Welche Berechtigungen Aveldra braucht

Aveldra erhält privilegierten Zugriff auf deinen Tenant – deshalb legen wir jede Berechtigung offen und sagen, wofür wir sie nutzen. Die Anbindung erfolgt einmalig per Admin-Consent.

Mit dem einen Admin-Consent erteilst du alle unten aufgeführten Berechtigungen, die lesenden und die schreibenden. Der Scan ändert nichts in deinem Tenant. Der Admin-Consent erteilt Aveldra aber auch Schreibrechte (vier Berechtigungen, siehe Liste). Aveldra nutzt sie nur, wenn du eine Aktion selbst auslöst oder eine Auto-Regel aktivierst. Auto-Regeln sind standardmäßig aus. Die Liste ist identisch mit der im Trust Center.

Lesend: Scan und Erkennung (12)

• Application.Read.All – Apps und Service Principals mit ihren Berechtigungen auslesen und bewerten.
• Directory.Read.All – Erteilte App-Zustimmungen und Mitglieder von Admin-Rollen lesen.
• AuditLog.Read.All – Anmelde- und Verzeichnisprotokolle auf verdächtige Aktivität prüfen (Anmeldeprotokolle nur mit Entra ID P1).
• User.Read.All – Funde dem betroffenen Konto zuordnen und Nutzer zählen.
• MailboxSettings.Read – Posteingangsregeln auf Weiterleitungen prüfen (nur Regel-Metadaten).
• Domain.Read.All – Domänen für den E-Mail-Sicherheits-Check (SPF, DMARC, DKIM) lesen.
• Policy.Read.All – Conditional Access, Security Defaults und Autorisierungsrichtlinie für den Härtungsstatus lesen.
• RoleManagement.Read.Directory – Admin-Rollenzuweisungen lesen und neue privilegierte Rollen erkennen.
• Reports.Read.All – MFA-Registrierungsstatus der Nutzer lesen.
• SecurityAlert.Read.All – Microsoft-Defender-Warnungen einbeziehen (mit passender Lizenz).
• IdentityRiskEvent.Read.All – Risiko-Erkennungen aus Entra ID Protection einbeziehen (Entra ID P2).
• IdentityRiskyUser.Read.All – Als riskant markierte Nutzer aus Entra ID Protection einbeziehen (Entra ID P2).

Schreibend: Gegenmaßnahmen (4)

• Application.ReadWrite.All – Einer App den Zugriff entziehen und ihn wiederherstellen.
• User.ReadWrite.All – Anmeldesitzungen eines kompromittierten Kontos widerrufen.
• MailboxSettings.ReadWrite – Verdächtige Weiterleitungsregeln deaktivieren und wieder aktivieren.
• Policy.ReadWrite.SecurityDefaults – Microsoft Security Defaults (Basis-Sicherheit) aktivieren und zurücknehmen.

Die Schreibrechte werden nur genutzt, wenn du eine Aktion selbst auslöst oder eine Auto-Regel aktivierst (standardmäßig aus).

Was wir nicht tun

Keine Nachrichten-/Dateiinhalte lesen, keine Passwörter einsehen, keine Daten eines Kunden an andere Kunden weitergeben, keine Änderungen, die du nicht auslöst oder per Auto-Regel freigibst. Mehr im Trust Center. Den Zugriff kannst du jederzeit im Microsoft-Admin-Center widerrufen.