Skip to main content

​
Mandanten-Härtung (CIS)

Der Bereich Mandanten-Härtung (CIS) prüft die Einstellungen Ihres Microsoft-365-Tenants (Entra ID) gegen 14 Empfehlungen des CIS Microsoft 365 Foundations Benchmark (Center for Internet Security). Grundlage sind die Autorisierungsrichtlinie, die Richtlinie für Authentifizierungsmethoden und die Sicherheitsstandards (Security Defaults) Ihres Entra-Tenants.

​
1. Die 14 Prüfungen

  • Gasteinladungen einschränken
  • Gastbenutzer auf „Restricted Guest“ beschränken
  • E-Mail-basierte Selbstregistrierung verbieten
  • Normale Benutzer dürfen keine App-Registrierungen erstellen
  • Normale Benutzer dürfen keine Tenants erstellen
  • Veraltetes MSOnline-PowerShell-Modul blockieren
  • Normale Benutzer sehen keine anderen Benutzer
  • SMS als Anmeldemethode deaktivieren
  • E-Mail-Einmalkennwort deaktivieren
  • Microsoft Authenticator aktivieren
  • FIDO2-Sicherheitsschlüssel aktivieren
  • Befristeten Zugriffspass (Temporary Access Pass) verfügbar machen
  • Sprachanruf als MFA-Methode deaktivieren
  • Security Defaults deaktiviert, wenn Conditional Access genutzt wird
Jede Prüfung zeigt:
  • Ergebnis (bestanden / nicht bestanden) und Schweregrad (kritisch, hoch, mittel, niedrig),
  • Aktueller Wert und empfohlener Wert aus Ihrem Tenant,
  • das CIS-Level: L1 ist für jedes Unternehmen gedacht und schränkt den Betrieb kaum ein; L2 richtet sich an Organisationen mit erhöhtem Schutzbedarf und kann Funktionen einschränken.
Oben im Bereich stehen die Anzahl bestandener und fehlgeschlagener Prüfungen und die Gesamtquote. Kann das Portal eine Richtlinie in Microsoft Entra nicht lesen (z. B. fehlt die Berechtigung oder Microsoft antwortet nicht), zeigen die davon abhängigen Prüfungen als aktuellen Wert „Unbekannt“ statt eines angenommenen Zustands. Sie gelten als nicht prüfbar, nicht als nicht bestanden, und zählen nicht in die Gesamtquote. Das betrifft etwa die Prüfungen zur Autorisierungsrichtlinie (E-Mail-Selbstregistrierung, App-Registrierungen, Tenant-Erstellung, MSOnline, Benutzerliste) sowie die Authentifizierungsmethoden und Sicherheitsstandards.

​
2. Umsetzung

  • Einzeln: Bei jeder fehlgeschlagenen Prüfung legt „Umsetzung beauftragen“ ein Ticket mit aktuellem und empfohlenem Wert an.
  • Gesammelt: Ein Sammelauftrag listet alle fehlgeschlagenen Prüfungen nach Priorität mit Verweis auf den CIS-Benchmark.
Tickets anlegen dürfen alle Rollen mit Ticketrechten. Das twisb-Team prüft die Auswirkungen (z. B. auf Gäste oder bestehende Anmeldemethoden) und setzt die Änderung abgestimmt um.
Die Schaltfläche „Automatisch umsetzen“ ist sichtbar, aber deaktiviert und mit dem Hinweis versehen, die Umsetzung per Ticket bzw. über das Approval Center zu beantragen. Automatische Änderungen an Tenant-Richtlinien laufen künftig nur über das gebundene 4-Augen-Verfahren. Nutzen Sie bis dahin „Umsetzung beauftragen“.
Die CIS-Prüfungen ergänzen den Baseline-Abgleich für Conditional Access. Zusammen decken sie die wichtigsten Grundeinstellungen eines Microsoft-365-Tenants ab.