Microsoft 365 Behebungsautomatisierung
12.000 überfreigegebene Dateien sind kein Bericht, sondern ein Rückstand. Wir räumen ihn ab.
Jeder Scan eines Microsoft 365 Mandanten endet gleich: Tausende "Jeder"-Links auf sensiblen Dateien, Hunderte inaktive Konten mit Lizenzen, Dutzende Websites, die Copilot nicht lesen sollte. 1Security macht aus jedem Befund eine Automatisierung, die ihre Treffer live zählt, pro Ressource einen Vorschlag hinter ein 72-Stunden-Prüffenster stellt und als native Microsoft-Änderung ausführt - umkehrbar, protokolliert, nie hinter Ihrem Rücken.
- 26vorgeschlagene Automatisierungen in 13 Gruppen, jede bereits gegen Ihren Live-Mandanten gezählt, bevor Sie etwas aktivieren
- 72 hStandard-Prüffenster, bevor ein Vorschlag ausgeführt wird; sofort, 24 Stunden und 7 Tage sind die anderen Voreinstellungen
- 0Schattenberechtigungen - jede Aktion ist eine echte Microsoft-Operation, sichtbar und umkehrbar in den Admin Centern
Das Problem
Befunde häufen sich schneller an, als irgendjemand sie beheben kann.
Ein Bericht mit 12.000 übermäßig freigegebenen Dateien ist kein Ergebnis. Er ist ein Monat Admin-Arbeit mit einem Diagramm obendrauf.
Der manuelle Weg ist ein Monat Klicken durch SharePoint-Berechtigungen oder ein Skript, das niemand pflegen will. Beide scheitern gleich: Der Mandant driftet innerhalb eines Quartals zurück, und die zweite Bereinigung kostet so viel wie die erste, weil nichts am Prozess dauerhaft war. Die meisten Mandanten, mit denen wir uns verbinden, wurden schon einmal "aufgeräumt" - und tragen immer noch Tausende "Jeder"-Links.
Der automatisierte Weg scheitert anders. Teams schalten die Behebung nicht ein, weil sie nicht sehen können, was sie berühren würde, und ein Tool, das auf dem Mandanten handelt, ohne vorher seinen Wirkungsradius zu zeigen, ist kein Tool, das ein vernünftiger Mensch aktiviert. Das fehlende Stück ist die Vorschau: die 4.000 Ressourcen, die eine Regel morgen früh ändern würde, gezählt, bevor irgendetwas läuft.
Deshalb ist das Design hier: erst zählen, die tatsächlichen Ressourcen zeigen, dann handeln - mit einer Uhr und einem menschlichen Veto dazwischen. Der Standard ist Fortschritt; Ihre Aufmerksamkeit geht auf die Ausnahmen.
Was Sie bekommen
Gezählt, vorab gezeigt, dann ausgeführt.
Eine Automatisierung ist eine Richtlinie plus eine Aktion - dieselbe Richtlinien-Engine, die Trends antreibt, mit etwas, das sie mit den Treffern tut.
Vorschläge mit Live-Zählern
Jede vorgeschlagene Automatisierung auf dem Automatisierungen-Board zeigt, wie viele Ressourcen in Ihrem Mandanten gerade passen - "Jeder-Links von sensiblen Dateien entfernen: 3.412" - von der echten Engine gegen Ihren Live-Berechtigungsgraphen ausgewertet, nicht geschätzt.
Gezählt, nie ausgeführt
Bis Sie einen Vorschlag ausdrücklich aktivieren, ist er eine schreibgeschützte Messung. Er löst keine Warnung aus, sendet keine E-Mail und führt keine Aktion aus. Auswerten öffnet die genaue Liste der Ressourcen hinter der Zahl.
Das Prüffenster
Eine aktivierte Automatisierung stellt pro Ressource einen Vorschlag ein und startet einen Countdown - standardmäßig 72 Stunden. Freigeben führt sofort aus, Ablehnen stellt für 30 Tage zurück, Zurückziehen entfernt aus diesem Lauf, und Nichtstun lässt es nach Ablauf der Uhr durchgehen.
Aktionen für jeden Ressourcentyp
Websites, Dateien, Benutzer, Gruppen, Apps, Geräte, E-Mail und Lizenzen: einen Linkbereich entfernen, eine Website privat schalten, externen Zugriff ablaufen lassen, ein inaktives Konto deaktivieren, seine Lizenz zurückholen, die Copilot-Indizierung einer Website blockieren.
Zusammengesetzte Aktionen, die den Graphen verstehen
Einem Benutzer den Zugriff zu entziehen löst jeden Pfad auf, über den er zustande kommt - direkt, Link, Gruppe, Website - entfernt, was sicher geht, und bittet um Bestätigung für die Pfade, deren Entfernung andere betreffen würde, mit Wirkungsradius pro Quelle.
Ein Register, das Sie einem Auditor geben können
Läufe, ausgelöste Aktionen, behobene Ressourcen der letzten 30 Tage und ein Datensatz pro Ressource für jede Änderung in Aktionen - manuelle und Richtlinienläufe in derselben Liste, mit wer was wann freigegeben hat.
Wie tief es geht
Die Prüfwarteschlange ist der Ort, an dem Vertrauen entsteht.
Ein Vorschlag trägt die Zielressource, die vorschlagende Richtlinie, die Aktion mit ihren Argumenten und einen laufenden Countdown.
Freigeben führt sofort aus, ohne das Fenster abzuwarten. Ablehnen heißt "das nie mit dieser Ressource tun" und stellt sie zurück - standardmäßig 30 Tage - damit die Richtlinie morgen nicht dieselbe Korrektur erneut vorschlägt. Zurückziehen entfernt sie nur aus diesem Lauf; die Richtlinie schlägt sie innerhalb von Minuten wieder vor, es leert also die Warteschlange, statt Nein zu sagen.
Nichtstun ist das Interessante. Wenn das Fenster abläuft, geht die Aktion durch - genau das ist der Sinn eines Prüffensters: Der Standard ist Fortschritt, Ihre Aufmerksamkeit wird nur für Ausnahmen gebraucht. Wenn das für eine bestimmte Richtlinie zu viel ist, stellen Sie sie auf manuelle Freigabe, und das Fenster löst nie automatisch aus.
Die Massenprüfung wendet Entscheidungen nach Übereinstimmung an, nicht nach einer eingefrorenen Liste von IDs, sodass Vorschläge, die eintreffen, während Sie einen gefilterten Ausschnitt der Warteschlange lesen, einbezogen statt still übersprungen werden. Dieses Detail zählt beim ersten Mal, wenn Sie 2.000 Zeilen in einem Mandanten freigeben, in dem die Engine alle paar Minuten neu bewertet.
In der Praxis
Die sichere erste Automatisierung.
Es gibt ein Einführungsmuster, das durchgehend funktioniert, und es beginnt kleiner, als die meisten erwarten.
- 01
Den größten Zähler wählen, dem Sie schon zustimmen
Meist "organisationsweite Links von Dateien mit sensiblen Informationen entfernen" - in einem mittelgroßen Mandanten ein Zähler im Tausenderbereich. Sie entscheiden nicht, ob es richtig ist, nur ob die Engine die richtigen Zeilen auswählt.
- 02
Mit 72-Stunden-Fenster und manueller Freigabe aktivieren
Nichts löst automatisch aus. In der ersten Woche prüfen Sie eine Warteschlange, statt einen Mandanten zu beobachten: Auswerten öffnen, zwanzig Zeilen stichprobenartig prüfen, den Ausschnitt freigeben.
- 03
Warten, bis die Vorschläge Sie nicht mehr überraschen
Das ist der eigentliche Abnahmetest. Er dauert meist Tage statt Wochen, weil immer dieselben Arten von Zeilen ankommen und jede freigegebene in Aktionen protokolliert wird.
- 04
Freigabe auf automatisch umstellen, Fenster behalten
Jetzt läuft die Schleife von selbst - eine Website, die zu "Jeder"-Links zurückdriftet, wird innerhalb von Minuten nach dem Audit-Ereignis erneut korrigiert - und Sie können 72 Stunden lang immer noch alles per Veto stoppen.
So arbeitet es mit Microsoft
Kein Schattenberechtigungsmodell.
Jede Aktion ist eine native Microsoft-Operation, nichts hier ist ein Parallelzustand, den Sie später abgleichen müssen.
- Ein Konto zu deaktivieren setzt accountEnabled in Entra auf false - umkehrbar im Entra Admin Center
- Einen Link zu entfernen ist eine SharePoint-Linkentfernung, keine Unterdrückung in unserer Datenbank
- Die Copilot-Indizierung zu blockieren setzt die websiteeigene Einstellung für eingeschränkte Suche
- Alles, was ein Admin in den Microsoft-Portalen ändert, wird bei der nächsten Auswertung innerhalb von Minuten übernommen
- Schreibzugriff ist eine zweite, ausdrücklich zugestimmte Anwendung - die schreibgeschützte App kann nichts ändern
- Erkennung, Zählung und Vorschau laufen mit Business Basic; nur die Ausführung braucht die Schreibzustimmung
- Aktionen, die Microsoft einschränkt, bleiben eingeschränkt - Geräte aktivieren und deaktivieren geht nur für Windows, wie Microsoft es verlangt
- Nur entdeckte Ressourcen ohne Entra-Objekt, etwa Schattengeräte, werden beim Abgleich herausgefiltert, statt bei der Ausführung zu scheitern
Nachweis
Eine Behebungs-Engine, die beweist, dass sie läuft.
Der Bildschirm Automatisierungen meldet aktive Automatisierungen, Läufe und behobene Ressourcen der letzten 30 Tage, dazu einen Lebenszeichen-Streifen - "Engine aktiv, letzte Auswertung vor 3 Minuten" - und ein Aktionsdiagramm von einer Stunde bis zu einem Jahr, mit Durchklick zu genau den geänderten Ressourcen. Ein Behebungsprodukt, das nicht beweisen kann, dass es läuft, verlangt sehr viel Vertrauen.
- 4Themen: KI-Sicherheit, Oversharing, Hygiene und Kosten
- Minutenvon einer Änderung im Überwachungsprotokoll bis zur Neubewertung der betroffenen Richtlinien und neuen Vorschlägen
- 30 TageLäufe und behobene Ressourcen auf den Zählern, mit einem Register pro Ressource dahinter
Verwandt
Wo das hineinpasst.
Automatisierungen verbrauchen Befunde. Die Bildschirme, die sie erzeugen, sind es wert, damit kombiniert zu werden - und Copilot-Bereitschaft ist der häufigste Grund, aus dem Teams ihre erste Automatisierung aktivieren.
Dateiberechtigungen
Woher die meisten Behebungsziele stammen: Dateien mit "Jeder"- oder organisationsweiten Links auf sensiblen Inhalten.
Dateien ansehen →Copilot-Sicherheit
Die Bereitschaftsarbeit, für die Automatisierungen am häufigsten aktiviert werden: Indizierung auf den Websites blockieren, die Copilot nicht lesen sollte.
Copilot ansehen →Lizenzoptimierung
Die Kostenhälfte des Katalogs: bezahlte Plätze von Konten ohne Anmeldung seit 90 Tagen zurückholen.
Lizenzen ansehen →
FAQ
Häufige Fragen.
Kann es meinen Mandanten ändern, ohne dass ich etwas aktiviere?
Nein. Die schreibgeschützte Anwendung kann physisch nicht schreiben. Die Behebung erfordert eine zweite Anwendung mit eigener ausdrücklicher Zustimmung, und bis diese verbunden ist, zählt und zeigt der Bildschirm Vorschauen, während jede Aktion nicht verfügbar bleibt.
Was genau zeigt mir "Auswerten"?
Die echten Ressourcen hinter dem Zähler, mit einem Umschalter zwischen den Richtlinien der Gruppe, den Bedingungen jeder einzelnen und den Argumenten, mit denen die Aktion laufen würde. Vorschläge, deren Standardwerte nur beispielhaft sind - eine Liste erlaubter Domänen, ein zuzuweisender Besitzer - werden markiert und bleiben abgewählt, damit nichts mit Beispieldaten in Betrieb geht.
Was passiert, wenn ich im Prüffenster nichts tue?
Die Aktion wird ausgeführt. Das ist das Design: Der Standard ist Fortschritt, damit Ihre Aufmerksamkeit auf die Ausnahmen geht statt auf das Freigeben des Offensichtlichen. Stellen Sie die Richtlinie auf manuelle Freigabe, wenn Sie das Gegenteil wollen.
Kann ich eine vorgeschlagene Automatisierung anpassen?
Ja. Prüfen und anpassen öffnet die Richtlinie im Editor, wo Bedingungen, Argumente, Name und Schweregrad geändert werden können, bevor sie je läuft. Die Änderung bleibt für Ihren Mandanten erhalten und übersteht künftige Katalogaktualisierungen.
Teilen sich manuelle Aktionen und Automatisierungen ein Protokoll?
Ja. Derselbe Aktionskatalog treibt beides an - Zeilen in einer beliebigen Liste auswählen und eine Aktion von Hand ausführen - und manuelle Läufe landen im selben Aktionen-Register wie Richtlinienläufe, sodass wer was geändert hat eine Geschichte ist statt zweier Systeme zum Abgleichen.
Sehen Sie, was die Korrekturen berühren würden. Dann entscheiden Sie.
Die schreibgeschützte Zustimmung zählt jeden Vorschlag noch am selben Tag gegen Ihren Live-Mandanten - "3.412 Jeder-Links auf sensiblen Dateien" ist eine Zahl, die Sie vor dem Mittagessen haben. Das Handeln kommt später, hinter einer separaten Zustimmung und einem Prüffenster.
Oder lassen Sie nächstes Quartal wieder das Bereinigungsskript laufen.