Microsoft Compliance Manager

Microsoft Compliance Manager ist ein Tool im Microsoft Purview-Complianceportal, das Organisationen dabei unterstützt, ihren Compliance-Status anhand regulatorischer Frameworks zu bewerten, zu überwachen und zu verbessern. Es stellt einen Compliance-Score bereit – ein numerisches Maß dafür, wie gut die Kontrollen Ihrer Organisation mit den Anforderungen ausgewählter Standards übereinstimmen. Compliance Manager steht Organisationen mit Microsoft 365- oder Azure-Abonnements zur Verfügung.

Sie greifen über das Microsoft Purview-Complianceportal unter compliance.microsoft.com auf Compliance Manager zu. Das Startdashboard zeigt Ihren gesamten Compliance-Score, eine Aufschlüsselung nach Kategorien (Datenschutz, Zugriffssteuerung, Vorfallverwaltung) sowie eine Liste von Bewertungen. Sie müssen kein Compliance-Experte sein, um das Tool zu verwenden – es führt Sie Schritt für Schritt durch die Anforderungen jedes Standards.

Eine Bewertung in Compliance Manager stellt eine Beurteilung Ihrer Organisation anhand eines bestimmten regulatorischen Frameworks dar (z. B. ISO 27001, DSGVO, HIPAA). Jede Bewertung enthält eine Reihe von Kontrollen aus der jeweiligen Regulierung sowie von Microsoft verwaltete Maßnahmen (Kontrollen, die Microsoft für Sie übernimmt) und vom Kunden verwaltete Maßnahmen (Kontrollen, die Sie selbst implementieren müssen). Sie können gleichzeitig Bewertungen für mehrere Regulierungen erstellen.

Der Compliance-Score ist ein Prozentsatz (0–100 %), der angibt, wie gut die Kontrollen Ihrer Organisation im Verhältnis zu den von Ihnen erstellten Bewertungen implementiert sind. Punkte werden vergeben für:

• Von Microsoft verwaltete Maßnahmen – werden automatisch angerechnet, sobald die Kontrollen von Microsoft vorhanden sind
• Vom Kunden verwaltete Maßnahmen – werden angerechnet, wenn Sie eine Maßnahme als implementiert markieren und optional einen Nachweis hochladen

Ein höherer Score bedeutet eine bessere Abdeckung durch Kontrollen, garantiert jedoch nicht die tatsächliche Einhaltung regulatorischer Anforderungen.

Verbesserungsmaßnahmen sind konkrete Schritte, die Sie zur Verbesserung Ihres Compliance-Scores ergreifen können. Jede Maßnahme enthält eine Beschreibung der zu implementierenden Anforderungen, die zugehörige Regulierung, die dafür vergebene Punktzahl, Implementierungsanleitungen (häufig mit Links zur Microsoft-Dokumentation) und ein Feld zur Erfassung des Implementierungsstatus. Die Maßnahmen sind nach Kategorien wie Informationen schützen, Geräte verwalten und Zugriff steuern gruppiert.

Für vom Kunden verwaltete Maßnahmen können Sie in Compliance Manager Nachweisdokumente hochladen – etwa Screenshots, Auditberichte, Richtliniendokumente oder Testergebnisse –, die belegen, dass die Kontrolle implementiert ist. Dadurch entsteht eine Nachweiskette für die Compliance, die Sie mit Auditoren oder Prüfern teilen können. Nachweisdokumente werden im Compliance-Manager-Portal gespeichert und können jederzeit heruntergeladen werden.

Compliance Manager enthält über 300 Vorlagen für Regulierungen, die Sie zum Erstellen von Bewertungen verwenden können. Die Vorlagen reichen von globalen Standards (ISO 27001, NIST CSF) über branchenspezifische Regulierungen (PCI DSS, HIPAA) bis hin zu regionalen Gesetzen (DSGVO, LGPD, CCPA). Für Premiumvorlagen zu Regulierungen außerhalb von Microsoft 365 ist eine zusätzliche Lizenz erforderlich (z. B. Microsoft 365 E5 Compliance oder das Compliance Manager-Add-on).

Für jede Verbesserungsmaßnahme erfasst Compliance Manager:

• Implementierungsstatus – Nicht implementiert, Implementiert, Alternative Implementierung, Geplant
• Teststatus – Nicht getestet, Bestanden, Fehlgeschlagen, Keine Bewertung
• Testdatum – Zeitpunkt, zu dem der letzte Test durchgeführt wurde

Wenn Sie eine Maßnahme als „Implementiert“ markieren, ohne einen Nachweis hochzuladen, werden zwar Punkte vergeben, dies kann bei einem formellen Audit jedoch hinterfragt werden – belegen Sie Ihren Status daher immer mit tatsächlichen Nachweisen.

Compliance Manager unterstützt die rollenbasierte Delegierung – Sie können bestimmte Verbesserungsmaßnahmen einzelnen Teammitgliedern oder Gruppen zuweisen. Das ist für große Organisationen hilfreich, in denen verschiedene Teams für unterschiedliche Kontrollbereiche verantwortlich sind (das Sicherheitsteam für Zugriffssteuerungen, das HR-Team für Richtlinienschulungen und der IT-Betrieb für Infrastrukturkontrollen). Zugewiesene Benutzer erhalten Benachrichtigungen und können den Status ihrer Maßnahmen direkt aktualisieren.

Compliance Manager und Azure Policy decken unterschiedliche Aspekte der Compliance ab:

• Compliance Manager – verfolgt organisatorische Kontrollen anhand regulatorischer Frameworks; konzentriert sich neben technischen Kontrollen auch auf Personen- und Prozesskontrollen; wird über das Purview-Complianceportal bedient
• Azure Policy – setzt die technische Konfiguration von Azure-Ressourcen durch und überprüft sie; automatisiert die Compliance für die Infrastruktur; wird über das Azure-Portal bedient

Für ein vollständiges Compliance-Programm werden beide benötigt.

Mit Compliance Manager können Sie Bewertungsergebnisse zum Teilen mit Auditoren, der Geschäftsleitung oder Aufsichtsbehörden nach Excel exportieren. Der Export enthält die vollständige Liste der Kontrollen, deren Status, die Testergebnisse und Links zu Nachweisen. Viele Organisationen verwenden diesen Export als Grundlage für ihre Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) – ein von ISO 27001 gefordertes Dokument, das alle Kontrollen und deren Implementierungsstatus aufführt.

Testen Sie Ihr Verständnis der Konzepte von Microsoft Azure Fundamentals (AZ-900) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Compliance Manager stellt einen Compliance-Score und Verbesserungsmaßnahmen bereit, die über 300 regulatorischen Frameworks zugeordnet sind; von Microsoft verwaltete Maßnahmen werden automatisch angerechnet, während vom Kunden verwaltete Maßnahmen von Ihnen implementiert und dokumentiert werden müssen; und Nachweisdokumente können hochgeladen werden, um eine Audit-Nachweiskette aufzubauen. Als Nächstes sehen wir uns die spezifischen Anforderungen der DSGVO und deren Umsetzung in Azure an.