Wie Aether365 funktioniert

Betreut von: Aether365 Team Zielgruppe: Alle Benutzer Umfang: Architektur und Datenfluss der Aether365-Scans

Aether365 ist eine kontinuierliche Microsoft 365-Sicherheitsbewertungsplattform. Sie verbindet sich mit Ihrem Tenant über schreibgeschützte Microsoft Graph-Berechtigungen, führt Sicherheitsprüfungen gegen etablierte Frameworks durch und zeigt Befunde mit Behebungshinweisen an.

Architekturübersicht

Ihr M365 Tenant
      |
      |  (schreibgeschützte Microsoft Graph API-Aufrufe)
      v
  Aether365 Scanner
      |
      |  (strukturierte Befunde)
      v
  Aether365 Datenbank
      |
      |  (API)
      v
  Ihr Dashboard / REST API

Keine Agents, Konnektoren oder PowerShell-Skripte laufen in Ihrem Tenant. Aether365 arbeitet vollständig von außerhalb Ihrer Umgebung über die Microsoft Graph API.

Dies ist bewusst als schreibgeschützte Architektur konzipiert: Der Scanner verfügt ausschließlich über lesende Berechtigungen auf Anwendungsebene und hat technisch keine Möglichkeit, in Ihrer Microsoft 365 Umgebung etwas zu erstellen, zu ändern oder zu löschen.

Der Scan-Ablauf

1. Auslösung - Ein Scan startet entweder nach dem automatischen Zeitplan oder wenn Sie einen manuell über das Dashboard oder die API auslösen.
2. Authentifizierung - Aether365 verwendet den Service Principal Consent, den Sie bei der Tenant-Verbindung erteilt haben. Es authentifiziert sich als Anwendung - nicht als Benutzer.
3. Datenerfassung - Der Scanner liest Konfigurationsdaten von Microsoft Graph-Endpunkten: Benutzereinstellungen, Richtlinien, Tenant-Konfiguration, dienstspezifische Einstellungen (Exchange, Teams, SharePoint, Entra ID).
4. Bewertung - Jeder erfasste Wert wird gegen eine Bibliothek von Sicherheitsprüfungen bewertet. Prüfungen sind einem oder mehreren Compliance Frameworks zugeordnet.
5. Ergebnisspeicherung - Bestanden-, Fehlgeschlagen- und Übersprungen-Ergebnisse werden pro Prüfung gespeichert. Bei fehlgeschlagenen Prüfungen wird der tatsächlich erkannte Wert zusammen mit dem erwarteten Wert aufgezeichnet.
6. Zustellung - Ergebnisse erscheinen in Ihrem Dashboard. Wenn E-Mail- oder Teams-Benachrichtigungen konfiguriert sind, erhalten Sie eine Benachrichtigung, wenn der Scan abgeschlossen ist.

Welche Daten Aether365 liest

Aether365 liest ausschließlich Konfigurationsdaten - keine E-Mail-Inhalte, Dateiinhalte, Chat-Nachrichten oder benutzergenerierte Daten.

Konfigurationsdaten umfassen:

• Tenant- und Organisationseinstellungen
• Entra ID (Azure AD)-Richtlinien - bedingter Zugriff, Authentifizierungsmethoden, Rollenzuweisungen
• Exchange Online - Transportregeln, Anti-Phishing-Richtlinien, Postfacheinstellungen, DKIM/DMARC-Status
• Microsoft Teams - Besprechungsrichtlinien, externe Föderation, Gastzugangseinstellungen
• SharePoint Online - Freigaberichtlinien, externe Zugriffskonfiguration
• Microsoft 365 Sicherheitseinstellungen - Defender-Richtlinien, Überwachungsprotokollstatus, Warnungsrichtlinien

Schreibgeschützt

Aether365 erstellt, ändert oder löscht niemals Daten in Ihrer Microsoft 365-Umgebung. Alle Berechtigungen sind schreibgeschützte Anwendungsberechtigungen.

Keine AI-Verarbeitung Ihrer Daten

Aether365 übermittelt Ihre Tenant-Konfiguration, Scan-Ergebnisse oder sonstige Kundendaten nicht an AI- oder Large-Language-Model-Dienste. Es werden keine Kundendaten für das Training von AI-Modellen oder für automatisierte Profilerstellung verwendet. AI-Unterstützung kommt ausschließlich beim Verfassen der öffentlichen Behebungsdokumentation auf dieser Website zum Einsatz - niemals zur Verarbeitung von Daten, die aus Ihrem Tenant gelesen wurden.

Scan-Typen

Typ	Was geprüft wird	Frameworks
Compliance	Konfiguration gegen Sicherheitsbenchmarks	CIS, EIDSCA, CISA SCuBA, NIS2
Exposure	Riskante Konfigurationen in M365-Diensten	Aether365 Exposure-Bibliothek

Siehe Compliance Scans und Exposure Scans für Details.

Datenresidenz

Alle Daten - einschließlich Scan-Ergebnisse und Konfigurationsschnappschüsse - werden in unserem EU-Rechenzentrum (Ireland, Schweden) gespeichert. Keine Daten werden in andere Regionen repliziert. Scandaten werden für einen definierten Zeitraum aufbewahrt und anschließend dauerhaft gelöscht.

Siehe Datenresidenz und Datenschutz für Details.

Tenant-Isolierung

Die Daten jedes Kunden werden mit einer Tenant-ID gespeichert, die auf jeden Datenbankeintrag angewendet wird. Es ist architektonisch unmöglich, dass auf die Daten eines Kunden über die Sitzung eines anderen Kunden zugegriffen wird. Scan-Arbeitslasten laufen in isolierten, kurzlebigen Umgebungen ohne gemeinsamen Zustand zwischen Tenants.