Office 365 Zugriffsverwaltung
Ein normales Konto kann 200.000 Dateien öffnen. Sehen Sie warum. Schließen Sie es.
Zugriff in Microsoft 365 setzt sich aus direkten Berechtigungen, Freigabelinks, verschachtelten Gruppen, Website-Vererbung und App-Zustimmungen zusammen, und das Zusammenrechnen ist der schwierige Teil. In einem typischen Mandanten erreicht ein normaler Benutzer Hunderttausende Dateien, ohne dass ihm das jemand absichtlich erteilt hätte. 1Security löst alles in einen Live-Berechtigungsgraphen auf: Klicken Sie einen Benutzer an und sehen Sie jede Datei, die er öffnen kann, klicken Sie eine Datei an und sehen Sie jeden, der sie öffnen kann - und entziehen Sie Zugriff mit einer geprüften Aktion.
- 200.000+Dateien, die ein normales Konto typischerweise über Gruppen, Links und Vererbung öffnen kann
- 98 %der erteilten Berechtigungen werden nie genutzt - laut Microsofts eigener Forschung zu Cloud-Berechtigungen
- 10 Min.von einer Berechtigungsänderung in Microsoft 365 bis sie im Graphen erscheint, bei jeder Mandantengröße
Die Lücke
Eine Berechtigung ist leicht zu sehen. Was eine Person wirklich öffnen kann, ist die Summe aus Hunderten.
Website-Mitgliedschaft, Verzeichnisgruppen, Postfachdelegation und Teams-Mitgliedschaft halten je ein Stück der Antwort. Die Verknüpfung ist die Arbeit.
Echter Zugriff in Microsoft 365 wird zusammengesetzt: hier eine direkte Berechtigung, dort ein Freigabelink, Mitgliedschaft in einer Gruppe, die in einer anderen Gruppe steckt, der eine Website gehört, plus alles, was eine zugestimmte App berühren darf. Fragen Sie ohne Graph "was kann dieser Benutzer öffnen?", lautet die ehrliche Antwort: ein Skript pro Website, eine Tabelle und ein Ergebnis, das veraltet ist, bevor der Export fertig ist.
Deshalb dauern Zugriffsüberprüfungen Wochen und übersehen trotzdem die größten Löcher. Wer Gruppenmitgliedschaften prüft, sieht nie den "Jeder"-Link von 2023. Eine verzeichnisbasierte Gastüberprüfung bringt die reinen SharePoint-Gäste nicht ans Licht - externe Identitäten, direkt in eine Website eingeladen, die nie zu Verzeichnisobjekten wurden - und die meisten mittelgroßen Mandanten haben Dutzende davon.
Die Zahlen bei der ersten Verbindung sind konstant: ein normales Mitarbeiterkonto erreicht 100.000-300.000 Dateien, eine Handvoll verschachtelter Gruppen schließt still ein Drittel des Mandanten auf, und die große Mehrheit erteilter Berechtigungen wird nie genutzt. 1Security berechnet effektive Berechtigungen für jede Identität und jede Ressource und hält sie aktuell - aus "drei Berichte exportieren und abgleichen" wird "Benutzer anklicken".
Was Sie bekommen
Der Berechtigungsgraph, vom Benutzer bis zur einzelnen Datei und zurück.
Ein Modell umfasst Benutzer, Gäste, Gruppen, Drittanbieter-Apps und KI-Agenten auf der einen Seite und Websites, Dateien und Postfächer auf der anderen.
Effektive Berechtigungen, aufgelöst
Mehrstufig verschachtelte Gruppen, SharePoint-Website-Vererbung, Freigabelinks und App-Berechtigungen, zusammengeführt zu dem, was eine Identität wirklich öffnen kann - nicht zu dem, was ein Bildschirm als konfiguriert anzeigt. Erreichbare Dateien ist eine sortierbare Spalte unter Benutzer.
In beide Richtungen begehbar
Öffnen Sie einen Benutzer: jede Datei, die er öffnen kann, nach Vertraulichkeit sortiert. Öffnen Sie eine Datei: jede Person, Gruppe, jeder Link, jede App und jeder Agent, die sie öffnen können. Jeder Schritt ist ein echter serverseitiger Filter, ein Klick.
Das Warum hinter jeder Berechtigung
Jeder Pfad trägt seine Quelle: direkte Berechtigung, Freigabelink, Gruppenkette (welche Gruppe in welcher Gruppe), Website-Vererbung, App-Zustimmung. Sie sehen den genauen Pfad, der den Zugriff erzeugt hat - genau das, was Sie brauchen, um ihn zu entfernen, ohne etwas anderes zu beschädigen.
Zugriffszweige mit Vertraulichkeitszählern
Der Benutzer-Zugriffsgraph teilt die Reichweite nach Quelle - OneDrive, Freigabelinks (Anzeigen, Bearbeiten, Überprüfen, auch deaktivierte), per E-Mail erhaltene Dateien, Gruppenmitgliedschaft - mit der Zahl sensibler Dateien auf jedem Zweig, damit Sie den riskanten Pfad zuerst prüfen.
Reine SharePoint-Gäste eingeschlossen
Externe Identitäten, direkt in eine Website eingeladen, werden nie zu Verzeichnisobjekten und sind in einer verzeichnisbasierten Überprüfung leicht zu übersehen. 1Security listet sie wie jede andere Identität, mit dem, was sie erreichen.
Entzug mit Wirkungsradius
Zugriff entfernen löst jede Berechtigung hinter der Reichweite einer Person auf - direkt, Link, Gruppe, Website-Mitgliedschaft -, zeigt, was jede Entfernung trennt, entfernt, was sicher geht, und fragt vor allem anderen nach. Automatisierte Läufe warten hinter einem 72-Stunden-Prüffenster.
Eine Karte
Prüfen durch Klicken, nicht durch Exportieren.
Der Graph ist kein Bericht, den Sie erzeugen. Jeder Bildschirm des Produkts ist eine Ansicht davon.
Wählen Sie einen Benutzer: seine Gruppen, dann die Websites, die diese Gruppen aufschließen, dann die Dateien auf diesen Websites mit sensiblen Daten, dann alle anderen, die dieselben Dateien lesen können. Jeder Schritt ist ein Klick und jeder ist gefiltert - "Dateien, die dieser Benutzer erreichen kann" ist ein echter Filter auf dem Bildschirm Dateien, keine Tabellenübung. Eine Wirkungsradius-Frage, die früher einen halben Tag Skripting kostete, ist ein zehnminütiger Rundgang.
Derselbe Rundgang funktioniert für eine Gruppe, einen Gast, eine App, einen KI-Agenten oder einen einzelnen Freigabelink. Wenn ein Vorfall um 3 Uhr nachts ein Konto nennt, ist seine Reichweite - jede Datei, Website und jedes Postfach, das es öffnen konnte - ein Nachschlagen, und was es tatsächlich berührt hat, steht daneben in bis zu drei Jahren Aktivitätsprotokolle.
In der Praxis
Ein Offboarding-Audit von Anfang bis Ende.
Die Identität, die alle vergessen vollständig zu schließen - und der Ablauf, der sie schließt.
- 01
Reichweite messen
Öffnen Sie den Ausscheidenden unter Benutzer: Gruppen, erreichbare Dateien, von ihm erstellte Freigabelinks, sensible Dateien in Reichweite, autorisierte Apps. In einem typischen Mandanten steht in dieser Zeile 150.000 Dateien und 30 Links - die Größe dessen, was ein Anmeldedatensatz noch öffnet, bevor Sie irgendetwas anfassen.
- 02
Nach Quelle entziehen
Zugriff entfernen löst seine direkten Berechtigungen, Gruppenmitgliedschaften und Website-Rollen auf, zeigt, was jede Entfernung trennt, und stellt die Änderung ein. Das Konto nur zu deaktivieren lässt Gruppen- und Linkzugriff für jeden bestehen, der noch die Anmeldedaten oder den Link hat.
- 03
Ablaufen lassen, was zurückbleibt
Vom Konto erstellte Freigabelinks funktionieren nach der Deaktivierung weiter - "Jeder"-Links jahrelang. Der Graph listet jeden davon; sie ablaufen zu lassen ist Teil derselben Aktion, keine separate Suche.
- 04
Zurückholen und protokollieren
Die Lizenz geht zurück in den Pool, und jeder Schritt landet unter Aktionen mit Freigebendem und Zeitstempel - der Nachweis, dass das Offboarding stattgefunden hat, keine Checkliste, die sagt, dass es sollte.
Der Unterschied
Die Verknüpfungen, die nur ein Berechtigungsgraph herstellen kann.
Die Daten hinter jedem dieser Punkte liegen an einem anderen Ort. Der Graph verknüpft sie einmal und hält sie verknüpft.
- Jede Datei, die ein bestimmter Benutzer öffnen kann, als ein Filter - aufgelöst über Gruppen, Links und Vererbung
- Reine SharePoint-Gäste: externer Zugriff, gezählt, obwohl er außerhalb des Verzeichnisses lebt
- Freigabelinks ohne Kennwort und Links nach Ablaufdatum, mandantenweit, mit Datei und Ersteller
- Die genaue Kette, die einen Zugriff erzeugt hat: welche Gruppe, in welcher Gruppe, erteilt von wem
- Zähler sensibler Dateien pro Zugriffszweig, damit der riskante Pfad zuerst geprüft wird
- Apps und KI-Agenten als Identitäten auf demselben Graphen wie Menschen, mit denselben Reichweitenzahlen
- Eine Berechtigungsänderung nach etwa 10 Minuten sichtbar, bei jeder Mandantengröße
- Der gesamte Graph bei 40 Mio.+ Dateien in produktiven Mandanten gepflegt
Bereitstellung
Zuerst schreibgeschützt. Erste Reichweitenzahlen am selben Tag.
Eine schreibgeschützte Zustimmung verbindet den Mandanten; keine Agenten, keine Appliances, keine Log-Weiterleitung. Schreibaktionen sind eine separate Opt-in-Zustimmung, und jede automatisierte Änderung wartet hinter einem Prüffenster - standardmäßig 72 Stunden. Läuft mit Standard-Microsoft-Lizenzen ab Business Basic: kein E5, kein Entra P2. Die Daten jedes Kunden liegen in einer eigenen, dedizierten Datenbank, die nie mit anderen Kunden geteilt wird.
- Am selben Tagvon der schreibgeschützten Zustimmung zur ersten Antwort auf "was kann dieses Konto öffnen"
- 0Agenten, Appliances oder Log-Weiterleitungen zu installieren
- Business Basicdie Lizenzuntergrenze - kein E5, kein Entra P2
Anwendungsfälle
Die Fragen, die das beantwortet.
Vor einem Copilot-Rollout: Copilot liest genau das, was jeder Benutzer schon erreichen kann, also ist "was würde die KI erben" dasselbe Nachschlagen - pro Benutzer, pro Website, mit Vertraulichkeitszählern.
Während eines Vorfalls: ein Konto wird um 3 Uhr nachts kompromittiert. Jede Datei, Website und jedes Postfach in seiner Reichweite und was es tatsächlich berührt hat - Minuten Klicken, kein Tag Log-Zusammenfügen.
Für den Auditor: Zugriffsüberprüfungen auf Basis effektiver Berechtigungen statt Gruppenlisten, exportierbar, mit Behebungsspur. Least Privilege wird eine Zahl, die Sie zeigen, kein Satz, den Sie behaupten.
Microsoft 365 Audit-Tool
Bis zu drei Jahre Aktivität hinter jeder Zugriffsentscheidung - was das Konto mit dem getan hat, was es erreichen konnte.
Audit-Tool ansehen →Microsoft 365 Inventar-Tool
Jede Website, jedes OneDrive, jede App, jeder Agent und jedes Gerät, auf denen der Graph aufbaut - live gezählt, versteckte Kanal-Websites eingeschlossen.
Inventar ansehen →SharePoint Governance Tool
Die Ressourcenseite desselben Graphen: jede Website geordnet nach externer Exposition und Verwaisung.
SharePoint-Governance ansehen →
FAQ
Häufige Fragen.
Worin unterscheidet sich das von Entra ID Zugriffsüberprüfungen?
Entra-Zugriffsüberprüfungen zertifizieren Gruppen- und App-Mitgliedschaft, und das gut. 1Security ergänzt die Schicht darunter - effektiven Zugriff: was eine Identität wirklich öffnen kann, wenn Verschachtelung, SharePoint-Vererbung, Freigabelinks und App-Berechtigungen zusammengerechnet sind. Es listet auch reine SharePoint-Gäste, sodass die Überprüfung externen Zugriff außerhalb des Verzeichnisses abdeckt.
Brauchen wir Microsoft E5 oder Entra P2?
Nein. Der Berechtigungsgraph läuft mit Standard-Microsoft-Lizenzen ab Business Basic. Premium-SKUs spielen nur für optionale Extras wie Purview-Bezeichnungssynchronisierung oder den Import von Defender-Warnungen eine Rolle.
Kann 1Security Berechtigungen ohne Freigabe ändern?
Standardmäßig nicht. Die Basisverbindung ist schreibgeschützt. Behebung ist ein separat zugestimmtes Modul, und automatisierte Aktionen stellen Vorschläge hinter einem Prüffenster ein - standardmäßig 72 Stunden, konfigurierbar auf sofort, 24 Stunden, 7 Tage oder nur manuell.
Wie aktuell sind die Zugriffsdaten?
Berechtigungsänderungen erscheinen unabhängig von der Mandantengröße nach etwa 10 Minuten. Der erste vollständige Scan eines sehr großen Mandanten dauert länger - ein Mandant mit einer Million Dateien ist in Stunden abgebildet, 40 Mio.+ Dateien in Wochen -, und ab dann aktualisiert sich der Graph fortlaufend.
Deckt es auch Apps und KI-Agenten ab?
Ja. Drittanbieter-Apps, OAuth-Zustimmungen, verwaltete Identitäten und KI-Agenten sind Identitäten auf demselben Graphen, mit den erreichbaren Dateien und den sensiblen Daten darunter genauso gezählt wie bei einem Benutzer.
Hören Sie auf, Zugriff zu rekonstruieren. Schlagen Sie ihn nach.
Verbinden Sie schreibgeschützt und sehen Sie noch am selben Tag, was Ihre Benutzer, Gäste, Apps und Agenten wirklich öffnen können - jede Identität, jede Berechtigung, jeder Pfad.
Oder gleichen Sie weiter Exporte ab, die veraltet sind, bevor Sie fertig sind.