Skip to main content

​
Das 4-Augen-Prinzip

Um Fehlkonfigurationen und unberechtigte Eingriffe in Ihre Microsoft-Umgebung zu verhindern, führt das Portal kritische Aktionen nur mit Freigabe durch eine zweite Person aus. Grundlage ist ein gebundenes Freigabeverfahren: Beantragt wird ein fester Plan, freigegeben und ausgeführt wird genau dieser Plan — einmal.
Keine Selbstfreigabe: Wer eine kritische Aktion beantragt, kann sie nicht selbst freigeben — auch nicht mit einem zweiten Konto (z. B. Microsoft-Anmeldung und Passwortkonto mit derselben E-Mail). Freigeben darf nur eine zweite Person mit Portal-Admin-Rolle in Ihrem Unternehmen. Mitarbeitende von twisb zählen dabei nicht als Ihre Freigebenden. Richten Sie deshalb mindestens zwei Portal-Admins ein. Haben Sie nur einen Admin, kann twisb auf Ihren Wunsch den Ein-Admin-Modus einschalten: Dann darf der Antragsteller nach ausdrücklicher Bestätigung selbst freigeben, und jede Selbstfreigabe ist im Audit-Log gekennzeichnet.

​
Wie Sie zu einem zweiten Portal-Admin kommen

Portal-Admins richtet twisb ein — weder über Entra-Gruppen noch automatisch. Schreiben Sie dazu ein Ticket mit Name und E-Mail der Person. Solange es nur einen Portal-Admin gibt, sperrt das Portal den Antrag schon im Dialog und bietet Als Auftrag an twisb senden an: Die Aktion geht dann als Ticket an den twisb Service Desk, das Portal selbst ändert nichts. So bleibt z. B. ein Offboarding am Austrittstag nicht liegen.

​
Modus „Verwaltet durch twisb“

Auf Wunsch übernimmt twisb die zweite Freigabe. Dann gilt:
  • Ihre Anträge für Offboarding, Konto sperren, Gerät verloren, Autopilot (importieren, zuweisen, entfernen), Intune-Sicherheitsbaselines und Windows Autopatch gibt eine Person bei twisb frei und führt sie aus — ein Portal-Admin bei Ihnen genügt. Alle übrigen Aktionen brauchen weiterhin zwei Portal-Admins Ihres Unternehmens.
  • Anträge von twisb gibt es nur für mandantenweite Einstellungen (Intune-Sicherheitsbaselines, Windows Autopatch); eine zweite Person bei twisb gibt sie frei. Eingriffe in Konten oder Geräte einzelner Personen beantragt twisb nie selbst.
  • Auch hier gilt das 4-Augen-Prinzip: Wer bei twisb freigibt, ist nie dieselbe Person wie der Antragsteller. Plan, 24-Stunden-Frist und einmalige Ausführung bleiben unverändert, und Sie werden über jeden Schritt informiert. Welcher Modus gilt, sehen Sie unter Einstellungen → Portal-Benutzer & Rechte; Details im Approval Center.

​
Welche Aktionen sind kritisch?

Das Portal stuft folgende Aktionen als kritisch ein. Keine davon kann direkt oder durch den KI-Assistenten ausgeführt werden, und bis auf die Sofortaktionen (unten) auch nicht durch eine einzelne Person:
Konten sperren oder entsperren, Kennwörter zurücksetzen, MFA deaktivieren, Gruppen- und Rollenzuweisungen, Portal-Rollen ändern, Offboarding.
Zurücksetzen (Remote Wipe), Zurückziehen aus der Verwaltung, Neustart.
App-Bereitstellung und -Zuweisung, Conditional-Access-Richtlinien, Update-Steuerung (Windows Autopatch), CIS-Härtung.
Zuweisen oder Anfordern kostenpflichtiger Lizenzen.
Export oder Löschung personenbezogener Daten anderer Personen.

​
Was das Portal heute ausführt

​
Ausnahme: Sofortaktionen

Bei einem Vorfall zählt jede Minute. Deshalb führt ein Portal-Admin einige Eingriffe an einzelnen Konten im Mitarbeiterverzeichnis sofort und ohne zweite Person aus: Konto sperren oder entsperren, Passwortwechsel erzwingen, alle Sitzungen beenden und einen Temporary Access Pass ausstellen. Dafür gelten feste Ausgleichsregeln:
  • Eine Begründung ist Pflicht; sie steht mit dem Ergebnis im Audit-Log und in einem Änderungsticket.
  • Der Nachweis entsteht vor der Änderung; ohne Nachweis wird nichts ausgeführt.
  • Die anderen Portal-Admins erhalten eine Info (ohne Namen und Begründung), und das Approval Center zeigt jede Sofortaktion.
  • Höchstens 20 Sofortaktionen je Stunde für Ihr Unternehmen.
  • Das eigene Konto ist ausgenommen, Notfallkonten lassen sich nicht sperren oder zurücksetzen, und für Administratorkonten gibt es keinen Temporary Access Pass.
  • Es wird genau der geprüfte Plan einmal ausgeführt; unklare Antworten von Microsoft werden nicht wiederholt.
Gesperrte Aktionen werden erst freigeschaltet, wenn sie in dasselbe gebundene Verfahren aufgenommen sind. Bis dahin zeigt das Portal sie als deaktivierte Schaltflächen mit Hinweis; sie ändern nichts in Ihrem Tenant. Details zur Bedienung: Approval Center.
Anträge ohne Eingriff sind Tickets. Software-, Hardware-, Zugriffs- und Passwortanfragen aus dem Self-Service sowie Aktionsvorschläge des KI-Assistenten laufen nicht über das 4-Augen-Verfahren, sondern werden als Ticket beim twisb Service Desk angelegt. Das Portal führt dabei nichts aus; das twisb-Team prüft und setzt um.

​
Der Genehmigungsworkflow

Unklare Antworten von Microsoft (Zeitüberschreitung, Drosselung) führen nie zu einer automatischen Wiederholung. Der Antrag endet als „unklar“, und Sie prüfen den Stand im Admin Center — so wird keine Aktion versehentlich doppelt ausgeführt.