Datenpanne nachweisen: Warum Microsoft 365 ohne Protokoll schweigt

Inhalt in Kürze

• Ohne Protokoll gibt es keine Entlastung. Wer nach einer Kontoübernahme nicht belegen kann, dass niemand mitgelesen hat, muss auf Verdacht melden.
• Zwei Einstellungen, nicht eine. Das einheitliche Prüfprotokoll und die Postfach-Prüfprotokollierung sind getrennt. Nur zusammen beantworten sie die entscheidende Frage.
• Rückwirkend gibt es nichts. Das Protokoll beginnt mit dem Einschalten. Wer es nach dem Vorfall aktiviert, hat für den Vorfall selbst nichts.
• Die 72-Stunden-Frist läuft ab Kenntnis, nicht ab abgeschlossener Untersuchung.

Ein Mitarbeiter fällt auf eine Phishing-Mail herein. Das Kennwort ist weg, der Zugriff bestand über zwei Tage. Die Kontoübernahme wird bemerkt, das Kennwort zurückgesetzt, die Sitzung beendet. So weit, so beherrschbar.

Dann kommt die Frage, an der es regelmäßig hakt: Hat der Angreifer Nachrichten gelesen?

Wer sie nicht beantworten kann, muss auf Verdacht melden. Und das bedeutet: Information der betroffenen Personen, Eintrag im Verarbeitungsverzeichnis, Rückfragen der Aufsichtsbehörde. Alles wegen einer Einstellung, die vorher zwei Klicks gekostet hätte.

Was Artikel 33 DSGVO tatsächlich verlangt

Die Meldepflicht knüpft an die Verletzung des Schutzes personenbezogener Daten an — nicht an den Nachweis, dass Daten abgeflossen sind. Eine Kontoübernahme mit Zugriff auf ein Postfach voller Kundenkorrespondenz ist eine solche Verletzung, unabhängig davon, was der Angreifer damit gemacht hat.

Ausnahme ist der Fall, dass die Verletzung voraussichtlich nicht zu einem Risiko führt. Genau hier entscheidet sich alles: Diese Einschätzung müssen Sie begründen können. Ohne Protokolldaten ist die Begründung eine Behauptung.

Zwei Einstellungen, die oft verwechselt werden

In Microsoft 365 gibt es dafür zwei getrennte Schalter. Wer nur einen kennt, hat die Hälfte.

1. Das einheitliche Prüfprotokoll. Es zeichnet auf Mandantenebene auf, was in Exchange, SharePoint, Teams und Entra passiert — Anmeldungen, Regeländerungen, Freigaben. Ohne es sehen Sie nach einem Vorfall gar nichts.
2. Die Postfach-Prüfprotokollierung. Sie zeichnet je Postfach auf, wer welche Nachricht geöffnet, verschoben oder gelöscht hat. Erst sie beantwortet die Frage, ob wirklich mitgelesen wurde.

Der zweite Punkt ist der entscheidende und wird am häufigsten übersehen. Ein Mandant kann das einheitliche Prüfprotokoll sauber führen und trotzdem nicht sagen, welche E-Mails geöffnet wurden — weil die Postfach-Protokollierung organisationsweit deaktiviert wurde, meist vor Jahren, meist aus Gründen, die niemand mehr kennt.

Die stille Weiterleitung

Es gibt einen zweiten Grund, warum Protokolle bei Kontoübernahmen so wichtig sind: Der übliche erste Schritt eines Angreifers ist keine Datenkopie, sondern eine Weiterleitungsregel.

Sie ist unauffällig, überlebt einen Kennwortwechsel und leitet fortan jede eingehende Nachricht nach außen. In mehreren Fällen, die uns erreicht haben, lief eine solche Regel über Monate — bemerkt wurde sie erst, als ein Geschäftspartner sich über eine seltsame Rechnungsmail wunderte.

Ob Ihr Mandant automatische Weiterleitung nach außen überhaupt erlaubt, ist deshalb eine der ersten Fragen, die ein Datenschutzbeauftragter stellen sollte. In der Standardeinstellung ist sie in vielen Mandanten offen.

Bei der Meldung an die Aufsichtsbehörde entscheidet nicht, wie gut Sie geschützt waren, sondern was Sie belegen können. Das sind zwei völlig verschiedene Dinge — und die meisten Betriebe merken das erst, wenn es zu spät ist.

Nils OehmichenDatenschutzberater bei frag.hugo

Was Sie in dreißig Minuten prüfen können

Der Zustand dieser Einstellungen lässt sich ohne Projekt und ohne Berater feststellen. Sie brauchen einen Zugang mit Leserechten und etwa eine halbe Stunde.

• Einheitliches Prüfprotokoll. Im Purview-Portal unter „Überwachung" — eingeschaltet oder nicht.
• Postfach-Prüfprotokollierung. Organisationsweit aktiv oder abgeschaltet.
• Automatische Weiterleitung nach außen. In der Richtlinie für ausgehenden Spam: erlaubt oder blockiert.
• Mehr-Faktor-Anmeldung. Für welche Konten sie gilt — und für welche nicht.
• Verwaiste Konten. Aktive Zugänge, mit denen sich seit Monaten niemand angemeldet hat.

Wer das nicht von Hand durch vier Portale klicken möchte: Die Hamburger Kollegen von hagel IT haben dafür ein kostenloses, quelloffenes Prüfskript veröffentlicht. Es liest zwölf solcher Einstellungen aus, ändert nichts, überträgt nichts nach außen und erzeugt einen Bericht auf Deutsch. Wir haben es uns angesehen und halten es für einen brauchbaren Einstieg: Microsoft-365-Härtungs-Check.

Für die Frage dieses Beitrags sind vor allem die Prüfungen 4, 8 und 9 interessant — Weiterleitung, Prüfprotokoll und Postfach-Protokollierung.

Wenn es doch passiert ist

Die 72-Stunden-Frist beginnt mit der Kenntnis der Verletzung, nicht mit dem Abschluss der Untersuchung. Wer wartet, bis alles geklärt ist, meldet zu spät.

Was in der Erstmeldung stehen sollte: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene Maßnahmen. Und, wenn Sie Protokolldaten haben: was Sie daraus bereits sagen können.

Fazit

Zwei Einstellungen entscheiden darüber, ob Sie nach einer Kontoübernahme eine belastbare Aussage treffen können oder auf Verdacht melden müssen. Beide sind kostenlos, beide in Minuten geprüft — und beide lassen sich nicht nachholen.

Wenn Sie Ihre Verarbeitungsdokumentation ohnehin gerade durchgehen: Prüfen Sie den Zustand dieser Protokolle und halten Sie das Ergebnis mit Datum fest. Das ist die Art von Nachweis, die im Ernstfall zählt.