Cloud Security & Identity Review
Wo ein Angreifer in Ihren Microsoft-Tenant kommt, gefunden bevor er es tut.
Eine Festhonorar-Bewertung Ihrer Entra ID, Ihrer Conditional Access und Ihrer Angriffsfläche über Microsoft 365 und Azure. Sie erhalten die Lücken sortiert danach, wie ein Angreifer sie nutzen würde, mit den Maßnahmen, die Ihr Team umsetzen kann.
- Festhonorar
- €7.500
- Dauer
- 2 Wochen
- Format
- Remote-first
Auf einen Blick
- Festhonorar
- €7.500
- Dauer
- 2 Wochen
- Format
- Remote-first
- Anrechnung
- Voll anrechenbar innerhalb von 8 Wochen
- Märkte
- DACH und Benelux
Für wen es gedacht ist
- Eine Cyber-Versicherung oder ein Kunden-Audit verlangt Ihre Identitäts- und Zugriffslage schriftlich.
- Sie haben Microsoft 365 und Azure über Jahre aktiviert, und niemand hat die gesamte Angriffsfläche seitdem geprüft.
- Sie hatten einen Beinahe-Vorfall, oder ein Wettbewerber in Ihrer Branche, und Sie wollen vor dem nächsten eine unabhängige Einschätzung.
- Ein aktueller Vorfall bei einem vergleichbaren Unternehmen, oder in den Nachrichten, hat das Thema von irgendwann auf dieses Quartal in Ihrem Risikoregister verschoben.
- Sie verlängern Ihre Cyber-Versicherung, und der Underwriter stellt dieses Jahr härtere Fragen zu Identitätskontrollen als im letzten.
Umfang und Format
Zwei Wochen, remote-first, mit einer optionalen Vor-Ort-Arbeitssitzung. Wir bewerten Ihr Identitäts- und Zugriffs-Setup in Entra ID, Ihre Abdeckung mit Conditional Access und MFA, privilegierten Zugriff und PIM, Ihre Angriffsfläche über Microsoft 365 und Azure, Ihre Key-Vault- und Secrets-Lage sowie Ihre Backup- und Recovery-Position. Wir ordnen die Lücken danach, wie ein Angreifer sie verketten würde. Erfahrene Architekten machen die Arbeit, einer AZ-500-zertifiziert, mit Zero Trust und PKI über IT und OT im Rücken. Dieses IT/OT-Programm spart heute 750.000 € pro Jahr, in einer produktiven Umgebung, nicht in einem Pilotprojekt. Sie geben uns lesenden Zugriff auf den betreffenden Tenant und einen Ansprechpartner.
Was Sie erhalten
Identitäts- und Zugriffs-Bewertung
Ihre Lage bei Entra ID, Conditional Access, MFA und privilegiertem Zugriff, mit benannten Lücken.
Angriffspfad-Einschätzung
Die Lücken sortiert danach, wie ein Angreifer sie verketten würde, nicht allein nach dem Schweregrad eines Tools.
Angriffsfläche über Microsoft 365 und Azure
Die Angriffsfläche bei Daten, Freigaben und Konfiguration über die Umgebung, pro Workload.
Prüfung von Gastkonten und externem Zugriff
Jedes Gastkonto und jeder externe Freigabelink über Microsoft 365, geprüft daran, wer ihn tatsächlich noch braucht.
Priorisiertes Maßnahmen-Backlog
Jeder Befund nach Risiko und Aufwand sortiert, so geschrieben, dass Ihr Team ihn ohne uns aufnehmen kann.
Ergebnis-Sitzung
Eine Arbeitssitzung mit Ihrem Team, um die Befunde durchzugehen und zu vereinbaren, was zuerst gehärtet wird.
Preis
Ein Festhonorar von €7.500. Der oben genannte Umfang ist der Umfang.
Das volle Festhonorar ist auf ein Folgeprojekt zur Behebung oder zur Plattform anrechenbar, das innerhalb von acht Wochen nach der Ergebnis-Sitzung gebucht wird.
Wo Ihre Daten liegen
Wir arbeiten in Ihrem Tenant mit lesendem Zugriff, der auf das Review beschränkt und nach Abschluss entzogen wird. Keine Daten verlassen Ihre Umgebung. Wo Datenresidenz zählt, deckt das Review Ihre Konfiguration in der Azure-Region Germany West Central ab, und wir unterzeichnen Ihren Auftragsverarbeitungsvertrag, bevor wir beginnen.
Governance und Compliance
- Lesender Zugriff, auf das Review beschränkt und nach Abschluss entzogen.
- Keine Ausnutzung und keine Änderungen an Live-Systemen. Dies ist eine Bewertung, kein Penetrationstest.
- DSGVO-Artikel-32-Pflichten zur Sicherheit der Verarbeitung als Teil des Reviews geprüft.
- Ein unterzeichneter Auftragsverarbeitungsvertrag vor dem Start, und Befunde dokumentiert nach dem Standard, den Ihr Auditor heranzieht.
Häufige Fragen
Wie lange dauert es?
Zwei Wochen, vom gewährten Zugriff bis zur Ergebnis-Sitzung.
Ist das ein Penetrationstest?
Nein. Dies ist eine Bewertung der Konfiguration und der Identitätslage. Wir prüfen, wie der Tenant aufgesetzt ist und wo die Lücken sind; wir nutzen sie nicht gegen Live-Systeme aus. Ein Pentest beantwortet eine andere Frage, und wir verweisen Sie gern an einen, wenn Sie das brauchen.
Wie unterscheidet sich das vom Azure Architecture Review?
Das Azure Architecture Review bewertet die gesamte Umgebung nach den fünf Well-Architected-Säulen, Security ist eine davon. Dieses Review geht allein bei Identität und der Microsoft-Angriffsfläche in die Tiefe. Beginnen Sie hier, wenn Security die Frage ist, die Sie treibt.
Beheben Sie die Lücken auch?
Das Review übergibt Ihrem Team ein sortiertes Backlog. Wollen Sie die Behebung von uns, ist das Festhonorar voll auf dieses Projekt anrechenbar, wenn Sie innerhalb von acht Wochen buchen.
Wer macht die Arbeit tatsächlich?
Erfahrene Architekten, keine Analysten, die einen Scanner-Report vorlesen. Wer die Identitäts- und Zugriffsarbeit leitet, ist AZ-500-zertifiziert und hat Zero-Trust- und PKI-Programme über IT und OT hinweg umgesetzt. Wer die Bewertung macht, sitzt auch in Ihrer Ergebnis-Sitzung.
Deckt das auch unsere OT-Umgebung ab?
Nein, nicht in diesem Review. Es umfasst Entra ID, Microsoft 365 und Azure, den Cloud-Tenant, nicht die Betriebstechnik. Die OT/IT-Grenzarchitektur ist eine eigene Fragestellung. Da unsere Zero-Trust- und PKI-Arbeit sowohl IT als auch OT abdeckt, lässt sich das als eigenes Projekt scopen.
Was passiert, wenn Sie vor der Ergebnis-Sitzung etwas Kritisches finden?
Sie erfahren es sofort, nicht erst nach zwei Wochen. Das Review ist rein lesend, wir können es also nicht direkt beheben. Finden wir aber ein offengelegtes Credential oder eine aktiv ausnutzbare Lücke in der Conditional Access, hören Sie noch am selben Tag schriftlich davon, vor dem vollständigen Bericht.
Deckt das Review unsere E-Mail-Sicherheit und den Phishing-Schutz ab?
Ja, als Teil der Angriffsflächen-Prüfung für Microsoft 365: Mail-Flow-Regeln, Kennzeichnung externer Absender und die Konfiguration der Defender-for-Office-365-Richtlinien sind im Umfang. Simulierte Phishing-Kampagnen sind es nicht; das ist eine eigene Übung, wenn Sie eine wollen.
Kann das Review auf einem Tenant mit mehreren Domains oder Tochtergesellschaften laufen?
Ja, solange sie im selben Entra-ID-Tenant liegen. Getrennte Tenants für getrennte Tochtergesellschaften brauchen meist ein kurzes Scoping-Gespräch, um die zwei Wochen richtig zu bemessen.
Welche Zertifizierungen stehen hinter den Befunden, wenn unser Auditor fragt?
Der leitende Architekt für Identitätsarbeit ist AZ-500-zertifiziert. Befunde sind gegen benannte Kontrollen geschrieben, CIS-Benchmark-Punkte oder DSGVO-Artikel-32-Pflichten, sodass Ihr Auditor jeden Befund auf einen Standard zurückführen kann, nicht nur auf unsere Einschätzung.