Office 365 Vorfallbericht
Die Aufsicht will den Bericht in 72 Stunden. Wie viel davon können Sie jetzt schreiben?
Ein Vorfallbericht hat drei Abschnitte, die niemand aus dem Gedächtnis schreiben kann: was wann passiert ist, wie weit das Konto reichen konnte und was tatsächlich dagegen getan wurde. 1Security erzeugt alle drei aus Daten, die es bereits hält - bis zu drei Jahre zugeordnete Aktivität, der lebende Berechtigungsgraph und ein Protokoll jeder ausgeführten Aktion -, sodass der Abschnitt zu den Auswirkungen eine Zahl ist, keine Schätzung, und der Bericht fertig ist, bevor die Frist eng wird.
Das Problem
Die Uhr läuft, bevor die Untersuchung endet.
Vorfallberichte scheitern an denselben drei Stellen. Die Zeitleiste hat Lücken, weil der Einstiegspunkt im siebten Monat lag und niemand die Historie so weit zurück aufbewahrt hat. Der Abschnitt zu den Auswirkungen sagt "potenziell betroffen", weil niemand aufzählen kann, worauf das Konto zugreifen konnte - in einem typischen Mandanten sind das Hunderttausende Dateien über Gruppen, Links und Vererbung. Und der Abschnitt zur Behebung sagt "Zugriff wurde entzogen", ohne Beleg im Anhang.
Dabei sind die Fristen gesetzlich. Die DSGVO gibt Ihnen 72 Stunden ab Kenntnis für die Meldung an die Aufsichtsbehörde. NIS2 verlangt eine Frühwarnung innerhalb von 24 Stunden, eine Meldung mit erster Bewertung innerhalb von 72 und einen Abschlussbericht innerhalb eines Monats - jeweils mit Schweregrad, Auswirkungen und Kompromittierungsindikatoren. Jede davon braucht Fakten, die Sie entweder zur Hand haben oder in der Frist rekonstruieren.
Das übliche Ergebnis ist ein Bericht aus vier Exporten und der Erinnerung, wer was getan hat, um 2 Uhr nachts fertig, mit einem Auswirkungsabschnitt, der mit einem Fragezeichen endet. 1Security hält den Vorfall stattdessen als ein Objekt: die Erkennung, die Aktivität dahinter, die Eindämmungsaktionen und den Prüfverlauf - und der Bericht wird aus diesem Objekt erzeugt, mit Fristen, die ab dem Moment der Kenntnisnahme berechnet werden.
In der Praxis
Von der Erkennung zum Dokument, auf einem Bildschirm.
So entsteht der Bericht in 1Security - in der Reihenfolge, in der eine Aufsichtsbehörde ihn liest.
- 01
Die Erkennung öffnen, lesen, was passiert ist
Öffnen Sie die Episode unter Anomalien. Die Detailansicht beginnt mit dem Detektor, der ausgelöst hat, und der Entität, auf der er ausgelöst hat - ein Benutzer, eine App, ein KI-Agent oder ein Ort -, zeigt die Basislinie gegen die beobachtete Aktivität, den Höchststand und einen Schweregrad, der aus dem Score und den anderen offenen Erkennungen derselben Entität verdient wurde, nicht von einer Regel gestempelt. Der Reiter Aktivität hält die Ereignisse im Vorfallfenster, jedes Akteur, Ressource, Anwendung, Gerät und Standort zugeordnet - auch wenn die erste Anmeldung zehn Monate zurückliegt.
- 02
Indikatoren und Reichweite benennen
Die Adressen, Netze, Länder, Geräte und Client-Apps hinter dieser Aktivität werden zu den Kompromittierungsindikatoren, aus denselben Zeilen aggregiert. Die Reisespur sagt, ob die Sprünge für eine Person plausibel, unwahrscheinlich oder unmöglich waren. Öffnen Sie das Konto unter Benutzer, und der Berechtigungsgraph löst alles auf, worauf es über Zuweisungen, Links, verschachtelte Gruppen und Vererbung zugreifen konnte - aus "potenziell betroffen" wird "konnte 214.000 Dateien erreichen, 3.100 davon mit personenbezogenen Daten".
- 03
Eindämmen und dabei mitschreiben
Reagieren bietet die kuratierten Eindämmungsaktionen für die Entität - Anmeldung sperren, Berechtigungen entziehen, den Agenten in Quarantäne nehmen - und führt sie über das Action Center aus, das festhält, wer was angefordert hat, wann es lief, ob Microsoft es bestätigt hat und welcher Schritt es rückgängig macht. Jede Statusänderung, jedes Schweregrad-Verdikt und jede angeforderte Aktion landet von selbst im Reiter Verlauf und Kommentare; Ihre Kommentare ergänzen, was Sie geprüft haben und warum.
- 04
Den Bericht aus der Detailansicht erzeugen
Klicken Sie auf Bericht. Wählen Sie eine Vorlage - das Vorfallprotokoll, das zweiseitige Vorfall-Briefing oder die NIS2-Frühwarnung, -Meldung oder den Abschlussbericht nach Artikel 23 -, eine Sprache und eine Meldestufe, haken Sie die Abschnitte an und ordnen Sie sie, und schreiben Sie, was kein System wissen kann: Beschreibung, Auswirkungen, Ursache, Abhilfemaßnahmen und die Bewertungsantworten, gedruckt als Ja, Nein oder Nicht festgestellt. Laden Sie PDF, PowerPoint, HTML, CSV oder JSON herunter, während die Vorschau daneben mitläuft. Der Text wird pro Erkennung gespeichert, sodass der Abschlussbericht einen Monat später mit den Worten der Meldung beginnt.
- 05
Den nächsten Bericht die Fristen beurteilen lassen
Das Erzeugen eines Berichts ist selbst ein Eintrag unter Verlauf und Kommentare - wer, wann, welche Vorlage und Stufe, welches Format. Ein gestufter NIS2-Bericht liest diese Einträge in seinen Abschnitt Meldepflicht zurück: Die vor der 24-Stunden-Marke gesendete Frühwarnung steht als Fristgerecht, eine danach als Nach der Frist, und jeder Punkt aus Artikel 23(4) ist dem Abschnitt zugeordnet, der ihn beantwortet. Eine SOC-Plattform holt dasselbe Dokument über die REST-API oder MCP anhand der Erkennungs-ID.
Was dahinter steckt
Die Erkennung, das Gedächtnis und das Dokument.
Der Bericht ist nur so gut wie die Erkennung dahinter, die Historie darunter und die Engine, die ihn rendert.
Anomalie-Erkennung
Episoden mit Basislinie, verdientem Schweregrad, Korrelation über Detektoren, Reagieren-Aktionen und dem Reiter Verlauf und Kommentare - das Objekt, aus dem der Bericht erzeugt wird.
Funktion ansehen →Berichte
Eine Berichts-Engine für jedes Dokument: Vorlagen, Ihr Erscheinungsbild, PDF, PowerPoint, HTML, CSV und JSON in sieben Sprachen, geliefert über REST-API und MCP.
Funktion ansehen →Drei Jahre Audithistorie
Von 180 Tagen Audithistorie zu drei Jahren mit 1Security - durchsuchbar, zugeordnet, mit den Lizenzen, die Sie schon haben, und dem Rohdatensatz einen Klick entfernt.
Funktion ansehen →
FAQ
Häufige Fragen.
Deckt das die Meldefristen von DSGVO und NIS2 ab?
NIS2 Artikel 23 kommt als drei fertige Vorlagen - Frühwarnung, Meldung und Abschlussbericht - mit den Fristen von 24 Stunden, 72 Stunden und einem Monat, berechnet ab Ihrer Kenntnisnahme und jeweils als eingehalten oder verpasst markiert. Eine DSGVO-Meldung schreiben Sie aus dem Vorfallprotokoll, das die Fakten trägt, nach denen Artikel 33 fragt: was passiert ist, wer betroffen war, die Indikatoren und die ergriffenen Maßnahmen. Ob ein Vorfall meldepflichtig ist und an wen, entscheidet weiterhin Ihre Rechtsabteilung; jede Bewertung, die Sie nicht getroffen haben, wird als Nicht festgestellt gedruckt, nicht als Vermutung.
Was, wenn der Vorfall vor Monaten begann?
Dafür ist die Aufbewahrung da. Bis zu drei Jahre Historie mit Standardlizenz bedeuten, dass ein Einstiegspunkt aus dem letzten Quartal noch im Datensatz ist, zugeordnet zu Benutzer, Gerät und Standort - die 180-Tage-Frage stellt sich nicht mehr.
Können wir nachweisen, dass die Behebung tatsächlich stattfand?
Ja. Jede über 1Security ausgeführte Aktion landet im Action Center mit Ressource, Aktion, anfordernder Person, Ausführungszeit und Microsofts Bestätigung, samt Rückgängig-Pfad. Der Berichtsabschnitt Reaktion und Abhilfe listet diese Aktionen neben den Maßnahmen, die Sie in Worten beschreiben, und der Reiter Verlauf und Kommentare zeigt, wer jede davon aus der Detailansicht angefordert hat und wann. Aktionen sind echte Änderungen auf Microsoft-Seite, der Export deckt sich also mit dem, was der Auditor in den Admin Centern sieht.
Brauchen wir E5 oder ein SIEM dafür?
Nein. Aufbewahrung, Zuordnung, Wirkungsradius, die Detailansicht der Erkennung und der Bericht laufen mit Standardlizenzen für Microsoft 365, schreibgeschützter Verbindung und ohne Installation. Schreibaktionen sind ein separates Opt-in-Modul; bis Sie es aktivieren, hat der Bericht trotzdem Zeitleiste, Indikatoren und Reichweite - nur der Abschnitt zu den Abhilfemaßnahmen wird von Hand gefüllt.
Kann unser SOC das Dokument abholen, ohne sich anzumelden?
Ja. Die REST-API rendert jede Vorfallvorlage für eine Erkennung anhand ihrer ID, und das MCP-Tool tut dasselbe für einen KI-Assistenten in Ihrer SOC-Plattform - als PDF, PowerPoint, HTML, CSV oder JSON und in jeder der sieben Berichtssprachen. Ein schreibgeschützter API-Schlüssel genügt, und jedes Rendern wird im Reiter Verlauf und Kommentare der Erkennung festgehalten, mit dem Namen des Schlüssels als Akteur.
Die 1Security-Plattform
Vorfallbericht ist erst der Anfang
Vorfallbericht ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- Aktivitätsprotokolle und ForensikBis zu drei Jahre durchsuchbare Aktivität auf einer Standardlizenz. Was geöffnet, heruntergeladen, freigegeben wurde, von wem, von wo, auf welchem Gerät.
- Berechtigungen und FreigabenWer worauf zugreifen kann, über welche Gruppe, welchen Link oder welchen Gast, und ob das jemand so wollte. Die Freigabekarte, nach der jedes Audit fragt.
- Sensible DatenPersonenbezogene Daten, Zugangsdaten, Finanz- und Gesundheitsdaten, gefunden von unseren eigenen Klassifikatoren, mit der Microsoft-Zweitmeinung, wo der Kunde sie hat.
- VertraulichkeitsbezeichnungenAbdeckung und Lücken der Bezeichnungen über Websites und Dateien, damit der Schutz, den der Kunde bezahlt hat, auch wirklich angewendet ist.
- Dateien, Websites und der SpaltenbrowserDen Mandanten wie ein Dateisystem durchsuchen: Website, Bibliothek, Ordner, Datei, mit Berechtigungen und Vertraulichkeit jeder Ebene daneben. Ein Problem, das sich damit von selbst erledigt.
- Benutzer, Gruppen und LebenszyklusRuhende Konten, Gäste, die nie gegangen sind, dreifach verschachtelte Gruppen, verwaiste Eigentümer, Admins ohne MFA. Die Prüfung, die überall sonst eine Tabelle ist.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Schreiben Sie den nächsten Vorfallbericht aus der Erkennung, nicht aus dem Gedächtnis.
Verbinden Sie schreibgeschützt, und die Historie beginnt sich noch am selben Tag aufzubauen. Beim nächsten Vorfall hält die Detailansicht, was passiert ist, die Schaltfläche Bericht macht daraus das Meldedokument, und die Fristen beurteilt die Aufzeichnung - solange die 72 Stunden noch bequem sind.
Oder schreiben Sie weiter Auswirkungsabschnitte, die mit einem Fragezeichen enden.