Entra Diagnostiker

FÜR WEN DAS WERKZEUG GEMACHT IST

• Interne IT-Teams , die ihren eigenen Tenant regelmäßig durchleuchten und Härtungsmaßnahmen priorisieren wollen.
• Wirtschaftsprüfer und IT-Auditoren , die belastbare Befunde mit nachvollziehbarem Audit-Trail brauchen.
• Systemhäuser und Consultants , die wiederholbare Health Checks bei ihren Kunden anbieten wollen.
• Compliance- und Datenschutz-Verantwortliche, die für NIS2-/DORA-Audits nachweisbare Maßnahmen brauchen.

WARUM DAS WICHTIG IST

Cloud-Audit-Tools sind bequem, aber bringen ein grundlegendes Problem mit: dein Tenant-Inhalt liegt anschließend bei einem Drittanbieter. Das macht jedes Auditing-Projekt zu einer Auftragsverarbeitungs-Vereinbarung mit eigenem Vertrag, eigener Risikoanalyse und eigener Genehmigungsschleife. Bei manchen Branchen (Steuerberatung, Wirtschaftsprüfung, Energieversorger, kritische Infrastruktur) ist das schlicht nicht durchsetzbar. Der Diagnostiker umgeht das komplett — was lokal bleibt, muss niemandem datenschutz-rechtlich gemeldet werden.

Modul

Name

Was es analysiert

MODUL-TIEFE

Jedes Modul liefert nicht nur einzelne Befunde, sondern auch Kontext: Wie steht dein Tenant im Vergleich zu Microsoft-Empfehlungen? Was hat sich seit dem letzten Scan verändert? Welche Befunde sind Audit-relevant, welche nur Kosmetik? Die Trennung zwischen „muss sofort“ und „wäre schön“ ist eingebaut — damit Aufräum-Aktionen priorisierbar werden.

RE-SCANS UND VERLAUFS-VERGLEICHE

Eine der häufigsten Nutzungs-Arten: monatlicher oder quartalsweiser Re-Scan, jeweils mit Vergleich zum letzten Stand. Das Tool zeigt explizit an, was sich geändert hat — neue Befunde, gelöste Befunde, Befunde mit verschlechtertem Status. So wird der Diagnostiker zum kontinuierlichen Wächter des Tenants, nicht nur zur einmaligen Bestandsaufnahme.

BEISPIEL-BEFUND: „12 GLOBALE ADMINISTRATOREN“

Schweregrad: kritisch

Modul: 02 — Konten & Rollen

Befund: Dein Tenant hat 12 Konten mit Globalem Administrator. Microsoft empfiehlt 2–4 Konten in dieser Rolle.

Risiko: Jedes Globale-Admin-Konto ist ein vollständiger Schlüssel zum Tenant. Mehr Konten als nötig vergrößern die Angriffsfläche dramatisch — speziell, weil 4 der 12 Konten in den letzten 90 Tagen nicht eingeloggt waren.

Empfehlung: Privileged Identity Management aktivieren, Globalen Admin als eligible Rolle konfigurieren (max. 2 permanent), die restlichen Konten in spezifischere Rollen herabstufen.

NIS2-Bezug: Art. 21 Abs. 2 lit. i (Zugriffskontrolle und Asset-Management)

AUDIT-FERTIG

Der NIS2-/DORA-Bericht ist explizit als Vorlage für Compliance-Audits konzipiert. Layout, Verweise und Argumentations-Struktur folgen dem typischen Aufbau, den BSI-Audits und externe Wirtschaftsprüfer erwarten. Das spart bei einem ernsthaften Audit Tage an Vorbereitung — und macht den Unterschied zwischen einem Audit, das man besteht, und einem, das man knapp übersteht.

Feature

Standard

Premium

Enterprise

WELCHE EDITION FÜR WEN

• Standard: interne IT-Teams mit einem eigenen Tenant, die regelmäßig selbst analysieren wollen.
• Premium: Wirtschaftsprüfer, IT-Auditoren, kleinere Systemhäuser mit Kunden-Tenants — Multi-Tenant-Vergleich und eigenes Branding inklusive.
• Enterprise: Beratungsunternehmen, größere Systemhäuser, alle, die den Diagnostiker zum kontinuierlichen Werkzeug für viele Kunden-Tenants machen wollen.

WAS DU NICHT BRAUCHST

• Keinen Globalen Administrator: Read-Only-Permissions via App Registration genügen.
• Keine Cloud-Subscription beim Hersteller des Tools: kein Login bei externer Plattform nötig.
• Keine Firewall-Öffnung: ausgehend HTTPS zu Microsoft Graph, das ist alles.
• Keinen dedizierten Server: läuft auf jedem normalen Admin-PC.

Kriterium

Entra Diagnostiker

Typische Cloud-Audit-Tools

WANN DER DIAGNOSTIKER NICHT DAS RICHTIGE WERKZEUG IST

• Wenn du eine kontinuierliche 24/7-Echtzeit-Überwachung brauchst — der Diagnostiker ist auf periodische Tiefen-Audits ausgelegt, nicht auf Live-Monitoring.
• Wenn du ausschließlich ein SaaS-Tool willst, weil deine Organisation keine Windows-Desktop-Werkzeuge mehr installiert.
• Wenn dein Use Case ein vollintegriertes Multi-Tool-Dashboard über Entra ID, Defender, Sentinel und 50 andere Produkte ist.

LIVE-DEMO

Persönliche Demo per Teams, ca. 45 Minuten. Ich verbinde mich mit meinem Demo-Tenant, zeige dir alle 14 Module live, du kannst Fragen stellen, eigene Szenarien durchspielen. Kostenfrei, keine Verpflichtung.

BUNDLE MIT BERATUNG

Wer den Diagnostiker im Rahmen eines Beratungs-Auftrags nutzen will, braucht oft keine eigene Lizenz: der Health Check und die strategische Begleitung enthalten den Tool-Einsatz bereits. Wenn du Health-Check und Lizenz kombinieren willst, gibt es einen Bundle-Preis, der spürbar günstiger ist als beide Posten getrennt.

WELCHE MICROSOFT-LIZENZEN BRAUCHE ICH FÜR EINE SINNVOLLE ANALYSE?

Die Basis-Analyse läuft bereits mit Entra ID Free. Module, die Premium-Features auswerten (Identity Protection, PIM), brauchen entsprechend P1 oder P2 im Tenant. Der Diagnostiker erkennt automatisch, welche Lizenz vorhanden ist, und überspringt nicht-anwendbare Checks.

KANN ICH DAS TOOL AUCH OHNE GLOBALEN ADMINISTRATOR BETREIBEN?

Ja, und das ist sogar die empfohlene Variante. Du legst eine App Registration mit Read-Only-Berechtigungen an. Welche Permissions konkret nötig sind, erklärt der mitgelieferte Setup-Assistent — typischerweise Directory.Read.All, AuditLog.Read.All, Policy.Read.All und einige weitere lesende Permissions. Keine schreibenden Berechtigungen werden je benötigt.

WIE LANGE DAUERT EIN VOLLSTÄNDIGER SCAN?

Bei einem normalen Mittelstand-Tenant (200–2.000 Benutzer) zwischen 30 und 90 Minuten. Bei sehr großen Tenants (10.000+ Benutzer) kann es länger dauern, vor allem die Audit-Log-Analyse. Der größte Teil läuft autonom — du musst nicht daneben sitzen.

WAS PASSIERT MIT DEN AUSGELESENEN DATEN NACH DEM SCAN?

Sie liegen verschlüsselt in einer lokalen SQLite-Datenbank auf deinem Rechner. Du kannst sie für Re-Scans und Verlaufs-Vergleiche behalten, oder nach dem Scan einfach löschen — beide Varianten sind explizit unterstützt. Die Datenbank ist mit AES-256 verschlüsselt, der Schlüssel liegt im Windows Credential Manager des Benutzers.

WIRD DAS TOOL GEGEN MICROSOFT-ÄNDERUNGEN AKTUALISIERT?

Ja. Microsoft ändert die Graph API und ergänzt neue Features regelmäßig — alle paar Wochen kommt ein Update des Diagnostikers, das neue Features abdeckt oder bestehende Analysen verfeinert. Updates sind im Abo enthalten (Laufzeit je nach Edition).

KANN DAS TOOL MEINEN TENANT BESCHÄDIGEN?

Nein. Der Diagnostiker ist rein lesend — es gibt keine schreibenden API-Calls, keine Konfigurationsänderungen, keine Eingriffe in den Tenant. Im technischen Sinn entspricht das einem klassischen Reporting-Tool. Die App-Permissions sind dementsprechend ausschließlich Read-Permissions.

WAS WENN EIN MODUL EINEN BEFUND LIEFERT, DER BEI MIR NICHT ZUTRIFFT?

Falsch-Positive lassen sich pro Befund als „akzeptiert“ markieren, mit Begründung. Beim nächsten Scan taucht der Befund weiter auf, ist aber als bereits behandelt markiert. So bleibt die Historie nachvollziehbar — wichtig für externe Audits.

GIBT ES EINE API FÜR DIE INTEGRATION IN MEIN SIEM ODER TICKETSYSTEM?

Die Premium- und Enterprise-Editionen bieten einen XLSX-Export der Roh-Daten, der sich in viele Systeme einfach importieren lässt. Eine direkte API-Anbindung (etwa REST-Endpunkt) ist für eine spätere Version geplant, aber aktuell nicht enthalten.

DEMO-TERMIN ANFRAGEN

Die schnellste Art, das Werkzeug kennenzulernen: kostenfreie Live-Demo per Teams. 45 Minuten, alle 14 Module, eigene Fragen ausdrücklich erwünscht.

Kontakt: boddenberg.de/kontakt · Antwortzeit Werktags typischerweise unter 24 Stunden.

Verwandte Inhalte: Übersicht Entra ID · Entra-Beratung · Buch Entra ID in der Praxis