hagel IT-Services
Festpreis-Angebot

Kostenlos · quelloffen · MIT-Lizenz

Microsoft-365-Härtungs-Check

Ein PowerShell-Skript, das Ihren Microsoft-365-Mandanten gegen zwölf Einstellungen prüft, die im Mittelstand über Sicherheit entscheiden — und den Befund auf Deutsch ausgibt, in einer Fassung für die IT und einer für die Geschäftsführung.

Auf GitHub ansehen Vollständigen Befund ansehen

Befund, gekürzt

Musterbetrieb · 41 Konten

  • 5mit Handlungsbedarf
  • 4Hinweise
  • 3bestanden

  • Mehr-Faktor-Anmeldung

    Mängel 82 % von 41 Konten

  • Automatische Weiterleitung nach außen

    Mängel erlaubt

  • Freigabe-Voreinstellung in SharePoint und OneDrive

    Mängel externalUserAndGuestSharing

Erfundene Zahlen eines erfundenen Betriebs. Wir sehen Ihren Mandanten nie.

  • Liest nur, ändert nichts
  • Kein Formular, keine E-Mail-Adresse
  • Quelloffen unter MIT-Lizenz
  • Kein Datenversand nach außen

So sieht der Befund aus

Dieselben Daten, die das Skript erzeugt — hier für einen erfundenen Betrieb mit 41 Konten. Kein Bildschirmfoto: Die Darstellung unten ist dasselbe Ergebnis, nur in dieser Seite gerendert.

3

Prüfungen bestanden

4

Hinweise ohne Dringlichkeit

5

Punkte mit Handlungsbedarf

0

nicht prüfbar

  • Mehr-Faktor-Anmeldung

    Mängel 82 % von 41 Konten

    Ein gestohlenes Kennwort reicht bei 7 Konten für den vollen Zugriff. Mehr-Faktor macht den weitaus größten Teil automatisierter Angriffe wirkungslos.

    Was zu tun ist: Diese Konten in eine bedingte Zugriffsregel aufnehmen, die Mehr-Faktor erzwingt: buchhaltung@musterbetrieb.de, empfang@musterbetrieb.de, lager1@musterbetrieb.de … und 4 weitere Quelle bei Microsoft

  • Administratorkonten

    Hinweis 9 Konten mit Rolle, 0 davon ohne Mehr-Faktor

    Ein übernommenes Administratorkonto bedeutet nicht Datenverlust an einem Arbeitsplatz, sondern Kontrolle über den gesamten Mandanten.

    Was zu tun ist: Prüfen, wer die Rollen wirklich braucht. Zwei bis vier ständige Administratoren genügen in dieser Größenordnung; alles Weitere über zeitlich begrenzte Zuweisung. Quelle bei Microsoft

  • Veraltete Anmeldeverfahren

    Bestanden blockiert durch 1 Regel(n)

    Alte Protokolle wie POP, IMAP und SMTP-Basisauthentifizierung kennen keine Mehr-Faktor-Anmeldung. Sie sind der bequemste Weg, eine ansonsten saubere Absicherung zu umgehen.

    Was zu tun ist: Nichts. Der Zustand ist richtig. Quelle bei Microsoft

  • Automatische Weiterleitung nach außen

    Mängel erlaubt

    Wer ein Postfach übernimmt, richtet als Erstes eine Weiterleitung ein und liest still mit — oft monatelang unbemerkt, weil im Postfach selbst nichts auffällt.

    Was zu tun ist: Im Defender-Portal die Richtlinie für ausgehenden Spam auf „Automatisch" oder „Aus" stellen. Quelle bei Microsoft

  • Gastzugriffe

    Hinweis 12 Gäste, 5 davon älter als ein Jahr

    Gastkonten werden für ein Projekt angelegt und bleiben danach liegen. Jeder aktive Gast ist ein Zugang, den jemand anderes verwaltet — meist niemand.

    Was zu tun ist: Die 5 Gäste durchgehen, die seit über einem Jahr bestehen, und nicht mehr benötigte deaktivieren. Danach eine Zugriffsüberprüfung einrichten. Quelle bei Microsoft

  • Freigabe-Voreinstellung in SharePoint und OneDrive

    Mängel externalUserAndGuestSharing

    Steht die Voreinstellung auf „jeder mit dem Link", entsteht bei jeder Freigabe eine Adresse, die ohne Anmeldung funktioniert — und die weitergeleitet werden kann.

    Was zu tun ist: Im SharePoint Admin Center die Freigabe auf „Neue und vorhandene Gäste" umstellen. Damit muss sich der Empfänger anmelden. Quelle bei Microsoft

  • Bedingte Zugriffsregeln

    Hinweis 2 aktiv, 1 nur im Berichtsmodus

    Ohne bedingte Zugriffsregeln gilt für jede Anmeldung dasselbe — egal ob aus dem Büro oder aus einem fremden Land, egal ob vom verwalteten Notebook oder von einem beliebigen Gerät.

    Was zu tun ist: 1 Regel(n) stehen nur im Berichtsmodus und greifen damit nicht. Auswertung ansehen und scharf schalten. Quelle bei Microsoft

  • Einheitliches Prüfprotokoll

    Bestanden eingeschaltet

    Ohne Protokoll lässt sich nach einem Vorfall nicht rekonstruieren, was passiert ist. Für die Meldung an die Aufsichtsbehörde ist genau das die Grundlage.

    Was zu tun ist: Nichts. Der Zustand ist richtig. Quelle bei Microsoft

  • Postfach-Prüfprotokollierung

    Bestanden aktiv

    Nur mit Postfach-Protokollierung lässt sich später feststellen, ob ein Angreifer wirklich Nachrichten gelesen hat — die entscheidende Frage bei der Meldepflicht nach Artikel 33 DSGVO.

    Was zu tun ist: Nichts. Der Zustand ist richtig. Quelle bei Microsoft

  • Selbstregistrierung von Anwendungen

    Mängel jeder darf

    Darf jeder Anwendungen registrieren, kann eine gefälschte Zustimmungsseite dauerhaften Zugriff auf Postfach und Dateien erhalten — ohne dass je ein Kennwort gestohlen wurde.

    Was zu tun ist: Im Entra-Portal unter Benutzereinstellungen die Registrierung von Anwendungen auf „Nein" stellen und eine Zustimmungsanfrage für Administratoren einrichten. Quelle bei Microsoft

  • Kennwortablauf

    Hinweis 1 von 3 Domänen erzwingen einen Wechsel

    Erzwungener Kennwortwechsel gilt seit Jahren als überholt: Er führt zu vorhersehbaren Mustern wie Sommer2026! statt zu besseren Kennwörtern. Sowohl das BSI als auch Microsoft raten davon ab.

    Was zu tun ist: Den Ablaufzwang abschalten und stattdessen auf Mehr-Faktor und die Sperrliste für schwache Kennwörter setzen. Quelle bei Microsoft

  • Verwaiste Konten

    Mängel 6 ohne Anmeldung seit 90 Tagen

    Ein aktives Konto, das niemand benutzt, wird auch von niemandem beobachtet. Genau solche Konten sind das bevorzugte Ziel für Kennwortangriffe — es fällt lange nicht auf.

    Was zu tun ist: Diese Konten prüfen und deaktivieren, wenn die Person nicht mehr im Haus ist: praktikant2024@musterbetrieb.de, aushilfe.sommer@musterbetrieb.de … und 4 weitere Quelle bei Microsoft

Kann eine Prüfung nicht durchgeführt werden — etwa weil eine Berechtigung fehlt — erscheint sie als „nicht geprüft", niemals als „in Ordnung". Ein Sicherheitsbericht, der Lücken als Erfolge darstellt, ist gefährlicher als gar keiner.

Die zwölf Prüfungen

Zwölf sind bewusst wenige. Ein Bericht mit 180 Zeilen wird ausgedruckt und abgeheftet, einer mit zwölf wird abgearbeitet.

  1. 01

    Mehr-Faktor-Anmeldung

    Abdeckung in Prozent und die Konten ohne. Ein gestohlenes Kennwort reicht sonst für den vollen Zugriff.

  2. 02

    Administratorkonten

    Anzahl und wie viele davon ohne zweiten Faktor. Ein übernommenes Adminkonto ist Kontrolle über den Mandanten, nicht über einen Arbeitsplatz.

  3. 03

    Veraltete Anmeldeverfahren

    POP, IMAP und SMTP-Basisauthentifizierung kennen keine Mehr-Faktor-Anmeldung. Sie sind der bequemste Weg, eine saubere Absicherung zu umgehen.

  4. 04

    Automatische Weiterleitung nach außen

    Wer ein Postfach übernimmt, richtet als Erstes eine Weiterleitung ein und liest still mit — oft monatelang unbemerkt.

  5. 05

    Gastzugriffe

    Anzahl, Alter und Rechte. Gastkonten werden für ein Projekt angelegt und bleiben danach liegen.

  6. 06

    Freigabe-Voreinstellung in SharePoint und OneDrive

    „Jeder mit dem Link" heißt: die Adresse funktioniert ohne Anmeldung und lässt sich weiterleiten.

  7. 07

    Bedingte Zugriffsregeln

    Vorhanden und wirklich aktiv? Regeln im Berichtsmodus greifen nicht — das wird regelmäßig übersehen.

  8. 08

    Einheitliches Prüfprotokoll

    Ohne Protokoll lässt sich nach einem Vorfall nicht rekonstruieren, was passiert ist. Es beginnt erst ab dem Einschalten.

  9. 09

    Postfach-Prüfprotokollierung

    Entscheidet, ob Sie die Frage der Aufsichtsbehörde beantworten können, ob wirklich mitgelesen wurde.

  10. 10

    Selbstregistrierung von Anwendungen

    Darf jeder Anwendungen registrieren, holt sich eine gefälschte Zustimmungsseite dauerhaften Zugriff — ohne dass je ein Kennwort gestohlen wurde.

  11. 11

    Kennwortablauf-Richtlinie

    Erzwungener Wechsel gilt seit Jahren als überholt. Er erzeugt Muster wie Sommer2026!, keine besseren Kennwörter.

  12. 12

    Verwaiste Konten

    Aktive Konten ohne Anmeldung seit 90 Tagen. Was niemand benutzt, beobachtet auch niemand.

Installation in drei Befehlen

Voraussetzung ist PowerShell 7 — nicht die alte Windows PowerShell 5.1. Sie läuft unter Windows, macOS und Linux.

1 — Modul, Quelltext, Lauf
Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
git clone https://github.com/hagelitservices/m365-haertungs-check.git
cd m365-haertungs-check && ./Invoke-M365HaertungsCheck.ps1

Drei der zwölf Prüfungen lesen Einstellungen, die es in Microsoft Graph nicht gibt: die Weiterleitung nach außen, das einheitliche Prüfprotokoll und die Postfach-Protokollierung. Dafür kommt ein zweites Modul dazu:

2 — für die drei Exchange-Prüfungen
Install-Module ExchangeOnlineManagement -Scope CurrentUser
Connect-ExchangeOnline
./Invoke-M365HaertungsCheck.ps1

Nur lesend — und das ist überprüfbar

Das Skript fordert sieben Berechtigungen an. Jede endet auf .Read oder .Read.All, keine auf .ReadWrite. Sie stehen im Quelltext in einer einzigen Liste. Bei jeder Änderung am Werkzeug läuft eine automatische Prüfung, die den Syntaxbaum nach schreibenden Aufrufen durchsucht und fehlschlägt, sobald sie einen findet — nicht per Textsuche, denn in Kommentaren und Behebungstexten stehen solche Befehle völlig zu Recht.

Was es nicht tut

Das steht hier und nicht im Kleingedruckten, weil enttäuschte Erwartungen schlimmer sind als fehlende Funktionen.

Keine Endgeräte.

Virenschutz, Festplattenverschlüsselung, Patchstand kommen nicht vor. Das ist ein anderes Thema und ein anderes Werkzeug.

Kein Netzwerk.

Firewall, WLAN und VPN werden nicht angefasst.

Keine Backups.

Auch nicht die von Microsoft 365 — dafür bräuchte es Zugriff auf Ihre Sicherungslösung.

Keine Spurensuche.

Es prüft Einstellungen, nicht Vorfälle. Für „wurden wir schon angegriffen" ist die Auswertung des Prüfprotokolls der richtige Weg.

Keine Zertifizierung.

Es ersetzt weder eine Sicherheitsüberprüfung noch ISO 27001. Es ist ein Erstbefund in dreißig Minuten.

Keine Reparatur.

Es ändert nichts. Ein Werkzeug, das automatisch etwas geradebiegt, muss man vor dem ersten Lauf verstehen — dieses hier nicht.

Häufige Fragen

Verändert das Skript etwas in meinem Microsoft 365?

Nein. Es fordert ausschließlich Leseberechtigungen an — jede endet auf .Read oder .Read.All, keine auf .ReadWrite. Die Zusicherung wird bei jeder Änderung automatisch geprüft: Ein Testlauf durchsucht den Syntaxbaum des Skripts nach schreibenden Aufrufen und schlägt fehl, wenn er einen findet.

Wo bleiben meine Daten?

Auf Ihrem Rechner. Der Bericht wird lokal geschrieben. Es gibt keinen Server, keine Anmeldung bei uns und keinen Aufruf, der nicht an Microsoft geht.

Muss ich Administrator sein?

Für elf der zwölf Prüfungen reicht die Rolle „Globaler Leser". Nur die drei Exchange-Prüfungen brauchen mehr.

Warum nur zwölf Prüfungen und nicht zweihundert?

Weil ein Bericht mit 180 Zeilen abgeheftet und einer mit zwölf abgearbeitet wird. Es sind die Punkte, bei denen wir in der täglichen Betreuung den größten Unterschied zwischen „passiert nichts" und „passiert etwas" sehen.

Läuft das auch auf macOS oder Linux?

Ja, mit PowerShell 7. Auch die drei Exchange-Prüfungen, denn das Modul ExchangeOnlineManagement läuft dort ebenfalls.

Was kostet es?

Nichts. MIT-Lizenz, öffentlich auf GitHub. Keine Anmeldung, keine E-Mail-Adresse, keine Testphase.

Weitere kostenlose Werkzeuge

Alle ohne Anmeldung, ohne Formular, ohne Gegenleistung.

Diese zwölf Punkte stammen aus unserer täglichen Arbeit: hagel IT betreut aus Hamburg Microsoft 365 für mittelständische Betriebe. Wer die Befunde nicht selbst abarbeiten will, kann uns fragen — die passenden Seiten sind Modern Workplace und Managed IT. Wer tiefer einsteigen möchte, findet auf der Downloadseite Microsoft Security Stack für KMU die passenden Lizenz- und Produktfragen dazu.