Agentenaktivität, bewertet gegen das eigene Muster jedes Mandanten, mit passenden Reaktionsaktionen.
- Berechtigungen und FreigabenWer worauf zugreifen kann, über welche Gruppe, welchen Link oder welchen Gast, und ob das jemand so wollte. Die Freigabekarte, nach der jedes Audit fragt.
- Sensible DatenPersonenbezogene Daten, Zugangsdaten, Finanz- und Gesundheitsdaten, gefunden von unseren eigenen Klassifikatoren, mit der Microsoft-Zweitmeinung, wo der Kunde sie hat.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Alle FunktionenAlles entdecken
FAQ
Fragen, die Teams zuerst stellen
Bricht eine Domainsperre bestehende Zusammenarbeit?
Nein - und genau das ist die Falle. Microsofts Kontrollen wirken nach vorn: Eine Sperre stoppt neue Freigaben, während Gäste, die ihre Einladungen bereits eingelöst haben, und Links, die bereits existieren, weiter funktionieren. Die Reiter Personen und Dateien zeigen präzise, was eine Sperre überlebt, das Flag gesperrt, aber aktiv wacht darüber, und die gestaffelten Aktionen entfernen den verbliebenen Zugriff anschließend gezielt.
Brauchen wir Entra ID P1 oder eine E5-Lizenz?
Nein. Erkennung, Beziehungsübersichten und Urteile laufen mit Daten, die 1Security bereits sammelt, auf Standardlizenzierung. Die optionalen Leseberechtigungen für die Entra-Auflösung, die Freigabelisten und die mandantenübergreifenden Partner sind Microsoft Graph-Berechtigungen, keine Lizenzstufen - und jede degradiert sauber, wenn sie fehlt.
Was unterscheidet das vom SharePoint-Freigabebericht?
Der Freigabebericht ist dateizentriert und nur SharePoint. Domains ist gegenseitenzentriert und quellenübergreifend: eine Organisation mit ihren Gästen, ihrem E-Mail-Verkehr, ihren Dateien, ihrer Audit-Aktivität und ihrem Stand in jeder Kontrolle für vertrauenswürdige Domains - einschließlich Beziehungen, in denen es keinen einzigen Freigabelink gibt.
Was ist mit Domains, mit denen wir nur mailen?
Sie bekommen eine Zeile wie alle anderen, mit Korrespondenten und Nachrichtenzahlen in beide Richtungen. Reine Mail-Beziehungen sind der Ort, an dem sich unbenannte Gegenseiten meist verbergen - sensible Anhänge verlassen den Mandanten über sie, ohne dass ein einziger Gast oder Link existiert.
Woher kommen die Firmennamen?
Aus dem Mandantenverzeichnis von Microsoft Entra: der Anzeigename der Organisation hinter der Domain, ihre Mandantenidentität und ihre Schwester-Domains. Steht keine Organisation hinter einer Domain, sagt der Bildschirm das klar - Freemail, eigener Mailserver oder eine andere Cloud - denn eine unerkannte Gegenseite ist ein Befund, kein Formatierungsproblem.
Geben Sie noch diese Woche jeder Domain einen Namen.
Schreibgeschützt verbinden, und die Liste baut sich selbst aus E-Mail-Verkehr, Gästen, Dateien und dem Überwachungsprotokoll. Die meisten Teams finden ihr erstes Flag gesperrt, aber aktiv in der ersten Sitzung.
Oder vertrauen Sie weiter dem, was die Tabelle letztes Jahr sagte.