Kostenlos testen
Kostenlos testen
How-to

So erstellen Sie DORA-Prüfnachweise in Microsoft 365

DORA zählt Agenten, Flows und Workspaces in Ihrem Tenant zu den IKT-Assets. Inventarisieren Sie sie, vergeben Sie Owner und exportieren Sie Nachweise.

Rencore 4 Min. Lesezeit
How-to

DORA-Nachweise in Microsoft 365 sind die dokumentierten, aufbewahrten Belege, die Ihren Tenant mit den IKT-Risikopflichten des Digital Operational Resilience Act, Verordnung (EU) 2022/2554, verbinden. Sie zeigen, welche IKT-Assets im Tenant existieren, wem jedes gehört, wer darauf zugreifen kann und wie Probleme über die Zeit behandelt wurden, als Aufzeichnungen, denen eine Aufsicht folgen kann, ohne dass jemand sie unter Prüfungsdruck rekonstruiert.

Kurz gesagt

  • DORA gilt seit dem 17. Januar 2025 für Finanzunternehmen in der EU, und seine Pflichten zu Assets und Zugriffen reichen bis in Microsoft 365.
  • Agenten, Power-Platform-Flows und Apps aus den Fachbereichen sind ebenfalls IKT-Assets, und viele Register kennen sie nicht.
  • Nachweise sind Aufzeichnungen über die Zeit: Inventar, Owner, Zugriffsentscheidungen und Richtlinienergebnisse.
  • Entstehen sie im laufenden Betrieb, müssen Sie sie im Audit nur noch übergeben.

Wo DORA auf Ihren Microsoft Tenant trifft

DORA macht das Leitungsorgan für den IKT-Risikomanagementrahmen verantwortlich (Artikel 5) und verlangt von Finanzunternehmen, jedes IKT-Asset zu identifizieren und diese Übersicht aktuell zu halten (Artikel 8). Es erwartet Schutz- und Erkennungsmaßnahmen, darunter Zugriffskontrolle (Artikel 9 und 10), sowie einen geregelten Prozess für IKT-bezogene Vorfälle (Artikel 17 bis 19).

In einem Microsoft Tenant sind IKT-Assets nicht nur Server und Fachanwendungen. Ein Copilot-Studio-Agent, der Kundendaten liest, ein Flow, der Dateien in ein externes System verschiebt, und eine SharePoint-Website mit einer Kreditakte sind ebenfalls Assets. Jeder lizenzierte Nutzer kann sie erstellen, deshalb entstehen sie schneller, als ein Asset-Prozess sie erfasst.

Warum die Nachweise über das Audit entscheiden

Eine Aufsicht fragt, was existierte, wer verantwortlich war und was im Zeitraum geschah, und ein aktueller Screenshot beantwortet nichts davon. Wer Nachweise erst vor einem Audit sammelt, rekonstruiert ein Jahr an Entscheidungen aus Postfächern und Erinnerung. Wer Owner, Prüfungen und Richtlinien im Betrieb Spuren hinterlassen lässt, antwortet aus Daten, die schon vorliegen.

Schritt für Schritt

Diese fünf Schritte erzeugen den Microsoft 365 Teil Ihrer DORA-Nachweise und halten ihn zwischen den Audits aktuell.

  1. DORA-Pflichten den Microsoft 365 Kontrollen zuordnen

    Benennen Sie für jeden relevanten Artikel die Microsoft 365 Kontrolle, die ihn erfüllt, und die Person, der sie gehört: das Asset-Inventar für Artikel 8, Zugriffskontrolle und MFA für Artikel 9, Überwachungsregeln für Artikel 10. So hat jede Pflicht eine Kontrolle und einen Owner.

  2. Jedes IKT-Asset im Tenant erfassen, Agenten eingeschlossen

    Listen Sie Workspaces, Apps, Flows und Agenten mit Owner, letzter Aktivität und den Daten auf, die jedes erreichen kann, und übernehmen Sie diese Liste in Ihr IKT-Asset-Register. Nehmen Sie auf, was die Fachbereiche bauen, denn genau das fehlt Asset-Registern oft.

    Tipp: Markieren Sie zuerst Agenten und Flows, deren Owner das Unternehmen verlassen hat. Sie behalten ihre Zugriffe, und niemand steht für sie ein.

  3. Eine Baseline festlegen und Abweichungen erkennen

    Halten Sie den Sollzustand fest, etwa MFA für jeden Administrator, keine Apps ohne Owner und keine an externe Empfänger umgeleiteten E-Mails, und zwar als Richtlinien, die jede Abweichung markieren. Die Richtlinienergebnisse über die Zeit zeigen, dass die Kontrollen den ganzen Zeitraum über gegriffen haben.

  4. Zugriffe und Ownership in festem Zyklus prüfen

    Lassen Sie Owner nach Zeitplan bestätigen, wer auf ihre Workspaces, Apps und Agenten zugreifen kann, und entfernen Sie, was sie nicht bestätigen. Bewahren Sie das Microsoft 365 Überwachungsprotokoll in Microsoft Purview so lange auf, wie Ihre Melde- und Prüfpflichten es erfordern.

  5. Die Nachweise für die Aufsicht zusammenstellen

    Fassen Sie Zuordnung der Kontrollen, Inventar, Owner- und Prüfaufzeichnungen sowie den Verlauf der Richtlinienergebnisse zu Berichten zusammen, denen eine Aufsicht vom Artikel zum Beleg folgen kann. Planen Sie sie ein, damit sie vorliegen, bevor die Anfrage kommt.

Konnektoren in dieser Anleitung

Jede Konnektor-Seite in der Rencore-Dokumentation listet die Objekte, Richtlinien, Berichte und Aktionen hinter diesen Schritten.

In Rencore ansehen

Kurze vertonte Produkt-Guides, die direkt im Browser laufen, ohne Anmeldung.

  • Ein Agent, der niemandem mehr gehört

    Dauer: 4 Min.

    Ein Copilot-Agent läuft nach dem Weggang seines Erstellers einfach weiter, und niemand steht dafür ein, worauf er zugreifen kann.

    • Copilot Studio
    • AI Governance
    • Sprawl & Lifecycle

  • Power Apps und Flows ohne Eigentümer

    Dauer: 5 Min.

    Apps und Flows laufen weiter, nachdem ihre Ersteller gegangen sind, und niemand ist für sie verantwortlich.

    • Power Apps
    • Power Automate
    • Sprawl & Lifecycle
    • Policies
    • Automation

  • Worauf ein einzelner Benutzer Zugriff hat

    Dauer: 3 Min.

    Wenn jemand ausscheidet oder ein Auditor nachfragt, kann niemand schnell sagen, auf welche Teams, Sites, Lizenzen und freigegebenen Dateien eine Person Zugriff hat.

    • Microsoft 365
    • Teams
    • SharePoint
    • OneDrive
    • Entra ID
    • Access & Sharing
    • Reports

  • Ein Governance-Dashboard erstellen

    Dauer: 4 Min.

    Führungsebene, Security und Service-Verantwortliche wollen jeweils eine eigene Sicht auf die Umgebung, und jede einzelne von Hand zu erstellen dauert Tage.

    • Teams
    • SharePoint
    • Power Platform
    • Copilot
    • Dashboards

Häufige Fragen zu DORA-Nachweisen in Microsoft 365

Ist ein Copilot-Agent oder ein Power-Automate-Flow ein IKT-Asset im Sinne von DORA?
DORA definiert ein IKT-Asset als Software- oder Hardware-Asset in den Netzwerk- und Informationssystemen, die das Finanzunternehmen nutzt (Artikel 3 Nummer 7). Ein Agent oder Flow läuft in Ihrem Tenant, liest Geschäftsdaten mit den ihm erteilten Berechtigungen und handelt auf Basis dieser Daten, er fällt also unter diese Definition. Artikel 8 verlangt dann, ihn wie jedes andere Asset mit Owner und Abhängigkeiten zu identifizieren.
Führt die Microsoft-eigene Werkzeugkette das IKT-Asset-Register für uns?
Jedes Microsoft Admin Center listet seine eigenen Objekte, pro Dienst und pro Umgebung, und Microsoft Purview führt das Überwachungsprotokoll. Die Pflicht aus Artikel 8 verlangt etwas anderes: eine aktuelle Sicht auf alle IKT-Assets mit Ownern und Abhängigkeiten, die Ihr Register speist. Diese Sicht muss über Microsoft 365, Power Platform und Copilot hinweg zusammengeführt und aktuell gehalten werden.
Wonach fragt eine Aufsicht bei einer DORA-Prüfung von Microsoft 365 typischerweise?
Rechnen Sie mit Fragen dazu, welche Assets existieren und wem sie gehören, wer privilegierte Zugriffe hat und ob sie mit MFA geschützt sind, wie externe Zugriffe gesteuert und geprüft werden und wie Änderungen und Vorfälle nachverfolgt werden. Antworten mit datierten Belegen, etwa einer abgeschlossenen Zugriffsprüfung oder einem Richtlinienverlauf, wiegen mehr als die Beschreibung des geplanten Prozesses.
Wie hilft Rencore bei DORA-Nachweisen?
Rencore Governance inventarisiert die Workspaces, Power-Platform-Apps und Flows sowie die Copilot-Studio-Agenten in Ihrem Tenant mit ihren Ownern, markiert verwaiste und zu breit geteilte Assets mit integrierten Richtlinien und führt Zugriffsprüfungen durch die Owner in der Rencore Teams App durch. Inventar, Owner, Verstöße und Verlauf lassen sich als Berichte exportieren oder einplanen. Rencore deckt den Microsoft-Teil Ihres DORA-Scopes ab und ergänzt die Microsoft-Kontrollen, die Sie bereits nutzen. Kein Werkzeug macht Sie allein DORA-konform.

Zuletzt aktualisiert am 8. Oktober 2026

Über den Autor

Rencore

Rencore ist ein B2B-Softwareunternehmen, das preisgekrönte Lösungen anbietet, die Unternehmen helfen, die Kontrolle über Microsoft 365, Copilot, AI Agents und die Power Platform zu behalten. Unsere Kunden vertrauen auf unsere Tools, um ihre täglichen Herausforderungen in den Bereichen Kontrolle, Risiko, Kosten und Compliance zu vereinfachen, zu automatisieren und zu beschleunigen.

Weiterlesen

Sehen Sie Ihre Microsoft 365 IKT-Assets in einer Übersicht

Wir zeigen Ihnen in einer kurzen Demo die Agenten, Flows und Workspaces in Ihrem Tenant mit ihren Ownern und die Nachweise, die Sie daraus exportieren können.

Demo anfordernKostenlos testen
Rencore Newsletter

Abonnieren Sie unseren Newsletter

Erhalten Sie die neuesten Einblicke zur Governance von Microsoft 365, Copilot und KI-Agenten direkt in Ihr Postfach.

Loading form