Ownership Registry: User Access Reviews, Attestierung und Eigentümerschaft für Microsoft 365
Die Ownership Registry ist Access-Review-Software mit einer bewusst engen Aufgabe: Jedes freigegebene Postfach, jede Gruppe, jedes Team, jede SharePoint-Site und jedes Dienstkonto in Ihrem Microsoft-365-Tenant erhält einen benannten Eigentümer, und dieser Eigentümer attestiert regelmäßig, dass es noch gebraucht wird. Sie führt einen dauerhaften Nachweis der Verantwortlichkeit, unabhängig davon, was Microsoft speichert und was nicht, und besitzt dabei keinerlei Schreibrechte in diesem Tenant.
Das Problem
Microsoft-365-Tenants wachsen schneller, als sie sich steuern lassen. Freigegebene Postfächer überleben die Projekte, für die sie angelegt wurden, Teams und SharePoint-Sites häufen sich an, und Dienstkonten laufen weiter, lange nachdem die Person, die sie beantragt hat, das Unternehmen verlassen hat. Exchange kennt kein Eigentümerfeld für freigegebene Postfächer, und Gruppeneigentümer veralten an dem Tag, an dem jemand kündigt. Wenn das Audit kommt, kann niemand mit Sicherheit sagen, welche der 800 Objekte im Tenant noch gebraucht werden, wer dafür verantwortlich ist oder warum ein fünf Jahre altes Dienstkonto noch Zugriff auf die Produktion hat. Die übliche Antwort ist eine Liste, die etwa zwei Wochen lang gestimmt hat.
Was die Anwendung leistet
- Vollständiges Inventar: Ein täglicher Scan liest den Tenant über Microsoft Graph und erfasst jedes freigegebene Postfach, jede M365-Gruppe, jedes Team, jede SharePoint-Site, jede Sicherheitsgruppe und jeden Dienstprinzipal. Neue Objekte erscheinen am Tag ihrer Erstellung.
- Ein benannter Eigentümer für alles: Jedes Objekt erhält einen primären und einen Ersatz-Eigentümer. Ein Objekt ohne Eigentümer ist keine Fußnote: es steht ganz oben im Dashboard, bis jemand die Verantwortung übernimmt.
- Rezertifizierung, die sich selbst erledigt: In einem Rhythmus, den Sie je Objekt festlegen (monatlich, halbjährlich oder jährlich), erhalten Eigentümer eine E-Mail mit einer Frage: Wird das noch gebraucht? Ein Klick genügt, ohne Anmeldung, ohne Schulung.
- Eskalation mit einem Endpunkt: Antwortet nach zwei Erinnerungen niemand, eröffnet die Registry ein Ticket in Ihrem Service Desk. Ein Mensch entscheidet, was als Nächstes passiert.
- Nachweise statt Versprechen: Jedes Scan-Ergebnis, jede E-Mail, jede Erinnerung, jede Antwort und jede Eskalation landet in einem Audit-Log, an das nur angehängt werden kann. Die vollständige Governance-Historie jedes Objekts lässt sich rekonstruieren, genau der Nachweis, den Prüfer nach ISO 27001 und SOC 2 verlangen.
- Eigene Objekttypen: On-Prem-Dienstkonten, Dateifreigaben und eigene Typen lassen sich von Hand erfassen, für alles, was der Graph-Scan nicht sieht.
Warum verwaiste Konten und Gruppen ohne Eigentümer ein Geschäftsproblem sind
Verwaiste Konten und vergessene Gruppen sind ein klassischer Angriffspfad: Niemand beobachtet sie, also bemerkt niemand den Missbrauch: Branchenberichte zu Sicherheitsvorfällen führen veraltete, unverwaltete Konten durchgängig unter den häufigsten Einstiegspunkten. Microsoft-365-Gruppen ohne Eigentümer, ungenutzte Postfächer und verlassene Sites kosten zudem jeden Monat Abo-Gebühren, und was keinen Eigentümer hat, lässt sich nicht aufräumen. Austritte verschärfen das Problem: Jeder Mitarbeiter, der geht, hinterlässt potenziell Dutzende verwaiste Objekte, und ohne System vergehen zwischen „Person ist weg“ und „jemand hat es bemerkt“ Jahre. Die Registry erkennt verwaiste Konten täglich gegen Entra ID, bemerkt einen Austritt am nächsten Tag, befördert den Ersatz-Eigentümer automatisch und markiert alles ohne gültigen Eigentümer zur Neuzuweisung.
Automatisierte User Access Reviews für ISO 27001, SOC 2, NIS2 und SOX
ISO 27001 (Maßnahme A.5.18), SOC 2, NIS2, SOX und Cyber-Versicherungsfragebögen stellen alle dieselbe Frage: Überprüfen Sie Zugriffe regelmäßig, und können Sie das belegen? Die meisten Unternehmen antworten mit einer heroischen Excel-Übung einmal im Jahr. Die Ownership Registry macht daraus einen kontinuierlichen User Access Review: Eigentümer attestieren je Objekt im Rhythmus von einem, sechs oder zwölf Monaten, jede Attestierung hält fest, wer wann geantwortet hat, und die Lieblingsfrage jedes Prüfers, wem gehört das, und wann wurde es zuletzt überprüft?, ist in Sekunden beantwortet, mit Historie. Kombinieren Sie sie mit unserer Microsoft 365 Sicherheitsanalyse, um die Lücken zu schließen, die der Review aufdeckt.
Die leichtgewichtige Alternative zur vollen IGA-Suite
Die etablierte Antwort auf Rezertifizierung ist eine vollständige Identity-Governance-&-Administration-Suite (IGA): hervorragende Produkte, und massiv überdimensioniert für diese eine Aufgabe: sechsstellige Jahreslizenzen, Monate an Beratung und Konnektoren-Projekte, bevor die erste Review-Kampagne läuft. Compliance-Plattformen behandeln Access Reviews als ein Modul unter vielen. Die Ownership Registry erledigt eine Aufgabe: Eigentümerschaft und Access-Attestierung, einschließlich der Dienstkonten-Governance und der Eigentümerschaft freigegebener Postfächer, die Suiten oft nur über zusätzliche Konnektoren abdecken, ohne Lizenz pro Benutzer, ohne Berater, mit Zeit bis zum ersten Nutzen in Tagen, auf einem einzigen Container. Der Aufwand pro Review-Zyklus: eine E-Mail und ein Klick pro Eigentümer.
Was die Anwendung nicht tut
Die Ownership Registry besitzt keinerlei Schreibrechte in Ihrem Tenant. Sie kann nichts deaktivieren, löschen oder verändern: konstruktionsbedingt, nachweisbar, auf Berechtigungsebene. Und sie wertet Schweigen nie als Zustimmung zum Entfernen: Ein Objekt, dessen Eigentümer im Urlaub ist, das sich aber gestern angemeldet hat, wird als in Benutzung mit Eigentümerproblem markiert, nicht als verwaist. Governance-Werkzeuge, die auf Autopilot löschen, reißen Produktivintegrationen mit; dieses hier eröffnet Tickets für Menschen. Sie ergänzt die übergreifenden Kontrollen aus IT-Governance und Compliance in Ihrem Tenant.
So funktioniert es
Eine nur lesende Verbindung zum Tenant ist in weniger als einer Stunde eingerichtet. Der erste Scan füllt die Registry, und das Dashboard zeigt die Eigentümer-Abdeckung ab dem ersten Tag. Bekannte Eigentümer werden aus einem vorhandenen Export importiert, der Rest ergänzt, sobald er auftaucht, die Abdeckung steigt von 15 % auf 98 %. Eigentümer bestätigen oder widersprechen anschließend per E-Mail, im Rhythmus, den Sie festlegen. Abgelehnte und unbeantwortete Objekte werden zu Service-Desk-Tickets mit vollständiger Historie, sodass Ihr Team bewusst und mit Nachweis abbaut.
Für wen die Anwendung gedacht ist
IT-Leiter, Sicherheitsverantwortliche und Compliance-Verantwortliche in Microsoft-365-Tenants, die längst zu groß für eine Excel-Liste geworden sind: in denen freigegebene Postfächer ihre Projekte überdauern, Gruppeneigentümer mit jeder Kündigung veralten und niemand sagen kann, welche Objekte noch gebraucht werden oder wer für sie verantwortlich ist.
Architektur und Sicherheit
Der Stack ist bewusst klein und prüfbar: Node.js 22, TypeScript, Fastify und PostgreSQL 17, dazu eine React-Single-Page-App für die Administration. Das Audit-Log lässt nur Anhängen zu, erzwungen durch einen Datenbank-Trigger, kein Codepfad kann die Historie umschreiben. Die Tenant-Anbindung nutzt Microsoft Graph mit App-only-Client-Credentials und ausschließlich lesenden Anwendungsberechtigungen, ergänzt um Mail.Send für Benachrichtigungen; Paginierung und Throttling sind abgedeckt, und ein fehlgeschlagener Collector beschädigt den Inventarstand nie. Der Admin-Zugriff ist durch Microsoft-Entra-ID-Anmeldung (PKCE) mit einer eigenen App-Rolle geschützt, während die Antwortseite für Eigentümer gar keine Anmeldung benötigt: sie arbeitet mit Einmal-Token-Links. Es sind dieselben Prinzipien der Cloud-Sicherheit, die wir in Kundenumgebungen anwenden.
Betrieb und Kosten
Die Ownership Registry läuft auf jedem Docker-Host, on-premises oder in einer Private Cloud, und benötigt keine eingehenden Verbindungen von Microsoft; sie ruft ausschließlich Graph auf. Dasselbe Container-Setup lässt sich direkt auf Azure Container Apps mit Azure Database for PostgreSQL abbilden, wo eine typische Single-Tenant-Installation mit 15–25 € Infrastruktur pro Monat auskommt. Alle Registry- und Audit-Daten bleiben in Ihrer Datenbank, wo immer Sie sie betreiben; nichts wird außerhalb Ihrer Umgebung gespeichert.
Betriebsmodelle und Preise
| Modell | Wo es läuft | Infrastrukturkosten | Einrichtung | Enthalten | Lizenz |
|---|---|---|---|---|---|
| On-Premises / Private Cloud | Jeder Docker-Host, eingehende Verbindungen von Microsoft sind nicht nötig | Ihre eigene Rechenleistung plus eine PostgreSQL-Datenbank | Zwei App-Registrierungen und eine .env-Datei | Alle Registry- und Audit-Daten bleiben in Ihrer eigenen Datenbank | Auf Anfrage |
| Azure | Azure Container Apps mit Azure Database for PostgreSQL | 15–25 € pro Monat für eine typische Single-Tenant-Installation | Dasselbe Container-Setup, direkt auf Azure abgebildet | Alles aus der Self-Hosted-Variante, auf verwalteten Azure-Diensten | Auf Anfrage |
| Betrieb durch IDE Solutions | Von uns ausgerollt und betrieben, in Ihrem Tenant | Im Managed Service enthalten | Tenant-Onboarding, App-Registrierungen, Admin-Einwilligung, Berechtigungsprüfung mit Ihrem Sicherheitsteam | Import vorhandener Eigentümerdaten, eigene Objekttypen, laufender Betrieb und Audit-Nachweise | Auf Anfrage |
Die Lizenz kalkulieren wir nach Umfang: Größe des Tenants, Anzahl der Standorte und ob Sie selbst betreiben oder wir. Eine Demo läuft in Ihrer eigenen Umgebung und dauert 30 Minuten, das Angebot folgt in derselben Woche. Demo vereinbaren oder Angebot anfordern.
Häufige Fragen
Was ist ein User Access Review?
Ein User Access Review, auch Rezertifizierung oder Berechtigungsüberprüfung genannt, ist die regelmäßige Kontrolle, ob Konten, Gruppen und Berechtigungen noch gebraucht werden und einen verantwortlichen Eigentümer haben. Rahmenwerke wie ISO 27001 (Maßnahme A.5.18) und SOC 2 verlangen solche Überprüfungen in festen Abständen, dokumentiert. Die Ownership Registry führt den Review kontinuierlich durch und speichert die Nachweise automatisch.
Was ist Access-Attestierung?
Attestierung ist die protokollierte Bestätigung eines Eigentümers, dass ein Objekt noch gebraucht wird. In der Ownership Registry erhält jeder Eigentümer eine E-Mail mit einem Einmal-Link; ein Klick hält im Append-only-Audit-Log fest, wer was wann bestätigt hat, ohne Anmeldung, ohne Schulung.
Wer sollte Eigentümer eines freigegebenen Postfachs sein?
Exchange kennt kein Eigentümerfeld für freigegebene Postfächer, genau deshalb verwaisen sie. Bewährt ist ein primärer Eigentümer aus dem Team, das das Postfach nutzt, plus ein Ersatz-Eigentümer. Die Ownership Registry speichert beide als eigenständige Datensätze und markiert das Postfach zur Neuzuweisung an dem Tag, an dem ein Eigentümer das Unternehmen verlässt.
Wie findet man verwaiste Konten in Microsoft 365?
Die Erkennung verwaister Konten muss kontinuierlich laufen, nicht einmal im Jahr. Die Ownership Registry scannt Ihren Tenant täglich über Microsoft Graph, prüft jeden zugewiesenen Eigentümer gegen Entra ID und markiert Objekte, deren Eigentümer gegangen ist, am nächsten Tag, nicht beim nächsten Audit.
Was ist Dienstkonten-Governance?
Dienstkonten, Dienstprinzipale und App-Registrierungen, nicht-menschliche Identitäten, haben selten einen dokumentierten Eigentümer, halten aber oft weitreichende, langlebige Berechtigungen. Dienstkonten-Governance heißt: Jedes hat einen benannten Eigentümer, einen bekannten Zweck und eine regelmäßige Überprüfung. In der Registry werden diese Hochrisiko-Objekte nie automatisch bearbeitet; sie eskalieren immer zu einem Menschen.
Braucht ein Access-Review-Tool Schreibzugriff auf meinen Tenant?
Nein, und die Ownership Registry beweist es. Ihre Graph-App-Registrierung hält ausschließlich Leseberechtigungen plus Mail.Send für Benachrichtigungen. Es gibt keine Berechtigung und keinen Codepfad zum Verändern oder Löschen, die Sicherheitsprüfung der Integration reduziert sich auf das Lesen einer Berechtigungsliste.
Wie oft müssen Eigentümer antworten?
Sie legen den Rhythmus je Objekttyp fest: monatlich für risikoreiche Dienstkonten, alle sechs oder zwölf Monate für risikoärmere Postfächer und Sites. Eigentümer erhalten eine E-Mail mit einer einzigen Frage und beantworten sie per Klick, ein vollständiger Review-Zyklus kostet einen Eigentümer also Sekunden statt des Nachmittags, den eine Excel-basierte Rezertifizierung üblicherweise braucht.
Was passiert, wenn ein Eigentümer den Review ignoriert?
Nach zwei Erinnerungen ohne Antwort rät die Registry nicht und löscht nicht. Sie öffnet ein Ticket in Ihrem Service Desk mit der vollständigen Historie des Objekts, und ein Mensch entscheidet, was als Nächstes geschieht. Schweigen wird nie als Zustimmung zum Entfernen gewertet.
Worin unterscheidet sich das von einer vollständigen IGA-Suite wie SailPoint oder Saviynt?
Identity-Governance-Suiten sind hervorragend und für diese eine Aufgabe massiv überdimensioniert: sechsstellige Lizenzkosten, monatelange Konnektorprojekte und Access Reviews als ein Modul unter vielen. Die Ownership Registry macht nur Eigentümerschaft und Access-Attestierung, ohne Lizenzkosten pro Benutzer und mit einer Zeit bis zum ersten Nutzen von Tagen auf einem einzigen Container. Sie ist die schlanke Alternative, wenn die volle Suite mehr ist, als Sie brauchen, und ergänzt unseren IT-Governance- und Compliance-Service.
Was zeichnet der Audit-Trail für ISO 27001 und SOC 2 tatsächlich auf?
Jedes Scan-Ergebnis, jede E-Mail, jede Erinnerung, jede Eigentümerantwort und jede Eskalation landet in einem Append-only-Log, das durch einen Datenbank-Trigger erzwungen wird, sodass kein Codepfad die Historie umschreiben kann. Für jedes Objekt lässt sich rekonstruieren, wer es besaß, wer es attestiert hat und wann, genau der Nachweis, den Prüfer für ISO 27001 (A.5.18) und SOC 2 verlangen.
IDE Solutions entwickelt und betreibt die Ownership Registry und begleitet Sie durchgehend: Tenant-Onboarding, Hosting auf Ihrer Infrastruktur oder vollständig verwaltet, Import vorhandener Eigentümerdaten, eigene Objekttypen und laufender Betrieb, zusammen mit unseren Microsoft-365-Dienstleistungen und der Managed Azure Cloud. Kontaktieren Sie uns für eine Demo gegen Ihren eigenen Tenant, nur lesend, mit Nachweisen im Dashboard noch am selben Tag.
Die Ownership Registry ist eines von drei Werkzeugen, die wir selbst entwickeln und betreiben. Läuft Ihre Telefonie über Teams, ersetzt der Teams Phone Configurator die Rufnummern-Tabelle samt PowerShell-Runbook, und der Blog Agent hält einen zweisprachigen Blog am Laufen, ohne dass jemand im Team diese Aufgabe übernehmen muss. Alle drei werden als Docker-Container ausgeliefert und nach Umfang kalkuliert.