HU-MultiTenant Roadmap

Fertig · 2.2.5

Sicherheitsanalyse

Analyse > Sicherheit: eine Matrix – Prüfungen als Zeilen, Tenants als Spalten; Unterschiede zwischen den Tenants fallen sofort auf.
40 Prüfungen, angelehnt an die BMBWF Security Baseline V2.1: bedingter Zugriff und MFA, Admin-Rollen und veraltete Admin-Konten, Notfallkonten, Geoblock, Adminportale, App-Zustimmung, ablaufende Secrets, Gäste und offene Einladungen, Kennwortschutz, Partner-Organisationen, Secure Score, Compliance und Verschlüsselung, Verzeichnissync und Sync-Fehler, Admin-Konten aus dem lokalen AD, schwache Anmeldemethoden, Apps mit kritischen Rechten, SharePoint-Freigaben.
Zu jeder Zahl gibt es eine Liste dahinter (Richtlinien, Konten, Apps, Geräte, Gäste) – mit Filter nach Bereich und Schweregrad. Listen mit Personendaten nur zur Anzeige.
Notfallkonten werden in allen aussperrfähigen Richtlinien geprüft (hinterlegt oder gemeinsam ausgenommen), Gruppen aufgelöst; Geoblock nur mit Länder-Standorten, Adminportale nur mit Ausnahme für Admins; veraltete Admin-Konten auch über Gruppenrollen, gezählt nur erfolgreiche Anmeldungen.
Am Handy: Reiter „Sicherheit“ in der Fernbedienung (Tablet- bzw. Querformat) mit Matrix, Ampel und Listen – Personendaten nur mit PIN.
Klare Ergebnisse: OK, Abweichung, Ausnahme oder „nicht prüfbar“ mit Grund (Recht, Lizenz, Technik).
Ausnahmen mit Begründung und Ablaufdatum, Verlauf ohne Namen.
Ampel je Tenant in der letzten Matrixzeile; Soll speichern hält den geprüften Stand fest, die Teams-Meldung „Sicherheits-Änderung“ meldet täglich jede Änderung dagegen und einmal, wenn eine Prüfung an 3 Läufen in Folge nicht mehr möglich ist.

Fertig · 2.3.0

Weitere Prüfpakete

Teams und Gruppen (Besitzer, Gäste, öffentliche Teams, wer anlegen darf) – erledigt (C03 bis C08).
Intune-Sicherheit im Vergleich zwischen den Tenants (Compliance-Grundeinstellung, Update-Ring, BitLocker, Defender, Firewall, LAPS, ASR, EDR, offene Alarme) – erledigt (E05 bis E16).
Lizenzen und Konten-Hygiene, Anmeldeauffälligkeiten (K01 bis K06) – erledigt.
Rest aus der Security Baseline: Selbstregistrierung, Cross-Tenant-Standardregeln, delegierte App-Zustimmungen für alle Benutzer, Freigabe nach außen (A43 bis A46) – erledigt. Anmelderisiko nur mit P2 (K06).
Reste aus der Prüfung von 2.2.5 (Höchstwert für die Gast-Anmeldehäufigkeit, Namensauflösung bei Notfallkonten, Hinweis bei schlechterem Soll-Stand) – erledigt.
Bedienung: Ausnahmen für mehrere Tenants auf einmal, Regeln abschalten (z. B. ohne P2), Regelliste schon beim Öffnen, ruhigere Teams-Meldung (nur Statuswechsel bzw. stumm je Regel, mit Hinweis in der Meldung), wirkungslose Ausnahmen markiert – erledigt.
„So behebst du es“ je Regel: Portal-Pfad, Schritte und Microsoft-Learn-Link, monatlich automatisch gegen Learn geprüft – erledigt, Anleitungen für alle 68 Regeln.

Dann · 2.4.0

Sichern und Wiederherstellen

Konfigurations-Backup für alle Tenant-Einstellungen, nicht nur Intune und bedingten Zugriff – inklusive der Baseline-Einstellungen (Autorisierungsrichtlinie, Kennwortregeln, Cross-Tenant-Zugriff, benannte Orte).
Wiederherstellen aus dem Backup in denselben Tenant, mit Testlauf „vorher → nachher“ und Rückfrage; bedingter Zugriff kommt zuerst nur im Berichtsmodus zurück.
Einen Mustertenant als Soll-Stand festhalten (vollständige Einstellungen, nicht nur Ergebnisse).
Gruppen, Orte, Apps und Notfallkonten je Tenant über den Namen zuordnen – Grundlage für das Übertragen.
Sicherungen enthalten vollständige Richtlinien und liegen deshalb nur lokal, mit Ablaufdatum. Der Katalog bleibt rein lesend; Schreiben läuft getrennt, mit eigenen Rechten.

Danach · 2.5.0

Angleichen und Übertragen

Von Tenant X übernehmen: abweichende Einstellungen direkt aus der Matrix auf andere Tenants übertragen.
Baseline-Einstellungen übertragen: was in einem Tenant nach der Security Baseline eingestellt ist (z. B. Geoblock, Adminportale gesperrt, Gäste-Sitzungsdauer, Benutzerrechte, MSOL blockiert, Kennwortschutz), lässt sich auf die anderen Tenants übernehmen.
Vor jeder Änderung ein Backup (aus 2.4.0) und „Rückgängig“; Vorschau „vorher → nachher“ und doppelte Rückfrage.
Gruppen und Orte werden über den Namen zugeordnet; bedingter Zugriff kommt zuerst nur im Berichtsmodus an, Notfallkonten bleiben ausgenommen.
Schreibrechte als eigene Stufe, nur wenn man sie bewusst freigibt.

Später · 2.6.0

Mail und Teams

Exchange- und Teams-Richtlinien: externe Weiterleitung, Überwachungsprotokoll, Mailschutz, externe Teams-Zugriffe – nur mit Leserolle.
Eigene Technik außerhalb von Graph (Exchange Online und Teams), mit eigenen Rechten – deshalb als eigene Stufe.
On-Premises-Teile der Baseline (Delegierung bei Admin-Konten, Betriebssystemstände im AD, Kennwortlänge, LAPS bzw. Tier-Konzept) liegen nicht in der Cloud und bleiben einem eigenen Werkzeug vorbehalten.

Ideen

Auf der Liste

2.3.x: Sicherheitsabfrage am Handy schneller – Zwischenspeicher je Fakt, damit nur Geändertes neu gelesen wird.
2.3.x: automatischer Oberflächentest für die farbigen Zeilen (Sollwerte, Ausnahmen).
Schuljahreswechsel-Assistent: alte, doppelte und ausgeschiedene Geräte aufräumen, mit Probelauf.
Teams: Freigaben direkt aus der Meldung.
Sandbox-Tests mit mehreren Fällen und Vorbereitungsskript.
PowerShell 7 zusätzlich nutzen: die App erkennt beim Start, ob es installiert ist, und nutzt es dann; sonst bleibt sie bei Windows PowerShell 5.1. Code läuft weiter auf beiden, Logik bleibt getrennt von der Oberfläche.

Regelnummern im Sicherheitskatalog: A = Einstellungen aus der Security Baseline (Entra, Apps, SharePoint) · V = Grundschutz-Kernregeln der ersten Fassung (Notfallkonten, MFA, Gerätecode-Flow, Berichte) · C = Teams und Gruppen · E = Intune, Geräte und Defender · K = Konten, Lizenzen und Anmeldungen. Die Nummer bleibt fest und wird nie neu vergeben; Lücken stammen von zusammengelegten oder gestrichenen Regeln. Zum Filtern zählt die Spalte Bereich, nicht der Buchstabe.

Ein Plan, keine Zusage – Reihenfolge und Umfang können sich ändern. Was fertig ist, steht im Changelog.