TISAX & MICROSOFT 365
Viele Unternehmen, die sich auf TISAX vorbereiten, dokumentieren ihre
Richtlinien sorgfältig – und stellen erst beim technischen Check fest,
dass die tatsächliche Konfiguration in Microsoft 365 nicht dem
entspricht, was die Richtlinie behauptet. Dieser Artikel zeigt, welche
Bereiche in M365 konkret relevant für ein TISAX-Assessment sind.
Warum
Microsoft 365 überhaupt Teil eines TISAX-Assessments ist
Der VDA-ISA-Katalog verlangt keine bestimmte Software, sondern
konkrete Schutzniveaus – etwa bei Zugriffskontrollen,
Identitätsmanagement oder der Absicherung mobiler Endgeräte. Da
Microsoft 365 in vielen mittelständischen Zulieferern die zentrale
Plattform für E-Mail, Dateiablage und Identitätsverwaltung ist, laufen
genau diese Controls in der Praxis über M365-Einstellungen – ob das im
Assessment thematisiert wird oder nicht.
Die wichtigsten
technischen Prüfpunkte
Multi-Faktor-Authentifizierung (MFA). Ein Kernthema
fast jedes VDA-ISA-Assessments: Ist MFA für alle Nutzer aktiv,
insbesondere für administrative Konten? Ausnahmen ohne dokumentierte
Begründung sind ein typischer Schwachpunkt.
Conditional Access Policies. Werden Zugriffe je nach
Standort, Gerät oder Risikobewertung eingeschränkt? Eine Richtlinie, die
MFA “grundsätzlich” vorschreibt, aber keine technische Durchsetzung über
Conditional Access hat, hält der technischen Prüfung häufig nicht
stand.
Rollen- und Berechtigungskonzept (Least Privilege).
Werden Administratorrechte nur an tatsächlich benötigte Personen
vergeben, und ist das nachvollziehbar dokumentiert? Globale
Admin-Rollen, die aus Bequemlichkeit an mehrere Personen vergeben
wurden, sind ein häufiger Befund.
Mobile Device Management (Intune). Sind mobile
Endgeräte, über die auf Unternehmensdaten zugegriffen wird, verwaltet
und mit Mindestsicherheitsstandards (Verschlüsselung, Bildschirmsperre,
Remote-Wipe-Fähigkeit) versehen?
Data Loss Prevention und Freigabeeinstellungen in
SharePoint/OneDrive. Wie werden externe Freigaben von Dateien
gehandhabt? Unkontrollierte externe Freigabelinks sind ein klassischer
Punkt, an dem organisatorische Richtlinie und technische Realität
auseinanderlaufen.
Protokollierung und Audit-Logs. Sind
sicherheitsrelevante Ereignisse (Anmeldeversuche, Rechteänderungen,
Freigaben) nachvollziehbar protokolliert und die Aufbewahrungsdauer
angemessen konfiguriert?
Der
typische Unterschied zwischen Dokumentation und Realität
Ein wiederkehrendes Muster: Die Sicherheitsrichtlinie beschreibt ein
Zielbild – MFA überall, Least Privilege, kontrollierte externe
Freigaben. Die tatsächliche Tenant-Konfiguration in Microsoft 365 weicht
davon ab, oft aus historischen Gründen: eine Ausnahme, die vor Jahren
für einen Dienstleister eingerichtet und nie wieder entfernt wurde, ein
Admin-Konto ohne MFA, weil es für eine automatisierte Aufgabe genutzt
wird.
Genau dieser Unterschied wird in einem technischen Audit sichtbar –
und genau er entscheidet häufig darüber, ob ein Assessment ohne
Nachbesserungsbedarf durchläuft oder nicht.
Warum
das technische Wissen über M365 selbst entscheidend ist
Eine rein organisatorische Prüfung kann feststellen, ob eine
Richtlinie zu MFA existiert. Ob MFA tatsächlich für alle Konten
technisch erzwungen wird, lässt sich nur durch einen Blick in die
Conditional-Access-Konfiguration, die Tenant-Einstellungen und die
Admin-Center-Berichte von Microsoft 365 selbst beurteilen. Bei UBESAFE
übernehmen das Techniker, die selbst tief in Microsoft 365, Netzwerk und
Virtualisierung stecken – sie prüfen nicht nur, ob eine Richtlinie
vorliegt, sondern ob die Konfiguration sie tatsächlich abbildet.
Häufige Fragen (FAQ)
Verlangt TISAX konkret Microsoft 365 oder eine bestimmte
Software? Nein. Der VDA-ISA-Katalog ist technologieneutral
formuliert. Die genannten Prüfpunkte gelten sinngemäß für jede
Plattform, über die Identität, Zugriff und Datenaustausch abgewickelt
werden – bei vielen Zulieferern ist das in der Praxis Microsoft 365.
Reicht die Standardkonfiguration von Microsoft 365 für TISAX
aus? In der Regel nicht ohne Anpassung. Viele
sicherheitsrelevante Funktionen wie Conditional Access oder erweiterte
Audit-Logs sind in Standardlizenzen nicht automatisch aktiv oder
erfordern eine bewusste Konfiguration.
Wie lange dauert eine technische Prüfung der
M365-Umgebung? Im Rahmen eines internen Audits ist die
technische Prüfung von Microsoft 365 typischerweise Teil eines
eintägigen technischen Audit-Blocks, ergänzend zur zweitägigen
organisatorischen Prüfung.
Was, wenn wir bereits eine andere Plattform als Microsoft 365
einsetzen? Die inhaltlichen Anforderungen bleiben gleich, nur
die technische Umsetzung unterscheidet sich. UBESAFE prüft ebenso Google
Workspace oder hybride Umgebungen anhand derselben VDA-ISA-Controls.
Passende Leistungen von UBESAFE: TISAX-Vorbereitung · Microsoft 365 Managed
Fazit
TISAX-Anforderungen lassen sich in Microsoft 365 nicht allein durch
eine gut formulierte Richtlinie erfüllen. Entscheidend ist, ob die
Tenant-Konfiguration das beschriebene Sicherheitsniveau tatsächlich
technisch abbildet – ein Punkt, der sich nur durch fachkundige
technische Prüfung zuverlässig feststellen lässt.
UBESAFE prüft im Rahmen der TISAX-Vorbereitung sowohl die
organisatorische Dokumentation als auch die technische
Microsoft-365-Konfiguration. Vereinbaren Sie ein kostenloses
Erstgespräch.