Office 365 Zugriffsverwaltung
Warum kann ein gewöhnliches Konto 200.000 Dateien öffnen, die ihm niemand gegeben hat?
Zugriff in Microsoft 365 setzt sich aus direkten Berechtigungen, Freigabelinks, verschachtelten Gruppen, Website-Vererbung und App-Zustimmungen zusammen, und das Zusammenrechnen ist der schwierige Teil. In einem typischen Mandanten erreicht ein normaler Benutzer Hunderttausende Dateien, ohne dass ihm das jemand absichtlich erteilt hätte. 1Security löst alles in einen Live-Berechtigungsgraphen auf: Klicken Sie einen Benutzer an und sehen Sie jede Datei, die er öffnen kann, klicken Sie eine Datei an und sehen Sie jeden, der sie öffnen kann - und entziehen Sie Zugriff mit einer geprüften Aktion.
- 200.000+Dateien, die ein normales Konto typischerweise über Gruppen, Links und Vererbung öffnen kann
- 98 %der erteilten Berechtigungen werden nie genutzt - laut Microsofts eigener Forschung zu Cloud-Berechtigungen
- 10 Min.von einer Berechtigungsänderung in Microsoft 365 bis sie im Graphen erscheint, bei jeder Mandantengröße
Die Lücke
Eine Berechtigung ist leicht zu sehen. Was eine Person wirklich öffnen kann, ist die Summe aus Hunderten.
Website-Mitgliedschaft, Verzeichnisgruppen, Postfachdelegation und Teams-Mitgliedschaft halten je ein Stück der Antwort. Die Verknüpfung ist die Arbeit.
Echter Zugriff in Microsoft 365 wird zusammengesetzt: hier eine direkte Berechtigung, dort ein Freigabelink, Mitgliedschaft in einer Gruppe, die in einer anderen Gruppe steckt, der eine Website gehört, plus alles, was eine zugestimmte App berühren darf. Fragen Sie ohne Graph "was kann dieser Benutzer öffnen?", lautet die ehrliche Antwort: ein Skript pro Website, eine Tabelle und ein Ergebnis, das veraltet ist, bevor der Export fertig ist.
Deshalb dauern Zugriffsüberprüfungen Wochen und übersehen trotzdem die größten Löcher. Wer Gruppenmitgliedschaften prüft, sieht nie den "Jeder"-Link von 2023. Eine verzeichnisbasierte Gastüberprüfung bringt die reinen SharePoint-Gäste nicht ans Licht - externe Identitäten, direkt in eine Website eingeladen, die nie zu Verzeichnisobjekten wurden - und die meisten mittelgroßen Mandanten haben Dutzende davon.
Die Zahlen bei der ersten Verbindung sind konstant: ein normales Mitarbeiterkonto erreicht 100.000-300.000 Dateien, eine Handvoll verschachtelter Gruppen schließt still ein Drittel des Mandanten auf, und die große Mehrheit erteilter Berechtigungen wird nie genutzt. 1Security berechnet effektive Berechtigungen für jede Identität und jede Ressource und hält sie aktuell - aus "drei Berichte exportieren und abgleichen" wird "Benutzer anklicken".
Was Sie bekommen
Der Berechtigungsgraph, vom Benutzer bis zur einzelnen Datei und zurück.
Ein Modell umfasst Benutzer, Gäste, Gruppen, Drittanbieter-Apps und KI-Agenten auf der einen Seite und Websites, Dateien und Postfächer auf der anderen.
Effektive Berechtigungen, aufgelöst
Mehrstufig verschachtelte Gruppen, SharePoint-Website-Vererbung, Freigabelinks und App-Berechtigungen, zusammengeführt zu dem, was eine Identität wirklich öffnen kann - nicht zu dem, was ein Bildschirm als konfiguriert anzeigt. Erreichbare Dateien ist eine sortierbare Spalte unter Benutzer.
In beide Richtungen begehbar
Öffnen Sie einen Benutzer: jede Datei, die er öffnen kann, nach Vertraulichkeit sortiert. Öffnen Sie eine Datei: jede Person, Gruppe, jeder Link, jede App und jeder Agent, die sie öffnen können. Jeder Schritt ist ein echter serverseitiger Filter, ein Klick.
Das Warum hinter jeder Berechtigung
Jeder Pfad trägt seine Quelle: direkte Berechtigung, Freigabelink, Gruppenkette (welche Gruppe in welcher Gruppe), Website-Vererbung, App-Zustimmung. Sie sehen den genauen Pfad, der den Zugriff erzeugt hat - genau das, was Sie brauchen, um ihn zu entfernen, ohne etwas anderes zu beschädigen.
Zugriffszweige mit Vertraulichkeitszählern
Der Benutzer-Zugriffsgraph teilt die Reichweite nach Quelle - OneDrive, Freigabelinks (Anzeigen, Bearbeiten, Überprüfen, auch deaktivierte), per E-Mail erhaltene Dateien, Gruppenmitgliedschaft - mit der Zahl sensibler Dateien auf jedem Zweig, damit Sie den riskanten Pfad zuerst prüfen.
Reine SharePoint-Gäste eingeschlossen
Externe Identitäten, direkt in eine Website eingeladen, werden nie zu Verzeichnisobjekten und sind in einer verzeichnisbasierten Überprüfung leicht zu übersehen. 1Security listet sie wie jede andere Identität, mit dem, was sie erreichen.
Entzug mit Wirkungsradius
Zugriff entfernen löst jede Berechtigung hinter der Reichweite einer Person auf - direkt, Link, Gruppe, Website-Mitgliedschaft -, zeigt, was jede Entfernung trennt, entfernt, was sicher geht, und fragt vor allem anderen nach. Automatisierte Läufe warten hinter einem 72-Stunden-Prüffenster.
Eine Karte
Prüfen durch Klicken, nicht durch Exportieren.
Der Graph ist kein Bericht, den Sie erzeugen. Jeder Bildschirm des Produkts ist eine Ansicht davon.
Wählen Sie einen Benutzer: seine Gruppen, dann die Websites, die diese Gruppen aufschließen, dann die Dateien auf diesen Websites mit sensiblen Daten, dann alle anderen, die dieselben Dateien lesen können. Jeder Schritt ist ein Klick und jeder ist gefiltert - "Dateien, die dieser Benutzer erreichen kann" ist ein echter Filter auf dem Bildschirm Dateien, keine Tabellenübung. Eine Wirkungsradius-Frage, die früher einen halben Tag Skripting kostete, ist ein zehnminütiger Rundgang.
Derselbe Rundgang funktioniert für eine Gruppe, einen Gast, eine App, einen KI-Agenten oder einen einzelnen Freigabelink. Wenn ein Vorfall um 3 Uhr nachts ein Konto nennt, ist seine Reichweite - jede Datei, Website und jedes Postfach, das es öffnen konnte - ein Nachschlagen, und was es tatsächlich berührt hat, steht daneben in bis zu drei Jahren Aktivitätsprotokolle.
In der Praxis
Ein Offboarding-Audit von Anfang bis Ende.
Die Identität, die alle vergessen vollständig zu schließen - und der Ablauf, der sie schließt.
- 01
Reichweite messen
Öffnen Sie den Ausscheidenden unter Benutzer: Gruppen, erreichbare Dateien, von ihm erstellte Freigabelinks, sensible Dateien in Reichweite, autorisierte Apps. In einem typischen Mandanten steht in dieser Zeile 150.000 Dateien und 30 Links - die Größe dessen, was ein Anmeldedatensatz noch öffnet, bevor Sie irgendetwas anfassen.
- 02
Nach Quelle entziehen
Zugriff entfernen löst seine direkten Berechtigungen, Gruppenmitgliedschaften und Website-Rollen auf, zeigt, was jede Entfernung trennt, und stellt die Änderung ein. Das Konto nur zu deaktivieren lässt Gruppen- und Linkzugriff für jeden bestehen, der noch die Anmeldedaten oder den Link hat.
- 03
Ablaufen lassen, was zurückbleibt
Vom Konto erstellte Freigabelinks funktionieren nach der Deaktivierung weiter - "Jeder"-Links jahrelang. Der Graph listet jeden davon; sie ablaufen zu lassen ist Teil derselben Aktion, keine separate Suche.
- 04
Zurückholen und protokollieren
Die Lizenz geht zurück in den Pool, und jeder Schritt landet unter Aktionen mit Freigebendem und Zeitstempel - der Nachweis, dass das Offboarding stattgefunden hat, keine Checkliste, die sagt, dass es sollte.
Der Unterschied
Die Verknüpfungen, die nur ein Berechtigungsgraph herstellen kann.
Die Daten hinter jedem dieser Punkte liegen an einem anderen Ort. Der Graph verknüpft sie einmal und hält sie verknüpft.
- Jede Datei, die ein bestimmter Benutzer öffnen kann, als ein Filter - aufgelöst über Gruppen, Links und Vererbung
- Reine SharePoint-Gäste: externer Zugriff, gezählt, obwohl er außerhalb des Verzeichnisses lebt
- Freigabelinks ohne Kennwort und Links nach Ablaufdatum, mandantenweit, mit Datei und Ersteller
- Die genaue Kette, die einen Zugriff erzeugt hat: welche Gruppe, in welcher Gruppe, erteilt von wem
- Zähler sensibler Dateien pro Zugriffszweig, damit der riskante Pfad zuerst geprüft wird
- Apps und KI-Agenten als Identitäten auf demselben Graphen wie Menschen, mit denselben Reichweitenzahlen
- Eine Berechtigungsänderung nach etwa 10 Minuten sichtbar, bei jeder Mandantengröße
- Der gesamte Graph bei 40 Mio.+ Dateien in produktiven Mandanten gepflegt
Bereitstellung
Zuerst schreibgeschützt. Erste Reichweitenzahlen am selben Tag.
Eine schreibgeschützte Zustimmung verbindet den Mandanten; keine Agenten, keine Appliances, keine Log-Weiterleitung. Schreibaktionen sind eine separate Opt-in-Zustimmung, und jede automatisierte Änderung wartet hinter einem Prüffenster - standardmäßig 72 Stunden. Läuft mit Standard-Microsoft-Lizenzen ab Business Basic: kein E5, kein Entra P2. Die Daten jedes Kunden liegen in einer eigenen, dedizierten Datenbank, die nie mit anderen Kunden geteilt wird.
- Am selben Tagvon der schreibgeschützten Zustimmung zur ersten Antwort auf "was kann dieses Konto öffnen"
- 0Agenten, Appliances oder Log-Weiterleitungen zu installieren
- Business Basicdie Lizenzuntergrenze - kein E5, kein Entra P2
Anwendungsfälle
Die Fragen, die das beantwortet.
Vor einem Copilot-Rollout: Copilot liest genau das, was jeder Benutzer schon erreichen kann, also ist "was würde die KI erben" dasselbe Nachschlagen - pro Benutzer, pro Website, mit Vertraulichkeitszählern.
Während eines Vorfalls: ein Konto wird um 3 Uhr nachts kompromittiert. Jede Datei, Website und jedes Postfach in seiner Reichweite und was es tatsächlich berührt hat - Minuten Klicken, kein Tag Log-Zusammenfügen.
Für den Auditor: Zugriffsüberprüfungen auf Basis effektiver Berechtigungen statt Gruppenlisten, exportierbar, mit Behebungsspur. Least Privilege wird eine Zahl, die Sie zeigen, kein Satz, den Sie behaupten.
Microsoft 365 Audit-Tool
Bis zu drei Jahre Aktivität hinter jeder Zugriffsentscheidung - was das Konto mit dem getan hat, was es erreichen konnte.
Audit-Tool ansehen →Microsoft 365 Inventar-Tool
Jede Website, jedes OneDrive, jede App, jeder Agent und jedes Gerät, auf denen der Graph aufbaut - live gezählt, versteckte Kanal-Websites eingeschlossen.
Inventar ansehen →SharePoint Governance Tool
Die Ressourcenseite desselben Graphen: jede Website geordnet nach externer Exposition und Verwaisung.
SharePoint-Governance ansehen →
FAQ
Häufige Fragen.
Worin unterscheidet sich das von Entra ID Zugriffsüberprüfungen?
Entra-Zugriffsüberprüfungen zertifizieren Gruppen- und App-Mitgliedschaft, und das gut. 1Security ergänzt die Schicht darunter - effektiven Zugriff: was eine Identität wirklich öffnen kann, wenn Verschachtelung, SharePoint-Vererbung, Freigabelinks und App-Berechtigungen zusammengerechnet sind. Es listet auch reine SharePoint-Gäste, sodass die Überprüfung externen Zugriff außerhalb des Verzeichnisses abdeckt.
Brauchen wir Microsoft E5 oder Entra P2?
Nein. Der Berechtigungsgraph läuft mit Standard-Microsoft-Lizenzen ab Business Basic. Premium-SKUs spielen nur für optionale Extras wie Purview-Bezeichnungssynchronisierung oder den Import von Defender-Warnungen eine Rolle.
Kann 1Security Berechtigungen ohne Freigabe ändern?
Standardmäßig nicht. Die Basisverbindung ist schreibgeschützt. Behebung ist ein separat zugestimmtes Modul, und automatisierte Aktionen stellen Vorschläge hinter einem Prüffenster ein - standardmäßig 72 Stunden, konfigurierbar auf sofort, 24 Stunden, 7 Tage oder nur manuell.
Wie aktuell sind die Zugriffsdaten?
Berechtigungsänderungen erscheinen unabhängig von der Mandantengröße nach etwa 10 Minuten. Der erste vollständige Scan eines sehr großen Mandanten dauert länger - ein Mandant mit einer Million Dateien ist in Stunden abgebildet, 40 Mio.+ Dateien in Wochen -, und ab dann aktualisiert sich der Graph fortlaufend.
Deckt es auch Apps und KI-Agenten ab?
Ja. Drittanbieter-Apps, OAuth-Zustimmungen, verwaltete Identitäten und KI-Agenten sind Identitäten auf demselben Graphen, mit den erreichbaren Dateien und den sensiblen Daten darunter genauso gezählt wie bei einem Benutzer.
Die 1Security-Plattform
Office 365 Zugriffsverwaltung ist erst der Anfang
Office 365 Zugriffsverwaltung ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- Sensible DatenPersonenbezogene Daten, Zugangsdaten, Finanz- und Gesundheitsdaten, gefunden von unseren eigenen Klassifikatoren, mit der Microsoft-Zweitmeinung, wo der Kunde sie hat.
- VertraulichkeitsbezeichnungenAbdeckung und Lücken der Bezeichnungen über Websites und Dateien, damit der Schutz, den der Kunde bezahlt hat, auch wirklich angewendet ist.
- Dateien, Websites und der SpaltenbrowserDen Mandanten wie ein Dateisystem durchsuchen: Website, Bibliothek, Ordner, Datei, mit Berechtigungen und Vertraulichkeit jeder Ebene daneben. Ein Problem, das sich damit von selbst erledigt.
- Benutzer, Gruppen und LebenszyklusRuhende Konten, Gäste, die nie gegangen sind, dreifach verschachtelte Gruppen, verwaiste Eigentümer, Admins ohne MFA. Die Prüfung, die überall sonst eine Tabelle ist.
- Externe DomänenJede fremde Organisation mit einem Fuß im Mandanten, ihre Vertrauenslage, ihre Drift und wer sie eingeladen hat.
- E-Mail und PostfächerWer wessen Postfach lesen kann, Weiterleitungsregeln, Threads mit sensiblem Inhalt, eingehende und ausgehende Exposition.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Hören Sie auf, Zugriff zu rekonstruieren. Schlagen Sie ihn nach.
Verbinden Sie schreibgeschützt und sehen Sie noch am selben Tag, was Ihre Benutzer, Gäste, Apps und Agenten wirklich öffnen können - jede Identität, jede Berechtigung, jeder Pfad.
Oder gleichen Sie weiter Exporte ab, die veraltet sind, bevor Sie fertig sind.