# Eine Überfreigabe untersuchen
Typ: Checkliste
Herkunft: m365-collaboration / investigation-response / m365-investigation-sequence
Version: m365-investigation-sequence-2026-09-12
Geprüft: 2026-09-12

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Ein Angebot aus einer Projekt-Site ist bei einem Wettbewerber aufgetaucht. Bekannt sind Dateiname und ungefährer Zeitraum. Der Tenant nutzt Audit (Standard).

## Schritte
1. Prüfen, welchen Zeitraum die Aufbewahrungsfrist überhaupt hergibt
2. Die Freigabe- und Zugriffsanfrage-Aktivitäten im erreichbaren Zeitraum suchen und vollständig exportieren
3. Die Spalte `AuditData` in einzelne Spalten zerlegen, damit die Zielfelder filterbar werden
4. Die Ereignispaare zusammenführen und über `ObjectId` auf die betroffene Datei eingrenzen
5. Auf `TargetUserOrGroupType` mit dem Wert `Guest` filtern, um die Freigaben nach außen zu isolieren
6. Die Grenzen der Aussage festhalten: nicht erfasster Zeitraum und nicht zuordenbare anonyme Zugriffe

## Begründung
Warum: Die Frist steht vorn, weil sie über die Beantwortbarkeit der Frage entscheidet und in einem Schritt geklärt ist. Die Grenzen stehen hinten, weil sie sich erst aus dem Ergebnis ergeben — und weil ein Bericht ohne sie mehr behauptet, als die Daten hergeben.
Folgen: **+** Das Ergebnis ist belegt, und seine Reichweite ist Teil der Aussage statt einer stillen Annahme. **−** Der Weg endet häufig mit einer Lücke, die sich nicht schließen lässt — und genau diese Lücke ist es, die im Nachgang erklärt werden muss.

## Quellen
1. https://learn.microsoft.com/en-us/purview/audit-log-sharing
2. https://learn.microsoft.com/en-us/purview/audit-solutions-overview