ProAuditMap

So sieht ein Prüfpaket aus

Ein vollständiges Paket zu einer IT-Prüfung von Exchange Online, ohne Konto und ohne Anmeldung. Die Seite zeigt Auszüge, der Download enthält alle Dateien.

Paket herunterladen (ZIP, Word und Excel)

Sieben Word-Dokumente und eine Excel-Matrix, wie sie der Export der Anwendung liefert.

Was Sie hier sehen

Automatisch erzeugt am 25.09.2026 für den unten genannten Beispielfall und unverändert veröffentlicht. Dieses Paket ist nicht fachlich geprüft. In der Anwendung prüft und gibt Ihr Team jedes Paket vor der Verwendung selbst frei. Referenzen sind deshalb als „zu verifizieren“ markiert.

Das wurde eingegeben

Die wichtigsten Angaben des Beispielfalls. Die Firma dahinter gibt es nicht.

AngabeWert
PrüfungsthemaExchange Online / Outlook Security
Art der PrüfungErstprüfung
Unternehmensgröße1.000 bis 5.000 Beschäftigte
RegelwerkNIS2
Prüfungsbeginn01.02.2027
Prüfteam2 Prüfer, 25 Prüfertage
PrüfobjektMicrosoft 365 Exchange Online: Mandantenweit, Hybrid mit einem lokalen Exchange-Server

Das kam heraus

43 Prüfzeilen, 53 angeforderte Unterlagen, 7 Interviewleitfäden und 12 Rollen mit Zuständigkeiten, dazu Zeitplan, Ankündigungstexte und Berichtsvorlage.

  • Prüfungsplan
  • Prüfprogramm
  • Prüfungsmatrix (Excel)
  • Unterlagenkatalog
  • Interviewleitfäden
  • Organisationsplanung
  • Kommunikation
  • Berichtsvorlage

Ziel und Umfang

Ziel: Die Prüfung beurteilt, ob die Sicherheitsmaßnahmen für Exchange Online und den Outlook-Zugriff angemessen ausgestaltet und im Betrieb wirksam sind. Sie sollen verhindern, dass Postfächer kompromittiert, E-Mail-Domänen missbraucht und Schadsoftware oder Phishing zugestellt werden. Sicherheitsrelevante Ereignisse sollen erkannt und bearbeitet werden. Als Maßstab dienen die Risikomanagementmaßnahmen nach NIS2 (Art. 21) und die Meldepflichten (Art. 23), soweit sie den E-Mail-Dienst betreffen. Die Prüfung liefert der Geschäftsleitung eine belastbare Aussage zum Sicherheitsniveau des Dienstes und priorisierten Handlungsbedarf.

Gegenstand: Mandantenweite Konfiguration und Betrieb von Microsoft 365 Exchange Online einschließlich der Exchange-bezogenen Einstellungen in Microsoft Entra ID (Authentifizierung, bedingter Zugriff, Admin-Rollen) und der Schutzfunktionen von Exchange Online Protection bzw. Microsoft Defender for Office 365. Dazu gehören der Zugriff über Outlook-Clients (Desktop, Web, Mobil) und die Hybridkonfiguration. Der lokale Exchange-Server wird geprüft, soweit er für die Hybridfunktion betrieben wird: Connectoren, Patch-Stand, Erreichbarkeit aus dem Internet und administrativer Zugriff. Betrachtet werden die aktuelle Konfiguration zum Prüfungsstichtag und Betriebsnachweise aus den vorangegangenen zwölf Monaten.

Abgrenzung:

  • Andere Microsoft-365-Dienste wie SharePoint Online, OneDrive for Business und Microsoft Teams, sofern sie nicht unmittelbar den E-Mail-Dienst betreffen
  • Allgemeine Identitätsverwaltung in Microsoft Entra ID außerhalb der Exchange-relevanten Einstellungen, z.B. Joiner-Mover-Leaver-Prozess oder Gastverwaltung für andere Dienste
  • Informationsschutz mit Vertraulichkeitsbezeichnungen, Data Loss Prevention und Nachrichtenverschlüsselung (Erweiterungsumfang, nicht Kernumfang)
  • Revisionssichere Archivierung, Aufbewahrungsfristen nach Handels- und Steuerrecht sowie eDiscovery-Verfahren
  • Datenschutzrechtliche Bewertung der E-Mail-Verarbeitung nach DSGVO
  • Weitere Funktionen des lokalen Exchange-Servers, die nicht für den Hybridbetrieb nötig sind, sowie die übrige lokale Server- und Netzwerkinfrastruktur
  • Allgemeines Endgerätemanagement (Härtung, Patchen und Inventarisierung der Clients) außerhalb Outlook-spezifischer Zugriffsvorgaben
  • Sicherheit der Microsoft-Rechenzentren und des Cloud-Betriebs durch Microsoft sowie die Vertragsgestaltung mit Microsoft
  • Aktive Angriffssimulationen, Penetrationstests und Phishing-Kampagnen durch die Prüfer
  • Lizenzierung und Kostenoptimierung

Prüffelder und Aufwand

PrüffeldPrüfzeilenAufwand der Prüfzeilen
A Governance und Konfigurationsmanagement617 bis 27 Stunden
B Authentifizierung und privilegierter Zugriff728 bis 46 Stunden
C Mailfluss, Domänenschutz und Hybridinfrastruktur725 bis 41 Stunden
D Schutz vor Phishing, Schadsoftware und Spam720 bis 32 Stunden
E Postfach- und Clientzugriffsberechtigungen825 bis 39 Stunden
F Protokollierung, Überwachung und Vorfallbehandlung829 bis 47 Stunden

Die Plausibilitätsprüfung hat hier etwas gefunden

Mit Vorbereitung, Unterlagensichtung, Auswertung und Bericht sind rund 35,5 Prüfertage geplant, im Beispielfall stehen 25 zur Verfügung. Die Anwendung weist darauf hin, und das Team entscheidet: Umfang kürzen oder Kapazität erhöhen. Das Paket zeigt beide Zahlen in der Organisationsplanung.

Drei Prüfzeilen im Original

So ist jede Prüfzeile aufgebaut, hier aus dem zweiten Prüffeld.

B-01 MFA-Pflicht für alle Anmeldungen an Exchange Online

Soll: Mindestens eine aktive Richtlinie für bedingten Zugriff (Status „Ein“, nicht „Nur Bericht“) erzwingt für alle Benutzer mit Postfach MFA bei der Anmeldung an Office 365 Exchange Online oder allen Ressourcen. Ausgenommen sind nur dokumentierte Notfallzugriffskonten. Die Authentifizierungsmethodenrichtlinie lässt nur die in der Baseline freigegebenen MFA-Methoden zu. Im Auswertungszeitraum gibt es keine erfolgreichen interaktiven Einzelfaktor-Anmeldungen an Exchange Online außerhalb genehmigter Ausnahmen.

Prüfhandlung: Der Prüfer exportiert alle Richtlinien für bedingten Zugriff und die Authentifizierungsmethodenrichtlinie und gleicht Geltungsbereich, Zielressourcen und Status gegen die Baseline ab. Anschließend wertet er die Entra-Anmeldeprotokolle auf erfolgreiche Anmeldungen an Exchange Online ohne MFA-Anforderung aus.

Nachweise:

  • Export aller Richtlinien für bedingten Zugriff (JSON über Microsoft Graph, Endpunkt identity/conditionalAccess/policies)
  • Export der Authentifizierungsmethodenrichtlinie und der MFA-Registrierungsübersicht (Bericht „Benutzerregistrierungsdetails“)
  • Export der Entra-Anmeldeprotokolle der letzten 30 Tage bzw. Abfrage aus Log Analytics, gefiltert auf die Ressource Office 365 Exchange Online
  • Status der Sicherheitsstandards (Security Defaults) im Mandanten

Testschritte:

  1. Feststellen, ob Sicherheitsstandards oder Richtlinien für bedingten Zugriff genutzt werden
  2. Richtlinien mit MFA-Gewährungssteuerung identifizieren und Status, eingeschlossene Benutzer, Zielressourcen und Client-App-Bedingungen notieren
  3. Ausgeschlossene Benutzer und Gruppen auflösen und mit der Liste genehmigter Ausnahmen abgleichen
  4. Die Registrierungsdetails auf lizenzierte Benutzer mit Postfach ohne registrierte MFA-Methode auswerten
  5. Die Anmeldeprotokolle auf erfolgreiche interaktive Anmeldungen an Exchange Online mit Authentifizierungsanforderung „Einzelfaktor“ filtern und nach Benutzer und Ursache auswerten
  6. Freigegebene Methoden der Methodenrichtlinie (z.B. SMS, Sprachanruf) mit der Baseline vergleichen

Referenzen (zu verifizieren): NIS2 Art. 21 Abs. 2 Buchst. j, ISO/IEC 27001:2022 A.8.5, CIS Controls v8 6.3

B-02 Sperre von Legacy- und Basic-Authentifizierung

Soll: Eine aktive Richtlinie für bedingten Zugriff blockiert für alle Benutzer die Client-Apps „Exchange ActiveSync-Clients“ und „Andere Clients“. Die SMTP-AUTH-Clientauthentifizierung ist mandantenweit deaktiviert (SmtpClientAuthenticationDisabled = True) oder nur für dokumentierte, genehmigte Konten freigegeben. Moderne Authentifizierung ist in der Exchange-Organisationskonfiguration aktiviert. Im Auswertungszeitraum gibt es keine erfolgreichen Anmeldungen über Legacy-Authentifizierung außerhalb genehmigter Ausnahmen.

Prüfhandlung: Der Prüfer prüft die Sperrrichtlinie im bedingten Zugriff und die Exchange-Authentifizierungseinstellungen per Exchange Online PowerShell. Danach wertet er die Anmeldeprotokolle auf Legacy-Authentifizierungsclients aus und gleicht Treffer mit den genehmigten Ausnahmen ab.

Nachweise:

  • Export der Richtlinien für bedingten Zugriff mit Client-App-Bedingungen
  • Ausgabe von Get-OrganizationConfig (OAuth2ClientProfileEnabled, DefaultAuthenticationPolicy) und Get-AuthenticationPolicy
  • Ausgabe von Get-TransportConfig (SmtpClientAuthenticationDisabled) und Liste der Postfächer mit abweichender SMTP-AUTH-Einstellung (Get-CASMailbox, SmtpClientAuthenticationDisabled = False)
  • Auswertung der Entra-Anmeldeprotokolle der letzten 30 Tage, gefiltert auf Legacy-Authentifizierungsclients
  • Ausnahmeliste für SMTP AUTH (z.B. Scanner, Fachanwendungen) mit Begründung und Genehmigung

Testschritte:

  1. Richtlinie zur Sperre der Legacy-Authentifizierung identifizieren und Status, Geltungsbereich und Ausschlüsse feststellen
  2. Organisationsweite Authentifizierungsrichtlinie und die Einstellung für moderne Authentifizierung auslesen
  3. Mandantenweite SMTP-AUTH-Einstellung und alle abweichend freigegebenen Postfächer ermitteln
  4. Freigegebene Postfächer mit der genehmigten Ausnahmeliste abgleichen und prüfen, ob Ausnahmen befristet und begründet sind
  5. Anmeldeprotokolle nach Client-App auswerten und erfolgreiche Legacy-Anmeldungen je Konto und Protokoll zählen
  6. Erfolgreiche Legacy-Anmeldungen ohne gültige Ausnahme als Abweichung erfassen

Referenzen (zu verifizieren): ISO/IEC 27001:2022 A.8.5

B-03 Starke Authentifizierung für administrative Zugriffe

Soll: Für alle Inhaber der Entra-Rollen Globaler Administrator, Exchange-Administrator, Administrator für privilegierte Rollen, Sicherheitsadministrator und weiterer in der Baseline als privilegiert eingestufter Rollen erzwingt eine aktive Richtlinie für bedingten Zugriff bei jeder Anmeldung phishingresistente MFA (Authentifizierungsstärke). Diese Richtlinie gilt auch für die Admin-Portale einschließlich Exchange Admin Center und Exchange Online PowerShell. Die Anmeldehäufigkeit administrativer Sitzungen ist gemäß Baseline begrenzt.

Prüfhandlung: Der Prüfer gleicht die Zielgruppen der Admin-Richtlinien mit der Vollerhebung der Rolleninhaber ab und prüft Authentifizierungsstärke und Sitzungssteuerung. Anhand der Anmeldeprotokolle prüft er, mit welchen Methoden sich Administratoren tatsächlich angemeldet haben.

Nachweise:

  • Export der Richtlinien für bedingten Zugriff mit Verzeichnisrollen als Bedingung und Authentifizierungsstärken
  • Export der Definitionen der Authentifizierungsstärken
  • Liste aller aktiven und berechtigten Zuweisungen der privilegierten Entra-Rollen (Microsoft Graph oder PIM-Export)
  • Anmeldeprotokolle der Rolleninhaber der letzten 30 Tage mit verwendeter Authentifizierungsmethode

Testschritte:

  1. Richtlinien identifizieren, die privilegierte Rollen oder Admin-Gruppen adressieren
  2. Prüfen, ob alle in der Baseline als privilegiert eingestuften Rollen in der Richtlinie erfasst sind
  3. Geforderte Authentifizierungsstärke und Anmeldehäufigkeit mit der Baseline abgleichen
  4. Für jeden Rolleninhaber die in den Anmeldeprotokollen verwendeten Authentifizierungsmethoden auswerten
  5. Rolleninhaber mit Anmeldungen ohne phishingresistente Methode oder ohne registrierte phishingresistente Methode als Abweichung erfassen

Referenzen (zu verifizieren): NIS2 Art. 21 Abs. 2 Buchst. j, ISO/IEC 27001:2022 A.8.5, CIS Controls v8 6.5

Bewertungsskala

StufeBedeutung
1 Angemessen und wirksamDie Soll-Kriterien sind erfüllt. Die Maßnahmen sind vollständig ausgestaltet und im Betrachtungszeitraum nachweislich wirksam. Es bestehen höchstens formale Abweichungen ohne Einfluss auf das Sicherheitsniveau.
2 Geringfügiger VerbesserungsbedarfDie Maßnahmen sind grundsätzlich angemessen und wirksam. Einzelne Lücken in Dokumentation, Nachweisführung oder Abdeckung erhöhen das Risiko jedoch leicht, z.B. vereinzelte veraltete Ausnahmen oder unvollständig dokumentierte Überprüfungen. Die Behebung ist im regulären Betrieb möglich.
3 Wesentlicher VerbesserungsbedarfWesentliche Soll-Kriterien sind nicht oder nur teilweise erfüllt, oder die Wirksamkeit ist nicht belegt. Beispiele sind fehlende MFA für Teilgruppen, eine DMARC-Richtlinie ohne Durchsetzung oder eine nicht überwachte Protokollierung. Das Risiko einer Postfachkompromittierung oder eines Domänenmissbrauchs ist erhöht. Maßnahmen sind kurzfristig einzuleiten.
4 Erheblicher MangelGrundlegende Schutzmaßnahmen fehlen oder sind unwirksam. Beispiele sind aktivierte Legacy-Authentifizierung ohne Einschränkung, privilegierte Konten ohne MFA, ein lokaler Exchange-Server mit bekannten ausnutzbaren Schwachstellen und Internetzugang oder eine fehlende Erkennung kompromittierter Postfächer. Ein erfolgreicher Angriff ist wahrscheinlich oder bereits erfolgt. Die Geschäftsleitung ist umgehend zu informieren, Sofortmaßnahmen sind erforderlich.

Rollen (Auszug)

RolleAufgabe
PrüfungsleitungPrüfteam: Leitet die Prüfung operativ. Verantwortet Prüfungsplanung, Kommunikation mit der geprüften Stelle, Interviews zu Governance und Vorfallbehandlung, Qualitätssicherung der Arbeitspapiere, Bewertung der Feststellungen und Berichtsentwurf. Prüft schwerpunktmäßig die Dimensionen A und F.
IT-Prüfer Microsoft 365 und ExchangePrüfteam: Führt die technische Konfigurationsanalyse mit lesenden Rechten (Globaler Leser, View-Only Organization Management) durch. Wertet Exporte aus Exchange Online PowerShell, Microsoft Graph, Defender-Portal, Entra ID und Unified Audit Log aus, fragt DNS-Einträge ab, zieht Stichproben und dokumentiert die Nachweise. Prüft schwerpunktmäßig die Dimensionen B, C, D und E.
Leitung Interne RevisionPrüfteam: Erteilt den Prüfungsauftrag, genehmigt Prüfungsplan und Prüfprogramm, verantwortet Berichtsentwurf und Schlussbericht gegenüber der Geschäftsleitung und die Nachverfolgung der vereinbarten Maßnahmen.
Für IT und Informationssicherheit zuständiges Mitglied der GeschäftsleitungGeprüfter Bereich: Empfänger des Prüfungsberichts und Verantwortlicher für die Billigung und Überwachung der Risikomanagementmaßnahmen nach NIS2. Wird bei Feststellungen der Stufe 4 umgehend informiert.
IT-LeitungGeprüfter Bereich: Gesamtverantwortung für den IT-Betrieb einschließlich Microsoft 365 und externer IT-Dienstleister. Ansprechpartner für Umfang, Ressourcenbereitstellung und Maßnahmenplanung; Adressat der Anforderung von Dienstleisterverträgen.
Service-Verantwortung Microsoft 365 / Exchange OnlineGeprüfter Bereich: Fachlich und organisatorisch verantwortlich für den E-Mail-Dienst, die Konfigurationsbaseline, das Abweichungsregister, die Festlegung von Postfächern mit besonderem Schutzbedarf und die Rezertifizierung von Postfach- und Anwendungsberechtigungen. Zentraler Ansprechpartner der Prüfung auf Seite der geprüften Stelle und koordiniert die Unterlagenlieferung.

Angeforderte Unterlagen (Auszug)

UnterlageInhalt
Konfigurationsbaseline Exchange Online mit Versionshistorie und FreigabeGültige Fassung der Härtungsvorgabe bzw. Baseline mit Sollwerten je Einstellungsbereich, Versionshistorie, Freigabevermerk (z.B. Protokoll des Sicherheitsgremiums) und Nachweis der letzten Überprüfung.
Informationssicherheitsleitlinie bzw. Cloud-SicherheitsrichtlinieGültige, freigegebene Fassung der übergeordneten Richtlinie, aus der die Exchange-Online-Baseline abgeleitet ist.
Betriebskonzept Exchange Online mit Rollen- und AufgabenzuordnungBetriebskonzept bzw. Servicebeschreibung für Exchange Online und den Hybridserver mit RACI-Matrix oder Rollenbeschreibungen, Vertretungsregelung und IT-Organigramm mit Zuordnung des Microsoft-365-Teams.
Verträge und Leistungsbeschreibungen externer Dienstleister für Betrieb und SicherheitsüberwachungLeistungsbeschreibungen bzw. Leistungsvereinbarungen externer Dienstleister für Microsoft-365-Betrieb, Hybridserver oder SOC, einschließlich Aufgabenabgrenzung und vereinbarter Reaktionszeiten je Schweregrad. Nur sofern Dienstleister eingesetzt werden.
Prozessbeschreibung Change-Management mit Regelungen für Microsoft-365-Änderungen und NotfalländerungenGültige Prozessbeschreibung mit Change-Kategorien, Bewertung der Sicherheitsauswirkung, Genehmigungsstufen, Funktionstrennung zwischen Genehmigung und Umsetzung sowie nachträglicher Genehmigung von Notfalländerungen.

Interviewleitfaden (Auszug)

Gespräch mit: Service-Verantwortung Microsoft 365 / Exchange Online, 60 Minuten.

  • Welche Aufgaben rund um Exchange Online und den Hybridserver liegen bei Ihnen, welche bei Administration, Serverbetrieb, Sicherheitsüberwachung und externen Dienstleistern, und wer vertritt Sie?
  • Wie ist die aktuelle Baseline entstanden, wer hat sie freigegeben, und wann und aus welchem Anlass wurde sie zuletzt überprüft?
  • Wie wird entschieden, dass eine Einstellung bewusst von der Baseline abweicht, wer bewertet das Risiko und wie stellen Sie sicher, dass abgelaufene Abweichungen beendet werden?
  • Nach welchen Kriterien legen Sie fest, welche Postfächer besonderen Schutzbedarf haben, und wer entscheidet über Vollzugriffs-, Senden-als- und Ordnerrechte auf diese Postfächer?

Gliederung der Berichtsvorlage

  • 1 Zusammenfassung für die Geschäftsleitung: Gesamturteil, Bewertung je Dimension, wesentliche Feststellungen der Stufen 3 und 4, prioritärer Handlungsbedarf
  • 2 Prüfungsauftrag, Prüfungsziel und Maßstab (NIS2 Art. 21 und Art. 23 bezogen auf den E-Mail-Dienst, organisationseigene Baseline, ergänzende Orientierung an Microsoft-Empfehlungen und CIS Microsoft 365 Foundations Benchmark)
  • 3 Prüfungsgegenstand, Stichtag, Betrachtungszeitraum und Abgrenzungen
  • 4 Vorgehen: Prüfungsmethoden, technischer Zugang, Stichprobenverfahren, Einschränkungen und nicht geprüfte Prüfzeilen
  • 5 Bewertungsskala und Bewertungslogik
  • 6 Ergebnisse je Dimension: A Governance und Konfigurationsmanagement, B Authentifizierung und privilegierter Zugriff, C Mailfluss, Domänenschutz und Hybridinfrastruktur, D Schutz vor Phishing, Schadsoftware und Spam, E Postfach- und Clientzugriffsberechtigungen, F Protokollierung, Überwachung und Vorfallbehandlung; je Dimension Leitfrage, Bewertung, positive Feststellungen und Verweis auf Feststellungen
  • 7 Feststellungen im Einzelnen, sortiert nach Bewertungsstufe
  • 8 Maßnahmenplan mit verantwortlichen Funktionen und Umsetzungsterminen
  • 9 Stellungnahme der geprüften Stelle
  • Anlage A: Prüfprogramm mit Ergebnis je Prüfzeile (erfüllt, teilweise erfüllt, nicht erfüllt, nicht geprüft)
  • Anlage B: Verzeichnis der ausgewerteten Unterlagen und Exporte
  • Anlage C: Interviewpartner nach Funktion
  • Anlage D: Grundgesamtheiten, Stichprobenumfänge und Abweichungen
  • Anlage E: Glossar der technischen Begriffe

Alle weiteren Inhalte stehen im Download.

Dasselbe für Ihre Prüfung

Ein Paket entsteht aus Ihren Angaben zu Thema, Umfang, Regelwerk und Team. Für einen Test mit Kontingent legen Sie ein Konto an und fragen kurz an.

Test anfragen Preise ansehen

Paket herunterladen (ZIP, Word und Excel)