Wie lange Ihre Microsoft 365 Sicherheitsnachweise wirklich halten

Um zu belegen, dass sich eine Microsoft 365 Einstellung seit Ihrem letzten Audit nicht geändert hat, brauchen Sie drei Dinge, die die Plattform nicht für Sie aufbewahrt: eine datierte Momentaufnahme der Konfiguration, eine Aufzeichnung jeder Änderung zwischen den Momentaufnahmen und einen Vermerk darüber, wer jede einzelne autorisiert hat. Die Protokolle allein leisten das nicht. Microsoft Entra bewahrt Audit- und Anmeldedaten 7 Tage in der Free-Stufe und 30 Tage in P1 und P2 auf. Microsoft Purview Audit (Standard) bewahrt die meisten Datensätze 180 Tage auf. Ihr Zertifizierungszyklus umfasst 365. Die Lücke zwischen diesen Zahlen ist der Teil des Jahres, den Sie aus der Plattform allein nicht belegen können.

Das ist keine Kritik an den Voreinstellungen. Die Aufbewahrung ist auf betriebliche Untersuchungen zugeschnitten, bei denen das nützliche Fenster Tage umfasst. Die Absicherung stellt eine andere Frage über eine längere Zeitspanne, und den Unterschied zu schließen ist Ihre Aufgabe.

Die Frage, auf die sich niemand vorbereitet

Die meisten Teams bereiten sich auf die falsche Bewertung vor. Sie machen Screenshots des aktuellen Zustands, bestätigen, dass die Multi-Faktor-Authentifizierung heute erzwungen wird, und legen ein ordentliches Paket vor, das einen gesunden Mandanten zeigt.

Dann stellt der Prüfer eine Frage anderer Form. Nicht „ist diese Richtlinie aktiv", sondern „war sie es seit unserem letzten Gespräch durchgehend, und wenn sie jemals aus war, wer hat sie ausgeschaltet und wer hat das für vertretbar gehalten". Sie werden darauf geprüft, ob die Konfiguration den ganzen Zeitraum über gehalten hat.

Bei den meisten Mandanten weiß das niemand. Vielleicht hat jemand im Februar eine Ausnahme hinzugefügt und sie im März wieder entfernt, und im Herbst erinnert sich nichts mehr daran. Die Änderung war legitim. Das Fehlen einer Aufzeichnung ist der Befund.

Was die Plattform aufbewahrt, und wie lange

Drei Aufbewahrungsfenster sind wichtig, und sie sind nicht dieselben.

Microsoft Entra Auditprotokolle und Anmeldeprotokolle. Sieben Tage in Microsoft Entra ID Free, 30 Tage in P1 und P2. Hier leben die Verzeichnisänderungen: Bearbeitungen von Richtlinien für Conditional Access, Rollenzuweisungen, Anwendungszustimmungen. Änderungen an der Aufbewahrung wirken nicht rückwirkend, ein Wechsel von Free auf P1 gibt Ihnen also 30 Tage ab jetzt und nicht 30 Tage Vergangenheit.

Microsoft Purview Audit (Standard). Standardmäßig 180 Tage, nicht 90. Das änderte sich am 17. Oktober 2023, und viel interne Dokumentation nennt weiterhin 90. Datensätze, die vor diesem Datum entstanden sind, behalten den alten Zeitraum von 90 Tagen; spätere erhalten 180 Tage. Das ist das einheitliche Auditprotokoll für Exchange, SharePoint, OneDrive, Teams und mehr, ein von den Entra Protokollen getrenntes System.

Microsoft Purview Audit (Premium). Die standardmäßige Aufbewahrungsrichtlinie über ein Jahr ist enger, als der Name vermuten lässt. Sie umfasst Datensätze aus Microsoft Entra, Exchange, SharePoint und OneDrive, und nur für Benutzer mit einer Office 365 oder Microsoft 365 E5 Lizenz, einer Microsoft Purview Suite Lizenz oder dem E5 Add-on für eDiscovery und Audit. Benutzer ohne E5 und Gäste bleiben bei 180 Tagen, ebenso andere Workload-Aktivitäten, sofern keine benutzerdefinierte Richtlinie etwas anderes bestimmt.

Plattformprotokolle laufen nach einem Betriebskalender ab; die Absicherung läuft nach einem Zwölfmonatskalender.

Der Versatz, mit echten Daten durchgerechnet

Nehmen Sie einen Mandanten, der am 14. Oktober 2025 zertifiziert wurde und dessen Erneuerung für Oktober 2026 gebucht ist. Am 12. Oktober 2026 fragt der Prüfer, ob die Richtlinie, die Multi-Faktor-Authentifizierung verlangt, seit Ausstellung des Zertifikats durchgehend erzwungen wurde und ob Ausnahmen hinzugefügt wurden. Rechnen Sie von diesem Datum aus rückwärts, auf Entra ID P1:

• Das Entra Auditprotokoll antwortet zurück bis zum 12. September 2026. Dreißig Tage. Es zeigt jede Richtlinienbearbeitung des vergangenen Monats und wer sie vorgenommen hat.
• Purview Audit (Standard) antwortet zurück bis etwa zum 15. April 2026. Sechs Monate, weniger als die Hälfte des Zertifikatsjahres.
• Purview Audit (Premium) antwortet, sofern Sie es haben, für Entra Datensätze zurück bis zum 12. Oktober 2025, aber nur für Benutzer, die von einer Lizenz der E5 Klasse abgedeckt sind. Bei Business Premium oder einer gemischten Umgebung ist diese Tür zu.

Bei dem Mandanten, den die meisten Organisationen betreiben, gibt es also für den 14. Oktober 2025 bis Mitte April 2026 keine abfragbare Plattformaufzeichnung: sechs Monate des Zertifikatsjahres, in denen die Antwort auf „wurde diese Richtlinie erzwungen" ein Achselzucken ist.

Ein Detail erwischt alle, die das spät lösen. In Purview wird die Aufbewahrung eines Datensatzes in dem Moment entschieden, in dem er in die Verarbeitung eintritt, eine im September erstellte längere benutzerdefinierte Richtlinie verlängert also nicht die im März entstandenen Datensätze. Aufbewahrung wird im Voraus entschieden oder gar nicht.

Die Zuordnung von Microsoft 365 Einstellungen zu Cyber Essentials und ISO 27001 Kontrollen sagt Ihnen, welche Einstellungen eine Kontrolle tragen. In diesem Beitrag geht es darum, zu belegen, dass sie gehalten haben.

Drei Artefakte, die die Protokolle überdauern

Die Konfigurationsmomentaufnahme. Ein datierter, maschinenlesbarer Export der Einstellungen, die Ihre Kontrollen tragen. Kein Screenshot: Ein Screenshot belegt, wie eine Seite aussah, während ein JSON-Export einer Richtlinie für Conditional Access belegt, was sie enthielt, Ausnahmen eingeschlossen, und sich gegen die Kopie des Vormonats vergleichen lässt.

Die Abweichungsaufzeichnung. Der Unterschied zwischen aufeinanderfolgenden Momentaufnahmen. Das verwandelt einen Stapel Exporte in eine Argumentation: hier ist der 1. März, hier der 1. April, hier sind die vier Dinge, die sich geändert haben. Die Abweichung beantwortet „hat es sich geändert", die eigentliche Frage des Prüfers.

Die Autorisierungsaufzeichnung. Für jede Änderung in der Abweichungsaufzeichnung: wer sie angefordert hat, wer sie freigegeben hat und gegen welches Ticket oder welche Risikoentscheidung. Organisationen haben diese fast nie, und sie ist es, die aus einem Befund eine saubere Antwort macht.

Diese überdauern jede Protokollaufbewahrung, weil Sie steuern, wo sie liegen. Legen Sie sie an einem unveränderlichen oder versionierten Ort mit eingeschränktem Schreibzugriff ab und bilden Sie Hashwerte.

Eine Baseline aufbauen, die sich verteidigen lässt

Eine Baseline muss vollständig genug sein, um zu zählen, und klein genug, um zu laufen. Decken Sie die Einstellungen ab, von denen Ihre Kontrollen abhängen: Richtlinien für Conditional Access mit ihren Ausnahmen, die Richtlinie für Authentifizierungsmethoden, Zuweisungen von Verzeichnisrollen einschließlich der berechtigten, Einstellungen für den mandantenübergreifenden Zugriff, Geräte-Compliance-Profile, mandantenweite Freigabeeinstellungen sowie Anwendungen mit zugestimmten Berechtigungen. Ein erster Durchlauf:

Connect-MgGraph -Scopes 'Policy.Read.All','Directory.Read.All','RoleManagement.Read.Directory'
$stamp = (Get-Date).ToString('yyyy-MM-dd')
$out = ".\baseline-$stamp"
New-Item -ItemType Directory -Path $out -Force | Out-Null
Get-MgIdentityConditionalAccessPolicy -All | ConvertTo-Json -Depth 12 | Set-Content "$out\conditional-access.json"
Get-MgPolicyAuthenticationMethodPolicy | ConvertTo-Json -Depth 12 | Set-Content "$out\auth-methods.json"
Get-MgDirectoryRole -All | ConvertTo-Json -Depth 8 | Set-Content "$out\directory-roles.json"
Get-ChildItem "$out\*.json" | Get-FileHash | Export-Csv "$out\hashes.csv" -NoTypeInformation

Zwei Regeln zählen.

Führen Sie sie nach Plan aus. Eine ungeplante Baseline hat Lücken, die Sie nicht erklären können, und eine Lücke sieht schlimmer aus als eine Änderung.

Setzen Sie den Takt kürzer als Ihre kürzeste Protokollaufbewahrung. Wenn das Entra Auditprotokoll 30 Tage hält und Sie vierteljährlich eine Momentaufnahme machen, können Sie beim Auftreten eines Unterschieds nicht mehr herausfinden, wer ihn verursacht hat, weil der Auditeintrag mit dem Namen Wochen früher abgelaufen ist. Machen Sie wöchentlich eine Momentaufnahme, oder mindestens alle vierzehn Tage, dann bleibt jeder Unterschied zuordenbar, solange das erklärende Protokoll noch lebt.

Aus einer Abweichungsaufzeichnung Nachweise machen

Ein Vergleich sagt Ihnen, was sich geändert hat. Ein Prüfer will wissen, wer es geändert hat und wer zugestimmt hat. Diese zu verbinden ist die eigentliche Übung, und sie muss innerhalb des Protokollfensters geschehen. Holen Sie für jedes geänderte Objekt den passenden Eintrag aus dem Entra Auditprotokoll, das die auslösende Person festhält:

$since = (Get-Date).AddDays(-30).ToString('yyyy-MM-ddTHH:mm:ssZ')
Get-MgAuditLogDirectoryAudit -Filter "activityDateTime ge $since and category eq 'Policy'" -All |
  Select-Object ActivityDateTime, ActivityDisplayName,
    @{n='Actor';e={$_.InitiatedBy.User.UserPrincipalName}},
    @{n='Target';e={$_.TargetResources[0].DisplayName}} |
  Export-Csv ".\policy-changes-$((Get-Date).ToString('yyyy-MM-dd')).csv" -NoTypeInformation

Ergänzen Sie dann, was die Plattform nicht wissen kann: die Änderungsreferenz und die freigebende Person. Eine Zeile je Änderung reicht. Datum, Objekt, was sich geändert hat, wer es geändert hat, Ticket, freigebende Person. An ein Register angehängt, das nie gekürzt wird, beantwortet diese Zeile in drei Jahren noch Fragen.

Wo eine Änderung kein Ticket und keine freigebende Person hat, halten Sie auch das fest. Ein Prüfer kommt weit besser mit „das war undokumentiert, und das haben wir daraufhin getan" zurecht als mit einem Register, das überhaupt keine Ausnahmen enthält.

Abweichung und Identitätshygiene treten gemeinsam auf, ein Austritt, der eine Ausnahme behalten hat, ist also ein häufiger Fund; die Offboarding-Checkliste deckt das ab.

Wo es bricht

Microsoft Entra ID Free. Sieben Tage sind kein Fenster, gegen das Sie einen monatlichen Prozess laufen lassen können. Bringen Sie das zuerst in Ordnung, und denken Sie daran, dass die Höherstufung nichts nachträglich füllt.

Gäste und Benutzer ohne E5. Die Premium-Voreinstellung endet an der Lizenzgrenze, eine gemischte Umgebung hat also eine gemischte Aufbewahrungslage. Wissen Sie, welche Benutzer abgedeckt sind, bevor Sie sich auf ein Jahr Historie verlassen, das nur für einige von ihnen existiert.

Exporte, die niemand abfragen kann. Ein Ordner voller PDFs ist Hausaufgabe, kein Nachweis. Wenn „was hat sich im März geändert" zu beantworten heißt, Dateien von Hand zu öffnen, wird der Prozess aufgegeben.

Delegierter Zugriff bei Managed-Service-Providern. Wenn ein Partner die Änderung vornimmt, ist die handelnde Person im Auditprotokoll des Kunden eine Partneridentität, während die Freigabe im eigenen System des Partners liegt. Entscheiden Sie, welche Seite die Autorisierungsaufzeichnung hält und wie der Kunde sie erhält, denn bei der Erneuerung wird der Kunde bewertet. Das gehört in das monatliche Berichtspaket.

Anzunehmen, die Erneuerung sei die einzige Frist. Versicherungsfragebögen, Sicherheitsprüfungen von Kunden und Lieferantenanfragen stellen dieselbe Frage.

Wo EtherInsights ansetzt

Eine wöchentliche Momentaufnahme zu erstellen, sie zu vergleichen und ein zuordenbares Register zu führen, ist leicht beschrieben und mühsam von Hand durchzuhalten. EtherInsights gibt es zum Teil aus diesem Grund: Es erfasst Mandantenkonfiguration und Identitätszustand, verfolgt, was sich zwischen den Erfassungen bewegt hat, und hält die Aufzeichnung abfragbar, lange nachdem die Protokolle der Plattform selbst abgelaufen sind, sodass die Nachweise zur Erneuerung ein Bericht sind, den Sie erneut ausführen, statt zwei Wochen Archäologie.

Für Partner ist die Vervielfachung der Punkt, denn dieselbe Frage kommt jeden Herbst innerhalb weniger Wochen von jedem Kunden, und Microsoft 365 Sicherheit und Konformität ist der Ort, an dem Sicherheitslage und Nachweise zusammensitzen. Unsere Cyber Essentials v3.3 Checkliste deckt ab, was zu beheben ist; dieser Beitrag deckt ab, wie Sie belegen, dass es behoben blieb. ISO-Konformität und Auditbereitschaft nimmt die breitere Nachweiskette auf.

Microsoft 365 Sicherheit und Konformität entdecken, um zu sehen, wie Baselines, Abweichungen und die Autorisierungsaufzeichnung vor der nächsten Bewertung zusammenkommen.