Microsoft 365

Verfügbar

Ojava liest die Aktivitätsprotokolle Ihres Microsoft 365 und warnt Sie vor gestohlenen Passwörtern, Mailweiterleitungen, riskanten Apps und neuen Administratoren.

14-tägige Testphase starten

Was es erkennt

Gestohlene Passwörter und Kontoübernahme

Jemand meldet sich mit einem gestohlenen oder erratenen Passwort an.

: Anmeldungen von zwei Orten, die zu weit auseinanderliegen, und Serien falscher Passwörter.

Angriffe auf den zweiten Anmeldeschritt

Der Angreifer kennt das Passwort und versucht, MFA oder die Bestätigung in zwei Schritten zu umgehen.

: Wiederholt MFA-Codes oder -Anfragen, die Microsoft als fehlgeschlagen markiert, in jedem Plan. Der normale Schritt «MFA erforderlich» einer Anmeldung zählt nicht.

Mailweiterleitung und Zahlungsbetrug

Ein gekapertes Postfach schickt heimlich Kopien Ihrer Mails nach aussen: der klassische erste Schritt beim Zahlungsbetrug.

: Neue Posteingangsregeln, die Mails weiterleiten oder umleiten.

Riskante App-Zugriffe

Jemand gibt einer unbekannten App Zugriff auf Mails oder Dateien, oft nach einem Phishing-Link.

: Zustimmung zu Apps mit heiklen Berechtigungen.

Neue Administratorrechte

Ein Konto erhält plötzlich Admin-Rechte; so kann ein Angreifer das ganze Firmenkonto übernehmen.

: Admin-Rollen, die einem Konto zugewiesen werden.

Massendownloads und Datendiebstahl

Viele Dateien verlassen das Unternehmen in kurzer Zeit.

: 50 oder mehr Downloads aus OneDrive oder SharePoint innerhalb einer Stunde.

Zusammenhängende Angriffe

Zusammengehörige Warnzeichen werden zu einem Vorfall, so sehen Sie die ganze Geschichte statt einzelner Alarme.

: Zum Beispiel eine Anmeldung aus dem Ausland, gefolgt von einer neuen Weiterleitungsregel.

Was Sie brauchen

Jeder Microsoft-365-Business-PlanBusiness Basic, Standard oder Premium, E3 oder E5, mit eingeschalteter Überwachung (standardmässig an). Jeder Alarmtyp funktioniert in jedem Plan.
Schnellere Anmeldealarme mit Entra ID P1In Business Premium, E3 und E5 enthalten. Ojava liest dann das Entra-Anmeldeprotokoll direkt: Anmeldungen kommen meist innerhalb weniger Minuten, mit Microsofts Standortdaten. Ohne P1 kommen sie aus dem Überwachungsprotokoll, 60 bis 90 Minuten danach.
Ein Microsoft-365-AdministratorMeldet sich einmal an, um den Lesezugriff von Ojava zu bestätigen.

So verbinden Sie es

In Ojava: Einstellungen → Integrationen → Microsoft 365 verbinden.
Melden Sie sich als Microsoft-365-Administrator an und bestätigen Sie den Lesezugriff.
Ojava beginnt sofort zu lesen; die ersten Ereignisse erscheinen innerhalb weniger Minuten.

Was Ojava liest

Anmeldungen (Zeit, IP-Adresse, Standort, verwendete App, Erfolg oder Fehlschlag), Änderungen an Posteingangsregeln und Weiterleitungen, App-Zustimmungen und erteilte Berechtigungen, Änderungen an Administratorrollen sowie Download-Einträge aus OneDrive und SharePoint (Dateiname, nie der Inhalt). Berechtigungen: Überwachungs- und Verzeichnisprotokolle nur lesend (AuditLog.Read.All, Directory.Read.All, User.Read.All, ActivityFeed.Read).

Was Ojava nie liest

Inhalte von E-Mails, Anhängen, OneDrive- oder SharePoint-Dateien, Teams-Chats oder Kalendern. Ojava hat keine Berechtigung, Mails zu lesen, und kann in Ihrem Microsoft 365 nichts ändern.

Was Ojava sieht und nie sieht, pro Berechtigung

Berechtigung (nur lesend)	Was Ojava sieht	Was Ojava nie sieht oder tut
`AuditLog.Read.All`	Das Anmeldeprotokoll: wer, wann, von welcher IP-Adresse und welchem Ort, mit welcher App, Erfolg oder Fehlschlag (für dieses Protokoll ist Entra ID P1 nötig); und das Entra-Prüfprotokoll bei jedem Abo: Änderungen an Anmeldemethoden (ohne Telefonnummern), Admin-Rollen, App-Zustimmungen, neue Benutzer und Gäste, Passwort-Zurücksetzungen.	Passwörter, E-Mails, Dateien; niemand kann damit an- oder abgemeldet werden.
`ActivityFeed.Read (Office 365 Management Activity)`	Prüfereignisse: Posteingangs- und Weiterleitungsregeln (Stichwörter nur im Alarm), Postfach-Delegierungen, App-Zustimmungen, Änderungen an Admin-Rollen, Downloads und externe Freigaben aus OneDrive/SharePoint (Aktion, Anzahl, externe Adresse; Dateinamen nur in einem Alarm zu massenhaftem Teilen, höchstens 20).	Den Inhalt von E-Mails, Anhängen, Dateien, Teams-Chats oder Kalendern.
`Directory.Read.All`	Verzeichnisangaben: Benutzer, Gruppen, Admin-Rollen und registrierte Apps, um zu wissen, wer Admin ist und welche App welche Berechtigung erhielt.	Benutzer, Gruppen, Rollen oder Apps lassen sich damit weder anlegen noch ändern noch löschen.
`User.Read.All`	Benutzerprofile (Name, E-Mail-Adresse, Konto aktiv oder nicht), um anzuzeigen, wen ein Alarm betrifft.	Postfachinhalte oder sonst etwas ausserhalb des Profils.
`openid, profile, email, offline_access`	Wer die Verbindung bestätigt hat, und die Erlaubnis, im Hintergrund weiterzulesen.	Sonst nichts.

Wie schnell Alarme kommen

Ojava liest Microsoft 365 alle 5 Minuten. Microsoft bestimmt, wann seine Protokolle verfügbar sind: die meisten Überwachungsereignisse 60 bis 90 Minuten danach, Entra-Anmeldungen (mit P1) meist innerhalb weniger Minuten.

Die anderen Quellen

Windows-PCs

Früher Zugang: wir richten es mit Ihnen ein

Ransomware, Schadsoftware, Werkzeuge zum Passwortdiebstahl und abgeschalteter Schutz, auf jedem Windows-PC. Mit oder ohne Microsoft 365 oder Google Workspace.

So funktioniert es

Google Workspace

Verfügbar

Gestohlene Passwörter, fehlgeschlagene Bestätigung in zwei Schritten, Mailweiterleitungen, riskante App-Zugriffe, neue Admins und Massendownloads aus Drive. Jede Business-Edition ab Business Starter (keine privaten Gmail-Konten).

So funktioniert es