MICROSOFT 365PRÜFEN.

Er fragt bei Microsoft die öffentlichen Anmelde-Metadaten zu Ihrer Domain ab und erkennt daran, ob Microsoft der Domain einen Tenant in Microsoft Entra ID zuordnet. Dazu liest er öffentliche DNS-Einträge: ob E-Mails bei Exchange Online ankommen (MX), ob SPF Exchange Online erlaubt und mit -all endet, ob die beiden DKIM-Einträge von Microsoft 365 gesetzt sind und ein Schlüssel abrufbar ist, welche DMARC-Richtlinie gilt und ob Autodiscover auf Exchange Online zeigt. Zur Information zeigt er DNSSEC für eingehende E-Mails, DMARC der onmicrosoft.com-Domain, die Teams-Föderation und die Intune-Registrierung.

Ja. Microsoft veröffentlicht die Anmelde-Metadaten jedes Tenants an einer öffentlichen Adresse, weil Anwendungen sie für die Anmeldung brauchen, und nimmt dabei auch den Domainnamen als Kennung an. Die Metadaten enthalten die Tenant-ID und technische Adressen, aber keine Benutzer, Passwörter oder Einstellungen. Dieser Check zeigt nur, was jeder mit dem Domainnamen ohnehin abrufen kann.

Eine Note vergeben wir nur, wenn E-Mails der Domain über Exchange Online laufen, erkennbar am MX, am SPF-include oder an den DKIM-Einträgen von Microsoft. Nutzen Sie einen anderen Mail-Dienst oder kein Microsoft 365, wäre jede Note irreführend. Sie sehen dann, ob Microsoft einen Tenant zu Ihrer Domain kennt, und den Hinweis auf den E-Mail-Sicherheits-Check für Ihren tatsächlichen Mail-Dienst.

Nein. Ob Ihre Benutzer sich direkt bei Microsoft Entra ID anmelden (verwaltete Domain) oder über einen eigenen Dienst wie AD FS (verbundene Domain), dafür bietet Microsoft keine dokumentierte öffentliche Schnittstelle. Die bekannten Wege sind nicht dokumentiert oder fragen einzelne Anmeldenamen ab, und beides nutzen wir nicht. Betreiben Sie noch AD FS, empfiehlt Microsoft den Umstieg auf Cloud-Authentifizierung, bevorzugt mit Kennworthashsynchronisierung.

Unser Server fragt bei Microsoft unter login.microsoftonline.com einmal die Anmelde-Metadaten zu Ihrer Domain ab. Microsoft erhält dabei den Domainnamen und die Adresse unseres Servers, nicht Ihre IP-Adresse. Die DNS-Abfragen laufen über den DNS-Resolver, den unser Webserver beim Hostinganbieter nutzt. Wir prüfen keine Benutzerkonten, melden uns nirgends an und verbinden uns weder mit Ihrer Website noch mit Ihrem Mailserver. Das Ergebnis bleibt fünf Minuten im Arbeitsspeicher und ist spätestens nach sechs Minuten gelöscht.

Fünf Prüfungen zählen: DMARC mit 30 Punkten, SPF und DKIM mit je 25, MX und Autodiscover mit je 10. Bestanden zählt voll, ein Hinweis halb, ein kritischer Befund nicht. Ohne wirksames DMARC ist höchstens C möglich, ebenso mit +all im SPF-Eintrag. A+ gibt es nur ohne kritischen Befund. Tenant, DNSSEC, onmicrosoft.com-Domain, Teams und Intune zeigen wir an, sie zählen nicht. In die Gesamtnote des Website-Sicherheitschecks fließt dieser Check nicht ein.