Microsoft 365 ISO 27001: Einstellungen und Nachweise fürs Audit
Ihr Microsoft 365 wird fit fürs Audit.
Microsoft 365 normgerecht einrichten und belegen.
Tenant-Härtung und Nachweise für ISO/IEC 27001:2022, remote.
Wir stellen Microsoft 365 passend ein und schreiben alles auf.
- meist 2 bis 12 Monate
- Preis pro Benutzer
- feste Ansprechperson
arbeitswolke richtet Microsoft 365 für Firmen, die eine ISO-27001-Zertifizierung vorbereiten, passend zur Norm ein und dokumentiert die Einstellungen als Nachweis fürs Audit. Begleitung meist 2 bis 12 Monate, kein eigenes Zertifikat.Stand: November 2026
- Scope
- M365-Tenant: Entra ID, Exchange Online, SharePoint/OneDrive, Teams, Intune, Defender, Purview
- Norm
- ISO/IEC 27001:2022, technischer M365-Anteil
- Nicht
- Zertifizierung, ISMS-Aufbau
- Dauer
- Begleitung 2–12 Monate; Technik oft in den ersten Wochen
- Erbringung
- remote, Mo–Fr 9–17 Uhr; feste Ansprechperson
- Zugriff
- Global Admin, nach Projektende entzogen; Mails lesen wir nur, wenn Ihr Anliegen es erfordert
- Abrechnung
- Preis pro Benutzer, unabhängig von Ihrer M365-Lizenz; Lizenzen zahlt der Kunde
Das erledigen wir für Sie
Ihr Stand für ISO 27001Bestandsaufnahme · Ihre Firma
- Ihr Microsoft-Paket reichtpasst
- Schutz bezahlt, aber auseinschalten
- Anmeldung ohne Handyändern
Mit Fahrplan bis zum Audit
Bis zum AuditIhre Firma · 9 Aufgaben
- Anmeldung mit Handyerledigt
- Anmeldungen protokollierterledigt
- Firmen-Laptops geschützterledigt
- Vertrauliche Dateienin Arbeit
- Kurze Schulung fürs Teamoffen
Jede Einstellung aufgeschrieben, fürs Audit
Das tun Sie
- Einmal vollen Admin-Zugang geben – wir zeigen, wie
- Ihre Firmenregeln festlegen, gern mit ISO-Beratung
- Ja sagen, bevor wir etwas löschen
Was kostet das?
- Preis pro Benutzer, vorher vereinbart
- Microsoft-Lizenzen zahlen Sie weiter selbst
- Was möglich ist, hängt von Ihrem Microsoft-Paket ab
Was wir oft hören
- „Microsoft ist doch zertifiziert.“ Ja, Rechenzentren und Plattform. Ihre eigenen Einstellungen prüft der Auditor trotzdem bei Ihnen.
- „Wir zahlen Business Premium.“ Oft ist der Schutz darin nie eingeschaltet worden.
- „Die Regeln haben wir schon.“ Dann fehlt oft jemand, der sie in Microsoft 365 umsetzt. Das sind wir.
- „Gilt NIS2 auch für uns?“ Eine erste Orientierung gibt der NIS2-Check.
Das erledigen wir für Sie
- Erst ein Blick hineinWir vergleichen Ihren Stand mit der Norm.
- Schon bezahlt, nie genutztWir zeigen, welchen Schutz Ihr Paket schon hat.
- Klarer FahrplanWas bis zum Audit fertig sein muss.
- Anmeldung mit HandyEin gestohlenes Passwort allein reicht nicht mehr.
- Vertrauliche DateienRegeln, was raus darf und wie lange es bleibt.
- Firmen-LaptopsZentral verwaltet und geschützt, je nach Microsoft-Paket.
- Protokoll statt PapierlisteAnmeldungen und Änderungen werden aufgezeichnet.
- Nachweise fürs AuditAlle Einstellungen aufgeschrieben, wie Prüfer sie sehen wollen.
- Ihr TeamKurze Schulung, Leitfäden, Arbeit wie gewohnt.
So geht es los
- Sie schreiben unskostenlos
- Wir prüfen und planenpro Benutzer
- Wir setzen um und belegenbis zum Audit
Das tun Sie
- Einmal vollen Admin-Zugang geben – wir zeigen, wie
- Ihre Firmenregeln festlegen, gern mit ISO-Beratung
- Ja sagen, bevor wir etwas löschen
Was kostet das?
- Preis pro Benutzer, vorher vereinbart
- Microsoft-Lizenzen zahlen Sie weiter selbst
- Was möglich ist, hängt von Ihrem Microsoft-Paket ab
Was wir oft hören
- „Microsoft ist doch zertifiziert.“ Ja, Rechenzentren und Plattform. Ihre eigenen Einstellungen prüft der Auditor trotzdem bei Ihnen.
- „Wir zahlen Business Premium.“ Oft ist der Schutz darin nie eingeschaltet worden.
- „Die Regeln haben wir schon.“ Dann fehlt oft jemand, der sie in Microsoft 365 umsetzt. Das sind wir.
- „Gilt NIS2 auch für uns?“ Eine erste Orientierung gibt der NIS2-Check.
Das ist enthalten
BestandsaufnahmeAbgleich mit ISO 27001:2022
- Lizenz-Checkpasst
- CA, Intune: bezahlt, auseinschalten
- MFA nicht für allePriorität 1
Fahrplan im Bericht
- MFA für alleZugängeaktiv
- Admin-Kontengetrennt vom Alltagaktiv
- Conditional AccessAnmeldung nur sicheraktiv
- DLP-RegelnDaten, Aufbewahrungaktiv
Umfang je nach Ihrer Microsoft-Lizenz
Fahrplan10 Maßnahmen bis zum Audit
- Zugänge und MFAumgesetzt
- Protokollierungumgesetzt
- Geräte: Intune, Defenderin Arbeit
- Audit-Dokuoffen
Einstellungen als Nachweis aufbereitet
Abgrenzung: Microsoft-365-Teil und ISMS
- Unser Teil: die technischen Maßnahmen in Microsoft 365 und ihre Dokumentation.
- Ihr Teil: das ISMS, also Richtlinien, Risiken und Zuständigkeiten, allein oder mit Ihrer ISO-Beratung.
- Zertifikat: stellt nur eine unabhängige, akkreditierte Zertifizierungsstelle nach dem Audit aus.
- Microsofts Zertifikat gilt für Rechenzentren und Plattform, nicht für die Einstellungen in Ihrem Mandanten.
Entscheidungshilfe: Lizenzen und Vorarbeit
- Lizenzen: Wir setzen um, was Ihre Microsoft-Lizenz hergibt; mit Business Basic ist weniger möglich. Unser Preis pro Benutzer hängt nicht von der Lizenz ab.
- Einstieg: Wer erst den Stand kennen will, beginnt mit dem Microsoft 365 Sicherheitscheck.
- Nach dem Audit: Damit die Einstellungen stimmen bleiben, gibt es die Microsoft 365 Betreuung.
- Freigaben: Löschen und kritische Änderungen nur mit Ihrer Zustimmung per Mail oder Ticket.
Das ist enthalten
Abgrenzung: Microsoft-365-Teil und ISMS
- Unser Teil: die technischen Maßnahmen in Microsoft 365 und ihre Dokumentation.
- Ihr Teil: das ISMS, also Richtlinien, Risiken und Zuständigkeiten, allein oder mit Ihrer ISO-Beratung.
- Zertifikat: stellt nur eine unabhängige, akkreditierte Zertifizierungsstelle nach dem Audit aus.
- Microsofts Zertifikat gilt für Rechenzentren und Plattform, nicht für die Einstellungen in Ihrem Mandanten.
Entscheidungshilfe: Lizenzen und Vorarbeit
- Lizenzen: Wir setzen um, was Ihre Microsoft-Lizenz hergibt; mit Business Basic ist weniger möglich. Unser Preis pro Benutzer hängt nicht von der Lizenz ab.
- Einstieg: Wer erst den Stand kennen will, beginnt mit dem Microsoft 365 Sicherheitscheck.
- Nach dem Audit: Damit die Einstellungen stimmen bleiben, gibt es die Microsoft 365 Betreuung.
- Freigaben: Löschen und kritische Änderungen nur mit Ihrer Zustimmung per Mail oder Ticket.
Leistungsumfang und Zuständigkeit
Tenant-Reviewgegen ISO/IEC 27001:2022
- Audit-Log aktiverfüllt
- Admin-Konten getrennterfüllt
- DLP, Retention (Purview)teilweise
- CA: MFA nicht erzwungenLücke
- Intune-Compliance fehltLücke
5 Gaps, priorisiert in der Roadmap
- CA-Policy: MFA alleNachweis: Policy-Exportbelegt
- Intune-ComplianceNachweis: Geräteübersichtbelegt
- DLP, RetentionNachweis: Regelwerkbelegt
- Audit-LogNachweis: Konfigurationbelegt
Konfigurationsdoku fürs Audit
| Bereich | arbeitswolke | Sie |
|---|---|---|
| Assessment, Roadmap | Tenant-Review, Gap, Lizenz-Check; Ergebnis als PDF-Bericht mit priorisierten Maßnahmen | Admin-Zugang, Freigabe |
| Identität, Endpunkte | MFA, Admin-Konten, CA; Intune, Defender – alles im Rahmen Ihrer Lizenz | Ausnahmen, Lizenzen |
| Daten | DLP-Regeln, Aufbewahrung (Purview, lizenzabhängig) | Vorgaben aus dem ISMS |
| Awareness | Kurzschulung, Leitfäden | Teilnahme |
| Kritische Änderungen | erst nach Freigabe | Freigabe in Textform |
| ISMS, Zertifizierung | nicht enthalten | Einbindung der Doku ins ISMS; Zertifizierungsstelle |
Ablauf, Projektende, typische Befunde, Abgrenzung
- Technik zuerst: die Anpassungen im Tenant oft schon in den ersten Wochen, danach Begleitung bis zum Audit. Umsetzbar ist, was Ihre M365-Lizenz hergibt (Business Basic: weniger).
- Projektende: Admin-Zugänge werden gelöscht oder zurückgestuft. Alarme und Benachrichtigungen danach sind nicht Teil dieser Leistung.
- IT-Änderungen: Sie melden sie rechtzeitig, wir bewerten die Auswirkung.
- Nicht abgedeckt: Zusatzleistungen nach Aufwand.
- Lizenzierte, aber deaktivierte Schutzfunktionen (z. B. Business Premium ohne CA/Intune)
- Richtlinien vorhanden, Umsetzung im Tenant fehlt
- Keine dokumentierte Baseline: Sicherheitsstatus nur per Papierliste
| Leistung | Inhalt | Abrechnung |
|---|---|---|
| Microsoft 365 für ISO 27001 | Härtung und Nachweise für das Audit | pro Benutzer |
| Gap-Analyse | Prüfung mit Bericht und Prioritäten, Umsetzung auf Wunsch inklusive | Festpreis |
| E-Mail-Domain-Schutz | SPF, DKIM, DMARC | eigene Leistung |
| Microsoft 365 Betreuung | laufender Betrieb nach dem Audit | pro Nutzer und Monat |
| Bereich | arbeitswolke | Sie |
|---|---|---|
| Assessment | Tenant-Review, Gap gegen ISO 27001:2022, Lizenz-Check; PDF-Bericht | Admin-Zugang |
| Roadmap | priorisierte Maßnahmen bis zum Audit | Freigabe |
| Identität | MFA, getrennte Admin-Konten, Conditional Access | Ausnahmen entscheiden |
| Daten | DLP-Regeln, Aufbewahrung (Purview, lizenzabhängig) | Vorgaben aus dem ISMS |
| Endpunkte | Intune, Defender (lizenzabhängig) | Lizenzen |
| Monitoring | Protokollierung, Sicherheitsstatus | – |
| Nachweise | Konfigurationsdoku fürs Audit | Einbindung ins ISMS |
| Awareness | Kurzschulung, Leitfäden | Teilnahme |
| Kritische Änderungen | erst nach Freigabe | Freigabe in Textform |
| ISMS, Zertifizierung | nicht enthalten | Sie, ISO-Beratung, Zertifizierungsstelle |
Ablauf, Projektende, typische Befunde
- Technik zuerst: die Anpassungen im Tenant oft schon in den ersten Wochen, danach Begleitung bis zum Audit. Umsetzbar ist, was Ihre M365-Lizenz hergibt (Business Basic: weniger).
- Projektende: Admin-Zugänge werden gelöscht oder zurückgestuft. Alarme und Benachrichtigungen danach sind nicht Teil dieser Leistung.
- IT-Änderungen: Sie melden sie rechtzeitig, wir bewerten die Auswirkung.
- Nicht abgedeckt: Zusatzleistungen nach Aufwand.
- Lizenzierte, aber deaktivierte Schutzfunktionen (z. B. Business Premium ohne CA/Intune)
- Richtlinien vorhanden, Umsetzung im Tenant fehlt
- Keine dokumentierte Baseline: Sicherheitsstatus nur per Papierliste
Abgrenzung zu anderen Leistungen
| Leistung | Inhalt | Abrechnung |
|---|---|---|
| Microsoft 365 für ISO 27001 | Härtung und Nachweise für das Audit | pro Benutzer |
| Gap-Analyse | Prüfung mit Bericht und Prioritäten, Umsetzung auf Wunsch inklusive | Festpreis |
| E-Mail-Domain-Schutz | SPF, DKIM, DMARC | eigene Leistung |
| Microsoft 365 Betreuung | laufender Betrieb nach dem Audit | pro Nutzer und Monat |
Passen wir zusammen?
Passt, wenn
Sie Outlook und Teams von Microsoft nutzen · ein Kunde Nachweise verlangt oder Sie das Zertifikat wollen · Hilfe per Fernzugriff reicht
Nicht dabei
Das Zertifikat selbst (vergibt eine Prüfstelle) · Ihre Firmenregeln und Risiken · Lizenzen kaufen · Besuch vor Ort · Extrawünsche (nach Aufwand)
Gut zu wissen
Wir lesen keine Mails, außer Ihr Anliegen erfordert es · Zugang endet mit dem Projekt · erreichbar Mo–Fr 9–17 Uhr
Das brauchen wir von Ihnen
Global-Admin-Zugang · Vorgaben aus Ihrem ISMS oder Kontakt zur ISO-Beratung · Ansprechperson, die entscheiden darf
Nicht enthalten
Zertifizierung · ISMS: Richtlinien, Risikoanalyse, Zuständigkeiten · Lizenzverkauf · Vor-Ort-Einsätze · Zusatzleistungen (nach Aufwand)
Rahmen
per Fernzugriff · Mo–Fr 9–17 Uhr · Global Admin; Mails nur, wenn Ihr Anliegen es erfordert · Preis pro Benutzer, Lizenzen zahlen Sie
Voraussetzungen
M365-Tenant · Global Admin · ISMS-Vorgaben oder ISO-Beratung als Gegenüber · Lizenzstand prüfen wir
Out of Scope
Zertifizierung · ISMS-Dokumente, Risikoanalyse · Lizenz-Reselling · Vor-Ort · Systeme außerhalb M365 · Zusatzaufwand nach Aufwand
Kundenstimmen und Projekte
Fragen zu Microsoft 365 und ISO 27001
Ist Microsoft 365 nicht automatisch nach ISO 27001 zertifiziert?
Microsoft als Anbieter ist zertifiziert – das betrifft die Rechenzentren und die Plattform. Für die Einstellungen in Ihrer eigenen Umgebung sind Sie selbst verantwortlich: wer was sehen darf, wie Zugänge geschützt sind und welche Maßnahmen umgesetzt wurden. Genau diesen Teil bereiten wir mit Ihnen vor.
Bekommen wir von arbeitswolke das ISO-27001-Zertifikat?
Nein. Wir sind keine Zertifizierungsstelle und stellen keine Zertifikate aus. Das Zertifikat vergibt eine unabhängige, akkreditierte Zertifizierungsstelle nach einem Audit. Wir sorgen dafür, dass Microsoft 365 dabei passend eingerichtet und dokumentiert ist.
Wie lange dauert die Vorbereitung?
Das hängt von Ihrer Größe und Ihrem Ausgangsstand ab. Meist begleiten wir Firmen über zwei bis zwölf Monate. Die technischen Anpassungen in Microsoft 365 erledigen wir oft schon in den ersten Wochen.
Welche Microsoft-Lizenzen brauchen wir?
Wir setzen um, was Ihre Microsoft-Lizenz hergibt. Viele Sicherheitsfunktionen stecken in Plänen wie Business Premium; mit Business Basic ist weniger möglich. Unser Preis pro Benutzer hängt nicht von Ihrer Lizenz ab, und wir empfehlen nur Zukäufe, die Sie wirklich brauchen.
Muss unser Team anders arbeiten?
Kaum. Unser Ziel ist, dass die Sicherheit im Hintergrund läuft. Ihre Mitarbeiter arbeiten weiter mit Teams, Outlook und SharePoint. Neu ist meist nur die Anmeldung mit zweitem Faktor – und ein paar klare Regeln, die wir kurz schulen.
Microsoft 365 für ISO 27001 vorbereiten
Zertifizierung geplant, Audit-Termin fest oder erst eine Kundenanfrage? Antwort innerhalb von 48 Stunden.
Mehr rund um Sicherheit: Sicherheitscheck · E-Mail-Domain-Schutz · Betreuung · NIS2-Check · alle Leistungen