Office 365 Vorfallbericht
Die Aufsicht will ihn in 72 Stunden. Die Nachweise sind schon gesammelt.
Ein Vorfallbericht hat drei Abschnitte, die niemand aus dem Gedächtnis schreiben kann: was wann passiert ist, wie weit das Konto reichen konnte und was tatsächlich dagegen getan wurde. 1Security erzeugt alle drei aus Daten, die es bereits hält - bis zu drei Jahre zugeordnete Aktivität, der lebende Berechtigungsgraph und ein Protokoll jeder ausgeführten Aktion -, sodass der Abschnitt zu den Auswirkungen eine Zahl ist, keine Schätzung, und der Bericht fertig ist, bevor die Frist eng wird.
Das Problem
Die Uhr läuft, bevor die Untersuchung endet.
Vorfallberichte scheitern an denselben drei Stellen. Die Zeitleiste hat Lücken, weil der Einstiegspunkt im siebten Monat lag und niemand die Historie so weit zurück aufbewahrt hat. Der Abschnitt zu den Auswirkungen sagt "potenziell betroffen", weil niemand aufzählen kann, worauf das Konto zugreifen konnte - in einem typischen Mandanten sind das Hunderttausende Dateien über Gruppen, Links und Vererbung. Und der Abschnitt zur Behebung sagt "Zugriff wurde entzogen", ohne Beleg im Anhang.
Dabei sind die Fristen gesetzlich. Die DSGVO gibt Ihnen 72 Stunden ab Kenntnis für die Meldung an die Aufsichtsbehörde. NIS2 verlangt eine Frühwarnung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 und einen Abschlussbericht innerhalb eines Monats - jeweils mit Schweregrad, Auswirkungen und Kompromittierungsindikatoren. Jede davon braucht Fakten, die Sie entweder zur Hand haben oder in der Frist rekonstruieren.
Das übliche Ergebnis ist ein Bericht aus vier Exporten und der Erinnerung, wer was getan hat, um 2 Uhr nachts fertig, mit einem Auswirkungsabschnitt, der mit einem Fragezeichen endet. Der nächste Vorfall beginnt genauso.
In der Praxis
Vier Abschnitte, erzeugt statt geschrieben.
So entsteht der Bericht in 1Security - in der Reihenfolge, in der eine Aufsichtsbehörde ihn liest.
- 01
Die Zeitleiste rekonstruieren
Öffnen Sie Aktivitätsprotokolle, filtern Sie auf das Konto und das Zeitfenster - auch wenn die erste Anmeldung zehn Monate zurückliegt. Jedes Ereignis ist bereits Datei, App, Gerät (verwaltet oder nicht) und Herkunftsland zugeordnet, mit getrennten Zeitstempeln für Auftreten und Entdeckung und dem Microsoft-Rohdatensatz einen Klick entfernt. Nach Schweregrad sortiert stehen die Postfach-Weiterleitungsregel um 03:14 und die 600 Downloads um 03:20 ganz oben.
- 02
Den Wirkungsradius zählen
Öffnen Sie das Konto unter Benutzer. Die Detailansicht löst alles auf, worauf es über direkte Zuweisungen, Freigabelinks, verschachtelte Gruppen und Website-Vererbung zugreifen konnte - Websites, Dateien, Postfächer - und wie viele dieser Dateien sensible Daten oder eine Vertraulichkeitsbezeichnung tragen. Aus "potenziell betroffen" wird "konnte 214.000 Dateien erreichen, 3.100 davon mit personenbezogenen Daten".
- 03
Benennen, was tatsächlich berührt wurde
Kreuzen Sie Reichweite mit Aktivität: welche Dateien geöffnet, heruntergeladen oder freigegeben wurden, von welchem Gerät und Standort, ob darunter regulierte Daten waren - mit Erkennungstypen und Zahlen zum Zitieren. Die Reisespur zeigt, ob die Anmeldungen für den Kontoinhaber plausibel waren oder ein unmöglicher Sprung zwischen zwei Ländern innerhalb einer Stunde.
- 04
Die Behebungsspur anhängen
Jede über 1Security ausgeführte Aktion - Links abgelaufen, Sitzungen widerrufen, Gast entfernt, Konto deaktiviert, automatisch oder manuell - steht in Aktionen mit Ressource, Aktion, Freigebendem und Zeitpunkt. Der Abschnitt "Abhilfemaßnahmen" wird ein Export mit Zeitstempeln, kein Satz.
Was dahinter steckt
Gedächtnis, eine Karte und ein Protokoll dessen, was Sie getan haben.
Der Bericht ist nur so gut wie die Historie und der Berechtigungsgraph darunter.
Drei Jahre Audithistorie
Von 180 Tagen Audithistorie zu drei Jahren mit 1Security - durchsuchbar, zugeordnet, mit den Lizenzen, die Sie schon haben, und dem Rohdatensatz einen Klick entfernt.
Funktion ansehen →Antworten statt Exporte
Gespeicherte Ansichten, vollständige Exporte und eine schreibgeschützte REST-API - damit die Zahlen im Bericht den Zahlen auf dem Bildschirm entsprechen und Ihr SOC denselben Feed abholen kann.
Funktion ansehen →Wirkungsradius auf Abruf
Effektiver Zugriff aufgelöst über Gruppen, Links und Vererbung - der Auswirkungsabschnitt ist keine Schätzung mehr, sondern eine Abfrage.
Funktion ansehen →
FAQ
Häufige Fragen.
Deckt das die Meldefristen von DSGVO und NIS2 ab?
Es liefert die Fakten, die sie verlangen. Die 24-Stunden-Frühwarnung stützt sich auf Echtzeitwarnungen und Standorte, die 72-Stunden-Meldung auf Wirkungsradius und Umfang sensibler Daten, der Abschlussbericht nach einem Monat auf die aufbewahrte Historie und das Aktionsprotokoll. Ob ein Vorfall meldepflichtig ist und an wen, entscheidet weiterhin Ihre Rechtsabteilung.
Was, wenn der Vorfall vor Monaten begann?
Dafür ist die Aufbewahrung da. Bis zu drei Jahre Historie mit Standardlizenz bedeuten, dass ein Einstiegspunkt aus dem letzten Quartal noch im Datensatz ist, zugeordnet zu Benutzer, Gerät und Standort - die 180-Tage-Frage stellt sich nicht mehr.
Können wir nachweisen, dass die Behebung tatsächlich stattfand?
Ja. Automatische und manuelle Aktionen landen in einer Liste mit Ressource, Aktion, Freigebendem und Zeitstempel. Über 1Security ausgeführte Aktionen sind echte Änderungen auf Microsoft-Seite, umkehrbar und in den Admin Centern sichtbar - der Export deckt sich also mit dem, was der Auditor dort sieht.
Brauchen wir E5 oder ein SIEM dafür?
Nein. Aufbewahrung, Zuordnung, Wirkungsradius und Aktionsprotokoll laufen mit Standardlizenzen für Microsoft 365, schreibgeschützter Verbindung und ohne Installation. Schreibaktionen sind ein separates Opt-in-Modul; bis Sie es aktivieren, hat der Bericht trotzdem Zeitleiste und Reichweite - nur der Behebungsabschnitt wird von Hand gefüllt.
Schreiben Sie den nächsten Vorfallbericht aus Daten.
Verbinden Sie schreibgeschützt, und die Historie beginnt sich noch am selben Tag aufzubauen. Beim nächsten Vorfall kommen Zeitleiste, Wirkungsradius und Behebungsspur aus einem Bildschirm - solange die 72 Stunden noch bequem sind.
Oder schreiben Sie weiter Auswirkungsabschnitte, die mit einem Fragezeichen enden.