- - Was Prüfer konkret verlangen
- - Unified Audit Log: das Herzstück der Nachvollziehbarkeit
- - Retention Policies: Aufbewahrung als Governance-Instrument
- - eDiscovery: gezielte Suche für Prüfungssituationen
- - Rollentrennung und Administrator-Zugänge
- - Jährlicher IKT-Lagebericht an die Geschäftsleitung
- - Audit-Readiness als dauerhafter Betriebszustand
- - Häufig gestellte Fragen (FAQ)
Fehlende Protokolldaten lassen sich nicht rückwirkend erstellen, deshalb muss eine audit-ready M365-Umgebung lange vor der Prüfungsankündigung bestehen. Das Unified Audit Log ist das Herzstück der Nachvollziehbarkeit; für eine 12-monatige Aufbewahrung braucht es mindestens E3/E5 oder Business Premium, für die 10-jährige Aufbewahrung nach OR Art. 958f Microsoft Purview Audit Premium. Retention Policies sichern die Aufbewahrung von Inhalten, eDiscovery ermöglicht gezielte Suchen in Prüfungssituationen, und eine saubere Rollentrennung mit minimalen Administratorrechten ist ein häufiger Prüfpunkt. Wichtig: Audit Logs und Retention Policies erfüllen unterschiedliche regulatorische Zwecke und dürfen nicht verwechselt werden. Audit-Readiness ist ein dauerhafter Betriebszustand, kein einmaliges Projekt.
Die E-Mail kommt oft mit wenig Vorlaufzeit: Ihre Aufsichtsorganisation kündigt eine Prüfung an. In den nächsten Wochen wird ein Revisor Ihre IKT-Governance, Ihre Datenschutzmassnahmen und Ihre Sicherheitsvorkehrungen unter die Lupe nehmen.
Wer in diesem Moment anfängt, die M365-Umgebung zu konfigurieren, hat verloren – nicht weil es zu spät ist, sondern weil fehlende Protokolldaten nicht rückwirkend erstellt werden können. Das Audit Log muss seit Monaten aktiv sein. Retention Policies müssen Dokumente bereits archiviert haben. Zugriffsrechte müssen schon lange sauber strukturiert sein.
Dieser Artikel zeigt, was eine audit-ready Microsoft 365-Umgebung auszeichnet und welche Einstellungen Sie heute – nicht morgen – vornehmen sollten.
Typische Fragen von Prüfern in Audits
Aufsichtsorganisationen und Revisoren, die Vermögensverwalter prüfen, schauen nicht nur auf Verträge und Richtlinien. Sie stellen konkrete technische Fragen:
-
«Können Sie mir zeigen, wer in den letzten 12 Monaten auf dieses Kundendossier zugegriffen hat?»
-
«Wie stellen Sie sicher, dass gelöschte E-Mails trotzdem archiviert bleiben?»
-
«Wer in Ihrer Organisation hat Administrator-Rechte, und wann wurden diese vergeben?»
-
«Können Sie Ihren IKT-Lagebericht mit den dazugehörigen Kontrollnachweisen vorlegen?»
Die FINMA hält fest: Kontrollnachweise müssen geordnet abgelegt und prüfbereit sein. Logs, Protokolle und Berechtigungsreviews sind keine optionalen Dokumente – sie sind Pflicht.
Unified Audit Log: das Herzstück der Nachvollziehbarkeit
Das Unified Audit Log in Microsoft 365 protokolliert alle relevanten Aktivitäten in Ihrer Umgebung: Logins, Dokumentenzugriffe, E-Mail-Aktivitäten, administrative Änderungen, Datei-Downloads und Freigaben an externe Nutzer.
Wichtig zu wissen:
-
Das Audit Log ist bei den meisten M365-Plänen standardmässig aktiv. Microsoft nennt heute grundsätzlich eine Aufbewahrung von 180 Tagen für Audit Standard.
-
Für eine 12-monatige Aufbewahrung und erweiterte Retention-Konfigurationen ist Microsoft Purview Audit (Standard) mit entsprechender Lizenz (mindestens E3/E5 oder Business Premium) erforderlich.
-
Für eine 10-jährige Aufbewahrung – wie sie OR Art. 958f für Geschäftsbücher vorsieht – braucht es Microsoft Purview Audit Premium.
-
Hinweis: Audit Logs und Retention Policies erfüllen unterschiedliche regulatorische Zwecke und dürfen nicht verwechselt werden: Audit Logs dokumentieren Aktivitäten und Zugriffe; Retention Policies stellen die Aufbewahrung von Inhalten sicher.
Die Aktivierung und korrekte Konfiguration des Audit Logs sollte eine der ersten Massnahmen sein, die jeder Vermögensverwalter vornimmt.
Retention Policies: Aufbewahrung als Governance-Instrument
Das Obligationenrecht (Art. 958f OR) schreibt eine 10-jährige Aufbewahrungspflicht für Geschäftsbücher vor. Das DSG verlangt umgekehrt, dass personenbezogene Daten nicht länger aufbewahrt werden, als es der Zweck erfordert. Beides lässt sich mit korrekt konfigurierten Retention Policies in Microsoft Purview abbilden:
-
E-Mails mit Geschäftsrelevanz: 10 Jahre aufbewahren
-
Interne Chat-Nachrichten: je nach Inhalt und Klassifizierung
-
Temporäre Arbeitsdokumente: nach definierter Frist löschen, sofern kein Retention Label gesetzt
Diese Regeln gelten auch dann, wenn ein Nutzer eine E-Mail oder ein Dokument manuell löscht. Microsoft 365 bewahrt den Inhalt in einem geschützten Bereich auf – und der ist für Prüfungen abrufbar.
eDiscovery: gezielte Suche für Prüfungssituationen
Stellen Sie sich vor, ein Revisor fragt nach allen E-Mails und Dokumenten, die in einem bestimmten Zeitraum im Zusammenhang mit einem bestimmten Kunden ausgetauscht wurden. Mit der eDiscovery-Funktion von Microsoft Purview können Sie diese Anfrage strukturiert und lückenlos bearbeiten.
eDiscovery eignet sich auch für interne Untersuchungen: Hat ein ehemaliger Mitarbeitender kurz vor seiner Kündigung Daten kopiert oder gelöscht? Was wurde in einem bestimmten Zeitraum geteilt? Voraussetzung: Das Audit Log muss aktiv und ausreichend lange konfiguriert sein.
Download-Tipp: IKT-Checkliste für Vermögensverwalter
Aus der Praxis mit FINMA-regulierten Vermögensverwaltern und Family Offices entstanden: Unsere Checkliste fasst die wichtigsten IKT-Anforderungen kompakt zusammen und hilft, Lücken in Governance, Sicherheit und Dokumentation sichtbar zu machen.
Rollentrennung und Administrator-Zugänge
Ein häufiger Befund bei Prüfungen: Zu viele Nutzer haben globale Administrator-Rechte. Das ist ein Sicherheitsrisiko und widerspricht dem Prinzip der Funktionstrennung, das die FINMA als wichtige Governance-Anforderung betrachtet – auch wenn sie für kleinere Vermögensverwalter kompensatorische Massnahmen akzeptiert, sofern diese schriftlich begründet sind. Best Practices:
-
Dedizierte Admin-Konten verwenden (nicht das normale Arbeitskonto)
-
Prinzip der minimalen Berechtigungen: Jeder bekommt nur die Rechte, die er für seine Aufgabe braucht
-
Privileged Identity Management (PIM): Erweiterte Rechte werden nur bei Bedarf und zeitlich befristet erteilt
-
Alle Administrator-Aktivitäten werden im Audit Log protokolliert
Jährlicher IKT-Lagebericht an die Geschäftsleitung
Die FINMA erwartet, dass die Geschäftsleitung nachweislich in wesentliche IKT-Entscheide eingebunden ist. Ein dokumentierter Reporting-Rhythmus sowie ein jährlicher IKT-Lagebericht gelten als Minimalstandard. Microsoft 365 bietet mit dem Compliance Manager ein Dashboard, das den aktuellen Sicherheitsstatus der Umgebung übersichtlich darstellt – nützlich als Grundlage für genau diesen Bericht.
Audit-Readiness als dauerhafter Betriebszustand
Audit-Vorbereitung ist keine Projektphase, die man einmal abschliesst. Konfigurationen ändern sich, neue Mitarbeitende kommen dazu, Lizenzen werden gewechselt. Was heute korrekt konfiguriert ist, kann in sechs Monaten lückenhaft sein.
Bei Dinotronic ist Audit-Readiness ein fester Bestandteil unserer Managed Services für FINMA-regulierte Vermögensverwalter und Family Offices. Als Microsoft-Partner mit ISO 27001:2022 Zertifizierung und über 30 Jahren Erfahrung überprüfen wir laufend die relevanten Einstellungen, informieren Sie bei Änderungen und stellen sicher, dass Ihre Umgebung jederzeit prüfungsbereit ist.
Möchten Sie wissen, wie audit-ready Ihre aktuelle M365-Umgebung ist? Wir führen gerne einen unverbindlichen IKT-Readiness-Check durch.
