Kurzfassung. Die Erhebung läuft ausschließlich bei Ihnen: Das PowerShell-Skript (PS1) liest Ihren Microsoft-365-Tenant mit einer App-Registrierung aus, die Sie selbst anlegen, und schreibt eine Ergebnisdatei (JSON) auf Ihr Gerät. Das PS1 überträgt dabei außer der Tenant-ID keine Tenant-Daten an den License-Insights-Server. Die Ergebnisdatei selbst wird nicht als Datei hochgeladen. Für die Berechnung der Empfehlungen und für einzelne Funktionen übermittelt das Dashboard jedoch Ausschnitte daraus an den Server. Dort werden sie in der Regel nur im Arbeitsspeicher verarbeitet und nicht gespeichert. Die Ausnahmen (der fertige Executive-Summary-Report bis 24 Stunden, einzelne von Ihnen gespeicherte Einstellungen) sind unten vollständig aufgeführt.
1. Wer ist beteiligt?
Ihr Vertragspartner
Bechtle-Comsoft GmbH („Bechtle“)Anbieterin des Dienstes, einzige Ansprechpartnerin für Vertrag, Support und Datenschutz.
Technischer Betrieb
Bauer365 GmbHBetreibt die Plattform als Unterauftragnehmerin von Bechtle. Kein eigener Vertrag mit Ihnen, kein direkter Support.
Infrastruktur
dogado GmbH, DortmundStellt den virtuellen Server (VPS) bereit, auf dem die Plattform läuft.
Die datenschutzrechtliche Einordnung ergibt sich aus der Datenschutzerklärung und dem Auftragsverarbeitungsvertrag (AVV). Die Sicherheitsmaßnahmen sind in den TOM beschrieben.
2. Welche Daten werden konkret übertragen?
2.1 Überblick über den Ablauf
- Sie melden sich im Portal an (Passkey oder E-Mail, Passwort und Einmalcode).
- Sie laden den Loader herunter und rufen darüber das Erhebungsskript ab.
- Das Skript läuft auf Ihrem Gerät und liest Ihren Microsoft-365-Tenant direkt bei Microsoft aus.
- Das Skript schreibt die Ergebnisdatei (JSON) auf Ihr Gerät. Die personenbezogenen Teile sind verschlüsselt.
- Sie öffnen die Ergebnisdatei im Dashboard. Der Browser liest sie lokal ein und sendet nur die für die jeweilige Funktion benötigten Ausschnitte an den Server.
- Der Server berechnet die Empfehlungen und sendet das Ergebnis an Ihren Browser zurück.
2.2 Anmeldung, Skriptabruf und Lizenzbindung
| Vorgang | Übertragene Daten | Gespeichert auf dem Server? |
|---|---|---|
| Anmeldung im Portal | E-Mail-Adresse; Passwort (nur zur Prüfung gegen den gespeicherten Hash) und Einmalcode (TOTP) oder Passkey-Signatur; IP-Adresse; Browserkennung (User-Agent) | Ja: Konto (E-Mail, Passwort-Hash, verschlüsseltes TOTP-Geheimnis, öffentlicher Passkey-Schlüssel) sowie Sicherheitsprotokoll (Zeitpunkt, IP-Adresse, User-Agent). Aus der IP-Adresse werden lokal auf dem Server Land und Ort abgeleitet. |
| Zustimmung zu AGB, Lizenzbedingungen und AVV nach der Anmeldung | Nutzerkennung, E-Mail-Adresse, bestätigte Version, IP-Adresse, User-Agent | Ja: Zustimmungsnachweis mit Zeitpunkt und den Adressen der bestätigten Dokumente |
| Zustimmung zu den Nutzungsbedingungen vor dem Skriptabruf | E-Mail-Adresse, Sprache, IP-Adresse, User-Agent | Ja: Zustimmungsnachweis mit gekürztem License-Insights-Lizenzschlüssel und Version der Bedingungen |
| Abruf von Loader und Skriptmodulen | Einmal-Token (Download vom Server zu Ihnen) | Nur technische Nachweise: verbrauchtes Token, Zeitpunkt, IP-Adresse |
| Bindung der License-Insights-Lizenz an Ihren Tenant (durch das PS1) | Microsoft-365-Tenant-ID (eine technische Kennung Ihrer Organisation) | Ja: Tenant-ID, Zeitpunkt, IP-Adresse; Protokolleintrag |
| Lizenz-Matrix (durch das PS1) | Keine Tenant-Daten (reiner Download vom Server zu Ihnen) | Nein |
2.3 Arbeiten im Dashboard
Das PS1 legt die Benutzerdaten in der Ergebnisdatei in zwei getrennten, verschlüsselten Blöcken ab:
- Berechnungsdaten: je Benutzerkonto nur die für die Empfehlungsberechnung nötigen Merkmale, zum Beispiel zugewiesene Lizenzen (SKUs), Nutzungs- und Aktivitätszähler, Postfachgröße, Admin-Kennzeichen und Admin-Rollen sowie Sicherheitsmerkmale wie MFA- oder Conditional-Access-Status. Keine Namen, keine E-Mail-Adressen, keine Organisationsangaben. Die Datensätze sind nur über eine laufende Nummer mit den Anzeigedaten verknüpft (Pseudonymisierung).
- Anzeigedaten: die vollständigen Benutzerobjekte mit Namen, Anmeldenamen (UPN), E-Mail-Adresse und Organisationsangaben.
| Funktion | An den Server übertragen | Verarbeitung und Speicherung |
|---|---|---|
| Empfehlungsberechnung (Standard) | Verschlüsselte Berechnungsdaten sowie Ihre Parameter (zum Beispiel Preise) | Entschlüsselung und Berechnung im Arbeitsspeicher. Zwischenspeicher für Folgeberechnungen höchstens 10 Minuten im Arbeitsspeicher. Keine Speicherung auf Datenträgern. |
| Anzeige von Namen („Entsperren“ mit License-Insights-Lizenzschlüssel) | Nur Ihr License-Insights-Lizenzschlüssel zur Prüfung – keine Inhalte der Ergebnisdatei | Der Server prüft, ob der Schlüssel einer gültigen License-Insights-Lizenz Ihres Kontos zugeordnet oder für Sie freigegeben ist. Die Entschlüsselung erfolgt ausschließlich in Ihrem Browser. Protokolliert wird nur die Prüfung. |
| Interne Freigabe ohne Schlüssel (nur wenn vom Inhaber der License-Insights-Lizenz aktiviert) | Die verschlüsselten Blöcke der Ergebnisdatei | Der Server entschlüsselt für berechtigte Kolleginnen und Kollegen desselben Unternehmens im Arbeitsspeicher und gibt den Klartext an deren Browser zurück; keine Speicherung |
| Executive-Summary-Report | Je Benutzerkonto nur Microsoft-Lizenz, SKU, monatliche Kosten und Kontotyp – ohne Namen, Anmeldenamen oder E-Mail-Adressen; dazu Tenant-Name, -Domäne und -ID sowie Ihre Lizenzplanung | Die Eingabedaten werden unmittelbar nach dem Einlesen gelöscht; der fertige Report wird bis 24 Stunden nach Fertigstellung zum Abruf vorgehalten und dann automatisch gelöscht |
| Prüfungen zu Global Admins, MFA und Aufbewahrung | Kontrollstatus, Zähler und Kennzeichen ohne Namen | Nur im Arbeitsspeicher; keine Speicherung |
| Vertrags- und Quarantäne-Prüfung, App-Consent-Auswertung | Lizenzreservierungen (SKUs, Mengen, Laufzeiten), Quarantäne-Einstellungen ohne Geltungsbereich, App-Consent-Einstellungen ohne Personen- und Gruppennamen | Nur im Arbeitsspeicher; keine Speicherung |
| Ausnahmen für Dienstkonten (von Ihnen gepflegt) | Namensmuster und die von Ihnen ausgewählten Anmeldenamen (UPNs) einzelner Konten | Gespeichert, bis Sie die Einträge ändern oder löschen, längstens bis zum Vertragsende |
| Gast-Domänen-Baseline (von Ihnen ausgelöst) | Liste der Domänen Ihrer Gastkonten (ohne Personennamen) | Gespeichert, längstens bis zum Vertragsende |
| Gespeicherte Ansichten | Filter, Spalten und Sortierung (der Suchbegriff wird nicht gespeichert) | Gespeichert, bis Sie die Ansicht löschen, längstens bis zum Vertragsende |
| Einstellungen (Pseudonymisierte Anzeige, Freigaben, Logo) | Ein/Aus-Schalter, Freigabeumfang, hochgeladenes Logo | Gespeichert bis zur Änderung, längstens bis zum Vertragsende |
Freigaben. Als Inhaber der License-Insights-Lizenz können Sie Ihre Auswertung für Kolleginnen und Kollegen Ihres Unternehmens (interne Freigabe) oder für Partner freigeben, deren Anmelde-Domäne Sie als Unternehmens-Domäne hinterlegt haben (Partnerfreigabe). Empfänger benötigen zusätzlich die Ergebnisdatei. Ohne Ihren License-Insights-Lizenzschlüssel sehen Partner nur die pseudonymisierte Analyse. Geben Sie einem Partner den Schlüssel, prüft der Server die Freigabe; die Entschlüsselung erfolgt im Browser des Partners. Bei der internen Freigabe ohne Schlüssel entschlüsselt der Server die Blöcke für berechtigte Kolleginnen und Kollegen (siehe Tabelle).
2.4 Was nicht übertragen wird
- die entschlüsselten Namen, Anmeldenamen und E-Mail-Adressen Ihrer Benutzer (Ausnahme: interne Freigabe ohne Schlüssel, siehe oben),
- die Ergebnisdatei als Ganzes (sie wird im Browser eingelesen; es gibt keinen Datei-Upload der Rohdatei),
- Inhalte von E-Mails, Dateien, Chats oder Dokumenten (das PS1 erhebt solche Inhalte nicht),
- Kennwörter Ihrer Microsoft-365-Benutzer, BitLocker-Schlüssel oder LAPS-Kennwörter (das PS1 liest nur deren Vorhandensein und Zeitstempel),
- das Client-Geheimnis und das Zertifikat der App-Registrierung (sie verbleiben auf Ihrem Gerät).
Die personenbezogenen Blöcke der Ergebnisdatei sind mit AES-256-GCM verschlüsselt; der Schlüssel wird aus Ihrem License-Insights-Lizenzschlüssel abgeleitet. Entschlüsselt wird in Ihrem Browser. Einzelheiten enthält der AVV (Anlage 1).
2.5 Speicherung in Ihrem Browser
Im lokalen Speicher Ihres Browsers (localStorage) legt das Portal Anmelde-Token, Sprache, Darstellung und Ihre Preis- und Bezugsparameter ab. Die Audit-Daten selbst werden im Browser nicht dauerhaft gespeichert. Es wird ein einziges Cookie gesetzt (lang, Sprachwahl, 365 Tage). Tracking- oder Analyse-Cookies werden nicht verwendet.
3. Wie lange werden Daten auf dem Server gehalten?
| Datenkategorie | Speicherdauer | Löschung |
|---|---|---|
| Berechnungsdaten (bei interner Freigabe ohne Schlüssel auch die entschlüsselten Blöcke) | Nur für die Dauer der Anfrage; Rechen-Zwischenspeicher höchstens 10 Minuten | Automatisch (nur Arbeitsspeicher) |
| Executive-Summary-Report | Eingabedaten: unmittelbar nach dem Einlesen; Ergebnis: bis 24 Stunden nach Fertigstellung | Automatisch |
| Anmelde-Token (Sitzung / Inhaltszugriff / Administration) | 1 Stunde / 2 Stunden / 8 Stunden | Automatischer Ablauf |
| Verbrauchte Einmal-Token des Skriptabrufs | 24 Stunden | Automatisch, stündlich |
| Anmelde-Standortdaten (IP-Adresse, abgeleitetes Land und Ort) | 90 Tage | Automatisch, täglich |
| Sicherheits- und Ereignisprotokoll (Audit-Log mit IP-Adresse) | 180 Tage | Automatisch, täglich |
| Nutzungsprotokoll (Skript- und Berechnungsabrufe je License-Insights-Lizenz) | 730 Tage, begrenzt durch die Abschaltung | Automatisch, täglich |
| Nachweise zu Betroffenenanfragen (zum Beispiel Auskunft oder Löschung) | Bis zur Abschaltung; danach Übergabe an Bechtle, soweit zum Nachweis erforderlich | Mit der Abschaltung |
| Konto-, Lizenz- und Vertragsdaten, Tenant-Bindung, Zustimmungsnachweise (Vertragsunterlagen und Skriptabruf), Einstellungen, Dienstkonto-Ausnahmen, Gast-Domänen-Baseline | Für die Vertragslaufzeit | Innerhalb von 30 Tagen nach Vertragsende, spätestens mit der Abschaltung |
| Technische Server-Protokolle (Zeitpunkt, aufgerufener Pfad, Statuscode, E-Mail-Adresse, IP-Adresse) | Rotierend nach Größe, höchstens 90 Tage | Automatisch |
Endgültige Abschaltung. Der Dienst wird mit Ablauf des 31. August 2027 abgeschaltet. Alle auf dem Server gespeicherten Daten werden spätestens bis zum 30. September 2027 gelöscht, einschließlich der Datensicherungen. Rechnungs- und Vertragsunterlagen führt Bechtle in eigenen Systemen nach den gesetzlichen Aufbewahrungspflichten.
Die Ergebnisdateien, Protokolle und Konfigurationsdateien auf Ihrem Gerät liegen ausschließlich in Ihrer Verantwortung. Bechtle und die Bauer365 GmbH haben darauf keinen Zugriff und können sie nicht löschen.
4. Was erstellt der PS1-Lauf konkret?
4.1 Im Microsoft-365-Tenant
Die Ersteinrichtung (Setup) führt ein Administrator Ihrer Organisation aus. Erforderlich ist die Rolle Globaler Administrator; für die reine Rollenzuweisung genügt Administrator für privilegierte Rollen. Das Setup legt Folgendes an:
| Objekt | Details |
|---|---|
| App-Registrierung und Dienstprinzipal | Der Name enthält „M365 License Insights“ (in Entra ID über die Suche nach „License Insights“ auffindbar), nur für Ihren Tenant (Single-Tenant), Weiterleitungsadresse http://localhost, mit Logo |
| Anmeldeinformationen der App | ein Client-Geheimnis und ein selbstsigniertes Zertifikat (RSA 2048), jeweils 2 Jahre gültig. Das Zertifikat wird auf Ihrem Gerät erzeugt; nur der öffentliche Schlüssel wird in Ihrem Tenant hinterlegt. |
| Anwendungsberechtigungen Microsoft Graph (mit Administratorzustimmung) | Leseberechtigungen, u. a. Directory.Read.All, Organization.Read.All, Reports.Read.All, AuditLog.Read.All, CallRecords.Read.All, SecurityEvents.Read.All, SecurityIncident.Read.All, AttackSimulation.Read.All, ThreatHunting.Read.All, RoleManagement.Read.Directory, IdentityRiskyUser.Read.All, IdentityRiskEvent.Read.All, Policy.Read.All, InformationProtectionPolicy.Read.All, RecordsManagement.Read.All, eDiscovery.Read.All, Sites.Read.All, SharePointTenantSettings.Read.All, DeviceManagementManagedDevices.Read.All, Place.Read.All, TeamworkDevice.Read.All, AccessReview.Read.All, EntitlementManagement.Read.All, PrivilegedAccess.Read.AzureADGroup. Je nach Verfügbarkeit im Tenant zusätzlich SecurityIdentitiesSensors.Read.All, SecurityIdentitiesHealth.Read.All, BitlockerKey.Read.All, DeviceManagementConfiguration.Read.All, ConsentRequest.Read.All, PrivilegedAccess.Read.AzureAD. |
| Weitere Anwendungsberechtigungen | Microsoft Defender for Endpoint: Machine.Read.All, Alert.Read.All, Vulnerability.Read.All. Exchange Online: Exchange.ManageAsApp (erlaubt der App die Anmeldung an Exchange Online; die tatsächlichen Rechte ergeben sich aus der zugewiesenen Rollengruppe). Defender for Cloud Apps: Investigation.read, Discovery.read und Investigation.manage. |
| Rollen und Rollengruppen | Entra-Rollen Sicherheitsleseberechtigter und Globaler Leser für den Dienstprinzipal, direkt oder über PIM (werden nach jedem Lauf wieder entfernt); Exchange-Rollengruppe EXO-Audit-AppOnly mit der Rolle View-Only Audit Logs; zwei eigene Purview-Rollengruppen mit Leserechten (Namen enden auf -Compliance-Read und -Retention-Read) sowie Mitgliedschaft in den eDiscovery-Rollengruppen |
| Exchange-Organisationsanpassung | Das Setup führt Enable-OrganizationCustomization aus, falls noch nicht geschehen. Diese Einstellung lässt sich in Exchange Online nicht zurücknehmen und ist Voraussetzung für eigene Rollengruppen. |
Hinweis zu Schreibrechten. Die Erhebung selbst liest nur. Das Setup und die Bereinigung verwenden jedoch delegierte Berechtigungen mit Schreibrechten (
Application.ReadWrite.All, AppRoleAssignment.ReadWrite.All, RoleManagement.ReadWrite.Directory), um die App anzulegen und wieder zu entfernen. Die Berechtigung Investigation.manage (Defender for Cloud Apps) enthält technisch Schreibrechte und wird nur für das Lesen der Richtlinien benötigt.4.2 Welche Daten das PS1 erhebt
- Benutzer (nur Konten mit mindestens einer Microsoft-365-Lizenz): Anzeigename, Anmeldename (UPN), E-Mail-Adresse, zugewiesene Lizenzen und Pläne, Kontotyp, Kontostatus, Erstellungsdatum, letzte Anmeldung, Kennwortrichtlinie, Telefonnummern, Firma, Abteilung, Standort, Position, Ort, Land, Nutzungsort, Personalnummer, Synchronisationsstatus, Erweiterungsattribute
- Lizenzen: Abonnements, SKUs, Mengen und Laufzeiten
- Nutzung der letzten 180 Tage: Aktivität in Exchange, Teams, SharePoint, OneDrive, Microsoft-365-Apps, Forms, Viva und Copilot; Postfach- und OneDrive-Größe; Telefonie- und Power-BI-Aktivität
- Sicherheit: MFA-Registrierung und -Methoden, Admin-Rollen und PIM, Conditional Access, Sicherheitsstandards, Richtlinien (DLP, Aufbewahrung, Vertraulichkeitsbezeichnungen, Defender), App-Consents
- Exchange: Postfachart, Archiv, Aufbewahrung (Litigation Hold), Weiterleitungen einschließlich Zieladresse, freigegebene Postfächer
- Geräte: Intune- und Defender-Gerätedaten (Gerätename, Betriebssystem, Netzwerkangaben), Nachweis über BitLocker und LAPS (nur Vorhandensein und Zeitpunkt, keine Schlüssel oder Kennwörter)
- SharePoint: Websites, Ordnernamen und Speichergrößen (Dateien nur als Anzahl und Summe)
- Bedrohungserkennung: Ergebnisse von Erkennungsabfragen über Anmelde-, Verzeichnis-, E-Mail-, Geräte- und Copilot-Ereignisse; je Abfrage bis zu 50 Trefferzeilen, die einen Anmeldenamen (UPN) enthalten können
4.3 Auf Ihrem Gerät
| Datei | Inhalt und Schutz |
|---|---|
M365-License-Insights_JJJJ-MM-TT_HHMMSS.json | Ergebnisdatei; die personenbezogenen Blöcke sind verschlüsselt (AES-256-GCM). Tenant-ID, Tenant-Name, Kennzahlen und Richtliniennamen stehen im Klartext. |
M365_License_Audit_Config.txt | Tenant-ID, App-ID, Client-Geheimnis und Zertifikatskennwort. Unter Windows per DPAPI an Ihr Benutzerkonto gebunden, unter macOS und Linux nur Base64-kodiert mit eingeschränkten Dateirechten. Wie ein Kennwort schützen. |
M365-License-Insights-CBA.pfx | Zertifikat mit privatem Schlüssel für die App-Anmeldung, kennwortgeschützt |
M365-License-Insights.log | Ablaufprotokoll (Erfolgs- und Fehlermeldungen) |
optional …csv | nur wenn das CSV-Format gewählt wurde; bei aktiver Verschlüsselung ohne Benutzerdaten |
Temporäre Ordner unter %TEMP% | Skriptmodule und PowerShell-Module (Microsoft Graph, Exchange Online). Sie werden zur Laufzeit geladen und im Regelfall am Ende entfernt; %TEMP%\M365Audit_EOM kann bestehen bleiben. |
Alle Dateien entstehen im Arbeitsverzeichnis, aus dem Sie das Skript starten. Voraussetzungen sind PowerShell 7.5 oder neuer und ein Browser. Ein Lauf dauert in der Regel 10 bis 30 Minuten.
4.4 Verbindungen des PS1
Das PS1 verbindet sich mit Microsoft (login.microsoftonline.com, graph.microsoft.com, Exchange Online, Purview, Defender, Power BI), mit der PowerShell Gallery (www.powershellgallery.com, Moduldownload) und mit dem License-Insights-Server (Modul- und Matrixdownload, Tenant-Bindung). Die Verbindungen zu Microsoft laufen im Rahmen Ihres eigenen Vertrags mit Microsoft. Eine Nutzungstelemetrie an den License-Insights-Server ist deaktiviert.
4.5 Entfernen der Objekte
- Nach jedem Lauf automatisch: Die Rollen Sicherheitsleseberechtigter und Globaler Leser werden vom Dienstprinzipal entfernt.
- Vollständig über den Menüpunkt „Bereinigung“: App-Registrierung, Dienstprinzipal, Rollenzuweisungen, die drei eigenen Rollengruppen sowie die lokale Konfigurations- und Zertifikatsdatei werden entfernt. Ohne Purview-Verbindung zeigt das Skript die Befehle für die manuelle Entfernung der Rollengruppen an.
- Nicht entfernt werden die Exchange-Organisationsanpassung, Mitgliedschaften in integrierten Rollengruppen und gegebenenfalls die Exchange- und Purview-Dienstprinzipalobjekte. Bitte prüfen Sie diese nach der Bereinigung manuell.
- Ergebnisdateien und Protokolle auf Ihrem Gerät löschen Sie selbst.
Bitte führen Sie die Bereinigung spätestens zum Vertragsende durch. Das Client-Geheimnis und das Zertifikat bleiben sonst bis zu ihrem Ablauf nach 2 Jahren gültig.
5. Ansprechpartner
Fragen zu diesem Dokument, zum Vertrag oder zum Datenschutz richten Sie bitte ausschließlich an Bechtle: Bechtle-Comsoft GmbH, Bechtle Platz 1, 74172 Neckarsulm, E-Mail: info [at] bechtle-comsoft.de. Die Bauer365 GmbH leistet keinen direkten Support.