Security & Compliance

Microsoft Purview Compliance Manager

Overview

Der Compliance Manager in Microsoft Purview übersetzt Anforderungen aus Gesetzen und Standards in konkrete Verbesserungsmaßnahmen. Microsoft nennt über 360 vorgefertigte Vorlagen, etwa für ISO/IEC 27001, DSGVO, NIST 800-53 oder branchenspezifische Regelwerke. Eigene Vorlagen sind möglich, zum Beispiel für interne Richtlinien.

Jede Maßnahme ist einer Verantwortung zugeordnet: von Microsoft umgesetzt (mit Prüfergebnissen der Auditoren), vom Kunden umzusetzen oder geteilt. Der Compliance Score startet mit der Microsoft 365 Data Protection Baseline und bewertet den Fortschritt risikobasiert, Maßnahmen mit hohem Risiko zählen stärker.

Abgrenzung: Der Compliance Manager ist ein Bewertungs- und Dokumentationswerkzeug. Er ersetzt kein ISMS, keine Risikoanalyse und keine rechtliche Prüfung. Ein hoher Score bedeutet technische Umsetzung in Microsoft 365, nicht Konformität des Unternehmens. Für den Prozess der Prüfung selbst siehe den Eintrag Compliance Audit.

How it works

So läuft eine Bewertung ab:

  1. Du wählst eine Vorlage (Regulation) und legst eine Bewertung für die gewünschten Dienste an, Microsoft 365 oder per Konnektor auch andere Clouds.
  2. Der Compliance Manager listet die Verbesserungsmaßnahmen. Viele technische Maßnahmen werden automatisch gegen die Tenant-Konfiguration geprüft (etwa MFA, DLP, Aufbewahrung).
  3. Manuelle Maßnahmen weist Du Verantwortlichen zu, die Umsetzung beschreiben und Nachweise (Dokumente, Screenshots) hochladen.
  4. Der Score aktualisiert sich mit jeder umgesetzten Maßnahme. Berichte lassen sich für Audits exportieren.

Benefits

  • Strukturierter Einstieg in eine Normprüfung, weil die Anforderungen bereits in prüfbare Einzelmaßnahmen zerlegt sind.
  • Die Aufteilung in Microsoft- und Kundenverantwortung zeigt, welche Kontrollen Du nicht selbst nachweisen musst.
  • Automatische Prüfungen reduzieren manuelle Nachweisarbeit für technische Maßnahmen.
  • Nachweise, Verantwortliche und Status liegen an einer Stelle statt in verstreuten Excel-Listen.

Practical example

Ein Lohnfertiger mit 180 Mitarbeitenden fällt unter NIS2 und bereitet sich auf die Nachweispflichten vor. Der ISB legt im Compliance Manager eine Bewertung auf Basis einer passenden Vorlage an und nutzt die automatischen Prüfungen, um Lücken bei MFA und Protokollierung zu finden. Organisatorische Maßnahmen wie Notfallplanung tragen die Verantwortlichen mit Nachweisen ein. Die priorisierte Maßnahmenliste fließt in den Umsetzungsplan des ISMS ein.

Things to keep in mind

  • Den Score nicht als Konformitätsnachweis gegenüber Behörden oder Auditoren verwenden, er misst nur die Microsoft-365-Konfiguration.
  • Vor der Bewertung prüfen, welche Vorlagen die eigene Lizenz enthält, Premium-Vorlagen sind gesondert lizenziert.
  • Jede Maßnahme einer verantwortlichen Person zuweisen, sonst bleibt die Bewertung ein Datenfriedhof.
  • Nachweise mit Datum versehen und bei Konfigurationsänderungen aktualisieren.
  • Rollen im Purview-Portal (Compliance Manager Administration, Assessor, Reader) eng vergeben.

Licensing & availability

Der Compliance Manager steht allen Organisationen mit Office-365- oder Microsoft-365-Lizenz zur Verfügung, auch Business Premium. Welche Bewertungen nutzbar sind, hängt vom Lizenzvertrag ab: Die Microsoft Data Protection Baseline ist immer enthalten, Kunden mit E5/A5/G5 dürfen zusätzlich drei Premium-Vorlagen frei wählen. Weitere Premium-Vorlagen werden als Add-on lizenziert. Stand: Oktober 2026.

Conclusion

Der Compliance Manager ist ein gutes Werkzeug, um technische Lücken in Microsoft 365 entlang eines Standards sichtbar zu machen. Nutze ihn als Arbeitsliste für Dein ISMS, nicht als Ersatz dafür.

Further reading

Related articles