7 Basisfragen, dazu 4 kurze Zusatzpunkte bei Microsoft 365 / Entra. Mehrfachauswahl bei Systemen und Diensten. Der Check ist ohne Konto möglich.
Wählen Sie alle eingesetzten Produkte, auch beim IT-Partner. Ohne Produktdetails bleibt die grobe Kategorie zur Klärung enthalten. Sobald Sie Produkte einer Kategorie angeben, gelten nur diese als ausgewählt. Bei unvollständiger Kenntnis zusätzlich «Weiss ich nicht» wählen.
Entra verwaltet die Zugänge zu Microsoft 365. Diese vier Zusatzpunkte zählen in der Auswertung, wenn Sie oben «Microsoft 365 / Teams / Entra» auswählen. «Teilweise» und «Weiss ich nicht» bleiben zur Prüfung offen.
Für Verwaltungsarbeiten wird ein persönliches Zusatzkonto verwendet. E-Mail und tägliche Arbeit laufen über das normale Konto. Auch der Dienstleister arbeitet nicht mit einem gemeinsamen Admin-Konto für alle.
Zum Beispiel: E-Mail-Verwaltung, Gerätebetreuung und Benutzerverwaltung erhalten passende Rollen oder Rollengruppen. Technische Dienste haben eigene Identitäten. Niemand nutzt für jede Aufgabe pauschal den Global Admin mit Vollzugriff.
Eine verantwortliche Person kontrolliert Admin-Konten, Rollen und Gruppenmitglieder – auch bei Austritten oder einem Wechsel des IT-Partners. Nicht mehr benötigte Rechte werden entzogen und die Kontrolle wird dokumentiert.
Vorher werden Person, Aufgabe und benötigte Rechte geprüft. Eine andere berechtigte Person gibt den Zugriff frei; er gilt nur so lange wie nötig. Das ist das Vier-Augen-Prinzip, hier mit «Vetting» gemeint.
Bewertet wird der umgesetzte Ablauf. Die Freigabe und Kontrolle kann beispielsweise über PIM oder einen nachvollziehbar dokumentierten Prozess erfolgen. Gesondert abgesicherte Notfallkonten sind kein Alltags-Admin-Konto. Rollen statt Vollzugriff sind entscheidend; eine Gruppe allein macht Rechte nicht sicher.
Selbstauskunft, kein Sicherheitstest. Die Antworten werden für die Auswertung verarbeitet. Erst mit Ihrer Review-Anfrage werden sie Ihrem Konto zugeordnet und an die Redaktion übermittelt.
