DORA-Compliance in Microsoft 365
Steht Microsoft 365 in Ihrem DORA-Register? Und die 200 daran angeschlossenen Apps?
DORA (EU 2022/2554) gilt für Finanzunternehmen unmittelbar seit dem 17. Januar 2025, und ihre Drittparteien-Säule verlangt ein Informationsregister über jede IKT-Dienstleistung, die Ihre Daten berührt. Microsoft 365 ist eine davon - ebenso jede per Zustimmung hereingelassene OAuth-App und jede externe Organisation, mit der der Mandant Daten austauscht. 1Security misst die DORA-Bereitschaft aus dem Mandanten selbst: Anforderungsstatus je Artikel, der Registerausschnitt live statt jährlich kompiliert und ein datiertes Nachweispaket für die Aufsicht.
Das Szenario
Die Aufsicht fragt nach dem Register. Es stammt vom Vorjahr.
DORA erfasst rund zwanzig Typen von Finanzunternehmen - Banken, Versicherer, Wertpapierfirmen, Zahlungs- und E-Geld-Institute, Anbieter von Krypto-Dienstleistungen - und steht auf fünf Säulen: IKT-Risikomanagement, Vorfallmeldung im festen Takt aus Erst-, Zwischen- und Abschlussbericht, Resilienztests, IKT-Drittparteienrisiko und Informationsaustausch. Durchgesetzt wird über nationale Aufsichtsbehörden - in Deutschland die BaFin - und kritische IKT-Anbieter unter direkter Aufsicht können periodische Zwangsgelder bis 1% des durchschnittlichen weltweiten Tagesumsatzes erhalten. Das Erste, wonach eine Aufsicht fragt, ist keine Richtlinie. Es ist das Informationsregister, aktuell.
Und hier ist der Teil, den der jährliche Tabellenansatz übersieht: Der Großteil des Registers ist bereits beobachtbar. Die Artikel 28 bis 30 wollen jede IKT-Dienstleistung mit dem gelistet sehen, was sie berührt - und in Microsoft 365 ist diese Antwort das App-Inventar und die Karte der externen Domains. Jede OAuth-App mit Herausgeber, Reichweite und dem zustimmenden Administrator ist eine IKT-Dienstleistung auf der Softwareseite; jede Organisation aus Gästen, geteilten Dateien und Mail eine auf der Datenseite. Über elf Regulierungen hinweg - DORA neben NIS2, DSGVO, ISO/IEC 27001 und dem EU AI Act - fallen die Pflichten auf 15 gemeinsame Anforderungen zusammen, 11 davon direkt aus Mandantendaten messbar - der Registerausschnitt kann also leben statt erinnert zu werden.
Die Vorfall-Säule läuft gegen die Uhr: Erstmeldung, Zwischenbericht und Abschlussbericht, und jeder ruht auf Fakten, die die meisten Teams während der Frist aus 90-Tage-Logs und getrennten Admin-Centern rekonstruieren. In 1Security ist der Vorfall vom Moment der Erkennung an ein Objekt - die Episode mit ihrem Schweregrad und den anderen Erkennungen auf demselben Konto, die zugeordnete Aktivität dahinter mit den Adressen, Providern und Ländern, die zu Kompromittierungsindikatoren werden, die ergriffenen Eindämmungsmaßnahmen und ein Verlauf & Kommentare, der während der Arbeit entsteht. Die Vorfallakte wird aus derselben Erkennung erzeugt, sodass die Erstmeldung aus einem Dokument geschrieben wird und nicht aus dem Gedächtnis - und Zwischen- und Abschlussbericht beginnen mit ihrem Text.
Der Durchgang
Vom Aufsichtsschreiben zum Nachweispaket, auf Bildschirmen.
Jeder Schritt ist ein Bildschirm mit einem Filter und einem Artefakt am Ende, kein Workshop.
- 01
Die DORA-Rahmenansicht öffnen
Der Bildschirm Compliance bewertet den Mandanten gegen DORA Artikel für Artikel, und jeder Artikel zitiert die gemeinsamen Anforderungen, die ihn erfüllen - gemessene Status für Protokollaufbewahrung, Zugriffskontrolle, ruhende Konten und die Drittparteien-Inventare, bestätigte Status für die vier Dokumente. Wo Sie wissen, dass das Gesamtbild abweicht - etwa Geräte, die in einem anderen Werkzeug verwaltet werden -, erfassen Sie Ihre eigene Einschätzung mit einer Begründung, und der gemessene Status bleibt daneben sichtbar. Nicht bewertet zählt nie als bestanden, und die Arbeitsliste ordnet jede offene Anforderung danach, wie viele Artikel sie freischaltet.
- 02
Den Registerausschnitt aus dem Beobachteten bauen
Der Bildschirm Apps führt jede OAuth-App und Integration mit Herausgeber, Zugriffskanal und dem Administrator, der zugestimmt hat - die Software-Hälfte des Informationsregisters. Der Bildschirm Domänen führt jede externe Organisation aus Gästen, geteilten Dateien und Mail, aufgelöst zum Unternehmen hinter der Domain, mit der Konfiguration neben der beobachteten Aktivität und markierter Abweichung.
- 03
Den Vorfallbericht üben, bevor er echt ist
Öffnen Sie eine beliebige Erkennung auf dem Bildschirm Anomalien und lesen Sie, wonach die Aufsicht fragen wird: die Aktivität im Vorfallfenster, zugeordnet zu Akteur, Ressource, App, Gerät und Standort, das Urteil der Standorte, ob der Zugriff echt war und woher er kam, die Reaktionsmaßnahmen, die ihn eingedämmt haben, und jede Statusänderung und jeden Kommentar auf dem Tab Verlauf & Kommentare. Mit Bericht kommt die Vorfallakte aus derselben Ansicht als PDF, PowerPoint, HTML, CSV oder JSON in sieben Sprachen - die Fakten, Indikatoren, Reaktion und Historie, aus denen Erstmeldung, Zwischen- und Abschlussbericht nach DORA geschrieben werden. Mit bis zu drei Jahren Historie auf Standardlizenzen dauert die Übung eine Sitzung.
- 04
Den datierten Nachweis exportieren
Das gesamte Statusdokument wird jeden Montag und auf Abruf automatisch festgehalten, sodass die Frage nach dem Status an einem Datum eine echte Antwort hat. Das Nachweispaket je Rahmenwerk exportiert als datiertes Dokument und wird über die schreibgeschützte REST-API ausgeliefert - dasselbe Artefakt für Aufsicht, Auditor und Vorstand.
Die Bausteine
Eine rein lesende Verbindung. Der ganze Microsoft 365-Stack.
Jeder Baustein ist ein Screen, den Ihr Team am ersten Tag öffnet. Jeder beantwortet eine Frage zum eigenen Mandanten, die heute nichts in den Admin Centern beantwortet.
Standorte
Woher jede Anmeldung und jede Aktion wirklich kommt, auf einer Karte, pro Mandant. Verstöße nach Standort, unmögliche Reisen, Zulassungslisten pro Person. Funktioniert ohne Premium-Anmeldeprotokolle.
Standorte
Woher jede Anmeldung und jede Aktion wirklich kommt, auf einer Karte, pro Mandant. Verstöße nach Standort, unmögliche Reisen, Zulassungslisten pro Person. Funktioniert ohne Premium-Anmeldeprotokolle.
Was es braucht
Business Premium reicht. Keine Agenten, keine Migration, kein E5 zum Start.
1Security liest den Mandanten, den Sie bereits betreiben, mit Ihren eigenen Lizenzen und Ihrem eigenen Berechtigungsmodell, über eine Nur-Lese-Einwilligung, die Minuten dauert. Es gibt nichts zu installieren und nichts zu migrieren: Es steht neben Entra, Purview, Defender und Ihrem SIEM und beantwortet die Fragen, die dazwischen liegen.
Die Aktivitätshistorie wird bis zu drei Jahre im Lizenzpreis aufbewahrt, auf jeder Stufe, sodass eine Untersuchung oder ein Audit den Beleg hinter sich hat, ohne Aufbewahrungs-Add-on.
Es ist auch der günstigere Weg. Die meisten Organisationen kaufen sich die nötigen Kontrollen mit der höchsten Microsoft-Stufe. Mit 1Security auf der Standardstufe kommen sie für etwa ein Viertel weniger dorthin, mit mehr erledigter Arbeit, auf einer Lizenz, die sie bereits bezahlen.
- Business Premium reicht
- Keine E5-Pflicht
- Nur-Lese-Einwilligung
- 3 Jahre Protokolle im Preis
- Etwa 25 % weniger als der Lizenzweg
- Unsere Cloud, Ihre Cloud, On-Premises
Was dahinter steckt
Drei Teile der Plattform hinter der DORA-Antwort.
Dieselben 15 Anforderungen bewerten NIS2, DSGVO, ISO/IEC 27001 und den EU AI Act im selben Durchgang - eine Behebung bewegt jedes Rahmenwerk, das sie zitiert.
Compliance-Überwachung
Elf Rahmenwerke fortlaufend aus Mandantendaten gemessen, mit Momentaufnahmen, Arbeitsliste und Nachweispaket je Rahmenwerk.
Funktion erkunden →Externe Domains überwachen
Jede Organisation, mit der der Mandant Daten austauscht, als reales Unternehmen aufgelöst, mit Drift-Flags - die Daten-Hälfte des Registers.
Funktion erkunden →App-Governance
Jede Drittanbieter-App und Zustimmung mit Herausgeber, Reichweite und der Person, die sie hereingelassen hat - die Software-Hälfte des Registers.
Funktion erkunden →
Microsoft Innovation Alley
Empfohlen vom Innovationsprogramm von Microsoft selbst.
Microsofts Innovation Alley arbeitet mit 1Security zusammen und empfiehlt es dem Ökosystem, was die Frage beantwortet, die ein Sicherheitsprojekt zuerst stellt: ob man einem Anbieter rein lesend in dem Mandanten vertrauen kann, der Ihre Daten hält.
Nehmen Sie es mit in den Lenkungsausschuss. Es beantwortet die Vertrauensfrage, bevor sie gestellt wird.
FAQ
Häufige Fragen.
Wir sind ein kleines Haus. Gilt DORA wirklich für uns?
DORA skaliert die Anforderungen - Kleinstunternehmen sind von vielem ausgenommen, und manche kleine Firmen bekommen einen vereinfachten Risikorahmen -, aber die Scoping-Entscheidung gehört Ihrem Anwalt. Der praktische Punkt bleibt so oder so: das Register, die Zugriffskontrolle und die Vorfallnachweise, die DORA verlangt, will ein Finanzhaus unabhängig davon gemessen haben, wo die Verhältnismäßigkeitslinie verläuft.
Deckt das unsere Kernbank- oder Handelssysteme ab?
Nein. Wir messen die Microsoft 365-Seite: Identitäten, Dateien, Mail, Apps, Agenten und die Prüfspur darum. Kernplattformen brauchen eigene Nachweisquellen. Was der Mandant hält, ist die Kollaborationshälfte des Informationsregisters und ein großer Teil der Vorfallnachweise - und das Nachweispaket ist ehrlich über diese Grenze.
Ist Microsoft selbst ein kritischer IKT-Anbieter unter DORA?
DORA gibt den europäischen Aufsehern einen Überwachungsrahmen, der kritische IKT-Drittanbieter benennt, und große Cloud-Anbieter sind die Kategorie, für die er geschrieben wurde. Eine Benennung ändert die Pflichten von Microsoft, nicht Ihre: Ihr Registereintrag, die Vertragsklauseln und das Exit-Denken für die Microsoft 365-Dienstleistung bleiben so oder so Ihre Verantwortung.
Wenn die Aufsicht fragt, wann wir Kenntnis erlangt haben - was zeigen wir?
Einen Beleg mit Zeitstempel statt einer Erinnerung. Das Benachrichtigungsprotokoll auf dem Bildschirm Alarmierung bewahrt jede Entscheidung der Plattform - gesendet, zurückgehalten mit Grund oder fehlgeschlagen - so lange wie Ihre Aktivitätshistorie, bis zu drei Jahre. Der Tab Verlauf & Kommentare der Erkennung zeigt jede Statusänderung, jedes Schweregrad-Urteil, jede Reaktionsmaßnahme und jeden Kommentar mit Person und Zeitpunkt, und jeder erzeugte Bericht landet dort ebenfalls, mit Vorlage, Stufe und Format. Zusammen beantworten sie, wann Sie es wussten, was Sie getan haben und wann die Meldung hinausging.
Brauchen wir dafür E5-Lizenzen?
Nein. Die Bereitschaftsmessung, die aufbewahrte Historie und das Nachweispaket laufen über die standardmäßige schreibgeschützte Verbindung und die Lizenzen, die Sie bereits besitzen. Wo eine bestimmte Behebung eine Premium-SKU von Microsoft braucht, sagt es das Produkt an der Aktion selbst.
Wie schnell steht das erste Bereitschaftsbild?
Am selben Tag, an dem der Mandant schreibgeschützt verbunden wird. Die Bereitschaft wird aus Daten berechnet, die die Plattform selbst sammelt, mit bewusst konservativen Status - nicht bewertet zählt nie als bestanden -, sodass sich das erste Bild bereits intern zeigen lässt und die wöchentlichen Momentaufnahmen ab dem ersten Montag anwachsen.
Die 1Security-Plattform
DORA-Compliance ist erst der Anfang
DORA-Compliance ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- Dateien, Websites und der SpaltenbrowserDen Mandanten wie ein Dateisystem durchsuchen: Website, Bibliothek, Ordner, Datei, mit Berechtigungen und Vertraulichkeit jeder Ebene daneben. Ein Problem, das sich damit von selbst erledigt.
- Benutzer, Gruppen und LebenszyklusRuhende Konten, Gäste, die nie gegangen sind, dreifach verschachtelte Gruppen, verwaiste Eigentümer, Admins ohne MFA. Die Prüfung, die überall sonst eine Tabelle ist.
- Externe DomänenJede fremde Organisation mit einem Fuß im Mandanten, ihre Vertrauenslage, ihre Drift und wer sie eingeladen hat.
- E-Mail und PostfächerWer wessen Postfach lesen kann, Weiterleitungsregeln, Threads mit sensiblem Inhalt, eingehende und ausgehende Exposition.
- LizenzenWas zugewiesen ist, was ungenutzt bleibt und welches Paket eine Aktion oder Funktion noch braucht, damit das Upgrade, das Sie verkaufen, das ist, das der Kunde braucht.
- SicherheitsbewertungDie Bewertung, ihre Historie, die Kontrollen dahinter und die Benchmarks, damit die Zahl im Vorstandsbericht etwas bedeutet.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Treffen Sie die Aufsicht mit einem Register, das bereits lebt.
Schreibgeschützt verbinden, und die DORA-Anforderungsstatus, die App- und Domain-Inventare und das erste Nachweispaket treffen am selben Tag ein - bevor Sie irgendetwas behoben haben.
Oder kompilieren Sie das Informationsregister weiter einmal im Jahr.