CG3 - Einen Microsoft-Mandanten mit SSO und Provisioning konfigurieren (Entra ID)

Diese Anleitung beschreibt, wie Sie die General Settings von LibraCyber für eine Organisation konfigurieren, die einen Microsoft 365-Mandanten mit Microsoft Entra ID (Azure AD) und Single Sign-On (SSO) nutzt. Sie behandelt die Erteilung von Microsoft-Zustimmungen, das Provisioning von Benutzern aus dem Verzeichnis, die Konfiguration von Company Scan, die Zuordnung von Gruppen und Abteilungen, die Verwaltung von Administratoren und Integrationen (Webhooks und Microsoft Defender).

HINWEIS: Diese Anleitung setzt Microsoft Entra ID als Identity Provider, bereits aktiviertes SSO und automatisches Provisioning durch Anwendungszustimmung im Microsoft-Mandanten voraus (kein CSV-Import). Wenn Ihre Organisation Google Workspace, Okta oder nur CSV-basiertes Provisioning nutzt, lesen Sie die vollständige Anleitung zu General Settings.

Zielgruppe	Kundenadministrator, MSP, Integrator.
Erforderliche Rolle	Microsoft-Administrator mit Berechtigungen zur Erteilung von Anwendungszustimmungen auf Mandantenebene (typischerweise Global Administrator oder eine Rolle mit aktivierter administrativer Zustimmung); LibraCyber-Administrator mit der Berechtigung Edit permissions zur Verwaltung anderer Administratoren.
Geschätzte Dauer	30–45 Minuten.
Schwierigkeitsgrad	Mittelstufe.
Getestete Umgebung	Microsoft 365-Mandant mit Entra ID (Azure AD) und aktiviertem SSO.
Letzte Überprüfung	Juni 2026.
Verantwortlicher	INTERNE NUTZUNG Solutions / Integration Engineer mit regelmäßiger Überprüfung.

• Ein Microsoft 365-Mandant mit Microsoft Entra ID (Azure AD).
• SSO bereits aktiviert für den Zugriff auf die LibraCyber-Plattform.
• Ein Microsoft-Administratorkonto mit ausreichenden Berechtigungen zur Erteilung von Anwendungszustimmungen auf Mandantenebene.
• Ein LibraCyber-Administratorkonto mit der Berechtigung Edit permissions (erforderlich zum Hinzufügen von Administratoren und zum Zuweisen von Berechtigungen).
• Microsoft-Lizenzen, die den zu synchronisierenden Benutzern zugewiesen sind.
• Für den Versand von Simulations- und Transaktions-E-Mails: Versand im API-Modus konfiguriert (alternativ zu SMTP).
• Für Integrationen: Erreichbarkeit des Microsoft Defender-Portals (security.microsoft.com) vom Administrator aus.

• Microsoft-Anwendungszustimmungen gelten für den gesamten Mandanten. Erteilen Sie diese nur über einen autorisierten Administrator: Sie ermöglichen LibraCyber, Benutzer/Gruppen zu lesen, E-Mails zu versenden und (für Smart Banners) eingehende E-Mails zu verarbeiten.
• Das erste Provisioning kann Benutzer außerhalb des Geltungsbereichs deaktivieren. Standardmäßig werden alle Benutzer mit Lizenz und alle Shared Mailboxes bereitgestellt (letztere sind von Awareness-Modulen ausgeschlossen). Überprüfen Sie Gruppen und Ausschlüsse vor dem ersten Durchlauf.
• Die Deaktivierung von Benutzern ist reversibel (soft): Der Benutzer verliert den Zugriff, aber historische Daten bleiben erhalten; wenn der Benutzer erneut im Verzeichnis erscheint, wird er beim nächsten Sync reaktiviert.
• Ohne die Zustimmung zu Email injection werden Simulations- und Transaktions-E-Mails für Mandanten im API-Modus nicht zugestellt.
• Ein Wartungsfenster ist nicht erforderlich: Die Operationen haben minimale Auswirkungen auf Endbenutzer.

Öffnen Sie General Settings aus dem Seitenmenü. Der Bereich ist in Registerkarten organisiert: Setup Checklist, Office Users Provisioning, User Management, Company Scan, Groups & Departments, Admins, Integrations.

Schritt 1 — Setup Checklist konsultieren. Die Registerkarte Setup Checklist ist eine Schritt-für-Schritt-Anleitung, die den Abschluss der Erstkonfiguration zusammenfasst. Jeder Eintrag zeigt den Status und leitet zur entsprechenden Registerkarte weiter.

Schritt 2 — Microsoft-Zustimmungen erteilen. In der Registerkarte Office Users Provisioning (so benannt für Microsoft-Mandanten) sind drei Zustimmungen verfügbar, die je nach aktiven Modulen erteilt werden.

Schaltfläche	Berechtigung	Erforderlich für
Grant User Sync Consent to LibraCyber	Provisioning-Berechtigungen	Alle Module — Synchronisierung von Benutzern und Gruppen aus Entra ID.
Grant Direct Message Injection Consent to LibraCyber	Email Injection-Berechtigungen	E-Mail-Versand für Organisationen im API-Modus (nicht SMTP): Phishing-Simulationen und andere Transaktions-E-Mails (Bedrohungswarnungen und Feedback, Awareness-Erinnerungen, Banner-Test-E-Mails, Onboarding-E-Mails…).
Grant Email Process Consent to LibraCyber	Email-Verarbeitungsberechtigungen	Smart Banners-Modul — Lesen zur Signalanalyse und Schreiben zum Anbringen von Bannern auf verdächtigen E-Mails.

HINWEIS: Standardmäßig wird das Provisioning auf alle Benutzer mit Lizenz und alle Shared Mailboxes angewendet; Shared Mailboxes sind von Awareness-Modulen ausgeschlossen.

Schritt 3 — (Optional) Provisioning-Geltungsbereich definieren.

Im Abschnitt Excluded users können Sie einzelne Benutzer explizit vom Provisioning ausschließen. Dies ist besonders nützlich, wenn Sie auch Benutzer ohne Lizenz einbeziehen möchten, um unerwünschte Einträge in der Liste zu vermeiden.

Im Abschnitt Provisioned groups können Sie die Gruppen aus dem Verzeichnis angeben, die importiert werden sollen: Es werden nur Benutzer bereitgestellt, die zu den aufgelisteten Gruppen gehören.

Schritt 4 — Provisioning starten. Sie können die Synchronisierung jederzeit mit der Schaltfläche Start User Provisioning starten (sofortiger Sync). Durch Aktivierung des daily user provisioning wird die Synchronisierung automatisch einmal täglich ausgeführt: Dies ist der empfohlene Modus, damit Änderungen am Verzeichnis beim nächsten Sync berücksichtigt werden, ohne manuelle Aktionen.

HINWEIS: Deprovisioning — Bei jedem Durchlauf werden Benutzer, die in LibraCyber vorhanden sind, aber nicht mehr in Entra ID vorhanden sind (oder nicht mehr im Geltungsbereich / in den ausgewählten Gruppen enthalten sind), deaktiviert (soft Deprovisioning), nicht gelöscht. Wenn der Benutzer erneut im Verzeichnisgeltungsbereich erscheint, wird er beim nächsten Sync reaktiviert.

Schritt 5 — Benutzer in User Management überprüfen. Die Registerkarte User Management listet alle bereitgestellten Benutzer auf. Der Status Active ist eine Voraussetzung für den Zugriff auf ein beliebiges LibraCyber-Modul.

Schritt 6 — Company Scan abschließen. Die Registerkarte Company Scan erfasst allgemeine Informationen der Organisation, die in verschiedenen Kontexten wiederverwendet werden: Phishing-Simulationen, Awareness-Lektionen, Banner-Tests.

Company Info

• Name: Name der Organisation.
• Company Logo: Logo der Organisation (max. 2 MB, beliebiges Bildformat). Für eine scharfe Darstellung in E-Mails wird ein horizontales Logo von etwa 400×100 px oder kleiner empfohlen. Die Schaltfläche preview logo öffnet eine Testseite, die das Logo oben links anzeigt.
• URL: Website der Organisation (informativ).
• Domain: Domain der Organisation (informativ).

Key people — Geschäftsreferenzen (z. B. CEO, HR Director) werden von mehreren Produkten verwendet:

• Simulationen: Spear-Phishing-Simulationen können Key People zitieren oder imitieren. Wenn das Feld leer ist, werden die entsprechenden Vorlagen aus dem Katalog ausgeschlossen.
• Banner: Werden zum Versand von Demo-Bannern verwendet (eine Beispiel-E-Mail imitiert den CEO) und für ein Erkennungssignal basierend auf Key People. WARNUNG: Wenn die CEO-Informationen fehlen, gibt die Funktion zum Versand von Beispiel-E-Mails einen Fehler zurück.
• Awareness: HR Director und CEO sind die einzigen Key People, die in Chatbot-Lektionen verwendbar sind. Bei der Personalisierung einer Lektion können Sie Makros für Key People verwenden.

Wenn die Felder Key people leer sind, zeigen Lektionen, die diese verwenden, einen Platzhalter an (auf Englisch, nicht übersetzt):

Makro	Angezeigter Wert, wenn das Feld leer ist
ceo_first_name	My_CEO_first_name
ceo_last_name	My_CEO_last_name
hr_director_first_name	My_HR_director_first_name
hr_director_last_name	My_HR_director_last_name

HINWEIS: Für einen POC oder Test reicht es aus, einen beliebigen Benutzer anstelle des CEO einzugeben. Alternativ können Sie für Awareness die Kurse/Lektionen, die das problematische Makro verwenden, nicht abonnieren oder den Inhalt klonen und ändern, um das Makro zu entfernen oder zu ändern.

Company signature — Die Unternehmensunterschrift kann von Administratoren personalisiert werden, um das Branding der Organisation widerzuspiegeln, und wird in Simulationsvorlagen wiederverwendet, die sie aufrufen.

Key customers — Wichtige Kunden können von Administratoren hinzugefügt werden, um die Realitätsnähe von Phishing-Simulationen zu erhöhen.

Schritt 7 — Groups & Departments zuordnen. Die Registerkarte Groups & Departments ermöglicht es Ihnen, Verzeichnisgruppen den benutzerdefinierten Abteilungen (Department) von LibraCyber zuzuordnen.

HINWEIS: Nach dem Import durch Provisioning müssen Gruppen Abteilungen zugeordnet werden. Abteilungen werden manuell von Administratoren erstellt und der entsprechenden Gruppe zugewiesen. Ein Benutzer gehört zu allen Abteilungen, die sich aus den Gruppen ergeben, denen er angehört: Er kann sich daher in mehreren Abteilungen befinden oder in keiner.

Schritt 8 — Admins verwalten. Die Registerkarte Admins ermöglicht es Ihnen, neue Administratoren hinzuzufügen und ihnen spezifische Berechtigungen zu erteilen oder zu widerrufen.

HINWEIS: Nur Administratoren mit der Berechtigung Edit permissions können anderen Administratoren Berechtigungen erteilen oder widerrufen. Berechtigungen werden nicht automatisch bei der Erstellung oder Beförderung eines Administrators zugewiesen: Ein neuer Administrator beginnt mit null Berechtigungen, bis diese ihm in dieser Registerkarte explizit zugewiesen werden.

Im Folgenden sind die Berechtigungen aufgeführt, die Administratoren über die Konsole zugewiesen werden können:

Berechtigung	Bereich	Was es ermöglicht
Edit permissions	Permissions	Berechtigungen für andere Benutzer hinzufügen und entfernen (eigene Berechtigungen können nicht geändert werden).
Risk Score	Risk Score	Zugriff auf den Risk Score über alle Produkte hinweg; umfasst die 5 Leseberechtigung für einzelne Produkte.
Corporate Admin	Corporate	Navigation zwischen Unternehmen der Gruppe und Zugriff auf aggregierte Corporate-Dashboards.
Dashboard	Cyber Awareness	Zugriff auf das Cyber Awareness-Dashboard der Organisation.
Manage Users	Cyber Awareness	Benutzerverwaltung.
Lessons Admin	Cyber Awareness	Verwaltung von Inhalten und Lektionszuweisungen.
Setup	Cyber Awareness	Zugriff auf Einstellungen und Chatbot-Setup.
Export certificates	Cyber Awareness	Export von Abschlusszertifikaten für Lektionen.
Dashboard	Phishing Simulation	Zugriff auf das Phishing Simulation-Dashboard der Organisation.
Custom Campaign	Phishing Simulation	Erstellung und Versand benutzerdefinierter Phishing-Kampagnen.
Audit	Phishing Simulation	Zugriff auf die Audit-Seite von Simulationen.
Setup	Phishing Simulation	Zugriff auf Einstellungen und Zustellungstest für Simulationen.
Video Training Admin	Video Training	Verwaltung von Video-Training-Inhalten.
Smart Banners	Smart Banners	Zugriff auf den Bereich Smart Banners.
Browser Defender	Browser Defender	Zugriff auf den Bereich Browser Defender.
Threats	Threats	Anzeige und Kategorisierung von echten E-Mails, die von Benutzern gemeldet werden.
General Settings	General Settings	Zugriff auf die Benutzerliste und Verwaltung des Provisioning aus dem Verzeichnis.
Company Scan	General Settings	Verwaltung von Unternehmensinformationen, Gruppen-/Abteilungszuordnung und SaaS-Zuordnung.

Schritt 9 — Integrationen konfigurieren. Die Registerkarte Integrations sammelt Einstellungen und Anweisungen für optionale Integrationen.

API und Webhook. Der Abschnitt bietet einen Link zur technischen API-Dokumentation. Über Webhooks können LibraCyber-Benachrichtigungen an eine Drittanwendung gesendet werden: Der Administrator konfiguriert einen Webhook in der Drittanwendung und gibt dessen URL in den Einstellungen ein. In LibraCyber generierte Ereignisse werden an diese URL weitergeleitet.

Derzeit ist ein Webhook-Ereignis verfügbar:

• Threat reported: Wird bei jeder neuen von einem Benutzer gemeldeten Bedrohung gesendet (entspricht der E-Mail-Benachrichtigung für gemeldete Bedrohungen). Payload: Meldedatum, Bedrohungs-ID, Bedrohungs-URL.

Microsoft Defender-Integration. Die Integration mit MS Defender ermöglicht Folgendes:

• Automatische Weiterleitung von Benutzermeldungen von LibraCyber an MS Defender (Threat Submission);
• Blockierung von Absendern oder Domains direkt über die LibraCyber-Konsole (Tenant Allow/Block List — TABL).

MS Defender — Threat submission. Sendet von Benutzern gemeldete Bedrohungen an Microsoft Defender (über die Meldungsschaltfläche, das Add-in oder andere Meldekanäle). Die Bedrohungen erscheinen in Microsoft Defender unter Submissions > Email und erleichtern die Behebung für Organisationen, die Defender nutzen. Erfordert die entsprechende Zustimmung.

MS Defender — Blockierung von Absendern/Domains (TABL). Nach Erteilung der Berechtigung und Konfiguration des Microsoft-Mandanten können Sie Absender und Domains direkt über die LibraCyber-Konsole blockieren. Blockierte Absender und Domains erscheinen in der Tenant Allow/Block List von Microsoft (erreichbar unter security.microsoft.com/tenantAllowBlockList).

Setup. Der Administrator muss die Berechtigung aktivieren und die dedizierte Setup-Dokumentation abschließen.

• In der Registerkarte Office Users Provisioning zeigen die drei Zustimmungen die Angabe Already granted.
• Nach Start User Provisioning erscheinen die erwarteten Benutzer in User Management mit dem Status Active.
• In der Setup Checklist ist der Eintrag "Map groups to departments" abgeschlossen und Gruppen sind in Groups & Departments Abteilungen zugeordnet.
• (Smart Banners) Banner erscheinen auf eingehenden E-Mails; (Simulationen im API-Modus) eine Test-Simulation wird korrekt zugestellt.
• (MS Defender) eine Test-Meldung erscheint in Submissions > Email von Microsoft Defender; ein von der Konsole blockierter Absender/Domain erscheint in der Tenant Allow/Block List.

Symptom	Ursache	Lösung
Simulations- oder Transaktions-E-Mails werden nicht zugestellt.	Email Injection-Zustimmung fehlt (Mandant im API-Modus).	Erteilen Sie Grant Direct Message Injection Consent to LibraCyber in Office Users Provisioning.
Die Funktion zum Versand von Beispiel-E-Mails (Banner-Demo) gibt einen Fehler zurück.	CEO-Informationen fehlen in Company Scan.	Füllen Sie die Felder Key people (CEO) aus; für einen POC geben Sie einen beliebigen Benutzer als CEO ein.
Erwartete Benutzer fehlen nach dem Provisioning.	Benutzer außerhalb der Provisioned groups, ohne Lizenz oder in der Excluded users-Liste.	Überprüfen Sie die bereitgestellten Gruppen, Lizenzen und die Ausschlussliste.
Unerwünschte Einträge in der Benutzerliste.	Einbeziehung von Benutzern ohne Lizenz.	Fügen Sie unerwünschte Benutzer zu Excluded users hinzu.
In Lektionen erscheinen Platzhalter wie "My_CEO_first_name".	Felder Key people sind leer.	Füllen Sie die Felder Key people in Company Scan aus.
Ein Benutzer kann nicht auf Module zugreifen.	Status ist nicht Active in User Management.	Überprüfen Sie, dass der Benutzer im Verzeichnis und im Provisioning-Geltungsbereich vorhanden ist; führen Sie die Synchronisierung erneut aus.
Banner erscheinen nicht auf E-Mails.	Email Process-Zustimmung fehlt.	Erteilen Sie Grant Email Process Consent to LibraCyber.

• Geltungsbereich reduzieren (reversibel): Gruppen aus Provisioned groups entfernen oder Benutzer zu Excluded users hinzufügen. Beim nächsten Sync werden Benutzer außerhalb des Geltungsbereichs deaktiviert (soft), mit beibehaltenen historischen Daten.
• Automatische Synchronisierung stoppen: Deaktivieren Sie das daily user provisioning.
• Admin oder Berechtigungen entfernen: Aus der Registerkarte Admins (erfordert die Berechtigung Edit permissions).
• Microsoft-Zustimmungen widerrufen (irreversibel in den Auswirkungen): Das Widerrufen der Anwendungszustimmung auf der Microsoft-Mandantenseite unterbricht jeweils Provisioning, E-Mail-Versand und Banner. Das Widerrufen erfolgt über das Microsoft Entra ID-Portal in der Verwaltung von Unternehmensanwendungen.
• Datenlöschung: Die Deaktivierung ist soft und löscht keine Daten. Für endgültige Löschungen wenden Sie sich an den Support.

HINWEIS: Der Rollback erfordert keine Aktionen von Endbenutzern, außer einer neuen administrativen Zustimmung, falls Sie Microsoft-Berechtigungen widerrufen und wiederherstellen möchten.

• Die erteilten Zustimmungen sind OAuth-Anwendungsberechtigungen auf Mandantenebene (Microsoft Graph): Benutzersynchronisierung/Gruppen (Lesen), Email Injection (Zustellung in Postfächern), Email Process (Lesen/Schreiben auf eingehenden E-Mails für Banner). Keine Passwörter werden mit LibraCyber geteilt.
• Keine manuell zu verwaltenden Geheimnisse: Die Autorisierung erfolgt über die OAuth-Zustimmung von Microsoft; Zustimmungen sind jederzeit über das Microsoft-Portal widerrufbar und erfordern keine manuelle Rotation.
• Prinzip der geringsten Berechtigung: Begrenzen Sie den Geltungsbereich mit Provisioned groups und Excluded users und weisen Sie Administratoren nur erforderliche Berechtigungen zu (neue Administratoren starten ohne Berechtigungen).
• Audit: Zustimmungserteilungen werden im Audit-Log des Microsoft-Mandanten (Entra ID / Defender) nachverfolgt; Änderungen an Admin-Berechtigungen erfolgen kontrolliert über die Registerkarte Admins.

• Das tägliche automatische Provisioning hält Benutzer und Gruppen mit dem Verzeichnis synchron; überprüfen Sie regelmäßig, dass es aktiviert bleibt.
• Überprüfen Sie regelmäßig Provisioned groups, Excluded users und die Zuordnung Groups & Departments bei Organisationsänderungen.
• Überprüfen Sie, dass die drei Zustimmungen Already granted bleiben: Ein Widerruf auf Microsoft-Seite unterbricht die zugehörigen Funktionen.
• Überprüfen Sie die Liste der Admins und deren Berechtigungen regelmäßig (Hinzufügungen, Entfernungen, Rollenänderungen).
• Halten Sie die Daten in Company Scan aktuell (Key people, Unternehmensunterschrift, Key customers).

• Vollständige Anleitung zu General Settings (für Google Workspace, Okta oder CSV-basiertes Provisioning).
• Setup Checklist — Erstkonfiguration der Plattform vor der Aktivierung einzelner Module.
• Technische Dokumentation der API und Webhooks.
• Setup-Dokumentation der Microsoft Defender-Integration (Threat submission und TABL).
• Microsoft — Tenant Allow/Block List (Microsoft Defender-Portal).