Office 365 Benutzerüberwachung
Ein Mitarbeiter kündigt am Freitag. Was hat sein Konto diese Woche getan?
In einem typischen Mandanten kann ein gewöhnliches Konto über Gruppen, Links und Vererbung Hunderttausende Dateien öffnen - und wenn dieses Konto kündigt, gephisht wird oder sich einfach seltsam verhält, verteilt sich die Antwort auf "was hat es zuletzt getan?" auf Anmeldeprotokolle, Dateiberichte, Nachrichtenablaufverfolgung und Protokollsuche, jede mit eigenem Zeitfenster. 1Security hält die Geschichte jedes Benutzers an einem Ort: worauf er zugreifen kann, was er getan hat, von wo, auf welchem Gerät, und ob heute für ihn normal ist.
Das Problem
Ein Name landet auf Ihrem Schreibtisch. Und jetzt?
Ein Mitarbeiter kündigt. Defender markiert eine Anmeldung. HR stellt eine vorsichtige Frage zu einem Auftragnehmer. Jedes Mal ist die Bitte dieselbe: was hat dieses Konto zuletzt getan, und ist es relevant? Die Antwort heißt: Anmeldeprotokolle, Dateiberichte, Nachrichtenablaufverfolgung und Protokollsuche zu einem Bild zusammenfügen - jede mit eigenem Export und eigenem Zeitfenster - und das beim nächsten Namen wieder.
Das schwierigere Problem ist der Kontext. 300 Downloads können der normale Dienstag dieser Person sein oder das Zehnfache ihres normalen Monats. Anmeldungen aus zwei Ländern können ein Urlaub sein oder ein gestohlenes Token. Ein rohes Ereignisprotokoll kann das nicht sagen; nur die eigene Historie des Kontos kann es. Und die Zahl, die für das Risiko am meisten zählt - wie viele Dateien, Websites und Postfächer dieses eine Anmeldedatum öffnen kann - steht in gar keinem Protokoll.
1Security baut jede Benutzerzeile aus dem Berechtigungsgraphen und bis zu drei Jahren Aktivität: erreichbare Dateien, Websites und Gruppen, der Aktivitätstrend gegen die eigene 30-Tage-Baseline des Kontos, jeder Standort und jedes Gerät, von dem es gesehen wurde, und Anomalie-Episoden, die sich nur öffnen, wenn der heutige Tag das Muster bricht. Die Geschichte ist zusammengesetzt, bevor jemand danach fragt.
In der Praxis
Die Austrittsprüfung, in einem Panel, in fünfzehn Minuten.
Vom Namen zum Urteil ohne einen einzigen Export - derselbe Ablauf funktioniert bei Phishing-Verdacht und Insider-Risiko-Prüfung.
- 01
Benutzer öffnen und mit der Reichweite beginnen
Das Benutzer-Panel zeigt, wie viele Dateien, Websites, Gruppen und Apps das Konto öffnen kann, und der Zugriffsgraph zeichnet jeden Pfad: direkte Berechtigungen, Gruppenvererbung, selbst erstellte Freigabelinks, das eigene OneDrive, per E-Mail eingegangene Dateien. Jeder Knoten führt per Klick zu einer gefilterten Liste. Das ist der Wirkungsradius, den ein gestohlenes Passwort hätte.
- 02
Den Trend gegen die eigene Baseline des Kontos lesen
Aktivität über die Zeit, verglichen mit dem Median der letzten 30 Tage des Kontos. Ein Ausschlag erscheint als Anomalie-Episode mit verfolgtem Höhepunkt, sodass "340 Downloads heute" bereits als das 28-Fache der üblichen 12 ankommt - kein Schwellenwert zu justieren, keine Regel zu schreiben.
- 03
Prüfen, von wo und womit
Der Reise-Tab listet jedes Land, jede Stadt und jedes Netzwerk, aus dem das Konto gesehen wurde, erstmals gesehene Orte markiert, Microsoft-Rechenzentrums-Egress ausgeschlossen, unmögliche Reisen hervorgehoben. Daneben jedes verwendete Gerät - auch nicht registrierte Maschinen, die das Verzeichnis nie gesehen hat.
- 04
Vom selben Bildschirm aus handeln
Findet die Prüfung etwas: Zugriff entziehen mit dem Wirkungsradius pro Quelle, erstellte Links ablaufen lassen, Konto deaktivieren, Lizenz zurückholen - jede Aktion hinter dem Prüffenster gestaffelt und in Aktionen protokolliert. Findet sie nichts, haben Sie auch dafür den Nachweis.
Was dahinter steckt
Drei Schichten hinter jeder Benutzerzeile.
Benutzerüberwachung ist das, wie die Kernschichten der Plattform aussehen, wenn sie sich auf einer Identität treffen.
Office 365 Zugriffsverwaltung
Effektiver Zugriff aufgelöst über Verschachtelung, Links und Vererbung - die "worauf kann es zugreifen"-Hälfte jeder Benutzergeschichte.
Funktion erkunden →Erkennung unmöglicher Reisen
Jede Aktion verortet nach Land, Stadt und Netzwerk, erstmals gesehene Herkünfte markiert, Microsoft-Relay-Rauschen entfernt.
Funktion erkunden →Schatten-Geräte-Erkennung
Die Maschinen hinter dem Konto - registriert, nicht registriert und Schatten - mit dem, was jede berührt hat.
Funktion erkunden →
FAQ
Häufige Fragen.
Ist das Mitarbeiterüberwachung?
Nein. Es ist die Sicherheitsaufzeichnung, die Microsoft 365 ohnehin erzeugt, pro Konto zusammengesetzt: wer was getan hat, wann, von wo, auf welchem Gerät. 1Security führt kein durchsuchbares Archiv von Nachrichteninhalten oder Dateiinhalten, und von der Erkennung sensibler Daten gefundene Werte werden nie gespeichert. Es beantwortet "ist dieses Konto gefährdet oder missbraucht", nicht "was hat diese Person geschrieben".
Woher wissen Sie, was für ein Konto normal ist?
Jedes aktive Konto lernt seine eigene Baseline: die heutige Aktivität wird mit dem Median seiner letzten 30 Tage verglichen, die Streuung genauso robust gemessen. Eine Anomalie-Episode öffnet sich nur bei einem echten Ausschlag, nach 14 Tagen Aufwärmzeit, und die Empfindlichkeit ist ein Regler, den Sie verschieben und dessen Wirkung Sie sofort auf Ihren echten Daten sehen.
Welche Konten sollten wir zuerst ansehen?
Sortieren Sie Benutzer nach erreichbaren Dateien absteigend - das sind die Konten, deren Kompromittierung am meisten schaden würde. Dann nach letzter Anmeldung aufsteigend, mit zugewiesener Lizenz - das sind die Konten, die es nicht geben sollte. Beide Schnitte schließen SharePoint-only-Gäste ein, sodass die Prüfung jede Identität abdeckt, die Ihre Dateien öffnen kann.
Wie weit zurück können wir schauen, und brauchen wir E5?
Bis zu drei Jahre Aktivität auf Standardlizenzen für Microsoft 365 - von 180 Tagen Historie auf drei Jahre. Kein E5, kein Entra P2, kein Agent auf dem Endgerät. Die Basisverbindung ist schreibgeschützt; die Behebung ist ein separates Modul, das Sie aktivieren, wenn Sie es wollen.
Die 1Security-Plattform
Benutzeraktivitäts-Monitoring ist erst der Anfang
Benutzeraktivitäts-Monitoring ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- GeräteRegistrierte, nicht registrierte und Schattengeräte, aus der Aktivität abgeleitet statt von einem Agenten. Das Gerät, das niemand registriert hat, taucht trotzdem auf.
- Apps und EinwilligungenJede App mit Zugriff auf den Mandanten, was sie erreichen kann, wer eingewilligt hat und ob das noch nötig ist.
- KI-Agenten und CopilotDas Agentenregister: Eigentümer, Reichweite, als wer jeder Agent handelt, was Copilot sehen wird. Die EU-AI-Act-Prüfungen pro Agent, verantwortlicher Eigentümer, transparente Anweisungen und Folgenabschätzung, aus dem Mandanten gemessen. Readiness vor den Lizenzen, Governance danach.
- Aktivitätsprotokolle und ForensikBis zu drei Jahre durchsuchbare Aktivität auf einer Standardlizenz. Was geöffnet, heruntergeladen, freigegeben wurde, von wem, von wo, auf welchem Gerät.
- Anomalien und ErkennungenAusschläge bei Freigaben, Downloads, Anmeldungen, Einwilligungen und Agentenaktivität, bewertet gegen das eigene Muster jedes Mandanten, mit passenden Reaktionsaktionen.
- Berechtigungen und FreigabenWer worauf zugreifen kann, über welche Gruppe, welchen Link oder welchen Gast, und ob das jemand so wollte. Die Freigabekarte, nach der jedes Audit fragt.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Kennen Sie die ganze Geschichte, bevor Sie sie brauchen.
Verbinden Sie schreibgeschützt, und jede Benutzerzeile beginnt noch am selben Tag, ihre Historie zusammenzusetzen - Reichweite, Aktivität, Standorte und Geräte an einem Ort.
Oder bauen Sie die nächste Austrittsprüfung aus vier Exporten zusammen.