Microsoft 365 Audit und Untersuchung
Ein Konto wurde vor drei Wochen gephisht. Was hat es seitdem getan?
Die meisten Untersuchungen in Microsoft 365 bedeuten noch immer, Anmeldungen, Dateiereignisse und Postfachspuren von Hand zu einer Zeitleiste zusammenzusetzen - ein Arbeitstag pro Konto, und nur, solange die Ereignisse noch im Aufbewahrungsfenster liegen. 1Security hält bis zu drei Jahre Historie hinter jedem Konto, bereits der Datei, dem Gerät und dem Standort zugeordnet, sodass die Antwort auf "was haben sie berührt, von wo, und wie weit hätten sie kommen können" ein Filter ist, kein Projekt.
Das Problem
Der Hinweis kommt spät. Das Protokoll ist schon weitergezogen.
Ein ausscheidender Mitarbeiter hat in seinen letzten zwei Wochen "viel" heruntergeladen. Ein Auftragnehmerkonto verhielt sich kurz vor Vertragsende seltsam. Ein Phishing-Klick vom Dienstag erreichte das SOC am Freitag. Jede echte Untersuchung beginnt mit einer Spur, die Tage oder Monate alt ist - deshalb bringt 1Security Sie von 180 Tagen Audithistorie auf Standardlizenzen zu drei Jahren, aktiviert am Tag der Verbindung und nicht am Tag, nachdem Sie sie gebraucht hätten.
Selbst innerhalb des Fensters bedeutet ein Konto Anmelde-, Datei-, Postfach- und Gerätedatensätze, die jeweils einen Teil der Geschichte erzählen. Einen Nachmittag eines Benutzers von Hand darüber zu korrelieren, kostet Sie einen eigenen Nachmittag - und sagt immer noch nicht, worauf das Konto hätte zugreifen können, es aber nicht getan hat. Genau diese Zahl fragt die Geschäftsführung zuerst.
In einem typischen Mandanten erreicht ein gewöhnliches Konto Hunderttausende Dateien über Gruppen, Freigabelinks und vererbte Website-Berechtigungen, und niemand hat diese Zahl je aufgeschrieben gesehen. Also wird der Abschnitt zu den Auswirkungen im Bericht eine Schätzung, und die Zeitleiste hat Lücken genau dort, wo die interessante Woche war.
In der Praxis
Ein Konto, in vier Schritten zerlegt.
So läuft eine Untersuchung in 1Security - ausscheidender Mitarbeiter, vermuteter Insider oder kompromittierte Anmeldung, der Weg ist derselbe.
- 01
Konto öffnen und Reichweite ablesen
Öffnen Sie den Benutzer unter Benutzer. Die Detailansicht zeigt, worauf das Konto jetzt zugreifen kann - Websites, Dateien, Gruppen, Postfächer, Links - aufgelöst über jede verschachtelte Gruppe und Vererbung, dazu seine Geräte, seine Anmeldestandorte und seinen Aktivitätstrend gegen die eigene Baseline. Der Wirkungsradius, der früher einen Tag Skripting kostete, ist eine Ansicht - typischerweise in Zehn- oder Hunderttausenden Dateien gezählt.
- 02
Das entscheidende Fenster abspielen
Wechseln Sie zu Aktivitätsprotokolle und filtern Sie auf das Konto und den Zeitraum - letzte Woche oder letztes Jahr, bis zu drei Jahre zurück. Jedes Ereignis nennt Datei, Aktion, App, Gerät (verwaltet oder nicht) sowie Land und Stadt, aus denen es kam, mit dem Audit-Rohdatensatz einen Klick entfernt. Nach Schweregrad sortiert sehen Sie die 40 Downloads und die Postfachregel vor den 4.000 Dateiaufrufen.
- 03
Lesen, was unter Ihrer Warnlinie lag
Anomalien bewahrt jede Abweichung ab zwei Sigma über der eigenen 30-Tage-Baseline des Kontos als Info-Episode - nie gemailt, nie verworfen. Senken Sie den Empfindlichkeitsregler, und der stille Dienstag, vor dem niemand gewarnt hat, erscheint als "Downloads 8x über normal", ohne erneuten Scan und ohne Einlernphase.
- 04
Herkunft prüfen, dann den Kreis schließen
Die Reisespur zeigt, ob das Konto je dort auftauchte, wo sein Besitzer nicht sein konnte - zwei Länder 900 km auseinander innerhalb einer Stunde, ein Rechenzentrum oder ein Tor-Ausgang - und auf welchem Gerät. Befunde werden zu gestaffelten Aktionen: Links ablaufen lassen, Sitzungen widerrufen, Konto deaktivieren, jede in Aktionen protokolliert mit Freigebendem und Zeitpunkt.
Was dahinter steckt
Gedächtnis, Zuordnung und eine Baseline.
Drei Teile der Plattform machen aus einem Audit-Export eine Untersuchung, die Sie vor dem Mittagessen abschließen.
Drei Jahre Audithistorie
Durchsuchbare, zugeordnete Aktivität - von 180 Tagen zu drei Jahren Aufbewahrung mit Standardlizenz, mit getrennten Zeitstempeln für Auftreten und Entdeckung.
Audit-Tool erkunden →Standorte mit Urteil
Jedes Ereignis aufgelöst nach Land, Stadt und Netzwerktyp. Erstmals gesehene Länder markiert, Rechenzentrumsausgänge als solche erkannt, unmögliche Reisen auf der Zeitleiste benannt.
Reiseerkennung erkunden →Warnungen, die Belege behalten
Episoden statt Ereignisflut, ein Empfindlichkeitsregler, den Sie selbst setzen, und eine Info-Stufe, die alles ab zwei Sigma für den Tag aufbewahrt, an dem Sie den Rückblick brauchen.
Warnungs-Tool erkunden →
FAQ
Häufige Fragen.
Wie weit zurück reicht eine Untersuchung?
Bis zu drei Jahre Aktivität, mit einer Standardlizenz für Microsoft 365 - drei Jahre Abonnement bauen drei Jahre Historie auf und bringen Sie von 180 Tagen Standard-Auditaufbewahrung zu drei Jahren ohne Premium-Add-on. Die beim Verbinden verfügbare Audithistorie wird rückwirkend geladen; ab dann läuft nichts mehr ab.
Brauchen wir eine Premium-Lizenz oder einen Agenten auf den Geräten?
Nein. Aufbewahrung, Zuordnung, Standorte und Anomalien laufen mit Standardlizenzen und einer schreibgeschützten Verbindung. Auf Endgeräten wird nichts installiert; die Gerätezuordnung stammt aus den Anmelde- und Auditdatensätzen selbst.
Können wir unauffällig untersuchen?
Ja. Untersuchen ist schreibgeschütztes Durchsehen von Daten, die 1Security bereits hält - Filter, Detailansichten und Zeitleisten. Nichts wird gesendet, geändert oder angekündigt, solange Sie keine Aktion einstellen, und eingestellte Aktionen warten in ihrem eigenen Prüffenster.
Was, wenn die verdächtige Aktivität nie eine Warnung ausgelöst hat?
Dafür gibt es die Info-Stufe. Alles ab zwei Sigma über der eigenen Baseline des Kontos wird gespeichert und ist filterbar, auch wenn niemand eine Mail bekam. Das Senken der Warnlinie klassifiziert die Historie beim Lesen neu - Rückblick ist eine Filteränderung, keine Forensikarbeit.
Die 1Security-Plattform
Audit & Untersuchung ist erst der Anfang
Audit & Untersuchung ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- E-Mail und PostfächerWer wessen Postfach lesen kann, Weiterleitungsregeln, Threads mit sensiblem Inhalt, eingehende und ausgehende Exposition.
- LizenzenWas zugewiesen ist, was ungenutzt bleibt und welches Paket eine Aktion oder Funktion noch braucht, damit das Upgrade, das Sie verkaufen, das ist, das der Kunde braucht.
- SicherheitsbewertungDie Bewertung, ihre Historie, die Kontrollen dahinter und die Benchmarks, damit die Zahl im Vorstandsbericht etwas bedeutet.
- ComplianceNIS2, DORA, DSGVO, EU AI Act, SOC 2 und HIPAA als Anforderungen mit Live-Status, Bestätigungen, datierten Snapshots und Nachweispaketen.
- BerichteSechs Berichtstypen als PDF, PowerPoint, HTML, CSV und JSON, unter Ihrer Marke mit dem Namen des Kunden, ein Bericht pro Kunde für das ganze Kundenbuch.
- BenachrichtigungenSofort- und Digest-Kanäle pro Kunde, an die richtigen Personen geroutet, im Design Ihrer oder ihrer Marke.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Das nächste "haben wir etwas übersehen?" verdient eine Antwort.
Verbinden Sie schreibgeschützt, und die Historie beginnt sich noch am selben Tag aufzubauen - damit der nächste ausscheidende Mitarbeiter, der seltsame Auftragnehmer oder die späte Phishing-Meldung ein Zehn-Minuten-Blick ist statt ein verlorenes Wochenende.
Oder setzen Sie die Zeitleiste weiter von Hand zusammen.