Microsoft 365 Baseline.Einmal sicher einstellen. In jedem Mandanten.
Conbool 365 Tenant Manager liest die Sicherheitseinstellungen von Microsoft 365 und Entra ID, vergleicht sie mit einer Vorlage und rollt die Vorlage aus. Conditional Access läuft zuerst im Berichtsmodus und wird erst wirksam, wenn die Notfallkonten geprüft sind.
Das Problem
Jeder Mandant wird von Hand eingerichtet. Und jeder weicht ab.
Sicherheit in Microsoft 365 steckt in Dutzenden Einstellungen auf mehreren Verwaltungsseiten.
Von Hand, Mandant für Mandant
Conditional Access, Authentifizierungsmethoden, Gastrechte, Freigabe in SharePoint: jede Einstellung wird einzeln gesetzt, in jedem Mandanten neu. Was im ersten Mandanten sorgfältig geplant war, steht im zehnten anders. Und was einmal stimmte, ändert sich mit der nächsten Ausnahme für ein Projekt.
Was 365 Tenant Manager daraus macht
Ein sicherer Stand wird einmal als Vorlage festgelegt, aus einem eigenen Referenzmandanten oder aus der Bibliothek von Conbool. Jeder Mandant wird regelmäßig dagegen verglichen. Abweichungen stehen einzeln da, und die Vorlage lässt sich mit Trockenlauf in den Mandanten bringen.
Conditional Access ist mächtig und gefährlich zugleich. Eine falsche Richtlinie sperrt alle aus, auch die Verwalter. Deshalb wird bei 365 Tenant Manager keine sperrende Richtlinie wirksam, bevor die Notfallkonten geprüft und die Anmeldungen im Berichtsmodus ausgewertet sind.
Die Bibliothek
Conbool gehärtet: eine Baseline, die sofort trägt.
Zehn Einträge, die in fast jedem Mandanten fehlen. Übernommen als Entwurf, anpassbar, mit Begründung an jedem Eintrag.
Conditional Access
- MFA für alle Benutzer. Ein zweiter Faktor für jede Anmeldung. Ausgenommen sind die Notfallkonten und das Konto der Verzeichnissynchronisierung.
- MFA für Administratoren. Eigens für Verwaltungsrollen, damit eine spätere Ausnahme an der Richtlinie für alle sie nicht mit ausnimmt.
- MFA für die Azure-Verwaltung. Wer an Abonnements, Schlüsseln und Kosten arbeitet, meldet sich mit zweitem Faktor an, gleich mit welcher Rolle.
- Legacy-Authentifizierung blockieren. IMAP, POP und SMTP mit Kennwort kennen keinen zweiten Faktor. Solange sie offen sind, lässt sich jede MFA umgehen.
Anmeldung
- Security Defaults ablösen. Security Defaults und eigene Richtlinien schließen einander aus. Abgeschaltet werden sie erst im selben Lauf, der die MFA für alle wirksam macht.
- Authenticator und Passkeys bleiben an. Die Wege zum zweiten Faktor, die sich nicht über das Telefonnetz abfangen lassen.
Gäste und Verzeichnis
- Gäste nur auf Einladung, mit eingeschränkter Sicht. Einladen darf, wer zuständig ist. Ein Gast sieht sein eigenes Profil, nicht das Verzeichnis. Keine Selbstanmeldung, keine eigenen Mandanten.
- Gäste besitzen keine Gruppen. Ein Gast darf Mitglied einer Microsoft-365-Gruppe sein, aber nicht ihr Besitzer.
Freigabe und fremde Organisationen
- Freigaben nur an bekannte Gäste. SharePoint und OneDrive teilen nur mit Gästen, die schon im Verzeichnis stehen. Ein neuer Externer kommt über eine Einladung.
- Fremden Organisationen nicht pauschal vertrauen. Deren MFA und Geräte gelten nicht ungeprüft, und niemand wird ohne eigene Zustimmung in einen fremden Mandanten aufgenommen.
Die Vorlage lockert nie. Ist ein Mandant an einer Stelle strenger eingestellt, bleibt er es und gilt dort nicht als abweichend.
Was erfasst wird
Elf Bereiche von Entra ID und Microsoft 365.
Gelesen werden Einstellungen und Richtlinien, keine Mails und keine Dateien.
Richtlinien für bedingten Zugriff
Jede Richtlinie mit Benutzern, Anwendungen, Bedingungen und Gewährung, dazu die Bausteine, auf die sie verweist. Im Vergleich steht jedes Feld einzeln, nicht nur der Name der Richtlinie.
- Conditional Access mit Zustand, ob aus, im Berichtsmodus oder wirksam
- Benannte Standorte und eigene Authentifizierungsstärken
- Authentifizierungskontexte, gelesen und verglichen
Security Defaults und Anmeldemethoden
Ob die Security Defaults an sind und welche Methoden für den zweiten Faktor zugelassen sind, von der Authenticator-App bis zu Passkeys.
- Security Defaults an oder aus
- Authentifizierungsmethoden mit Zustand und Ausnahmen
- Registrierungskampagne für die Authenticator-App
Rechte im Verzeichnis
Was ein gewöhnlicher Benutzer darf und was ein Gast sieht. Hier entscheidet sich, ob jedes Mitglied Gäste einladen, Anwendungen registrieren oder eigene Mandanten anlegen kann.
- Wer Gäste einladen darf und was Gäste im Verzeichnis sehen
- Zustimmung zu Anwendungen, Registrierung von Anwendungen
- Einstellungen der Microsoft-365-Gruppen, etwa Gäste als Besitzer
Fremde Organisationen und Freigabe
Wie weit der Mandant fremden Organisationen vertraut und mit wem SharePoint und OneDrive teilen dürfen.
- Mandantenübergreifender Zugriff mit Vorgabe für alle fremden Organisationen
- Freigabestufe von SharePoint und OneDrive
- Synchronisierung nur von verwalteten Geräten
Was der Mandant überhaupt kann
Die Dienstpläne des Mandanten entscheiden, was sich einstellen lässt. Conditional Access braucht Entra ID P1. Was ein Mandant nicht lizenziert hat, wird weder geschrieben noch als Abweichung gezählt.
- Lizenzen und Dienstpläne je Mandant
- Nicht Lizenziertes zählt nicht als Abweichung
- Lizenzen werden nur gelesen, nie geändert
Funktionen
Vom Ist-Stand zur Vorlage und zurück.
Sechs Werkzeuge, mit denen aus vielen Mandanten ein einheitlicher Stand wird.
Abweichungen je Mandant
Jedes Feld der Vorlage gegen den Mandanten: stimmt, fehlt, weicht ab oder ist nicht anwendbar. Strengere Werte zählen nicht als Abweichung, nicht Lizenziertes auch nicht. Übrig bleibt, was wirklich zu tun ist.
Vorlagen mit Fassungen
Aus dem eigenen Referenzmandanten oder aus der Bibliothek. Freigegebene Fassungen sind unveränderlich, der Vergleich zweier Fassungen zeigt, was neu, geändert oder entfallen ist.
Platzhalter je Kunde
Notfallkonten, IP-Bereiche und Kennungen setzt jeder Mandant selbst. Eine Vorlage passt so auf viele Kunden, ohne fremde Werte mitzunehmen.
Momentaufnahmen und Verlauf
Alle 4, 12 oder 24 Stunden liest 365 Tenant Manager den Mandanten. Jede Änderung zwischen zwei Aufnahmen steht im Verlauf, mit dem Urheber aus dem Verzeichnisprotokoll. Ausgabe als CSV.
Zwei Mandanten nebeneinander
Unterschiede, Gleiches und was es nur auf einer Seite gibt. Ohne erneuten Abruf bei Microsoft.
Meldung bei riskanten Änderungen
Nimmt eine Änderung im Mandanten Schutz weg oder öffnet sie eine Tür, geht eine Meldung hinaus, auch wenn Microsoft den Urheber noch nicht geliefert hat. Gemeldet werden außerdem freigegebene und gescheiterte Läufe.
Ausrollen
Der Weg in den Mandanten, ohne Risiko.
Kein Schreiben ohne Trockenlauf und keine sperrende Richtlinie ohne Prüfung.
Vorlage zuweisen
Eine freigegebene Fassung wählen und die Angaben des Mandanten eintragen, vor allem die Notfallkonten.
Trockenlauf
Der Plan zeigt jeden Vorgang, der geschrieben würde, und nennt den Grund für jeden übersprungenen. Geändert wird nichts.
Ausrollen im Berichtsmodus
Nach der Freigabe schreibt die schreibende App. Richtlinien für bedingten Zugriff stehen danach im Berichtsmodus und sperren noch niemanden.
Scharfschalten nach Prüfung
Erst nach Auswertung der Anmeldungen und mit tauglichen Notfallkonten werden die Richtlinien wirksam und die Security Defaults gehen aus.
Scharfschalten
Conditional Access, ohne sich auszusperren.
Die meisten Werkzeuge schreiben Richtlinien. 365 Tenant Manager prüft vorher, ob danach noch jemand hineinkommt.
- Kein Scharfschalten ohne taugliches Notfallkonto: vorhanden, aktiv, Globaler Administrator und nicht aus einem lokalen Verzeichnis synchronisiert.
- Eine sperrende Richtlinie, die die Notfallkonten nicht ausnimmt, lässt sich gar nicht erst freigeben.
- Die Auswertung des Berichtsmodus zeigt je Richtlinie, wie viele Anmeldungen abgelehnt worden wären oder eine Bestätigung gebraucht hätten, interaktiv und nicht interaktiv, mit Konten und Anwendungen.
- Eine Beobachtungsfrist läuft, bevor scharf geschaltet werden kann. Wer sie verkürzt, tut das ausdrücklich.
- Security Defaults gehen erst im selben Lauf aus, der die MFA für alle wirksam macht. Scheitert dieser Lauf, gehen sie wieder an.
- Ein Zurückrollen, das den Mandanten ohne erzwungene MFA ließe, ist gesperrt.
Zurückrollen
Ein Schritt zurück, ohne etwas zu löschen.
Der jüngste Lauf lässt sich zurücknehmen, soweit seine Änderungen noch so dastehen.
Zurückstellen
Eine geänderte Einstellung bekommt ihren Wert von vor dem Lauf zurück.
Abschalten statt Löschen
Eine neu angelegte Richtlinie wird abgeschaltet. 365 Tenant Manager löscht nie etwas im Mandanten.
Fremde Änderungen bleiben
Was seit dem Lauf jemand anderes geändert hat, bleibt stehen und wird als solches genannt.
Der Unterschied
Zehn Mandanten, eine Baseline.
Dieselbe Aufgabe, zweimal durchgespielt.
Von Hand oder mit Skripten
- Jeder Mandant wird über mehrere Verwaltungsseiten einzeln eingerichtet, oder über Skripte, die nur eine Person versteht.
- Ob ein Mandant noch dem geplanten Stand entspricht, weiß niemand, bis etwas passiert.
- Eine neue Richtlinie für bedingten Zugriff wird eingeschaltet und hofft auf das Beste.
- Geht etwas schief, wird von Hand rekonstruiert, wie es vorher war.
Mit Conbool 365 Tenant Manager
- Eine Vorlage, mit Platzhaltern für das, was je Kunde anders ist, und mit Fassungsnummer.
- Momentaufnahme in festem Abstand, Abweichungen je Feld, Meldung bei riskanten Änderungen.
- Berichtsmodus, Auswertung der Anmeldungen und geprüfte Notfallkonten vor dem Scharfschalten.
- Der jüngste Lauf lässt sich zurückrollen, ohne dass etwas gelöscht wird.
Für IT-Dienstleister und MSPs
Einmal bauen, bei jedem Kunden anwenden.
365 Tenant Manager ist für Betreuer vieler Mandanten gebaut: Referenzmandant, Vorlage, Zuweisung.
Referenzmandant
Ein eigener Mandant mit dem gewünschten Stand wird zum Referenzmandanten. Aus ihm entstehen Vorlagen für alle anderen.
Zuweisung je Kunde
Jeder Kundenmandant bekommt eine freigegebene Fassung zugewiesen und trägt seine eigenen Angaben ein.
Neue Fassung, geordneter Umstieg
Eine neue Fassung ändert keinen Kunden von selbst. Zuweisungen bleiben auf ihrer Fassung, bis sie umgestellt werden.
Im selben Portal
365 Tenant Manager liegt im Conbool-Portal neben MailGuard, 365 Governance und 365 Backup. Ein Zugang für alles.
Zugriff
Was die Anbindung darf und was nicht.
Ein Werkzeug, das Sicherheitseinstellungen schreibt, muss über seine eigenen Rechte Auskunft geben.
- Zwei Apps mit getrennter Zustimmung. Die erste liest, die zweite schreibt. Wer nur vergleichen will, stimmt nur der ersten zu.
- Ohne Zustimmung eines Administrators im Kundenmandanten wird nichts gelesen.
- Gelesen werden Einstellungen und Richtlinien. Mails, Dateien und Chats liest 365 Tenant Manager nicht.
- Kein Agent, keine Software auf Servern oder Arbeitsplätzen.
- Betrieb in deutschen Rechenzentren, Vertrag mit einem Hersteller aus Hamburg.
So fangen Sie an
In drei Schritten zur ersten Abweichung
Lesend beginnen, schreiben erst, wenn Sie so weit sind.
Lesender App zustimmen
Ein Administrator stimmt im Portal zu. Im Mandanten ändert sich dadurch nichts.
Momentaufnahme
Die erste Aufnahme liest alle elf Bereiche. Danach läuft sie im gewählten Abstand von selbst.
Vorlage zuweisen
Conbool gehärtet übernehmen oder eine eigene anlegen und die Abweichungen ansehen.
Ausrollen braucht die Zustimmung zur zweiten, schreibenden App. Ohne sie bleibt 365 Tenant Manager rein lesend.
Häufige Fragen zu 365 Tenant Manager
Was ist eine Microsoft 365 Baseline?
Ein festgelegter, sicherer Stand der Einstellungen eines Mandanten: welche Richtlinien für bedingten Zugriff gelten, welche Anmeldemethoden zugelassen sind, was Gäste dürfen und wie weit geteilt werden darf. 365 Tenant Manager hält diesen Stand als Vorlage fest und vergleicht jeden Mandanten damit.
Welche Lizenzen braucht der Mandant?
Lesen und vergleichen geht in jedem Mandanten. Conditional Access setzt Entra ID P1 voraus, das etwa in Microsoft 365 Business Premium enthalten ist. Fehlt die Lizenz, schreibt 365 Tenant Manager diese Einträge nicht und zählt sie nicht als Abweichung.
Was passiert mit den Security Defaults?
Security Defaults und eigene Richtlinien für bedingten Zugriff schließen einander aus. Sie bleiben an, bis scharf geschaltet wird, und gehen im selben Lauf aus, der die MFA für alle wirksam macht. Scheitert dieser Lauf, schaltet 365 Tenant Manager sie wieder ein.
Kann ich mich mit Conditional Access aussperren?
Genau dagegen ist das Scharfschalten gebaut. Es braucht mindestens ein taugliches Notfallkonto, eine Auswertung der Anmeldungen im Berichtsmodus und eine abgelaufene oder ausdrücklich verkürzte Beobachtungsfrist. Eine sperrende Richtlinie ohne Ausnahme der Notfallkonten lässt sich nicht freigeben.
Was ist ein Break-Glass-Konto?
Ein Notfallkonto mit der Rolle Globaler Administrator, das von Richtlinien für bedingten Zugriff ausgenommen ist und nur im Notfall benutzt wird. 365 Tenant Manager prüft, ob es vorhanden, aktiv, Globaler Administrator und nicht aus einem lokalen Verzeichnis synchronisiert ist.
Lässt sich ein Lauf rückgängig machen?
Der jüngste Lauf lässt sich zurückrollen, soweit seine Änderungen noch so dastehen. Geänderte Werte werden zurückgestellt, neue Richtlinien abgeschaltet. Gelöscht wird nie etwas, und was jemand anderes seither geändert hat, bleibt stehen.
Ist Conbool gehärtet ein CIS-Benchmark?
Nein. Conbool gehärtet ist die Grundhärtung von Conbool mit zehn Einträgen und kein vollständiger Benchmark. Viele Einträge decken sich mit Empfehlungen des CIS-Benchmarks für Microsoft 365, etwa MFA für alle und das Blockieren alter Protokolle. Eigene Vorlagen lassen sich beliebig weiter fassen.
Deckt 365 Tenant Manager auch Intune ab?
Nein. Geräteverwaltung und Intune-Richtlinien gehören nicht zum Umfang. 365 Tenant Manager arbeitet mit den Einstellungen von Entra ID und den Freigabeeinstellungen von SharePoint und OneDrive.
Ist das ein Backup von Entra ID?
Nein. 365 Tenant Manager hält Einstellungen fest, vergleicht sie und rollt Vorlagen aus. Benutzer, Gruppen und Anwendungen sichert 365 Backup, mit eigener Wiederherstellung.
Wie unterscheidet sich das von Microsoft 365 Lighthouse?
Lighthouse ist Microsofts Oberfläche für Partner mit eigenen Grundeinstellungen. 365 Tenant Manager setzt auf eigene Vorlagen mit Platzhaltern je Kunde und unveränderlichen Fassungen, auf einen Trockenlauf vor jedem Schreiben und auf ein Scharfschalten erst nach Prüfung der Notfallkonten. Gelesen und geschrieben wird über Apps mit Zustimmung im Kundenmandanten.
Passend dazu
Weitere Seiten rund um Sicherheit in Microsoft 365 und Entra ID.
Microsoft 365 Security Baseline
Ein sicherer Stand für jeden Mandanten, mit Abgleich und Trockenlauf.
Mehr erfahrenConditional-Access-Vorlagen
Bedingter Zugriff mit Berichtsmodus und geprüften Notfallkonten.
Mehr erfahrenMicrosoft-365-Sicherheitscheck
Mandanteneinstellungen und Freigaben in einem Bericht.
Mehr erfahren365 Governance
Wer in SharePoint, OneDrive und Teams worauf zugreift.
Mehr erfahrenEntra ID Backup
Benutzer, Gruppen und Richtlinien des Verzeichnisses sichern.
Mehr erfahrenJeden Mandanten auf denselben sicheren Stand bringen
Wir zeigen 365 Tenant Manager an einem echten Mandanten: von der ersten Aufnahme bis zum Trockenlauf.