Warum Ihre standardmäßigen M365-Überwachungsprotokolle gefährliche externe Freigaben verbergen

Von Mirko Peters · 2026-08-11

Willkommen zurück im Blog! Wenn Sie einen Microsoft 365-Mandanten verwalten, schlafen Sie vermutlich nachts ruhig, weil Sie glauben, dass Ihre integrierten Überwachungsprotokolle Sie absichern. Microsoft bietet schließlich out of the box robuste Sicherheits- und Compliance-Funktionen, oder? Leider gilt bei externen Freigaben für SharePoint und OneDrive: Wer sich auf die Standardeinstellungen verlä

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! Wenn Sie einen Microsoft 365-Mandanten verwalten, schlafen Sie vermutlich nachts ruhig, weil Sie glauben, dass Ihre integrierten Überwachungsprotokolle Sie absichern. Microsoft bietet schließlich out of the box robuste Sicherheits- und Compliance-Funktionen, oder? Leider gilt bei externen Freigaben für SharePoint und OneDrive: Wer sich auf die Standardeinstellungen verlässt, riskiert eine Katastrophe. Organisationen gehen regelmäßig davon aus, dass jede Dateibewegung, jede Gastanmeldung und jede Linkerstellung sicher protokolliert und leicht überprüfbar ist, weil die Überwachung aktiviert ist. In Wirklichkeit verbergen Ihre standardmäßigen M365-Überwachungsprotokolle gefährliche externe Freigabeaktivitäten vermutlich offen sichtbar.

In diesem umfassenden Leitfaden decken wir die blinden Flecken der Microsoft 365-Überwachung auf, erklären, warum eine Aufbewahrungsdauer von 90 Tagen für moderne Compliance nicht mehr ausreicht, und zeigen Ihnen die konkrete technische Vorgehensweise, mit der Sie einen rohen, unbeherrschbaren Datenstrom in präzise, umsetzbare Sicherheitsinformationen verwandeln. Lassen Sie uns tief einsteigen, wie Sie aufhören, im Blindflug zu agieren, und die volle Kontrolle über Ihre Zusammenarbeitsumgebung zurückgewinnen.

Warum Ihre standardmäßigen M365-Überwachungsprotokolle gefährliche externe Freigaben verbergen

Die größte Falle in der Microsoft 365-Administration ist die Annahme, dass der Status „Überwachung aktiviert“ vollständige Transparenz bedeutet. Das tut er nicht. Standardmäßig lassen die Mandanteneinstellungen wichtige granulare Ereignisse aus, insbesondere bei der Erstellung anonymer Links, der Nutzung von Gastbenutzerlinks und bestimmten Dateizugriffen. Wenn ein Benutzer für eine sensible Finanztabelle die anonyme Berechtigung „Jeder mit dem Link“ erstellt und ein externer Akteur die Datei herunterlädt, übersieht Ihre standardmäßige Überwachungsabfrage das Nutzungsereignis unter Umständen vollständig.

Darüber hinaus beträgt die standardmäßige Aufbewahrungsdauer der Überwachungsprotokolle lediglich 90 Tage. Bei den meisten internen Untersuchungen, Compliance-Prüfungen oder ausgeklügelten Cyberangriffen, bei denen die Verweildauer drei Monate übersteigt, verschwinden diese Protokolle einfach im Nichts. Wenn die Daten gar nicht erst protokolliert wurden, kann weder ein SIEM, noch ein automatisiertes Skript, noch ein Forensiker etwas retten. Sie müssen Ihre grundlegende Überwachungsabdeckung korrigieren, bevor Sie an nachgelagerte Automatisierung oder Security Orchestration denken.

Ihre Überwachungsgrundlage absichern (Pflichteinstellungen)

Bevor Sie eine einzige Zeile PowerShell schreiben oder Warnmeldungen konfigurieren, sollten Sie die Basiskonfiguration Ihres Mandanten absichern. Dies sind die zwingend erforderlichen Schritte, die Sie sofort umsetzen müssen:

• Aktivieren Sie die erweiterte Überwachung für SharePoint und OneDrive auf Mandantenebene, und zwar über Exchange Online PowerShell oder das Compliance-Portal von Microsoft Purview.
• Stellen Sie ausdrücklich sicher, dass die Protokollierung sowohl für die Linkerstellung als auch für die Linknutzung aktiv ist, und achten Sie dabei besonders auf anonyme Links und Gastlinks.
• Verlängern Sie Ihre Aufbewahrungsrichtlinien für Überwachungsprotokolle deutlich über die Standarddauer von 90 Tagen hinaus, um moderne Compliance-Anforderungen und Anforderungen interner Untersuchungen zu erfüllen (empfohlen werden 180 bis 365 Tage).
• Vereinheitlichen Sie Ihre Richtlinien für die Website-Bereitstellung, damit neu erstellte SharePoint-Websites und Microsoft 365-Gruppen diese verschärften Überwachungseinstellungen automatisch übernehmen, ohne manuelles Eingreifen.

Aus Rauschen Signale machen (PowerShell richtig eingesetzt)

Sobald Ihre Überwachungsprotokolle tatsächlich die richtigen Daten erfassen, werden Sie schnell eine weitere Erkenntnis haben: Der rohe Überwachungsdatenstrom ist ohrenbetäubend. Rohe Protokolle liefern Tausende routinemäßiger Ereignisse, die enormen operativen Aufwand verursachen. Damit diese Daten nützlich werden, müssen Sie gezielt abfragen und jede einzelne Datenzeile mit Kontext anreichern.

Konzentrieren Sie Ihre Abfragen auf risikoreiche Ereignisse wie SharingCreated, SharingSet, AnonymousLinkCreated, AnonymousLinkUsed und AccessRequestApproved. Reichern Sie anschließend jede Zeile mit wichtigem Kontext an:

• Klassifizierung der Zieldomäne: Ordnen Sie Domänen automatisch den Kategorien Unternehmenspartner, interne Domänen oder private/Verbraucherdomänen zu (etwa gmail.com, yahoo.com oder outlook.com).
• Kontext zu Dateivertraulichkeit und Container: Ordnen Sie der betroffenen Datei die Vertraulichkeitsbezeichnung aus Microsoft Purview sowie die übergeordnete Website oder den OneDrive-Container zu.
• Kontext zum Risiko des Akteurs: Gleichen Sie den Benutzer, der die Aktion ausführt, mit HR- oder Identitätssystemen ab, um ausscheidende Mitarbeiter, VIPs oder kompromittierte Konten zu kennzeichnen.

Statt sich auf subjektive Einschätzungen zu verlassen, gelten strikte Regeln: Eine sensible Dateibezeichnung in Kombination mit einer externen privaten Domain ergibt sofort ein HohES Risiko. Erstellen Sie zwei getrennte Ergebnisse: eine „Aktionswarteschlange“ mit 10 bis 50 Zeilen, die eine manuelle Prüfung erfordern, und ein vollständig normalisiertes „Evidenzprotokoll“ für Ihre SIEM- oder BI-Tools.

Echtzeitwarnungen, die tatsächlich funktionieren

Verabschieden Sie sich von der Strategie „Warnung bei allen externen Freigaben“. Sie sorgt dafür, dass Ihr Security-Operations-Team Warnungen aufgrund der schieren Menge ignoriert. Erstellen Sie stattdessen eine mehrstufige Richtlinienmatrix für Warnungen:

• Lösen Sie eine sofortige Warnung an SecOps aus, sobald eine mit einer Vertraulichkeitsbezeichnung versehene Datei an einen externen Empfänger außerhalb Ihrer vorab genehmigten Partner-Allowlist freigegeben wird.
• Wird für eine sensible Datei ein anonymer Link erstellt, lösen Sie eine Warnung aus und setzen gleichzeitig ein automatisiertes Skript ein, das diesen Link abläuft.
• Achten Sie auf ungewöhnliche Häufungen, etwa eine hohe Anzahl externer Freigaben durch einen einzelnen Benutzer innerhalb eines kurzen Zeitfensters. In diesem Fall lösen Sie eine temporäre Drosselung zusammen mit einer Benachrichtigung aus.

Planen Sie stets Abklingzeiten und Deduplizierungsmechanismen ein, um Alarmmüdigkeit zu vermeiden. Leiten Sie Warnungen direkt in eine gezielte Ticketwarteschlange oder einen eigenen SecOps-Kanal, der klare Verantwortliche, Playbooks und Ein-Klick-Rollback-Links bereitstellt.

Skalierung auf Unternehmensebene

Manuelle Skripte und wöchentliche CSV-Exporte versagen schnell, sobald Ihre Organisation mehr als einige hundert Benutzer umfasst. Um eine belastbare Überwachungsinfrastruktur für das Unternehmen aufzubauen, benötigen Sie ein robustes Automatisierungsfundament auf Basis von Azure Automation oder Azure Logic Apps, das rollierende 7-Tage-Deltas zusammen mit monatlichen Nachladungen verarbeitet.

Implementieren Sie konsequente Paginierung und Checkpoints, damit die Verarbeitung ab dem letzten Cursor sauber fortgesetzt werden kann und API-Drosselungen (HTTP-429-Fehler) sauber behandelt werden. Stellen Sie sicher, dass Ihre Automatisierung neu bereitgestellte Websites laufend erkennt und Ihre Basisregeln für Überwachung und Bezeichnung automatisch anwendet. Überwachen Sie abschließend die Gesundheit Ihrer Pipeline: Richten Sie automatisierte Warnungen ein, falls das erwartete Ereignisvolumen plötzlich sinkt, da dies auf eine defekte Aufnahme der Überwachungsprotokolle hindeutet.

Schnelle Erfolge in dieser Woche

Wenn Sie Ihrer Geschäftsführung kurzfristig eine spürbare Risikoreduzierung zeigen müssen, sollten Sie in den nächsten Tagen diese schnellen Erfolge angehen:

• Aktivieren Sie die Protokollierung der Nutzung anonymer Links und verlängern Sie die Aufbewahrungsdauer im Purview-Portal.
• Erstellen Sie eine Basis-Sperrliste für „private Domains“, um kostenlose E-Mail-Anbieter wie Gmail, Yahoo und Hotmail zu kennzeichnen.
• Wenden Sie Vertraulichkeitsbezeichnungen auf Ihre Dokumentbibliotheken für Finanzen und Personal an und blockieren Sie per Richtlinie die Erstellung anonymer Links.
• Versenden Sie wöchentlich einen Bericht mit den „Top 10 riskanten Freigaben“ an das IT-Management, inklusive Dateiverantwortlichen und Ein-Klick-Links zum Widerruf.
• Legen Sie eine Regel zur Erkennung von Häufungen für Benutzer an, die fünf oder mehr externe Freigaben innerhalb von 10 Minuten ausführen.

30-Tage-Einführungsplan (Überblick)

Damit Ihre Umsetzung strukturiert und überschaubar bleibt, folgen Sie diesem phasenweisen Fahrplan für 30 Tage:

• Woche 1: Verschärfung der Überwachungsrichtlinien, Verlängerung der Aufbewahrung, Erstellung von Basisexporten und Festlegung Ihrer Domain-Allow- und Deny-Listen.
• Woche 2: Implementierung von PowerShell-Skripten zur Anreicherung von Vertraulichkeitsbezeichnungen und Domains, Aufbau von Risikobewertungsmatrizen und Einrichtung Ihrer Aktionswarteschlange für die Triage.
• Woche 3: Bereitstellung von Echtzeit-Warnregeln mit Deduplizierung, Abklingzeiten und automatischem Ablauf von Links bei hochriskanten Freigaben.
• Woche 4: Skalierung der Automatisierung über Azure Automation oder Logic Apps, Erstellung von Power-BI-Dashboards für die Geschäftsführung und Finalisierung der operativen Playbooks.

Executive- & Ops-KPIs

Um den laufenden Erfolg Ihres Governance-Programms für externe Freigaben zu messen, verfolgen Sie diese Leistungskennzahlen:

• Geschwindigkeit externer Freigaben: Die Anzahl neu erstellter externer Links pro Tag, aufgeschlüsselt nach Website, Vertraulichkeitsbezeichnung und Zieldomain.
• Quote sensibler Datenabflüsse: Die Häufigkeit, mit der Dateien mit Vertraulichkeitsbezeichnung an nicht genehmigte Nicht-Partner-Domains freigegeben werden.
• Zeit bis zum Widerruf: Die durchschnittliche Zeitspanne vom Auftreten einer riskanten Freigabe bis zur erfolgreichen Sperrung des Zugriffs.
• Anomalien bei Häufungen: Die Häufigkeit, mit der Benutzer definierte Freigabeschwellen überschreiten.
• Abdeckung der automatischen Behebung: Der Prozentsatz riskanter Links, die automatisch abgelaufen oder per Richtlinie blockiert werden.

Häufige Fehler, die Sie vermeiden sollten

Achten Sie beim Aufbau Ihrer Überwachungs- und Behebungsstrategie bewusst darauf, diese häufigen Fehler zu vermeiden:

• Sich blind auf die Standardkonfiguration der Überwachung und das Standard-Aufbewahrungsfenster von 90 Tagen zu verlassen.
• "Alles exportieren"-Skripte einzusetzen, denen die nötige Kontextanreicherung oder Triage-Warteschlangen fehlen.
• Zu weit gefasste "Bei allem alarmieren"-Regeln zu erstellen, die Sicherheitsmitarbeitende dazu bringen, Benachrichtigungen zu ignorieren.
• Statische Website-Listen fest zu codieren, statt neue Zusammenarbeitsbereiche dynamisch zu erkennen.
• Governance als einmaliges Bereinigungsprojekt zu behandeln statt als fortlaufenden, automatisierten Prozess.

Playbooks zum schnellen Zugriff

Statten Sie Ihre Helpdesk- und Sicherheitsteams mit klaren, wiederholbaren Playbooks für die Reaktion auf Sicherheitsvorfälle aus:

• Freigabe widerrufen und extern benachrichtigen: Den unautorisierten Freigabelink sofort deaktivieren, den Dateibesitzer über eine automatisierte Benachrichtigung informieren und eine erneute Freigabe ausschließlich über autorisierte Partnerdomänen verlangen.
• Prüfung bei ausscheidenden Mitarbeitenden: Alle OneDrive-Freigaben eines Benutzers auflisten, der offboarded wird, den Zugriff über private Consumer-Domänen automatisch widerrufen und die Besitzrechte an die direkte Führungskraft übergeben.
• VIP-Überwachung: Strengere Anomalie-Schwellenwerte, kürzere Ablaufzeiten für Links und eine sofortige Benachrichtigung bei jeder Aktivität mit Inhalten auf Führungsebene durchsetzen.

Fazit

Sehen, bewerten, stoppen. Sie müssen zuerst Ihre Grundlagen der Überwachung korrigieren, Rohereignisse mit aussagekräftigem Geschäftskontext anreichern, intelligent alarmieren, ohne Rauschen zu erzeugen, und alles automatisieren, um echte Skalierbarkeit im Unternehmensmaßstab zu erreichen. So sorgen Sie dafür, dass die Zusammenarbeit im Unternehmen schnell, flüssig und sicher bleibt und Ihre sensiblen Unternehmensdaten zuverlässig im eigenen Hoheitsbereich bleiben.

Um noch mehr darüber zu erfahren, wie Sie Ihren Mandanten absichern und Risiken erkennen, bevor es zu einem Schaden kommt, sollten Sie sich die passende Podcast-Episode anhören: Detect Risky SharePoint and OneDrive External Sharing. Dort vertiefen wir diese Strategien, damit Sie Ihre M365-Sicherheit sicher im Griff haben!