08/06/2026
Viele MSPs prüfen die Sicherheitskonfiguration ihrer M365-Kunden manuell. Einmal im Quartal. Wenn es gut läuft.
Wir nicht mehr.
Hier ist was wir aufgebaut haben:
𝗗𝗶𝗲 𝗔𝗿𝗰𝗵𝗶𝘁𝗲𝗸𝘁𝘂𝗿:
Jeder Kunde bekommt ein eigenes GitLab-Repo. Darin: 3 Zeilen Code. Mehr nicht.
Die eigentliche Pipeline liegt zentral in einem Template-Repo. Wenn wir etwas verbessern → alle Kunden automatisch aktuell. Keine manuelle Pflege.
𝗪𝗮𝘀 𝘁𝗮̈𝗴𝗹𝗶𝗰𝗵 𝗽𝗮𝘀𝘀𝗶𝗲𝗿𝘁:
→ GitLab Runner startet um 06:00 Uhr
→ Verbindet sich per OIDC mit dem M365-Tenant des Kunden (kein einziges gespeichertes Passwort)
→ Führt 422+ Sicherheitstests aus — EIDSCA, CISA, ORCA, eigene SJT-Baseline
→ Zusätzlich: automatisch generierte Conditional Access Tests die exakt die CA-Policies des Kunden prüfen
→ HTML-Report landet auf dem Webserver
→ Mail mit direktem Link landet in meinem Postfach
𝗪𝗮𝘀 𝗶𝗰𝗵 𝗺𝗼𝗿𝗴𝗲𝗻𝘀 𝗺𝗮𝗰𝗵𝗲:
E-Mail öffnen. Link klicken. Report lesen. Fertig.
𝗪𝗮𝘀 𝗱𝗮𝘀 𝗯𝗲𝗱𝗲𝘂𝘁𝗲𝘁:
Kein Kunde kann uns mehr fragen "Ist unsere M365-Umgebung sicher konfiguriert?" ohne dass wir eine datenbasierte Antwort haben — von heute, nicht von letztem Quartal.
Und wenn sich etwas verschlechtert? Wir wissen es vor dem Kunden.
---
Das ist kein Produkt das wir gekauft haben.
Das ist Infrastruktur die wir selbst gebaut haben — auf Basis von Maester (Open Source), GitLab und ein bisschen PowerShell.
Technischer Vorsprung ist kein Zufall. Er ist eine Entscheidung.
---
Nutzt ihr Maester bereits? Ich freue mich über den Austausch.