Tenant-Scan
Diese Berechtigungen erteilt eure IT der App „addhucate Tenant Security App“ bei der Zustimmung. Alle sind nur lesend. Hier steht für jede, wofür wir sie brauchen und welcher Report sie nutzt.
Stand: 29. Oktober 2026
Anwendungsberechtigungen kann nur eine Person mit der Rolle Global Administrator oder Privileged Role Administrator erteilen. Microsoft erteilt sie immer gemeinsam – deshalb steht hier auch, was ein Report erst nutzt, wenn ihr ihn einschaltet.
| Berechtigung | Wofür | Genutzt von |
|---|---|---|
Directory.Read.All | Verzeichnis lesen: Benutzerkonten, Gruppen, Rollen, Lizenzzuweisungen | Konfigurations-Check, Sicherheitslage, Lizenzen & Nutzer, Nutzung & Adoption, Center of Excellence |
Organization.Read.All | Organisationsdaten: Domains, gebuchte Lizenzen | Lizenzen & Nutzer, Konfigurations-Check |
Application.Read.All | App-Registrierungen und Unternehmensanwendungen (z. B. Apps mit weitreichenden Rechten) | Konfigurations-Check |
AgentIdentity.Read.All, AgentIdentityBlueprint.Read.All, AgentIdentityBlueprintPrincipal.Read.All | Identitäten von KI-Agenten (Vorschau) | Konfigurations-Check |
AuditLog.Read.All | Überwachungs- und Anmeldeprotokolle, z. B. letzte Anmeldung von Konten (ungenutzte Lizenzen) und auffällige Anmeldungen | Lizenzen & Nutzer, Sicherheitslage, Nutzung & Adoption, Konfigurations-Check |
AuditLogsQuery.Read.All | Purview-Auditprotokoll durchsuchen, z. B. Nutzung von Copilot und Agenten – nur in Summen | Nutzung & Adoption |
DeviceManagementConfiguration.Read.All, DeviceManagementManagedDevices.Read.All, DeviceManagementRBAC.Read.All, DeviceManagementServiceConfig.Read.All | Intune: Richtlinien, verwaltete Geräte und deren Konformität, Rollen, Dienstkonfiguration | Konfigurations-Check, Sicherheitslage |
DirectoryRecommendations.Read.All | Empfehlungen von Microsoft Entra | Konfigurations-Check |
EntitlementManagement.Read.All | Zugriffspakete (Identity Governance) | Konfigurations-Check |
IdentityRiskEvent.Read.All, IdentityRiskyUser.Read.All | Risiko-Ereignisse und riskante Konten (Entra ID Protection) | Sicherheitslage, Konfigurations-Check |
NetworkAccess.Read.All | Global Secure Access | Konfigurations-Check |
OnPremDirectorySynchronization.Read.All | Synchronisation mit dem lokalen Active Directory | Konfigurations-Check |
OrgSettings-AppsAndServices.Read.All, OrgSettings-Forms.Read.All | Organisationseinstellungen von Microsoft 365 (Apps und Dienste, Forms) | Konfigurations-Check |
Policy.Read.All, Policy.Read.ConditionalAccess | Richtlinien, insbesondere bedingter Zugriff | Konfigurations-Check, Sicherheitslage |
PrivilegedAccess.Read.AzureAD, RoleEligibilitySchedule.Read.Directory, RoleManagement.Read.All, RoleManagementAlert.Read.Directory | Administratorrollen, Privileged Identity Management (PIM) und dessen Warnungen | Konfigurations-Check |
ReportSettings.Read.All | Einstellung, ob Microsoft-Nutzungsberichte Namen verbergen | Nutzung & Adoption |
Reports.Read.All | Microsoft-365-Nutzungsberichte (Teams, Outlook, SharePoint, OneDrive, Copilot, MFA-Registrierung) – im Hub sofort zusammengezählt | Nutzung & Adoption, Center of Excellence (nur mit Einwilligung), Konfigurations-Check |
SecurityAlert.Read.All, SecurityIncident.Read.All | Warnungen und Vorfälle aus Microsoft Defender | Sicherheitslage |
SecurityEvents.Read.All | Microsoft Secure Score | Konfigurations-Check, Sicherheitslage |
SecurityIdentitiesHealth.Read.All, SecurityIdentitiesSensors.Read.All | Zustand und Sensoren von Microsoft Defender for Identity | Konfigurations-Check |
ServiceHealth.Read.All | Dienststatus und Störungen von Microsoft 365 | Sicherheitslage |
SharePointTenantSettings.Read.All | SharePoint-Mandanteneinstellungen (z. B. externe Freigabe) | Konfigurations-Check |
Sites.Read.All | SharePoint- und Teams-Websites: Struktur, Freigaben, Aufrufzahlen. Die Berechtigung erlaubt technisch auch das Lesen von Dateien – der Hub liest keine Dateiinhalte. | SharePoint Analytics, Konfigurations-Check |
ThreatHunting.Read.All | Abfragen in Microsoft Defender (Advanced Hunting) für Sicherheitsprüfungen | Konfigurations-Check |
UserAuthenticationMethod.Read.All | Registrierte Anmeldemethoden – z. B. wie viele Konten MFA eingerichtet haben | Konfigurations-Check |
Exchange.ManageAsApp erlaubt der App, sich bei Exchange Online anzumelden. Was sie dort sehen darf, legt eine Rolle fest, die ihr zuweist – wir empfehlen Global Reader (nur lesen). Genutzt vom Konfigurations-Check (Exchange und Security & Compliance).
Für Azure-Kosten und die Azure-Prüfungen im Konfigurations-Check weist ihr der App die Rolle Leser auf den gewünschten Abonnements zu. Ohne diese Zuweisung bleiben die Azure-Bereiche leer.
Widerruf jederzeit in Microsoft Entra unter „Unternehmensanwendungen“: App „addhucate Tenant Security App“ löschen oder deaktivieren. Zurück zum Tenant-Scan
