Beispiel-Report

So sieht das Ergebnis aus

Ein vollständiger Report für eine Musterfirma mit 38 Nutzern, von der ersten Kennzahl bis zum Aufwand für jeden Befund. Ohne Formular, ohne E-Mail-Adresse.

Alle Zahlen auf dieser Seite sind erfunden.Sie zeigen einen typischen Befundstand einer gewachsenen Umgebung dieser Größe. Echte Kundendaten würden wir niemals zeigen, auch nicht anonymisiert und auch nicht mit Erlaubnis.

Sicherheits-Basischeck

Musterfirma GmbH

Steuerberatung · 38 Nutzer · Umgebung seit 7 Jahre · Microsoft 365 Business Premium

Beispieldaten

3 Befunde mit hoher Priorität3 mittel1 niedrig

Konten mit Mehrfaktor-Schutz31 von 38

Administratorkonten6

Bereiche ohne Verantwortlichen9

Unternehmensweit freigegebene Bereiche14

Microsoft-Sicherheitsbewertung41 %

Getestete Datensicherungnicht vorhanden

Die Befunde im Einzelnen

Sortiert nach Priorität. Jeder Befund nennt die konkrete Zahl, die Bedeutung im Geschäftsbetrieb, den Bezug zum Fragebogen und den Aufwand für die Behebung.

01 Sieben Konten ohne Mehrfaktor-Schutz, darunter zwei Administratoren

Hoch

Befund: 31 von 38 Konten sind geschützt. Ungeschützt sind fünf Benutzerkonten und zwei Administratorkonten, davon eines mit globaler Berechtigung.
Was das bedeutet: Ein Administratorkonto ohne zweiten Faktor ist der direkteste Weg in Ihre gesamte Umgebung. Übernimmt jemand dieses Konto, stehen ihm alle Daten und alle weiteren Konten offen.
Bezug: Fragebogen: „Ist MFA für privilegierte Konten aktiviert?" Diese Frage lässt sich derzeit nicht wahrheitsgemäß mit Ja beantworten.
Aufwand Behebung: ca. 2 Stunden

02 Keine getestete Datensicherung vorhanden

Hoch

Befund: Für Exchange, SharePoint, OneDrive und Teams existiert keine Sicherung außerhalb der Microsoft-Standardfristen. Gelöschte Elemente sind nach 14 Tagen endgültig entfernt, gelöschte Postfächer nach 30 Tagen.
Was das bedeutet: Nach einem Verschlüsselungsangriff oder einer versehentlichen Löschung, die länger als zwei Wochen unbemerkt bleibt, sind die Inhalte nicht wiederherstellbar. Bei einer Steuerberatung betrifft das Mandantenunterlagen mit Aufbewahrungspflicht.
Bezug: Fragebogen: „Besteht ein getestetes, nicht überschreibbares Backup?" Die Antwort lautet derzeit Nein.
Aufwand Behebung: ca. 1 Tag inkl. Wiederherstellungstest

03 Vierzehn Bereiche für alle Mitarbeitenden freigegeben

Hoch

Befund: Darunter drei Bereiche mit Personalbezug (Ordnernamen „Gehalt 2025", „Arbeitsverträge", „Abmahnungen") und ein Bereich mit Mandantenabschlüssen.
Was das bedeutet: Jeder Mitarbeitende kann diese Inhalte heute schon öffnen und müsste sie nur finden. Mit einer Suche in Alltagssprache, wie Copilot sie ermöglicht, wird genau das trivial.
Bezug: Fragebogen: „Besteht ein dokumentiertes Berechtigungskonzept?" · Voraussetzung für eine Copilot-Einführung.
Aufwand Behebung: ca. 1,5 Tage

04 Sechs Administratorkonten bei 38 Nutzern

Mittel

Befund: Zwei davon sind persönliche Konten ehemaliger Mitarbeitender, eines wurde seit 14 Monaten nicht mehr verwendet.
Was das bedeutet: Jedes zusätzliche Administratorkonto vergrößert die Angriffsfläche. Konten ausgeschiedener Mitarbeitender sind besonders kritisch, weil ihre Nutzung niemandem auffällt.
Bezug: Fragebogen: „Wird das Prinzip der minimalen Rechtevergabe angewendet?"
Aufwand Behebung: ca. 3 Stunden

05 Neun Bereiche ohne verantwortliche Person

Mittel

Befund: Projekt- und Teambereiche, deren Eigentümer das Unternehmen verlassen haben. Ältester Bereich: 4 Jahre ohne Aktivität.
Was das bedeutet: Niemand verantwortet diese Inhalte, niemand räumt sie auf, und niemand bemerkt, wenn jemand darauf zugreift. Gleichzeitig tragen sie oft Altbestände mit sensiblen Inhalten.
Bezug: NIS2-Maßnahmen: Zugriffskontrolle und Verwaltung von Werten.
Aufwand Behebung: ca. 4 Stunden

06 Anti-Phishing-Schutz in Standardkonfiguration

Mittel

Befund: Kein besonderer Schutz für die Geschäftsführung gegen Namensimitation eingerichtet, keine Warnhinweise bei erstmaligen externen Absendern.
Was das bedeutet: Der häufigste Angriff auf Unternehmen dieser Größe ist eine E-Mail im Namen der Geschäftsführung mit der Bitte um eine Überweisung. Genau dagegen schützt die Standardkonfiguration nicht.
Bezug: Fragebogen: „Sind E-Mail-Schutzmaßnahmen gegen Phishing aktiv?"
Aufwand Behebung: ca. 2 Stunden

07 Protokollierung aktiv, aber keine Alarmierung

Niedrig

Befund: Die Ereignisprotokollierung läuft. Es sind keine Regeln eingerichtet, die bei auffälligen Vorgängen benachrichtigen.
Was das bedeutet: Die Daten für eine spätere Aufklärung sind vorhanden. Ein laufender Angriff fällt aber erst auf, wenn jemand aktiv nachsieht.
Bezug: NIS2-Maßnahmen: Bewältigung von Sicherheitsvorfällen.
Aufwand Behebung: ca. 3 Stunden

Was dieser Report nicht ist

Er ist keine Bescheinigung. Niemand kann Ihnen bescheinigen, dass nichts passiert, und wer es versucht, sollten Sie nicht beauftragen.

Er ist auch keine vollständige Sicherheitsprüfung Ihres Unternehmens. Er deckt Microsoft 365 ab, nicht Ihr Netzwerk, Ihre Server oder Ihre Prozesse. Wo unsere Methode an ihre Grenze kommt, steht imPrüfkatalog. Es steht auch im echten Report, an der Stelle, an der es auftritt.

Was er ist: eine belastbare, nachvollziehbare Grundlage, mit der Sie den Fragebogen Ihres Versicherers wahrheitsgemäß ausfüllen und gegenüber einem Auftraggeber etwas vorlegen können.

Dieselbe Auswertung für Ihre Umgebung

Der Kurz-Scan liefert Ihnen die Kennzahlen aus dem oberen Teil, kostenlos und lesend, und Sie entfernen unseren Zugang danach selbst wieder.

Kostenlosen Check anfordern (2 Min.)