Office 365 Benutzerbereitstellung
Ein Konto bekommt am ersten Tag fünf Gruppen. Was hält es drei Jahre später?
Ein neuer Mitarbeiter mit fünf Standardgruppen erreicht am ersten Tag 100.000 Dateien. Drei Jahre und vier Teams später ist die Zahl nur gewachsen - und in einem typischen Mandanten liegen 10-30 % der bezahlten Lizenzen auf Konten, die sich seit Monaten nicht angemeldet haben. 1Security zeigt, worauf jedes Konto in jeder Phase seines Lebens wirklich zugreifen kann, und stellt die Bereinigung hinter ein Prüffenster.
- 100.000+Dateien, die ein gewöhnliches Konto über Gruppen, Links und Website-Vererbung erreicht - aufgelöst vor der ersten Anmeldung
- 10-30 %der bezahlten Lizenzen in einem typischen Mandanten liegen auf Konten, an denen sich seit Monaten niemand angemeldet hat
- 72 hStandard-Prüffenster, bevor ein eingestelltes Offboarding oder eine Lizenzrückholung ausgeführt wird
Nachdem das Konto existiert
Konten werden einmal erstellt. Zugriff kommt für immer dazu.
Bereitstellungstools regeln den ersten Morgen. Für die Jahre danach ist niemand zuständig.
Das Onboarding erstellt das Konto, weist die Lizenz zu, fügt die Startgruppen hinzu, öffnet das Postfach. Von da an gewinnt die Identität nur noch: hier eine Projektwebsite, dort eine geteilte Bibliothek, ein Freigabelink, der nie abläuft. Teamwechsel fügen Zugriff hinzu; sie entfernen ihn fast nie. Wer vier Abteilungen durchlaufen hat, trägt die Berechtigungen von vier Abteilungen.
Eine Mitgliederliste sagt, was gewährt wurde. Was diese Mitgliedschaften aufschließen, ist eine andere Frage, weil verschachtelte Gruppen, SharePoint-Websitevererbung und Freigabelinks zwischen dem Verzeichnis und der Antwort stehen. Die Zahl, die Sie nie sehen, ist das, was ein kompromittiertes Konto öffnen würde - und ein gewöhnliches Konto erreicht häufig Hunderttausende Dateien.
Die Seite der Ausscheidenden ist schlimmer. Die Checkliste deaktiviert das Konto, aber die von ihnen erstellten Freigabelinks funktionieren weiter, ihr OneDrive bleibt erreichbar, und die E3-Lizenz bleibt zugewiesen, bis jemand die Rechnung bemerkt. 1Security löst all das pro Konto auf, hält es aktuell und macht aus Eintritt, Wechsel, Austritt und Inaktivität Prüfungen, die Minuten dauern.
Was Sie bekommen
Jedes Konto: worauf es zugreift und ob es noch existieren sollte.
Eine Zeile pro Identität auf dem Bildschirm Benutzer: Reichweite, sensible Exposition, Aktivität, Kontostatus und Risiko - sortierbar, filterbar, exportierbar.
- Gruppen · Dateien · Apps
Reichweite pro Benutzer
Die Gruppen, Dateien und Apps, die ein Konto öffnet, mit aufgelöster Verschachtelung und Vererbung. Sortieren Sie "erreichbare Dateien" absteigend, und ganz oben steht Ihre Prüfwarteschlange - das gefährlichste Konto zuerst.
Sensible Exposition
Wie viele Dateien mit Kartennummern, Ausweisen oder Gesundheitsdaten jeder Benutzer erreichen kann - und die Freigabelinks, die er selbst erstellt hat, auch die, die Jahre nach Projektende noch funktionieren.
Kontostatus auf einen Blick
Aktiviert, Anmeldung gesperrt, MFA registriert, Lizenz zugewiesen - nebeneinander. Filtern Sie auf "große Reichweite + keine MFA-Methode" und Sie haben eine Fünf-Minuten-Prüfung mit Ergebnissen für die Geschäftsleitung.
- 90 Tage · 1 Jahr
Inaktive Konten
Sortieren Sie letzte Anmeldung aufsteigend, und die Konten, die nicht existieren sollten, steigen nach oben. Verwaisungsindikatoren markieren Benutzer und Gäste ohne Aktivität seit 90 Tagen oder einem Jahr, neben den Lizenzen, die noch auf ihnen abgerechnet werden.
Nur-SharePoint-Gäste inklusive
Nur-SharePoint-Gäste halten echten Zugriff über Links und Websiteberechtigungen, ohne zu Entra-Objekten zu werden, sodass eine verzeichnisbasierte Überprüfung für sie nichts zu listen hat. 1Security listet sie neben allen anderen, mit denselben Reichweitenspalten.
- 72 h Prüfung
Offboarding, das sich selbst erledigt
Konto deaktivieren, Zugriff nach Quelle entziehen, Links ablaufen lassen, Lizenz zurückholen - als Vorschläge mit Prüffenster und Besitzerfreigabe eingestellt, damit das Offboarding ohne überraschende Aussperrungen endet.
In der Praxis
Das Offboarding-Audit in vier Schritten.
So sieht das Schließen eines Kontos aus, wenn die Plattform weiß, worauf das Konto zugreifen konnte.
- 01
Den Ausscheidenden in Benutzer öffnen
Der Drawer zeigt jede Gruppe, Website, Datei und App, auf die das Konto noch zugreifen kann, aufgelöst über Verschachtelung und Vererbung - typischerweise Zehntausende Dateien hinter einem Dutzend Gruppennamen.
- 02
Zugriff nach Quelle entziehen
Eine zusammengesetzte Aktion löst auf, wie jede Berechtigung existiert - direkt, Freigabelink, Gruppe, Websitemitgliedschaft - entfernt, was sicher geht, und zeigt den Wirkungsradius pro Quelle, bevor Sie die Pfade bestätigen, die andere betreffen würden.
- 03
Ablaufen lassen, was sie erstellt haben
Die vom Benutzer erstellten Freigabelinks funktionieren nach seinem Weggang weiter. Der Drawer listet sie - bei langjährigen Mitarbeitern oft Dutzende - und lässt sie in einer eingestellten Aktion ablaufen.
- 04
Die Lizenz zurückholen
Entfernen Sie die Lizenz im selben geprüften Ablauf. Lassen Sie denselben Durchgang über jedes Konto ohne Anmeldung seit 90 Tagen laufen, und die Zahl landet noch am selben Tag in Ihrer Verlängerungsrechnung.
Die Lücke
Was wir der Mitgliederliste hinzufügen.
Das Verzeichnis hält fest, was gewährt wurde. 1Security zeigt, was das zusammen ergibt.
- Was die Gruppenmitgliedschaften eines neuen Mitarbeiters aufschließen, aufgelöst vor der ersten Anmeldung - die 100.000 Dateien hinter den Gruppennamen
- Welche Konten bei jedem Teamwechsel Zugriff gewonnen und nie welchen verloren haben
- Welche Freigabelinks ein bestimmter Benutzer erstellt hat und welche davon noch funktionieren
- Welche Nur-SharePoint-Gäste Zugriff halten - gelistet neben Entra-Gästen und Mitgliedern
- Welche aktivierten Konten sich seit einem Jahr nicht angemeldet haben und welche Lizenzen sie noch halten
- Welche Benutzer große Reichweite mit keiner registrierten MFA-Methode kombinieren
- Worauf ein Konto nach dem Offboarding am Tag nach dem Schließen des Tickets noch zugreifen konnte
Bereitstellung
Start am selben Tag, mit Standardlizenzen.
Verbinden Sie mit schreibgeschützter Zustimmung, und das Lebenszyklusbild setzt sich aus dem zusammen, was in Ihrem Mandanten bereits existiert - Ihre Listen inaktiver Konten und der Reichweite Ausscheidender erscheinen am selben Tag. Konto- und Lizenzaktionen sind eine separate, optionale Zustimmung; die Sichtbarkeit hängt nie davon ab.
- Selber Tagvon der schreibgeschützten Zustimmung bis zu den ersten Befunden zu inaktiven Konten und Offboarding
- Business Basicalles hier läuft mit Standardlizenzen - kein E5, kein Entra P2, kein zu installierender Agent
- 0 Schreibvorgängebis Sie dem Schreibmodul zustimmen - und selbst dann ist jede Aktion in den Microsoft Admin Centern umkehrbar
Anwendungsfälle
Eintritte, Wechsel, Austritte - und die Verlängerung.
Die Routinearbeit wird automatisiert; die Belege bleiben.
Eintritte: Öffnen Sie vor dem ersten Tag die geplanten Gruppen in Gruppen und lesen Sie, wozu sie sich auflösen. Wenn das "Standard-Starterset" über eine verschachtelte Gruppe still das Finanzarchiv aufschließt, erfahren Sie es vor dem neuen Mitarbeiter.
Wechsel: Führen Sie die Prüfung auf schleichende Rechteausweitung vierteljährlich durch. Sortieren Sie Benutzer nach erreichbaren Dateien, filtern Sie auf Personen mit Teamwechsel und entziehen Sie, was die alte Rolle gewährt hat - nach Quelle, mit Wirkungsradius vor jeder Ausführung.
Austritte und die Verlängerung: Das Offboarding-Audit schließt jede Tür, die die Checkliste übersieht, und die Lizenzrückholung läuft im selben Ablauf. In den meisten Mandanten findet ein zehnminütiger Durchgang über Konten ohne Anmeldung seit 90 Tagen genug bezahlte Plätze, um das Verlängerungsgespräch zu verändern.
Weiter erkunden
Wo die Lebenszyklusgeschichte weitergeht.
Zugriffsverwaltung
Der Berechtigungsgraph hinter jeder Reichweitenzahl: wer was öffnen kann und über welche Gruppe, welchen Link oder welche Website.
Zugriffsverwaltung ansehen →Microsoft 365 Inventar
Benutzer neben Websites, Apps, Agenten, Geräten und Dateien - alles, was ein Konto berühren kann, in einem Live-Inventar.
Inventar-Tool ansehen →Office 365 Reporting
Die Lebenszykluszahlen exportiert, als Ansichten gespeichert und bei der Verlängerung zitiert.
Reporting-Tool ansehen →
FAQ
Häufige Fragen.
Stellt 1Security Konten bereit?
Nein. Die Bereitstellung bleibt in Entra ID und Ihren HR-gesteuerten Tools. 1Security ist die Sichtbarkeits- und Bereinigungsschicht darum herum: worauf jedes Konto in jeder Phase zugreifen kann, und die eingestellten Aktionen - deaktivieren, entziehen, ablaufen lassen, zurückholen - wenn der Zugriff enden soll.
Wie geht es mit verschachtelten Gruppen um?
Die effektive Mitgliedschaft wird über jede Verschachtelungsebene aufgelöst, in beide Richtungen: wozu ein Benutzer wirklich gehört und was die Aufnahme in eine Gruppe wirklich aufschließen würde. Das Verzeichnis zeigt die deklarierte Mitgliedschaft; 1Security zeigt, wohin sie führt.
Lässt sich Offboarding ohne versehentliche Aussperrungen automatisieren?
Ja. Jede Automatisierung stellt Vorschläge pro Ressource hinter ein Prüffenster - standardmäßig 72 Stunden oder ein manueller Freigabemodus, der nie automatisch auslöst - und ein abgelehnter Vorschlag wird zurückgestellt. Aktionen sind native Microsoft-Operationen: ein Konto zu deaktivieren ist accountEnabled = false in Entra, umkehrbar im Admin Center, ohne eigenes Schattenberechtigungsmodell.
Was ist mit Gästen und externen Identitäten?
Drei Identitätsklassen stehen nebeneinander: Mitglieder, Entra-Gäste und Nur-SharePoint-Gäste - externe Identitäten mit echtem Zugriff, die nie zu Verzeichnisobjekten wurden, und genau deshalb sammeln sie sich an. Alle drei tragen dieselben Reichweiten- und Aktivitätsspalten.
Welche Microsoft-Lizenzen braucht das?
Business Basic aufwärts. Die einzige harte Anforderung ist ein einzelner Benutzer mit SharePoint Online-Lizenz, geprüft auf Mandantenebene - kein E5, kein Entra P2, keine Add-ons.
Die 1Security-Plattform
Office 365 Benutzer-Provisionierung ist erst der Anfang
Office 365 Benutzer-Provisionierung ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- BenachrichtigungenSofort- und Digest-Kanäle pro Kunde, an die richtigen Personen geroutet, im Design Ihrer oder ihrer Marke.
- Trends und das TagesbriefingWas sich diesen Monat bewegt hat, was heute eine Entscheidung braucht, nach Rang, für das Kundengespräch und für Ihren eigenen Morgen.
- StandorteWoher jede Anmeldung und jede Aktion wirklich kommt, auf einer Karte, pro Mandant. Verstöße nach Standort, unmögliche Reisen, Zulassungslisten pro Person. Funktioniert ohne Premium-Anmeldeprotokolle.
- GeräteRegistrierte, nicht registrierte und Schattengeräte, aus der Aktivität abgeleitet statt von einem Agenten. Das Gerät, das niemand registriert hat, taucht trotzdem auf.
- Apps und EinwilligungenJede App mit Zugriff auf den Mandanten, was sie erreichen kann, wer eingewilligt hat und ob das noch nötig ist.
- KI-Agenten und CopilotDas Agentenregister: Eigentümer, Reichweite, als wer jeder Agent handelt, was Copilot sehen wird. Die EU-AI-Act-Prüfungen pro Agent, verantwortlicher Eigentümer, transparente Anweisungen und Folgenabschätzung, aus dem Mandanten gemessen. Readiness vor den Lizenzen, Governance danach.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Sehen Sie, worauf Ihre Konten wirklich zugreifen.
Verbinden Sie schreibgeschützt und führen Sie heute Ihr erstes Offboarding-Audit durch: Reichweite gemessen, Links gelistet, inaktive Konten und ihre Lizenzen gezählt - und die Bereinigung zur Prüfung eingestellt.
Oder vertrauen Sie weiter darauf, dass die Offboarding-Checkliste jeden Link erwischt hat.