Beispiel-Report

So sieht das Ergebnis aus

Ein vollständiger Report für eine Musterfirma mit 38 Nutzern, von der ersten Kennzahl bis zum Aufwand für jeden Befund. Ohne Formular, ohne E-Mail-Adresse.

Alle Zahlen auf dieser Seite sind erfunden.Sie zeigen einen typischen Befundstand einer gewachsenen Umgebung dieser Größe. Echte Kundendaten würden wir niemals zeigen, auch nicht anonymisiert und auch nicht mit Erlaubnis.

Sicherheits-Basischeck

Musterfirma GmbH

Steuerberatung · 38 Nutzer · Umgebung seit 7 Jahre · Microsoft 365 Business Premium

Beispieldaten

5 Befunde mit hoher Priorität4 mittel1 niedrig

Konten mit Mehrfaktor-Schutz31 von 38

Administratorkonten6

Bereiche ohne Verantwortlichen9

Unternehmensweit freigegebene Bereiche14

Microsoft-Sicherheitsbewertung41 %

Getestete Datensicherungnicht vorhanden

Die Befunde im Einzelnen

Sortiert nach Priorität. Jeder Befund nennt die konkrete Zahl, die Bedeutung im Geschäftsbetrieb, den Bezug zum Fragebogen und den Aufwand für die Behebung. Bei der Musterfirma sind es 10 Befunde. Für Ihre eigene Umgebung gilt: Enthält Ihr Report weniger als 10 konkrete, priorisierte Befunde, erstatten wir den vollen Festpreis binnen 14 Tagen.

01 Sieben Konten ohne Mehrfaktor-Schutz, darunter zwei Administratoren

Hoch

Befund: 31 von 38 Konten sind geschützt. Ungeschützt sind fünf Benutzerkonten und zwei Administratorkonten, davon eines mit globaler Berechtigung.
Was das bedeutet: Ein Administratorkonto ohne zweiten Faktor ist der direkteste Weg in Ihre gesamte Umgebung. Übernimmt jemand dieses Konto, stehen ihm alle Daten und alle weiteren Konten offen.
Bezug: Fragebogen: „Ist MFA für privilegierte Konten aktiviert?" Diese Frage lässt sich derzeit nicht wahrheitsgemäß mit Ja beantworten.
Aufwand Behebung: ca. 2 Stunden

02 Keine getestete Datensicherung vorhanden

Hoch

Befund: Für Exchange, SharePoint, OneDrive und Teams existiert keine Sicherung außerhalb der Microsoft-Standardfristen. Gelöschte Elemente sind nach 14 Tagen endgültig entfernt, gelöschte Postfächer nach 30 Tagen.
Was das bedeutet: Nach einem Verschlüsselungsangriff oder einer versehentlichen Löschung, die länger als zwei Wochen unbemerkt bleibt, sind die Inhalte nicht wiederherstellbar. Bei einer Steuerberatung betrifft das Mandantenunterlagen mit Aufbewahrungspflicht.
Bezug: Fragebogen: „Besteht ein getestetes, nicht überschreibbares Backup?" Die Antwort lautet derzeit Nein.
Aufwand Behebung: ca. 1 Tag inkl. Wiederherstellungstest

03 Vierzehn Bereiche für alle Mitarbeitenden freigegeben

Hoch

Befund: Darunter drei Bereiche mit Personalbezug (Ordnernamen „Gehalt 2025", „Arbeitsverträge", „Abmahnungen") und ein Bereich mit Mandantenabschlüssen.
Was das bedeutet: Jeder Mitarbeitende kann diese Inhalte heute schon öffnen und müsste sie nur finden. Mit einer Suche in Alltagssprache, wie Copilot sie ermöglicht, wird genau das trivial.
Bezug: Fragebogen: „Besteht ein dokumentiertes Berechtigungskonzept?" · Voraussetzung für eine Copilot-Einführung.
Aufwand Behebung: ca. 1,5 Tage

04 Sechs Administratorkonten bei 38 Nutzern

Mittel

Befund: Zwei davon sind persönliche Konten ehemaliger Mitarbeitender, eines wurde seit 14 Monaten nicht mehr verwendet.
Was das bedeutet: Jedes zusätzliche Administratorkonto vergrößert die Angriffsfläche. Konten ausgeschiedener Mitarbeitender sind besonders kritisch, weil ihre Nutzung niemandem auffällt.
Bezug: Fragebogen: „Wird das Prinzip der minimalen Rechtevergabe angewendet?"
Aufwand Behebung: ca. 3 Stunden

05 Neun Bereiche ohne verantwortliche Person

Mittel

Befund: Projekt- und Teambereiche, deren Eigentümer das Unternehmen verlassen haben. Ältester Bereich: 4 Jahre ohne Aktivität.
Was das bedeutet: Niemand verantwortet diese Inhalte, niemand räumt sie auf, und niemand bemerkt, wenn jemand darauf zugreift. Gleichzeitig tragen sie oft Altbestände mit sensiblen Inhalten.
Bezug: NIS2-Maßnahmen: Zugriffskontrolle und Verwaltung von Werten.
Aufwand Behebung: ca. 4 Stunden

06 Anti-Phishing-Schutz in Standardkonfiguration

Mittel

Befund: Kein besonderer Schutz für die Geschäftsführung gegen Namensimitation eingerichtet, keine Warnhinweise bei erstmaligen externen Absendern.
Was das bedeutet: Der häufigste Angriff auf Unternehmen dieser Größe ist eine E-Mail im Namen der Geschäftsführung mit der Bitte um eine Überweisung. Genau dagegen schützt die Standardkonfiguration nicht.
Bezug: Fragebogen: „Sind E-Mail-Schutzmaßnahmen gegen Phishing aktiv?"
Aufwand Behebung: ca. 2 Stunden

07 Protokollierung aktiv, aber keine Alarmierung

Niedrig

Befund: Die Ereignisprotokollierung läuft. Es sind keine Regeln eingerichtet, die bei auffälligen Vorgängen benachrichtigen.
Was das bedeutet: Die Daten für eine spätere Aufklärung sind vorhanden. Ein laufender Angriff fällt aber erst auf, wenn jemand aktiv nachsieht.
Bezug: NIS2-Maßnahmen: Bewältigung von Sicherheitsvorfällen.
Aufwand Behebung: ca. 3 Stunden

08 Veraltete Anmeldeverfahren nicht gesperrt

Hoch

Befund: Ältere Protokolle wie IMAP, POP3 und SMTP-Auth sind weiterhin zugelassen. In den letzten 30 Tagen gab es darüber 412 Anmeldungen von vier Konten.
Was das bedeutet: Diese Verfahren kennen keinen zweiten Faktor. Solange sie offen stehen, lässt sich der Mehrfaktor-Schutz umgehen, und die Zusicherung im Fragebogen trägt nicht.
Bezug: Fragebogen: „Ist MFA für Cloud- und E-Mail-Zugänge aktiviert?" Die Antwort hängt an dieser Sperre, nicht an der MFA-Quote.
Aufwand Behebung: ca. 3 Stunden, plus Umstellung der vier Konten

09 Achtzehn anonyme Freigabelinks ohne Ablaufdatum

Mittel

Befund: Achtzehn Links vom Typ „jeder mit dem Link" sind aktiv, der älteste seit 2023. Elf davon zeigen auf Bereiche der Buchhaltung und der Personalverwaltung.
Was das bedeutet: Ein solcher Link wirkt ohne Anmeldung und ohne Protokoll darüber, wer ihn benutzt hat. Weitergeleitet oder in einem alten Postfach gefunden, öffnet er die Datei jedem.
Bezug: Fragebogen: „Besteht ein dokumentiertes Berechtigungskonzept?"
Aufwand Behebung: ca. 2 Stunden

10 Automatische Weiterleitung nach außen ist zugelassen

Hoch

Befund: Die Regeln für ausgehende E-Mail erlauben automatische Weiterleitungen an externe Adressen. Zwei Postfächer haben eine solche Regel eingerichtet, eine davon auf eine private Freimail-Adresse.
Was das bedeutet: Nach einer Kontoübernahme ist eine stille Weiterleitung der übliche nächste Schritt: Der Angreifer liest mit, auch nachdem das Passwort geändert wurde. Zugleich verlässt geschäftliche Post unbemerkt das Unternehmen.
Bezug: NIS2-Maßnahmen: Sicherheit in der Kommunikation. Zusätzlich ein Meldethema nach Art. 33 DSGVO.
Aufwand Behebung: ca. 1 Stunde

Was dieser Report nicht ist

Er ist keine Bescheinigung. Niemand kann Ihnen bescheinigen, dass nichts passiert, und wer es versucht, sollten Sie nicht beauftragen.

Er ist auch keine vollständige Sicherheitsprüfung Ihres Unternehmens. Er deckt Microsoft 365 ab, nicht Ihr Netzwerk, Ihre Server oder Ihre Prozesse. Wo unsere Methode an ihre Grenze kommt, steht imPrüfkatalog. Es steht auch im echten Report, an der Stelle, an der es auftritt.

Was er ist: eine belastbare, nachvollziehbare Grundlage, mit der Sie den Fragebogen Ihres Versicherers wahrheitsgemäß ausfüllen und gegenüber einem Auftraggeber etwas vorlegen können.

Dieselbe Auswertung für Ihre Umgebung

Der Kurz-Scan liefert Ihnen die Kennzahlen aus dem oberen Teil, kostenlos und lesend. Sie bekommen die Auswertung schriftlich, wir gehen sie in 45 Minuten gemeinsam durch, und den Zugang entfernen Sie danach selbst wieder.

Kostenlosen Check anfordern (2 Min.)