Harden
Schwachstellen finden. Das Wichtigste zuerst beheben.
Harden ist die technische Sicherheitspraxis von Aegentra. Wir bewerten Microsoft 365, testen Systeme auf ausnutzbare Schwachstellen, stärken die E-Mail-Authentifizierung und schützen sensible Daten. Jede Feststellung wird nach Risiko eingestuft, damit Ihr Team weiß, was zuerst zu beheben ist. Beraterinnen und Berater in Europa arbeiten remote und vor Ort in Deutschland.
Leistungen
Vier Wege, wie Harden Risiken senkt
Sicherheitsbewertung von Microsoft 365
Eine Konfigurations- und Nachweisprüfung des vereinbarten Microsoft-365-Mandanten. Wir untersuchen, wie Anmeldungen geschützt sind, wer privilegierte Rollen hat, wie E-Mail und Zusammenarbeit konfiguriert sind und welche Geräte verwaltet werden, und erklären, welche Verbesserungen Ihre vorhandenen Lizenzen unterstützen.
- Identitäten, Multi-Faktor-Authentifizierung und Administratorrollen
- E-Mail-Schutz und externe Weiterleitungen
- Freigaben und Gastzugriff in SharePoint, OneDrive und Teams
- Geräteverwaltung und Zuständigkeit für Warnmeldungen
- Ein priorisiertes Feststellungsregister und ein Maßnahmenplan
Penetrationstests
Autorisierte Tests vereinbarter Webanwendungen, APIs sowie externer oder interner Netzwerke mit Werkzeugen und manuellen Techniken, die Schwachstellen im erlaubten Umfang validieren. Tests beginnen erst nach schriftlicher Autorisierung, und dringende Feststellungen werden während des Tests eskaliert, statt bis zum Bericht zu warten.
- Webanwendungen und APIs, einschließlich Benutzerrollen und Trennung zwischen Kunden
- Externe Netzwerke und aus dem Internet erreichbare Dienste
- Interne Netzwerke von einem vereinbarten Ausgangspunkt aus
- Ein Bericht, der geschäftliche Auswirkungen und Behebung erklärt
- Ein Nachtest der ursprünglichen Feststellungen, sofern vereinbart
E-Mail-Sicherheit: SPF, DKIM und DMARC
Erschweren Sie das Fälschen Ihrer Domain. Wir erfassen die Dienste, die in Ihrem Namen E-Mails versenden, prüfen SPF, DKIM und DMARC gemeinsam und führen DMARC schrittweise zur Durchsetzung – auf Grundlage legitimer E-Mail-Flüsse, statt blind eine restriktive Richtlinie zu veröffentlichen.
- Verzeichnis der Domains und autorisierten Absender
- Konfiguration und Auswertung von SPF, DKIM und DMARC
- Phishing-, Link- und Anhangsschutz im Rahmen Ihrer Lizenzen
- Prüfung von Postfachweiterleitungen und -berechtigungen
- Dokumentierte Ausnahmen und Eskalationswege
Informationsschutz
Verringern Sie die unangemessene Offenlegung von Informationen in Microsoft 365. Wir prüfen, wer auf wichtige Dateien zugreifen kann und wie geteilt wird, entwickeln eine verständliche Klassifizierung und gestalten Vertraulichkeitsbezeichnungen und Data Loss Prevention rund um die Daten und Abläufe, auf die es ankommt.
- Prüfung von Freigaben und Zugriffen für vereinbarte Websites und Workloads
- Ein Klassifizierungsschema, das zu Ihren Informationen passt
- Vertraulichkeitsbezeichnungen und DLP-Richtlinien, vor dem Rollout pilotiert
- Vorbereitung auf Microsoft 365 Copilot, das innerhalb bestehender Berechtigungen arbeitet
Nach Risiko priorisiert
Jede Feststellung hat eine Einstufung und einen nächsten Schritt
Jede Feststellung wird nach der Wahrscheinlichkeit einer Ausnutzung und den Auswirkungen auf die betroffenen Informationen und Dienste eingestuft und so geordnet, dass die schwerwiegendste Gefährdung zuerst angegangen wird. Die Einstufung erklärt die Entscheidung; sie ist keine Punktzahl, die es zu optimieren gilt.
- Kritisch
- Eine Gefährdung, die jetzt ausgenutzt werden könnte und schwere Folgen hätte. Sofortige Eskalation über den vereinbarten Weg.
- Hoch
- Eine erhebliche Schwachstelle, die vorrangig zu behandeln ist.
- Mittel
- Eine Schwachstelle, die in geplante Arbeiten eingeplant werden sollte.
- Niedrig
- Eine Härtungsmaßnahme oder gute Praxis mit begrenzter direkter Auswirkung.
So läuft es ab
Vom Erstgespräch zu geprüften Änderungen
Erstgespräch
Wir klären die Systeme, Mandanten oder Anwendungen im Umfang, Ihre Anliegen, Zugriffsregelungen und nötige Genehmigungen Dritter und bieten dann einen Festpreis an.
Bewerten oder testen
Wir prüfen die Konfiguration oder testen die vereinbarten Ziele im Rahmen der schriftlichen Autorisierung und der vereinbarten Grenzen.
Einstufen und erklären
Feststellungen werden nach Risiko eingestuft und anhand der betroffenen Informationen und Dienste erklärt.
Änderungen vereinbaren
Sie entscheiden, welche Behebung Sie freigeben, zurückstellen oder Ihrem IT-Dienstleister übertragen. Die Umsetzung wird gesondert vereinbart.
Verifizieren
Sofern vereinbart, testen oder prüfen wir umgesetzte Änderungen erneut und halten fest, was behoben ist und was offen bleibt.
Grenzen
Was Harden nicht verspricht
Eine Bewertung oder ein Test deckt einen vereinbarten Umfang zu einem bestimmten Zeitpunkt ab. Sie belegt nicht, dass ein System sicher ist, macht eine Organisation nicht konform mit einem Rahmenwerk und ist weder ein Rund-um-die-Uhr-Monitoring noch eine Vorfallsreaktion, sofern dies nicht gesondert vereinbart ist.
Manche Auftraggeber verlangen Tester mit bestimmten Qualifikationen oder einen akkreditierten Testdienstleister. Prüfen Sie die genaue Anforderung, bevor Sie einen Test beauftragen; Ihr Angebot nennt, wer die Arbeit durchführt.
Technische Arbeit kann Nachweise für ein ISMS nach ISO/IEC 27001 oder ein KI-Managementsystem nach ISO/IEC 42001 liefern.
Sie wissen nicht, wo Sie anfangen sollen?
Schildern Sie uns Ihr Anliegen, wie viele Personen ungefähr Microsoft 365 nutzen und ob ein IT-Dienstleister Sie betreut.