Pexon Consulting | 7 Min. Lesezeit | 16.07.2026
TL;DR
Wir bei Pexon (80 Mitarbeitende, Microsoft Partner) prüfen Ihren Microsoft-365-Tenant gegen den CIS-Benchmark: über 50, bis zu 120 automatisierte Kontrollen. Sie erhalten in drei Wochen einen deutschen Report mit priorisierten Empfehlungen. Festpreis 4.800 EUR. Kein Pentest, kein Dauer-Monitoring, sondern eine belastbare Standortbestimmung für ISO 27001 und NIS-2.
Das Problem: Ihr Tenant hat blinde Flecken, die Sie nicht sehen
Ein Microsoft-365-Tenant wächst über Jahre. Admins kommen und gehen, Freigaben werden erteilt und nie zurückgenommen, Standardeinstellungen bleiben stehen, weil niemand die Zeit hat, sie zu hinterfragen. Das Ergebnis ist ein System, das im Alltag funktioniert und trotzdem angreifbar ist.
Die Zahlen sind unangenehm deutlich. Über 70 Prozent der Sicherheitsvorfälle in Microsoft 365 gehen laut aktuellen Auswertungen auf Fehlkonfigurationen zurück, nicht auf ausgefeilte Angriffe. 99,9 Prozent der kompromittierten Konten hatten keine Multi-Faktor-Authentifizierung aktiv. Und 49 Prozent der IT-Verantwortlichen verlassen sich darauf, dass Microsoft die Tenant-Konfiguration schon absichert. Das tut Microsoft nicht. Das Shared-Responsibility-Modell weist die Konfiguration klar Ihnen zu.
Dazu kommt der regulatorische Druck. Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) wurde am 6. Dezember 2025 im Bundesgesetzblatt verkündet und gilt seitdem ohne Übergangsfrist. Rund 29.500 Unternehmen in 18 Sektoren fallen darunter. Die gesetzliche BSI-Registrierungsfrist endete am 6. März 2026; weil bis dahin nur rund 11.500 der betroffenen Unternehmen registriert waren, gewährt das BSI eine Nachfrist bis zum 31. Juli 2026. Bei Verstößen drohen Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, und Geschäftsführer haften nach Paragraf 38 persönlich. Wer hier nur behauptet, sein Tenant sei sicher, steht im Ernstfall ohne Nachweis da.
Was der CIS-Benchmark prüft
Der CIS-Benchmark für Microsoft 365 ist kein Marketing-Siegel, sondern ein technischer Härtungsstandard des Center for Internet Security. Er gibt für jede relevante Einstellung eine konkrete Soll-Vorgabe vor. Die aktuelle Version ist v7.0.0, veröffentlicht am 19. Mai 2026, mit 21 neuen Kontrollen und rund 55 überarbeiteten Empfehlungen. Bis dahin galt v6.0.1. Für Tenants, die noch nicht auf die neuen Conditional-Access-Vorgaben umgestellt sind, prüfen wir bewusst gegen die passende Version.
Abgedeckt werden alle zentralen Workloads: Entra ID (Identität und Conditional Access), Exchange Online, SharePoint, Teams, Purview und Intune. Konkret heißt das: Ist MFA für alle Konten erzwungen, auch für Admins und Gastnutzer? Sind Legacy-Authentifizierungsprotokolle abgeschaltet? Wie großzügig sind externe Freigaben in SharePoint konfiguriert? Existiert ein sauberes Rollen- und Rechtekonzept, oder haben zu viele Konten Global-Admin-Rechte? Genau diese Punkte sind es, die im Ernstfall den Unterschied machen.
Der Vorteil eines Standards ist, dass er nicht diskutierbar ist. Wenn ein Auditor oder ein Kunde fragt, wie sicher Ihr Tenant ist, ist die Antwort nicht mehr eine Meinung, sondern eine Prozentzahl gegen einen anerkannten Referenzrahmen. Der CIS-Benchmark ordnet seine Empfehlungen zudem in zwei Level: Level 1 für die Basis-Härtung ohne spürbare Einschränkung im Betrieb, Level 2 für höhere Schutzanforderungen mit strengeren Vorgaben. Wir prüfen beide und sagen Ihnen klar, welche Level-2-Kontrollen sich in Ihrem Umfeld lohnen und welche für Sie über das Ziel hinausschießen.
Die 3 Phasen in 3 Wochen
Wir arbeiten in drei klar getrennten Phasen. Sie behalten die Kontrolle, wir liefern das Tempo.
Der Zugang in Phase 1 ist bewusst lesend. Wir verändern in dieser Standortbestimmung nichts an Ihrem Tenant. Die automatisierte Prüfung deckt über 50 und bis zu 120 Kontrollen ab, je nach Lizenzumfang und aktivierten Workloads. Das ist der Punkt, an dem sich manuelle Audits und ein automatisierter Health-Check unterscheiden: Wir raten nicht, wir messen.
Was im Report steht
Der Report ist kein 200-seitiger Tool-Export, den niemand liest. Er ist auf Deutsch geschrieben und auf Entscheidungen ausgelegt. Ganz vorne steht eine Management-Zusammenfassung mit dem aktuellen Härtungsgrad und den drei bis fünf kritischsten Findings. Darunter folgt die vollständige Prüfliste, jedes Finding mit Ist-Zustand, CIS-Soll-Zustand, Risikoeinstufung und geschätztem Umsetzungsaufwand.
Wichtig ist die Priorisierung. Nicht jedes Finding ist gleich dringend. Ein deaktiviertes MFA für Gastkonten ist ein anderes Kaliber als eine suboptimale Retention-Policy. Wir markieren, was Sie diese Woche anfassen sollten, und was ruhig ins nächste Quartal darf. Damit wird der Report direkt zur Umsetzungs-Roadmap und lässt sich als Nachweis in Ihr ISO-27001-Managementsystem oder Ihre NIS-2-Dokumentation legen.
Wenn Sie den M365-Tenant zusätzlich als Datenbasis für Copilot und andere KI-Dienste nutzen, ist der Health-Check die Vorstufe. Denn KI erbt jede Fehlkonfiguration und jede zu großzügige Freigabe. Wie sich Datensicherheit und Architektur bei KI-Diensten unterscheiden, zeigen wir im Vergleich DSGVO-Architektur ChatGPT, Azure OpenAI und Self-Hosted. Und wer Microsoft Copilot einführen will, sollte den Tenant vorher gehärtet haben, nicht danach.
Preis und Abgrenzung: 4.800 EUR Festpreis
Der Health-Check kostet 4.800 EUR als Festpreis. Kein Tagessatz-Poker, keine Nachträge, keine Überraschung auf der Schlussrechnung. Sie wissen vorher genau, was Sie zahlen, und Sie bekommen ein klar definiertes Ergebnis in drei Wochen.
Ehrlichkeit gehört zu einer Beratung auf Augenhöhe: Ein CIS-Health-Check ist nicht alles. Nicht enthalten sind ein Penetrationstest gegen Ihre Anwendungen, ein laufendes SOC- oder SIEM-Monitoring, die automatische Umsetzung der gefundenen Fixes und eine formale Zertifizierung durch eine akkreditierte Stelle. Das sind eigene Projekte mit eigenem Umfang. Der Health-Check ist die schnelle, günstige Standortbestimmung, die Ihnen sagt, wo Sie wirklich stehen, bevor Sie größere Budgets bewegen. Für die meisten Tenants mit 300 bis 3.000 Mitarbeitenden ist das der sinnvollste erste Schritt.
Häufig gestellte Fragen
Was kostet der M365 Tenant Health Check?
Der Health-Check kostet 4.800 EUR als Festpreis, inklusive Scan, Analyse und deutschem Report. Keine versteckten Zusatzkosten, keine Tagessätze.
Wie lange dauert die Prüfung?
Drei Wochen von der Zugangseinrichtung bis zur Report-Übergabe, aufgeteilt in Scan, Analyse und Präsentation der Ergebnisse.
Verändert der Check etwas an unserem Tenant?
Nein. Wir arbeiten mit einem reinen Read-only-Zugang. In der Standortbestimmung wird nichts an Ihren Einstellungen geändert, wir lesen und bewerten nur.
Hilft der Health-Check bei NIS-2 und ISO 27001?
Ja. Der deutsche Report dient als belastbarer Nachweis Ihres Härtungsgrads und lässt sich direkt in Ihre NIS-2-Dokumentation oder Ihr ISO-27001-Managementsystem übernehmen.
Ersetzt der Check einen Penetrationstest?
Nein. Ein Pentest greift Anwendungen aktiv an, der Health-Check prüft die Konfiguration gegen den CIS-Benchmark. Beides ergänzt sich, aber es sind zwei verschiedene Dinge.
Nächster Schritt
Verwandte Themen
Private-AI-Governance: SSO, Audit und Compliance
