Überwachung externer Domains in Microsoft 365
Ihr Mandant spricht mit Hunderten Domains. Nennen Sie jede.
Ein Gast tritt einer Gruppe bei, eine Datei geht an eine externe Adresse, die Leute eines Partners tauchen im Überwachungsprotokoll auf - jedes davon ist eine Beziehung zu einer externen Organisation, und die meisten Mandanten haben die Liste nie gesehen. 1Security macht aus jeder irgendwo im Mandanten beobachteten Domain eine Zeile: die reale Firma dahinter, ihre Gäste, der E-Mail-Verkehr, die Dateien in Reichweite ihrer Leute - neben dem, was Ihre eigenen Microsoft-Kontrollen über sie sagen. Wo die beiden Bilder auseinanderlaufen, bekommen Sie ein Flag statt einer Überraschung.
- 1 Zeilepro Gegenseite - Gäste, Korrespondenten, erreichbare Dateien, Sensibilitätsexposition, erste und letzte Aktivität
- 4 QuellenE-Mail-Verkehr, Gastkonten, geteilte Dateien und Akteure des Überwachungsprotokolls, verbunden über einen Schlüssel: die Domain
- 3 Kontrollengelesen und abgeglichen - SharePoint-Freigabelisten, mandantenübergreifende Zugriffspartner, E-Mail-Zulassungs- und Sperrlisten
Das Problem
Jedes Admin Center kennt ein Stück. Kein Bildschirm kennt die Firma.
Ein mittelgroßer Mandant tauscht Daten mit mehreren hundert externen Domains aus - Kunden, Lieferanten, Agenturen, Auditoren und die privaten Adressen, die nebenher hereinkommen. Kein Admin Center zeigt diese Liste an einem Ort, weshalb die Überwachung externer Domains in Microsoft 365 meist in einer Tabelle lebt, die jemand nach dem letzten Vorfall anlegte und vor dem nächsten nicht mehr pflegte.
Der tiefere Mechanismus: Microsoft liefert mehrere Kontrollen für vertrauenswürdige Domains - die Freigabe-Domainlisten von SharePoint und OneDrive, mandantenübergreifende Zugriffspartner, die E-Mail-Zulassungs- und Sperrlisten. Sie leben in verschiedenen Admin Centern, verwenden verschiedene Schlüssel und prüfen einander nie. Eine in einer Kontrolle gesperrte Domain kann über die anderen lebende Gäste, funktionierende Freigabelinks und täglichen E-Mail-Verkehr halten, und kein Bildschirm legt diese Fakten nebeneinander.
Derweil driften die Beziehungen nach eigenem Zeitplan. Gäste überleben die Projekte, die sie rechtfertigten, oft um Jahre. Vertrauen, das für einen Partner konfiguriert wurde, mit dem niemand mehr arbeitet, bleibt konfiguriert. Und die Domains, auf die es am meisten ankommt - die, zu denen sensible Dateien tatsächlich fließen - sind häufig genau die, die keine Kontrolle und kein Urteil abdeckt.
Was Sie bekommen
Ein Bildschirm, auf dem Domains zu Organisationen werden.
Jede Signalquelle in Microsoft 365 spricht denselben Schlüssel - die Mail-Domain - also ist sie die Einheit des Bildschirms.
Eine Zeile pro Gegenseite
Jede irgendwo im Mandanten beobachtete Domain - E-Mail-Absender und -Empfänger, Gastkonten, geteilte Dateien, Akteure des Überwachungsprotokolls - wird eine Zeile mit der ganzen Beziehung: Gäste, Korrespondenten, ausgetauschte Nachrichten, erreichbare Dateien, Sensibilitätsexposition, Beginn und letzte Aktivität.
Domains werden Firmen
Jede Domain wird gegen das Mandantenverzeichnis von Microsoft Entra aufgelöst: eine reale Organisation mit Anzeigename und Schwester-Domains, Freemail, das einer Person statt einer Firma gehört, oder eine unerkannte Domain, hinter der keine Organisation steht. Ihre eigenen verifizierten Domains bleiben aus der Standardansicht heraus.
Konfiguration trifft Realität
1Security liest die erreichbaren Kontrollen für vertrauenswürdige Domains - die mandantenweiten SharePoint-Freigabelisten, mandantenübergreifende Zugriffspartner, die E-Mail-Zulassungs- und Sperrlisten - und legt den konfigurierten Stand jeder Domain neben ihre beobachtete Aktivität.
Drift-Flags, die alarmieren
Gesperrt, aber aktiv; vertraut, aber ungenutzt; aktiv, aber ungeregelt; widersprüchliche Listen - jeder Widerspruch kommt als fertige Erkennung, sodass Drift einen Alarm auslöst, statt darauf zu warten, dass jemand die Liste durchsieht.
Ein Urteil, das hält
Jede Organisation bekommt eine Entscheidung - vertraut, beobachtet oder gesperrt - mit Notiz und vollständiger Wer-wann-warum-Historie. Eine Sperre wird direkt in die SharePoint-Freigabelisten Ihres Mandanten durchgesetzt, innerhalb des Beschränkungsmodus, den Sie bereits fahren.
Die ganze Beziehung in einem Panel
Personen listet die Gäste und die reinen Mail-Korrespondenten, die in keinem Verzeichnis existieren. Dateien ordnet alles, was die Domain erreicht, nach Sensibilität. E-Mails zeigt den Verkehr in beide Richtungen, Aktivität die Audit-Ereignisse ihrer Leute.
Wie tief es geht
Eine Domain, verfolgt von der Überraschung zum Urteil.
Die Durchsicht, die die meisten Teams in ihrer ersten Sitzung fahren.
Beginnen Sie bei der Filterleiste: gesperrt, aber aktiv. Eine Agentur-Domain, die jemand vor drei Jahren auf die SharePoint-Sperrliste setzte, steht noch dort - zusammen mit sechs Gästen, die ihre Einladungen vor der Sperre eingelöst haben, und einem Mail-Verlauf, der nie abriss. Eine Sperre stoppt neue Freigaben; sie entfernt nie Zugriff, der bereits existiert, und genau dieses Flag macht die Überraschung sichtbar.
Öffnen Sie die Zeile. Haltung zeigt, wo die Domain in jeder Kontrolle steht, die 1Security liest: auf der Freigabe-Sperrliste, abwesend bei den mandantenübergreifenden Partnern, sauber auf den E-Mail-Listen. Personen nennt die sechs Gäste, Dateien ordnet, was sie noch erreichen - zwei Ordner mit Zahlungsdaten - und Aktivität zeigt, dass einer von ihnen letzten Dienstag Dateien öffnete.
Entscheiden Sie, und lassen Sie es halten. Lassen Sie den verbliebenen Zugriff über die gestaffelten Aktionen auslaufen, halten Sie das Urteil gesperrt mit einer Notiz fest, und die Drift-Erkennung wacht weiter: Kehrt Aktivität aus dieser Domain je zurück, bekommen Sie einen Alarm mit der Historie im Anhang, kein Rätsel.
In der Praxis
Vier Schritte von Zeichenketten zu geregelten Gegenseiten.
Die Filterleiste über der Liste ist der Prüfablauf im Kleinen, jeder Chip mit Live-Zähler.
- 01
Die Prüfschlange lesen
Öffnen Sie Domains und wählen Sie den Chip aktiv, aber ungeregelt: Zu diesen Domains fließen sensible Daten, und keine Kontrolle und kein Urteil deckt sie ab. Die Liste ist danach geordnet, was tatsächlich abfließt - die obersten Zeilen sind die Tagesordnung.
- 02
Klären, mit wem Sie sprechen
Die Chips unerkannt und Freemail teilen die Liste danach, was hinter jeder Domain steht. Eine Freemail-Adresse mit Gastzugriff ist ein Gespräch über eine Person; eine unerkannte Domain, die sensible Dateien empfängt, ist eine Gegenseite, die noch niemand benannt hat.
- 03
Urteile festhalten
Arbeiten Sie ungeprüft durch: vertraut für die Partner, die Sie kennen, beobachtet für die unsicheren, gesperrt für die, die nie hätten auftauchen dürfen. Jedes Urteil trägt eine Notiz und landet mit Name und Datum in der Historie.
- 04
Durchsetzen und den Drift beobachten
Sperren Sie aus dem Reiter Haltung - 1Security ergänzt Ihre eigene Sperrliste oder entfernt aus Ihrer Zulassungsliste und schaltet nie hinter Ihrem Rücken den Beschränkungsmodus um. Den Rest übernehmen die Drift-Erkennungen.
Der Unterschied
Was die Admin Center nicht nebeneinanderlegen können
Jeder Fakt unten existiert irgendwo in Microsoft 365. Kein Bildschirm dort hält sie zusammen.
- Eine Zeile pro externer Organisation über E-Mail-Verkehr, Gastkonten, geteilte Dateien und Akteure des Überwachungsprotokolls
- Entra-Auflösung: Anzeigename, Mandantenidentität und Schwester-Domains - oder Freemail und unerkannt, klar benannt
- Konfigurierter Stand aus SharePoint-Freigabelisten, mandantenübergreifenden Zugriffspartnern und E-Mail-Listen, abgeglichen
- Vier Drift-Flags als fertige Erkennungen - gesperrt, aber aktiv; vertraut, aber ungenutzt; aktiv, aber ungeregelt; widersprüchliche Listen
- Urteile mit Wer-wann-warum-Historie, die ein Audit übersteht
- Sperren, das Ihre eigenen Listen ergänzt und nie Ihren Beschränkungsmodus umschaltet
- Ehrlicher Umfang: die Reiter Personen und Dateien zeigen genau, was eine Sperre überlebt
- Sensibilitätsexposition pro Domain - was ihre Leute tatsächlich erreichen, geordnet
Lizenzierung und Umfang
Standardlizenzen, optionale Berechtigungen, ehrliche Lücken.
Erkennung, Beziehungsübersichten und Urteile arbeiten mit Daten, die 1Security bereits sammelt - ohne Premium-Microsoft-Lizenzen und ohne zusätzliche Berechtigungen. Drei optionale Leseberechtigungen schalten den Rest frei: die Auflösung von Domains zu Entra-Organisationen, die mandantenweiten Freigabelisten und die mandantenübergreifenden Zugriffspartner. Das Sperren braucht zusätzlich die separat genehmigte Schreibberechtigung für SharePoint-Einstellungen. Eine fehlende Berechtigung wird als genau das angezeigt, nie als leerer Bildschirm.
- 4 Flagsgesperrt, aber aktiv; vertraut, aber ungenutzt; aktiv, aber ungeregelt; widersprüchliche Listen - jedes eine fertige Erkennung
- 90 Tageohne Aktivität machen aus konfiguriertem Vertrauen das Flag vertraut, aber ungenutzt
- 0Premium-Microsoft-Lizenzen erforderlich - Erkennung und Urteile laufen auf Standardlizenzierung
Verwandt
Wo das hingehört
Domains ist die ausgehende Hälfte der Lieferkettenantwort - wem geben wir Daten. Die Seiten unten decken die Menschen hinter den Domains ab, die Websites, von denen Dateien abfließen, und die hereinkommende Software.
Gastzugriffs-Berichte
Jedes Gastkonto mit dem, was es erreicht - die Menschen hinter den Domains.
Zu den Gastberichten →Externes Teilen in SharePoint
Die Sicht Website für Website auf das, was nach außen geht, und die Links, die es tragen.
Zum externen Teilen →App-Governance
Die eingehende Hälfte: jede Drittanbieter-App mit Standbein im Mandanten.
Zur App-Governance →
FAQ
Fragen, die Teams zuerst stellen
Bricht eine Domainsperre bestehende Zusammenarbeit?
Nein - und genau das ist die Falle. Microsofts Kontrollen wirken nach vorn: Eine Sperre stoppt neue Freigaben, während Gäste, die ihre Einladungen bereits eingelöst haben, und Links, die bereits existieren, weiter funktionieren. Die Reiter Personen und Dateien zeigen präzise, was eine Sperre überlebt, das Flag gesperrt, aber aktiv wacht darüber, und die gestaffelten Aktionen entfernen den verbliebenen Zugriff anschließend gezielt.
Brauchen wir Entra ID P1 oder eine E5-Lizenz?
Nein. Erkennung, Beziehungsübersichten und Urteile laufen mit Daten, die 1Security bereits sammelt, auf Standardlizenzierung. Die optionalen Leseberechtigungen für die Entra-Auflösung, die Freigabelisten und die mandantenübergreifenden Partner sind Microsoft Graph-Berechtigungen, keine Lizenzstufen - und jede degradiert sauber, wenn sie fehlt.
Was unterscheidet das vom SharePoint-Freigabebericht?
Der Freigabebericht ist dateizentriert und nur SharePoint. Domains ist gegenseitenzentriert und quellenübergreifend: eine Organisation mit ihren Gästen, ihrem E-Mail-Verkehr, ihren Dateien, ihrer Audit-Aktivität und ihrem Stand in jeder Kontrolle für vertrauenswürdige Domains - einschließlich Beziehungen, in denen es keinen einzigen Freigabelink gibt.
Was ist mit Domains, mit denen wir nur mailen?
Sie bekommen eine Zeile wie alle anderen, mit Korrespondenten und Nachrichtenzahlen in beide Richtungen. Reine Mail-Beziehungen sind der Ort, an dem sich unbenannte Gegenseiten meist verbergen - sensible Anhänge verlassen den Mandanten über sie, ohne dass ein einziger Gast oder Link existiert.
Woher kommen die Firmennamen?
Aus dem Mandantenverzeichnis von Microsoft Entra: der Anzeigename der Organisation hinter der Domain, ihre Mandantenidentität und ihre Schwester-Domains. Steht keine Organisation hinter einer Domain, sagt der Bildschirm das klar - Freemail, eigener Mailserver oder eine andere Cloud - denn eine unerkannte Gegenseite ist ein Befund, kein Formatierungsproblem.
Geben Sie noch diese Woche jeder Domain einen Namen.
Schreibgeschützt verbinden, und die Liste baut sich selbst aus E-Mail-Verkehr, Gästen, Dateien und dem Überwachungsprotokoll. Die meisten Teams finden ihr erstes Flag gesperrt, aber aktiv in der ersten Sitzung.
Oder vertrauen Sie weiter dem, was die Tabelle letztes Jahr sagte.