Die Kontrolle über den eigenen Tenant verliert man nicht an ein SOC. Man verliert sie, wenn niemand im Haus mehr sagen kann, wer gerade welche Rechte hat und wer sie vergeben hat.
Die Frage kommt trotzdem, und sie kommt fast immer vom IT-Verantwortlichen. Da soll jemand von aussen in das Microsoft 365 der Firma, Konten sperren dürfen, Geräte isolieren. Ja, wir brauchen Rechte in deinem Tenant, sonst können wir nichts übernehmen. Und nein, das ist nicht dasselbe wie Kontrolle abgeben. Der Unterschied liegt darin, welche Rechte es sind, wer sie jederzeit wieder entziehen kann und ob nachlesbar bleibt, was damit gemacht wurde.
Ein SOC braucht Rechte in deinem Tenant, aber keine Generalvollmacht. Lesen und Handeln sind in Microsoft Defender getrennte Berechtigungen, Rollen lassen sich zuschneiden, und jede Aktion landet im Überwachungsprotokoll deines eigenen Tenants. Die Kontrolle hängt weniger daran, wer Rechte hat, als daran, ob im Haus jemand weiss, wer sie hat und was damit passiert. In unserer Erfahrung hakt es genau dort, lange bevor ein SOC im Spiel ist.
Wer hat heute Zugriff auf deinen Tenant?
In aller Regel mehr Konten, als man beim ersten Nachdenken aufzählt. Ein typisches Bild in einem Betrieb mit 20 bis 150 Mitarbeitenden: der interne IT-Verantwortliche, ein oder zwei Konten des externen IT-Partners mit dauerhaften Administratorrechten, ein Notfallkonto aus der Einführungsphase, dazu ein Dienstkonto für die Backup-Software. Das sind schnell vier bis sechs Wege in die höchste Berechtigungsstufe.
Nachlässig war dabei niemand. So etwas wächst im Betrieb. Jemand brauchte einmal Rechte für ein Projekt. Der Partnerwechsel vor zwei Jahren ging schnell, das alte Konto blieb liegen. Die Backup-Software verlangte bei der Installation diese eine Berechtigung, und niemand hatte Lust, mit dem Hersteller über eine kleinere zu verhandeln. Jeder einzelne Schritt war vernünftig. Das Ergebnis ist es nicht.
In der Praxis sieht das regelmässig so aus. Ein Schweizer Handelsbetrieb mit rund 70 Mitarbeitenden hat vier Konten mit globalen Administratorrechten. Eines davon läuft auf einen Mitarbeiter, der vor Monaten gegangen ist. Sein Benutzerkonto wurde beim Austritt deaktiviert, die Rollenzuweisung blieb bestehen, weil das zwei verschiedene Handgriffe sind und nur einer auf der Austrittsliste stand. Niemand hat es gemerkt, weil niemand dafür zuständig war hinzuschauen. Die Firma hätte auf die Frage nach der Kontrolle über ihren Tenant trotzdem mit einem klaren Ja geantwortet.
Kontrolle misst sich an der Sichtbarkeit, nicht an der Rechteliste. Wem im Haus fällt es auf, wenn jemand etwas tut, das er nicht tun sollte? Ein Tenant mit zugeschnittenen Rechten und einem gelesenen Protokoll ist besser kontrolliert als einer, in dem formal alle Rechte im eigenen Haus liegen und niemand hinschaut.
Kontrolle zeigt sich im Überwachungsprotokoll
Microsoft 365 protokolliert das bereits, und zwar ohne Zutun. Das einheitliche Überwachungsprotokoll in Microsoft Purview zeichnet Benutzer- und Administratorvorgänge über Dutzende Microsoft-Dienste hinweg auf, ist standardmässig aktiviert und hält die Einträge in der Standardstufe 180 Tage vor. Wer eine Rolle zugewiesen, eine Weiterleitungsregel angelegt oder ein Konto gesperrt hat, steht dort mit Zeitstempel. Microsoft beschreibt Umfang und Aufbewahrung des Überwachungsprotokolls öffentlich.
Dieses Protokoll liegt in deinem Tenant, nicht bei uns. Es bleibt dort, auch wenn die Zusammenarbeit endet. Und es ist der Grund, warum die Kontrollfrage keine Vertrauensfrage bleiben muss. Jede Aktion, die wir in deiner Umgebung ausführen, ist mit Konto und Zeitstempel nachlesbar, ohne dass du uns fragen musst und ohne dass du dich auf unseren Bericht verlassen müsstest.
Der unbequeme Teil daran: In den meisten KMU liest dieses Protokoll niemand. Es existiert, es ist vollständig, und angeschaut wird es zum ersten Mal, wenn bereits etwas passiert ist. Das ist die eigentliche Lücke, und sie hat mit externen Dienstleistern nichts zu tun. Sie ist auch der Grund, warum Defender-Warnungen in vielen Tenants unbeachtet auflaufen: Werkzeuge liefern, Menschen fehlen.
Welche Rechte braucht ein SOC in deinem Tenant?
Lesezugriff auf die Sicherheitssignale und eine klar umrissene Menge an Reaktionsrechten. Keine Generalvollmacht über den Tenant. In Microsoft Defender sind Lesen und Handeln getrennte Berechtigungen, die sich über die einheitliche rollenbasierte Zugriffssteuerung zu eigenen Rollen zusammensetzen und auf Bereiche wie bestimmte Gerätegruppen einschränken lassen.
Ein verbreitetes Missverständnis dazu lautet, Sicherheitsarbeit im Tenant setze Global Admin voraus. Für die Verwaltung dieser Sicherheitsrollen genügt die Rolle des Sicherheitsadministrators in Microsoft Entra ID. Und wer eine eigene Rolle mit der Berechtigung zur Autorisierung einrichtet, kommt laut Microsoft für die Berechtigungsverwaltung ganz ohne globale Entra-Rollen aus. Wer also auf der Generalvollmacht besteht, verwechselt Zuständigkeit mit Berechtigung.
Konkret brauchen wir: Incidents und Alarme lesen, den Verlauf einer verdächtigen Anmeldung nachvollziehen, im Ernstfall ein Konto sperren, eine Sitzung beenden, ein Gerät isolieren, eine bösartige Mail aus den Postfächern entfernen. Nicht brauchen wir im Normalbetrieb: Postfachinhalte, Dateien, Teams-Chats. Das ist kein Entgegenkommen, sondern Selbstschutz. Rechte, die wir nicht haben, können wir nicht falsch einsetzen und müssen wir auch nicht verteidigen.
Die Ausnahme ist der konkrete Vorfall. Wenn wir eine Phishing-Welle forensisch aufarbeiten, müssen wir die betroffene Mail ansehen können. Auch dieser Zugriff ist begrenzt, an den Anlass gebunden und im Protokoll sichtbar.
Ein ehrlicher Hinweis zur Lizenz: Rechte, die nur für die Dauer einer Aufgabe aktiviert werden, gehören zu Privileged Identity Management und setzen Microsoft Entra ID P2 voraus. In Microsoft 365 Business Premium ist Entra ID P1 enthalten, P2 gibt es nur als Zusatz. Wer solche zeitlich begrenzten Rechte will, muss sie einkaufen. Ohne diesen Zusatz bleibt der Weg über zugeschnittene Rollen und ein gelesenes Protokoll, was für Betriebe dieser Grösse in unserer Erfahrung ausreicht.
Was passiert, wenn du die Zusammenarbeit beenden willst?
Dann entziehst du die Rechte, und zwar ohne uns. Die Verbindung zwischen unserem und deinem Tenant ist eine Berechtigung in deinem Verzeichnis, kein Vertrag mit technischer Sperre. Du kannst sie in deiner eigenen Microsoft-365-Verwaltung beenden, auch um zwei Uhr nachts, auch ohne uns vorher zu informieren. Ab diesem Moment sehen wir nichts mehr.
Das ist weniger grosszügig, als es klingt, es ist schlicht die Architektur. Wir bringen kein eigenes Produkt in deinen Tenant, keinen zusätzlichen Agenten, keine fremde Konsole, in der deine Daten liegen. Wir arbeiten in den Werkzeugen, die du bereits lizenziert hast. Deshalb bleibt die Abhängigkeit klein. Was bei einem Wechsel zählt, ist die Dokumentation: welche Regeln und Ausnahmen wir konfiguriert haben und warum. Das gehört in einen Übergabestand, der bei dir liegt, und nicht in einen Kopf bei uns.
Was du festhalten solltest, bevor jemand Rechte bekommt
Die Fragen, die im Betrieb später zählen, sind unspektakulär. Welche Aktionen darf der Dienstleister ohne Rückfrage ausführen, welche nur nach Freigabe, und wen ruft er an, wenn die Freigabe nicht erreichbar ist? Wer bei dir bekommt die Meldung, wenn nachts ein Konto automatisch gesperrt wurde? In welchem Rhythmus geht jemand die Liste der privilegierten Konten durch?
Die letzte Frage bringt am meisten und wird am seltensten gestellt. Eine Übersicht, wer im Tenant welche administrativen Rechte hat, halbjährlich durchgegangen und abgehakt, kostet ungefähr eine Stunde. Wer sie durchgeht, findet das Konto des ausgetretenen Mitarbeiters, das Dienstkonto mit zu vielen Rechten und den Partnerzugang, der seit dem Wechsel niemandem mehr gehört. Ein SOC ersetzt diese Stunde nicht. Es sorgt dafür, dass dir zwischendurch jemand sagt, wenn eines dieser Konten plötzlich auffällig wird.
Dass dein IT-Partner diese Runde bisher nicht gedreht hat, ist übrigens kein Vorwurf. Support und Sicherheitsüberwachung sind zwei Berufe, und der eine bezahlt selten die Zeit für den anderen.
Die Grösse, die dazu passt
Wir lesen die Defender-Warnungen in deinem Tenant, bewerten sie und übernehmen, wenn etwas aufkommt. Die automatisierte Erkennung und Abwehr in Defender XDR und Sentinel läuft rund um die Uhr, etwa wenn die Automatisierung eine riskante Anmeldung unterbricht. Unsere Analysten bewerten Mo bis Fr von 08:00 bis 17:30, mit vertraglichen Reaktionszeiten von 30 Minuten bei kritischen, 2 Stunden bei hohen und 4 Stunden bei mittleren Vorfällen. Das beginnt bei CHF 1'850 pro Monat je nach Risikolevel, bei 12 Monaten Mindestlaufzeit. Welches Risikolevel gilt, zeigt der M365 Tenant Review für CHF 990 einmalig, der nebenbei die Rechte-Übersicht liefert, von der oben die Rede war.
Wenn dein Betrieb rund um die Uhr produziert oder regulatorisch eine Reaktion durch Menschen um drei Uhr nachts braucht, ist das hier das falsche Angebot. Auf der Startseite steht offen, für wen dieses Modell passt und für wen nicht. Und wenn dein IT-Partner den Support macht, macht er ihn weiter. Wir übernehmen den Teil, den heute niemand macht, mit den Rechten, die dafür nötig sind, und keine darüber hinaus.
Häufige Fragen
Braucht ein SOC globale Administratorrechte in unserem Tenant?
Nein. Für die Sicherheitsarbeit genügen zugeschnittene Rollen in Microsoft Defender, für deren Verwaltung reicht die Rolle des Sicherheitsadministrators. Microsoft beschreibt sogar ausdrücklich den Weg über eine eigene Rolle, mit der sich globale Entra-Rollen für die Berechtigungsverwaltung ganz vermeiden lassen. Wenn ein Anbieter Global Admin verlangt, ist die Frage nach dem Grund angebracht.
Wie lässt sich nachvollziehen, was das SOC im Tenant gemacht hat?
Im Überwachungsprotokoll deines eigenen Tenants. Dort steht jede administrative Aktion mit dem ausführenden Konto und dem Zeitpunkt. Dafür musst du uns nicht fragen und dich auf keinen Bericht verlassen. Zusätzlich dokumentieren wir jeden Incident mit Bewertung und ergriffener Massnahme im Monatsbericht, damit auch jemand ohne Fachwissen nachvollziehen kann, was passiert ist.
Was passiert mit den Rechten unseres bisherigen IT-Partners?
Die bleiben bestehen, wenn du das so willst. Wir übernehmen das Monitoring, den Support macht weiterhin er. Sinnvoll ist trotzdem, bei dieser Gelegenheit zu klären, welche dauerhaften Administratorrechte der Partner heute braucht. In unserer Erfahrung ist das weniger, als historisch gewachsen ist, und das Gespräch darüber verläuft meistens unaufgeregt.