Ownership Registry — Objekt-Eigentümer und Rezertifizierung für Microsoft 365

Die Ownership Registry beantwortet die Frage, die Prüfer, Sicherheitsverantwortliche und IT-Leiter immer wieder stellen: Wem gehört das — und wird es noch gebraucht? Sie führt einen dauerhaften Nachweis der Verantwortlichkeit für jedes Objekt in Ihrem Microsoft-365-Tenant, unabhängig davon, was Microsoft speichert und was nicht — und besitzt dabei keinerlei Schreibrechte in diesem Tenant.

Das Problem

Microsoft-365-Tenants wachsen schneller, als sie sich steuern lassen. Freigegebene Postfächer überleben die Projekte, für die sie angelegt wurden, Teams und SharePoint-Sites häufen sich an, und Dienstkonten laufen weiter, lange nachdem die Person, die sie beantragt hat, das Unternehmen verlassen hat. Exchange kennt kein Eigentümerfeld für freigegebene Postfächer, und Gruppeneigentümer veralten an dem Tag, an dem jemand kündigt. Wenn das Audit kommt, kann niemand mit Sicherheit sagen, welche der 800 Objekte im Tenant noch gebraucht werden, wer dafür verantwortlich ist oder warum ein fünf Jahre altes Dienstkonto noch Zugriff auf die Produktion hat. Die übliche Antwort ist eine Liste, die etwa zwei Wochen lang gestimmt hat.

Was die Anwendung leistet

• Vollständiges Inventar: Ein täglicher Scan liest den Tenant über Microsoft Graph und erfasst jedes freigegebene Postfach, jede M365-Gruppe, jedes Team, jede SharePoint-Site, jede Sicherheitsgruppe und jeden Dienstprinzipal. Neue Objekte erscheinen am Tag ihrer Erstellung.
• Ein benannter Eigentümer für alles: Jedes Objekt erhält einen primären und einen Ersatz-Eigentümer. Ein Objekt ohne Eigentümer ist keine Fußnote — es steht ganz oben im Dashboard, bis jemand die Verantwortung übernimmt.
• Rezertifizierung, die sich selbst erledigt: In einem Rhythmus, den Sie je Objekt festlegen (monatlich, halbjährlich oder jährlich), erhalten Eigentümer eine E-Mail mit einer Frage: Wird das noch gebraucht? Ein Klick genügt — ohne Anmeldung, ohne Schulung.
• Eskalation mit einem Endpunkt: Antwortet nach zwei Erinnerungen niemand, eröffnet die Registry ein Ticket in Ihrem Service Desk. Ein Mensch entscheidet, was als Nächstes passiert.
• Nachweise statt Versprechen: Jedes Scan-Ergebnis, jede E-Mail, jede Erinnerung, jede Antwort und jede Eskalation landet in einem Audit-Log, an das nur angehängt werden kann. Die vollständige Governance-Historie jedes Objekts lässt sich rekonstruieren — genau der Nachweis, den Prüfer nach ISO 27001 und SOC 2 verlangen.
• Eigene Objekttypen: On-Prem-Dienstkonten, Dateifreigaben und eigene Typen lassen sich von Hand erfassen — für alles, was der Graph-Scan nicht sieht.

Was die Anwendung nicht tut

Die Ownership Registry besitzt keinerlei Schreibrechte in Ihrem Tenant. Sie kann nichts deaktivieren, löschen oder verändern — konstruktionsbedingt, nachweisbar, auf Berechtigungsebene. Und sie wertet Schweigen nie als Zustimmung zum Entfernen: Ein Objekt, dessen Eigentümer im Urlaub ist, das sich aber gestern angemeldet hat, wird als in Benutzung mit Eigentümerproblem markiert, nicht als verwaist. Governance-Werkzeuge, die auf Autopilot löschen, reißen Produktivintegrationen mit; dieses hier eröffnet Tickets für Menschen. Sie ergänzt die übergreifenden Kontrollen aus IT-Governance und Compliance in Ihrem Tenant.

So funktioniert es

Eine nur lesende Verbindung zum Tenant ist in weniger als einer Stunde eingerichtet. Der erste Scan füllt die Registry, und das Dashboard zeigt die Eigentümer-Abdeckung ab dem ersten Tag. Bekannte Eigentümer werden aus einem vorhandenen Export importiert, der Rest ergänzt, sobald er auftaucht — die Abdeckung steigt von 15 % auf 98 %. Eigentümer bestätigen oder widersprechen anschließend per E-Mail, im Rhythmus, den Sie festlegen. Abgelehnte und unbeantwortete Objekte werden zu Service-Desk-Tickets mit vollständiger Historie, sodass Ihr Team bewusst und mit Nachweis abbaut.

Für wen die Anwendung gedacht ist

IT-Leiter, Sicherheitsverantwortliche und Compliance-Verantwortliche in Microsoft-365-Tenants, die längst zu groß für eine Excel-Liste geworden sind — in denen freigegebene Postfächer ihre Projekte überdauern, Gruppeneigentümer mit jeder Kündigung veralten und niemand sagen kann, welche Objekte noch gebraucht werden oder wer für sie verantwortlich ist.

Architektur und Sicherheit

Der Stack ist bewusst klein und prüfbar: Node.js 22, TypeScript, Fastify und PostgreSQL 17, dazu eine React-Single-Page-App für die Administration. Das Audit-Log lässt nur Anhängen zu, erzwungen durch einen Datenbank-Trigger — kein Codepfad kann die Historie umschreiben. Die Tenant-Anbindung nutzt Microsoft Graph mit App-only-Client-Credentials und ausschließlich lesenden Anwendungsberechtigungen, ergänzt um Mail.Send für Benachrichtigungen; Paginierung und Throttling sind abgedeckt, und ein fehlgeschlagener Collector beschädigt den Inventarstand nie. Der Admin-Zugriff ist durch Microsoft-Entra-ID-Anmeldung (PKCE) mit einer eigenen App-Rolle geschützt, während die Antwortseite für Eigentümer gar keine Anmeldung benötigt — sie arbeitet mit Einmal-Token-Links. Es sind dieselben Prinzipien der Cloud-Sicherheit, die wir in Kundenumgebungen anwenden.

Betrieb und Kosten

Die Ownership Registry läuft auf jedem Docker-Host — on-premises oder in einer Private Cloud — und benötigt keine eingehenden Verbindungen von Microsoft; sie ruft ausschließlich Graph auf. Dasselbe Container-Setup lässt sich direkt auf Azure Container Apps mit Azure Database for PostgreSQL abbilden, wo eine typische Single-Tenant-Installation mit 15–25 € Infrastruktur pro Monat auskommt. Alle Registry- und Audit-Daten bleiben in Ihrer Datenbank, wo immer Sie sie betreiben; nichts wird außerhalb Ihrer Umgebung gespeichert.

IDE Solutions entwickelt und betreibt die Ownership Registry und begleitet Sie durchgehend: Tenant-Onboarding, Hosting auf Ihrer Infrastruktur oder vollständig verwaltet, Import vorhandener Eigentümerdaten, eigene Objekttypen und laufender Betrieb — zusammen mit unseren Microsoft-365-Dienstleistungen und der Managed Azure Cloud. Kontaktieren Sie uns für eine Demo gegen Ihren eigenen Tenant — nur lesend, mit Nachweisen im Dashboard noch am selben Tag.