hagel IT-Services
Festpreis-Angebot

Kostenlos · Browser-Erweiterung für Chrome und Edge

Der Admin-Lotse für Microsoft 365

Sie stehen im Admin Center vor einem Schalter und fragen sich, was er tut. Der Lotse sagt es Ihnen auf Deutsch, direkt daneben: was die Einstellung bewirkt, was wir empfehlen und ob Ihr Wert davon abweicht.

Bald im Chrome Web Store Bald bei Edge Add-ons

hagel IT · Admin-Lotse

Entra Admin Center

Auf dieser Seite

Benutzer können Anwendungen registrieren

Weicht ab · Empfohlen: Auf „Nein“ stellen.

Benutzer können Anwendungen registrieren

Was das tut

Legt fest, ob alle in Ihrer Firma eigene Anwendungen im Microsoft-Konto anlegen dürfen. Wer das tut, wird automatisch Besitzer der Anwendung und bestimmt, welche Rechte sie anfordert.

Unsere Empfehlung

Auf „Nein“ stellen.

Wenn es so bleibt

Jedes Konto kann Anwendungen anlegen, ihnen Namen und angeforderte Rechte geben und sie selbst verwalten, ohne dass Ihre IT sie freigibt. Das gilt auch für ein gestohlenes Konto.

Fragen zu Ihrem Microsoft 365? hagel IT hilft.

So sieht die Seitenleiste aus, hier mit einem echten Eintrag. Der Wert „weicht ab“ ist ein Beispiel.
  • Ändert nichts
  • Sendet nichts
  • Läuft nur in vier Portalen von Microsoft
  • Kostenlos, ohne Konto

In 12 Sekunden

So geht’s

  1. 01

    Installieren

    Aus dem Chrome Web Store oder von Edge Add-ons. Ein Klick, kein Konto.

  2. 02

    Portal öffnen

    Melden Sie sich wie gewohnt im Admin Center an. Der Lotse sieht nur, was Sie sehen.

  3. 03

    Symbol klicken

    Die Seitenleiste öffnet sich neben der Seite und erklärt, was dort eingestellt ist.

Was er erklärt

39 Einstellungen in vier Portalen, jede mit Erklärung, Empfehlung und Quelle bei Microsoft. Bei 15 davon liest der Lotse den angezeigten Wert und sagt, ob er von der Empfehlung abweicht. Was er nicht sicher lesen kann, nennt er „nicht lesbar“ und nie „passt“.

Microsoft 365 Admin Center

admin.cloud.microsoft · 11 Einstellungen

  • Domänen und Schutz vor gefälschten Mails DMARC auf quarantine oder reject, SPF mit -⁠all, DKIM an.
  • Domäne: MTA-STS, TLS-RPT und DNSSEC MTA-STS und TLS-RPT einrichten, DNSSEC beim Domain-Anbieter prüfen.
  • Aktive Benutzer: Admin-Konten und Ausgeschiedene Eigene Admin-Konten für die Verwaltung. Ausgeschiedene zuerst sperren.
  • Mehr-Faktor je Benutzer Mehr-Faktor für alle: Sicherheitsstandards oder bedingter Zugriff.
  • Rollen: Wer darf alles? Weniger als fünf Globale Administratoren, mindestens zwei Notfallkonten.
  • Kennwortablauf „Nie ablaufen“ anlassen, dazu eine zweite Bestätigung der Anmeldung.
  • Kennwort selbst zurücksetzen Für alle einschalten, im Entra Admin Center.
  • Kalender nach außen teilen Per E-Mail-Einladung nur „Frei/Gebucht … nur mit Zeit“ erlauben.
  • Moderne Authentifizierung und SMTP „Authentifiziertes SMTP“ aus, sobald nichts mehr darüber sendet.
  • Freigegebene Postfächer Die Anmeldung an diesen Konten blockieren.
  • Lizenzen, die niemand nutzt Freie Lizenzen zuweisen oder zum nächsten Verlängerungstermin abbestellen.

Entra Admin Center

entra.microsoft.com · 15 Einstellungen

  • Benutzer können Anwendungen registrieren Auf „Nein“ stellen.
  • Zugriff auf das Entra Admin Center einschränken Auf „Ja“ stellen, als Hürde, nicht als Schutz.
  • Benutzereinwilligung für Apps Nicht zulassen oder nur verifizierte Herausgeber; Anfragen an Admins einrichten.
  • Gäste: was sie in Ihrem Verzeichnis sehen Gäste sehen nur ihr eigenes Profil.
  • Gäste: wer sie einladen darf Einladen dürfen nur Benutzeradministratoren und Gasteinladende.
  • Gastkonten aufräumen Gäste ohne Anmeldung seit 90 Tagen sperren, danach entfernen.
  • Anmeldeprotokolle: wie lange sie reichen Bei Verdacht sofort exportieren, nicht erst nach dem Wochenende.
  • Unternehmensanwendungen prüfen Unbekannte Apps mit weitreichenden Rechten prüfen und entfernen.
  • Regeln für den bedingten Zugriff Zweiter Faktor für alle und für Admins, alte Anmeldewege sperren.
  • Authentifizierungsmethoden Authenticator und Passkeys an, SMS und Sprachanruf aus, wo es geht.
  • Eigene Liste gesperrter Kennwörter „Benutzerdefinierte Liste erzwingen“ auf „Ja“, Begriffe eintragen.
  • Self-Service-Kennwortzurücksetzung Auf „Alle“ stellen.
  • Rolle Globaler Administrator Weniger als fünf Globale Admins, die Notfallkonten eingerechnet.
  • Lokale Administratorkennwörter (LAPS) LAPS auf „Ja“; Einbindende nicht als lokale Admins.
  • Sicherheitsstandards „Aktiviert“ lassen, solange kein bedingter Zugriff sie ersetzt.

Intune Admin Center

intune.microsoft.com · 7 Einstellungen

  • Konformitätsrichtlinien Richtlinie je Plattform anlegen, Geräte ohne eine als nicht konform werten.
  • Virenschutz und Manipulationsschutz Manipulationsschutz einschalten; der Cloud-Schutz schaltet sich mit ein.
  • Datenträgerverschlüsselung mit BitLocker BitLocker auf allen Windows-Geräten einschalten, Schlüssel in Entra ID sichern.
  • Regeln zur Verringerung der Angriffsfläche Regeln erst überwachen lassen, dann auf Blockieren stellen.
  • Updateringe für Windows Einen Pilotring und einen Hauptring anlegen, Fristen setzen.
  • Registrierungsbeschränkungen Private Windows-Geräte nicht registrieren lassen.
  • App-Schutzrichtlinien Firmendaten auf privaten Handys in den Office-Apps schützen.

Exchange Admin Center

admin.cloud.microsoft/exchange · 6 Einstellungen

  • Weiterleitung von Postfächern nach außen Automatische Weiterleitung nach außen in der Spam-Richtlinie abschalten.
  • POP und IMAP je Postfach POP und IMAP ausschalten, wo niemand sie braucht.
  • Remotedomäne „Default“: automatische Weiterleitung In „Default“ die automatische Weiterleitung nicht zulassen.
  • Nachrichtenflussregeln Regeln kennen, die Mails umleiten oder nach außen kopieren.
  • Connectors Jeden Connector einem Zweck zuordnen; einen unbekannten klären.
  • Akzeptierte Domänen und Schutz vor gefälschten Mails DMARC auf quarantine oder reject, SPF mit -⁠all, DKIM an.

Hamburger Vergleich

Wo der Hamburger IT-Sicherheits-Index misst, zeigt der Lotse, wie viele Betriebe es richtig eingestellt haben. Gemessen wurden 812 Hamburger Unternehmen im Jahr 2026. Wo der Index nichts misst, steht im Lotsen keine Zahl, und es wird nichts geschätzt.

  • Wirksames DMARC haben 40,5 % von 749 gemessenen Hamburger Unternehmen mit Mailempfang (IT-Sicherheits-Index Hamburg 2026).
  • Einen strengen SPF-Eintrag haben 54,2 % von ihnen.
  • MTA-STS haben 3,5 % von 749 gemessenen Hamburger Unternehmen mit Mailempfang (IT-Sicherheits-Index Hamburg 2026).
  • TLS-RPT haben 4,4 % von ihnen.
  • DNSSEC haben 4,9 % von 812 gemessenen Domains.

Erhebung und Selbsttest für die eigene Domain: Hamburger IT-Sicherheits-Index.

Was mit Ihren Daten passiert

Gelesen
Nur in den vier Portalen: Adresse und Titel der Seite, Beschriftung und angezeigter Zustand der Einstellungen, auf Domain-Seiten die Domains Ihrer Firma.
Verarbeitet
Nur in Ihrem Browser. Was der Lotse zu einem Tab weiß, ist weg, sobald Sie den Tab oder den Browser schließen.
Gespeichert
Nur, welche Hinweise Sie ausgeblendet haben und ob Sie den ersten Start gesehen haben. Keine Werte, keine Domains, keine Adressen.
Übertragen
Nichts. Keine Netzverbindung, keine Auswertung, keine Cookies, keine Fehlerberichte.

Alles im Wortlaut: Datenschutzhinweis zum Admin-Lotsen.

Selbst nachprüfen: Der Quelltext liegt offen auf GitHub. Suchen Sie dort nach connect-src.

Für Firmen: für alle Admins verteilen

Ihre IT installiert den Lotsen per Intune oder Gruppenrichtlinie fest in Chrome und Edge. Fünf Einstellungen legen fest, wie er sich verhält. Er liest sie nur und meldet nichts zurück, weder an Ihre Firma noch an uns.

  • Eigener Ansprechpartner statt „hagel IT hilft“ im Fuß der Seitenleiste, oder der Hinweis entfällt ganz.
  • Bewusste Abweichungen: Was Ihre Firma anders entschieden hat, steht als „Bewusst so“ mit Ihrer Begründung da.
  • Nur erklären: Auf Wunsch liest der Lotse gar keine Werte.
  • Feste Sprache: Deutsch oder Englisch für alle.

Beispielprofile zum Herunterladen

Die Kennungen beider Stores stehen als Platzhalter in den Dateien, bis die Erweiterung freigegeben ist.

Was er nicht tut

Nichts umstellen.

Auch nicht auf Knopfdruck. Er erklärt, Sie entscheiden und stellen selbst um.

Keine Prüfung ersetzen.

Er sieht nur die Seite, die Sie gerade offen haben. Einen Gesamtbefund liefert der Microsoft-365-Härtungs-Check.

Keine weiteren Portale.

Defender, Purview, SharePoint und Teams kommen frühestens in einer späteren Fassung. Bis dahin nennt er nur den Weg dorthin.

Keine Schätzungen.

Eine Hamburger Zahl steht nur dort, wo der Index sie gemessen hat.

Kein Firefox, kein Safari.

Nur Chrome und Microsoft Edge.

Nichts auf der Portalseite.

Er blendet nichts in die Seiten von Microsoft ein. Alles steht in der Seitenleiste.

Für den Gesamtbefund Ihres Mandanten: der Microsoft-365-Härtungs-Check.

Häufige Fragen

Was kostet der Admin-Lotse?

Nichts. Keine Anmeldung, kein Konto bei hagel IT, keine Testphase und keine Bezahlfassung.

Welche Rechte braucht er?

Im Browser darf er nur die vier Verwaltungsportale lesen, dazu Seitenleiste und Speicher für ausgeblendete Hinweise. In Microsoft 365 braucht er gar nichts: Er sieht nur, was Ihr Konto ohnehin sieht. Die Rolle „Globaler Leser“ reicht.

Wohin gehen meine Daten?

Nirgendwohin. Die Erweiterung baut keine Netzverbindung auf. Das steht in ihrer Sicherheitsrichtlinie (connect-src 'none'), die der Browser selbst durchsetzt. Nachprüfen können Sie das im offenen Quelltext auf GitHub (github.com/hagelitservices/admin-lotse).

Kann der Lotse etwas in meinem Mandanten verstellen?

Nein. Er klickt nichts, setzt keinen Wert und schickt kein Formular ab. Umstellen müssen Sie selbst, und zwar im Portal wie gewohnt.

Gibt es ihn auch auf Englisch?

Ja. Er folgt der Sprache des Browsers, Deutsch oder Englisch. Eine Firma kann die Sprache per Richtlinie festlegen.

Warum macht hagel IT so etwas kostenlos?

Weil wir diese Fragen jede Woche am Telefon beantworten. Wir betreuen aus Hamburg Microsoft 365 für mittelständische Betriebe. Wer den Lotsen nutzt und merkt, dass er das nicht selbst machen will, weiß, wen er fragen kann. Mehr verlangen wir nicht.

Wer das nicht selbst machen will, kann uns fragen: hagel IT betreut aus Hamburg Microsoft 365 für den Mittelstand, erreichbar unter 040 284 10 26-0.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, ohne Formular, ohne Gegenleistung.