Leitfaden zum Salesforce Security Health Check

Ein Salesforce Health Check ist vielleicht nicht gerade etwas, worauf sich die meisten Teams freuen, aber es lohnt sich auf jeden Fall, ihn durchzuführen, bevor sich Benutzer beschweren und Probleme die Arbeit der Teams behindern. In Salesforce können selbst kleine Probleme das Vertrauen in das gesamte System schrittweise untergraben.

Der native Salesforce Security Health Check gibt Administratoren eine fundierte erste Einschätzung der Sicherheitskonfiguration, indem er ausgewählte Einstellungen mit einer standardmäßigen oder benutzerdefinierten Baseline vergleicht. Dieser Prozentwert zeigt allerdings nur einen Teil des Gesamtbilds.

Hier erklären wir, wie Sie die Prüfung durchführen, feststellen, welche Ergebnisse tatsächlich Aufmerksamkeit erfordern, Änderungen vornehmen, ohne Nutzer oder Integrationen auszuschließen, und entscheiden, wann ein umfassenderer Health Check Ihrer Salesforce-Umgebung nötig ist, um Daten, Zugriffe, Automatisierungen, Code, Lizenzen, Leistung, Integrationen, Backups und Wiederherstellung zu untersuchen.

Was ist ein Salesforce Health Check?

Salesforce Health Check ist die Sicherheitsseite innerhalb von Setup, die die aktuellen Einstellungen einer Organisation entweder mit der eigenen Baseline von Salesforce oder einer benutzerdefinierten Baseline vergleicht, die auf Unternehmensrichtlinien basiert. Der Check liefert eine Bewertung auf einer Skala bis 100 und zeigt dann auf die Einstellungen, die am weitesten von dem von Ihnen ausgewählten Standard entfernt sind. 

Lücken mit höherem Risiko werden stärker gewichtet. Eine einzige unzureichende Sitzungskontrolle kann das Ergebnis daher stärker verschlechtern als mehrere kleinere Probleme.

Das Tool prüft Kennwortregeln, Sitzungseinstellungen, Anmeldekontrollen, vertrauenswürdige IP-Bereiche, den Schutz vor Clickjacking und ausgewählte Zertifikats- oder Token-Einstellungen. Salesforce führt außerdem schrittweise Prüfungen für MFA, SAML, das erzwungene Beenden von Sitzungen nach dem Zurücksetzen eines Kennworts und den Anteil aktiver interner Nutzer mit dem Profil System Administrator ein. Diese neueren Prüfungen erscheinen nicht in jeder Salesforce-Umgebung gleichzeitig, sollten aber berücksichtigt werden.

Bei den Begriffen wird es unübersichtlich. Wer nach einer Anleitung zum Salesforce Health Check sucht, findet häufig zwei sehr unterschiedliche Leistungen, die beschrieben werden, als wären sie dasselbe.

Mit Salesforce Security Health Check ist in der Regel die native Funktion in Setup gemeint. Ein Health Check der Salesforce-Umgebung ist die umfassendere Aufgabe. Dabei kann ein zertifizierter Salesforce-Partner eingebunden werden. Die Prüfung umfasst Architektur, Berechtigungen, Datenqualität, Flow und Apex, Integrationen, Lizenzen, Speicherplatz, Leistung, Backups, Berichtswesen und die Frage, ob die Nutzer das CRM weiterhin richtig verwenden.

Warum regelmäßige Salesforce Health Checks wichtig sind

Salesforce wird selten durch eine einzige misslungene Veröffentlichung schwer handhabbar. Dazu kommt es durch viele einzelne Entscheidungen, die vernünftig erscheinen. Eine Führungskraft benötigt für zwei Wochen Zugriff. Eine Integration erhält ein eigenes Benutzerkonto. Jemand installiert ein Paket für ein Pilotprojekt. Ein Flow wird kopiert, weil eine Änderung am Original riskant erscheint. Danach kümmert sich niemand mehr darum.

Eine regelmäßige Durchsicht eines Salesforce-Health-Check-Berichts deckt diese Altlasten auf:

Die letzte Zeile wird leicht unterschätzt. Die Salesforce-Studie „2026 State of Data and Analytics“ ergab, dass Datenverantwortliche 26 % der Daten ihres Unternehmens für nicht vertrauenswürdig halten. Weitere 84 % gaben an, dass ihre Datenstrategien grundlegend überarbeitet werden müssen, bevor ihre KI-Pläne erfolgreich sein können.

Ein regelmäßiger Health Check für Salesforce soll das Benutzerkonto aufspüren, das längst hätte geschlossen werden müssen, den Flow, der zweimal ausgelöst wird, oder das Feld, das einen Bericht für die Unternehmensleitung verfälscht. Das verringert die Offenlegung von Daten, liefert Compliance-Teams bessere Nachweise, sorgt für stabilere Veröffentlichungen und hilft Nutzern, Salesforce so weit zu vertrauen, dass sie aufhören, es in Tabellen nachzubauen.

So führen Sie einen Salesforce Security Health Check durch

Salesforce stellt seinen nativen Health Check in Setup bereit. Alle Administratoren mit den entsprechenden Berechtigungen können darauf zugreifen, ohne etwas installieren zu müssen. Die Seite zu öffnen ist einfach. Ob eine Empfehlung SSO beeinträchtigt, einen Nutzer blockiert oder eine Integration außer Betrieb setzt, muss sorgfältiger abgewogen werden.

Halten Sie sich nicht mit der Frage „Wie lange dauert ein Salesforce Health Check?“ auf, sondern gehen Sie richtig vor.

Machen Sie aus dem Punktwert einen Maßnahmenplan

Lassen Sie ein Salesforce-Audit durchführen, das Sicherheitsbefunde mit Geschäftsrisiken, Abhängigkeiten, Verantwortlichen und den erforderlichen Arbeiten zur sicheren Behebung verknüpft.

Heute starten

Schritt 1. Öffnen Sie Health Check in Salesforce Setup

Verwenden Sie diesen Pfad:

Setup → Quick Find → Health Check

Das Dashboard zeigt den aktuellen Punktestand, die zugehörige Bewertung, die ausgewählte Baseline und die nach Risiko gruppierten Befunde. Jede Zeile vergleicht den aktuellen Wert der Salesforce-Instanz mit dem von dieser Baseline erwarteten Wert. So müssen Administratoren nicht erst mehrere Setup-Menüs durchsuchen, um zu erkennen, wo die Lücken liegen.

Für den integrierten Security Health Check in Salesforce ist keine externe Anwendung erforderlich. Benutzer benötigen die Berechtigung View Health Check oder den entsprechenden Zugriff auf Security Center, um die Seite aufzurufen und eine Baseline zu exportieren. Zum Importieren einer benutzerdefinierten Baseline ist Manage Health Check oder eine geeignete Berechtigung in Security Center erforderlich. 

Auch wöchentliche Benachrichtigungen bei einem Rückgang des Punktestands sind verfügbar. Salesforce hat sie standardmäßig aktiviert – am 15. April 2026 für Systemadministratoren von Produktionsumgebungen – und ermöglicht Teams, bis zu 100 Empfänger hinzuzufügen. Verwenden Sie ein regelmäßig überwachtes Sicherheits- oder Administratorpostfach, damit die Warnung nicht eine Woche lang im Posteingang einer Person liegt, die gerade im Urlaub ist.

Schritt 2. Die richtige Sicherheitsbaseline auswählen

Salesforce bietet Ihnen zwei Möglichkeiten:

• 

  Salesforce-Standardbaseline: Die von Salesforce empfohlenen Werte und Risikokategorien. 

• 

  Benutzerdefinierte Baseline: Ein genehmigter Unternehmensstandard, der interne Richtlinien, vertragliche Anforderungen oder das vom Unternehmen akzeptierte Risikoniveau widerspiegelt. 

Eine Bank benötigt möglicherweise eine Baseline, die auf die Kontrollanforderungen des Finanzsektors zugeschnitten ist. Salesforce erlaubt bis zu fünf benutzerdefinierte Baselines. Jede basiert auf einer exportierten Kopie der Standardbaseline, muss alle vorhandenen Health Check-Einstellungen beibehalten und darf 20 KB nicht überschreiten.

Ein Unternehmen im Gesundheitswesen legt möglicherweise strengere Sitzungs- oder Zugriffsregeln fest, weil die Beschäftigten mit sensiblen Patientendaten arbeiten. Dieser benutzerdefinierte Standard sollte aus einer fundierten Abstimmung über Richtlinien hervorgehen, an der die Verantwortlichen für Salesforce, IT, Sicherheit und Compliance beteiligt sind. Wenn Sie unsicher sind, kann ein Salesforce-Beratungspartner wie Routine Automation Sie durch die bewährten Vorgehensweisen für Salesforce Health Check führen.

Schritt 3. Den Salesforce Health Check-Punktestand prüfen

Der Salesforce Health Check-Punktestand zeigt Ihnen, wie nah Ihre aktuellen Einstellungen an der ausgewählten Baseline liegen. Dabei werden die Einstellungen nach hohem, mittlerem und geringem Risiko eingestuft. Es gibt auch informative Befunde, die Ihren Punktestand jedoch nicht beeinflussen.

Die offiziellen Bewertungen lauten:

Ein perfekter Punktestand belegt lediglich, dass jede berücksichtigte Einstellung der gewählten Baseline entspricht. Die Salesforce-Instanz kann dennoch mangelhafte Daten, unklare Zugriffsregeln, störanfällige Flows und einen Wiederherstellungsplan haben, den noch niemand ausprobiert hat. Prüfen Sie die Lücken, bevor Sie 92 % feiern. Eine einzige Sitzungskontrolle mit gravierenden Sicherheitsfolgen kann schwerer wiegen als ein Bildschirm voller kleinerer bestandener Prüfungen. Salesforce ändert außerdem die der Berechnung zugrunde liegenden Indikatoren. Dadurch kann sich der Punktestand nach einem Release verändern, ohne dass ein Administrator eine Einstellung geändert hat.

Schritt 4. Befunde mit hohem Risiko priorisieren

Prüfen Sie zuerst die von Salesforce im Health Check als hohes Risiko eingestuften Ergebnisse, insbesondere Befunde zu folgenden Punkten:

Bevor jemand die Einstellung ändert, sollten Sie ihre Auswirkungen nachvollziehen. Prüfen Sie, wer sie nutzt, welche Systeme darauf zugreifen und ob am nächsten Morgen gesperrte Benutzerkonten oder fehlgeschlagene Jobs drohen.

Eine Sitzungseinschränkung könnte Beschäftigte betreffen, die remote arbeiten. Eine Anmelderichtlinie könnte SSO beeinträchtigen. Eine strengere API-bezogene Kontrolle könnte eine ERP-Synchronisierung oder einen nächtlichen Abrechnungsjob stoppen. Health Check enthält inzwischen einen Indikator, der auf dem Prozentsatz aktiver interner Benutzer basiert, denen das Profil System Administrator zugewiesen ist. Er zeigt Ihnen aber weiterhin nicht, welcher konkrete Administrator Zugriffsrechte hat, die er eigentlich nicht benötigt. Dafür ist eine gesonderte Berechtigungsprüfung erforderlich. 

Schritt 5. Risiken manuell oder mit dem integrierten Tool beheben

Die Salesforce Health Check-Tools bieten Administratoren zwei Wege:

• 

  Verwenden Sie Edit, um die entsprechende Setup-Seite zu öffnen und eine einzelne Einstellung zu ändern. 

• 

  Verwenden Sie Fix Risks, um unterstützte Werte aus der ausgewählten Baseline zu übernehmen, ohne Health Check zu verlassen. 

Fix Risks ist praktisch, erfordert aber Vorsicht.

Prüfen Sie vor wesentlichen Änderungen folgende Punkte:

Einige Befunde lassen sich nicht über die integrierte Schaltfläche beheben und erfordern eine manuelle Untersuchung. Unabhängig vom gewählten Weg sollten Sie wesentliche Änderungen nach Möglichkeit in einer repräsentativen Sandbox testen. Dokumentieren Sie zunächst die aktuelle Einstellung, erstellen Sie eine geeignete Sicherung der Daten und Metadaten und überprüfen Sie Benutzer und Integrationen nach der Bereitstellung erneut. Eine Sicherung hilft bei der Wiederherstellung, ersetzt aber keinen durchdachten Rücksetzungsplan.

Schritt 6. Ergebnisse und Maßnahmenplan dokumentieren

Das Team sollte aus Salesforce Health Check mehr mitnehmen als einen Prozentwert und einen Screenshot. Halten Sie Folgendes fest:

Ein guter Salesforce Health Check-Bericht liefert nachvollziehbare Belege. Er hält fest, warum das Team eine Einstellung geändert, die Änderung einer anderen verschoben und eine dritte akzeptiert hat. Das erspart bei Compliance-Prüfungen, der Übergabe an andere Administratoren und späteren Überprüfungen viel Rätselraten.

So interpretieren Sie einen Salesforce Health Check-Bericht

Der von Salesforce ermittelte Health Check-Punktestand sollte Ihnen zeigen, was Salesforce festgestellt hat, warum das relevant ist und was als Nächstes geschehen muss. Beginnen Sie mit fünf Details in den integrierten Ergebnissen:

Die technische Formulierung kann einen Befund weniger gravierend erscheinen lassen, als er ist. Ein zu großzügiges Sitzungstimeout kann dazu führen, dass eine unbeaufsichtigte, authentifizierte Sitzung länger geöffnet bleibt, als es die Unternehmensrichtlinie erlaubt. Das ist bei gemeinsam genutzten Computern, verlorenen Geräten und Rechnern in öffentlich zugänglichen Bereichen relevant.

Ordnen Sie die Befunde drei Bearbeitungskategorien zu:

Die integrierten Ergebnisse weisen keine Verantwortlichkeiten zu, schätzen keine Kosten, bilden keine geschäftlichen Abhängigkeiten ab und legen keine Reihenfolge für die Behebungsmaßnahmen fest. Deshalb muss der fertige Bericht mehr bieten als einen Screenshot, auf dem oben der Punktestand eingekreist ist.

Was der integrierte Salesforce Health Check nicht abdeckt

Der integrierte Security Health Check von Salesforce ist nützlich, hat aber weiterhin einen eng begrenzten Aufgabenbereich. Er vergleicht ausgewählte Sicherheitseinstellungen mit einer Baseline. Ein hoher Punktestand belegt nicht, dass die Salesforce-Instanz gut aufgebaut und leicht zu warten ist, reibungslos läuft, Lizenzen sinnvoll nutzt oder für einige Hundert zusätzliche Benutzer bereit ist.

Vieles kann außerhalb dieses Prozentwerts liegen:

Workflow Rules und Process Builder sind ein hilfreiches Warnsignal. Salesforce hat den Support am 31. Dezember 2025 eingestellt, doch alte Prozesse können in der Produktionsumgebung weiterlaufen. Health Check zeigt Ihnen nicht, dass eine wichtige Genehmigung noch immer von einer Automatisierung abhängt, die seit Längerem niemand getestet hat oder an die sich niemand mit gutem Gefühl herantraut.

Sobald solche Fragen auftauchen, geht die Arbeit über ein Sicherheitsdashboard hinaus. Sie benötigen eine umfassendere Prüfung der Org selbst. Das könnte bedeuten, zunächst nach den besten Salesforce-Beratungsunternehmen zu suchen.

Was ein vollständiger Health Check einer Salesforce-Org umfassen sollte

Ein Health Check für Salesforce beginnt meist damit, dass etwas nicht zu stimmen scheint. Vielleicht wirken Berichte fehlerhaft, Releases dauern zu lange oder niemand weiß, wer für eine Integration verantwortlich ist. Eine vollständige Prüfung geht diesen Hinweisen in den Bereichen Berechtigungen, Daten, Automatisierung, Kosten und Leistung nach.

Bei umfangreichen Integrationslandschaften kann es sich lohnen, die besten Salesforce-Integrationsdienstleistungen genauer anzusehen, um einzugrenzen, ob das Problem Konfigurationsarbeiten, Middleware oder einen Neuaufbau erfordert. Installierte Produkte verdienen dieselbe kritische Prüfung.

Tools für den Salesforce Health Check

Eines sollte klar sein: Es gibt kein einzelnes Salesforce-Health-Check-Tool, das Ihnen sagen kann, ob die gesamte Org sicher, schnell, bezahlbar, wiederherstellbar und angenehm zu warten ist. Jede Option erkennt eine andere Art von Problemen. Der eigentliche Nutzen entsteht, wenn man die Erkenntnisse zusammenführt und sie anschließend mit den tatsächlichen Abläufen im Unternehmen abgleicht.

Salesforce Optimizer war früher ebenfalls eine Option, doch Salesforce hat das Tool am 1. Juni 2026 eingestellt, nachdem es zuvor bereits für Hyperforce- und Nicht-Hyperforce-Orgs entfernt worden war.  

Security Center Essentials ist in allen Salesforce-Editionen kostenlos und speichert den Health-Check-Verlauf für 30 Tage. Scale Center ist für Kunden mit Professional, Enterprise, Unlimited, Signature und Scale Test in unterstützten Produktions-Orgs und vollständigen Sandboxes ebenfalls kostenlos. 

Wenn Sie bereits mit einem Partner wie Routine Automation bei Salesforce-Implementierungsdienstleistungen zusammenarbeiten, kann dieser Ihnen bei der Auswahl der richtigen Salesforce-Health-Check-Tools helfen. RA verkauft keinen eigenen Scanner, kann aber geeignete Tools auswählen, die manuellen Prüfungen ergänzen, die diese Tools nicht durchführen können, und aus den Ergebnissen einen praktisch nutzbaren Plan erstellen.

Wie oft sollten Sie einen Salesforce Health Check durchführen?

Prüfen Sie die systemeigene Sicherheitsseite monatlich oder vierteljährlich. Führen Sie bei einer stabilen Konfiguration mindestens einmal pro Jahr eine umfassendere Prüfung der Org durch und verkürzen Sie diesen Abstand, wenn sich Salesforce schnell verändert oder höhere Risiken birgt. Zusätzliche Prüfungen können auch sinnvoll sein, nachdem Sie die besten Salesforce-Apps zu Ihrem System hinzugefügt haben.

Diese Zeitpunkte sind keine Salesforce-Vorgaben. Es sind praxistaugliche Prüfintervalle. Der richtige Rhythmus hängt vom Umfang der Releases, benutzerdefiniertem Code, angebundenen Systemen, Compliance-Anforderungen, Personalfluktuation und davon ab, wie stark das Unternehmen darunter leiden würde, wenn Salesforce nicht mehr wie vorgesehen funktioniert.

Zu bewährten Vorgehensweisen für Salesforce Health Checks gehören auch anlassbezogene Prüfungen. Eine jährliche Kalendererinnerung hilft wenig, wenn eine neue ERP-Anbindung, eine Übernahme, eine Neugestaltung der Berechtigungen oder eine Massenmigration die Org drei Wochen später verändert.

Können Sie einen Salesforce Health Check selbst durchführen?

Für die integrierte Prüfung ist kein externer Anbieter erforderlich. Ein autorisierter Salesforce-Administrator kann das Dashboard aufrufen, den Bewertungswert prüfen, die aktuellen Einstellungen mit der Baseline vergleichen, klar abgegrenzte Probleme beheben und das Ergebnis dokumentieren.

Ein interner Administrator kann in der Regel folgende Aufgaben übernehmen:

Die Arbeit wird anspruchsvoller, sobald der Bewertungswert Anlass gibt, den Rest der Salesforce-Umgebung genauer zu untersuchen. Umfangreicher Apex-Code, mehrere Salesforce-Clouds, mehrere Salesforce-Umgebungen, Dutzende Integrationen oder strenge Compliance-Vorgaben erfordern, dass weitere Personen in die Prüfung einbezogen werden. Das gilt auch, wenn niemand die Verantwortung für die gesamte Architektur trägt oder eine Sicherheitskorrektur SSO, Abrechnung, Kundenservice oder einen anderen kritischen Prozess unterbrechen könnte.

Auch Zeit spielt eine Rolle. Ein kompetenter Administrator weiß möglicherweise genau, was geprüft werden muss, hat aber trotzdem keine Kapazitäten, um über Jahre angesammelte Berechtigungen, Flow-Versionen, Integrationsprotokolle und nicht mehr gepflegte Pakete zu untersuchen.

Externe Hilfe ist keine Pflicht. Die Unterstützung durch einen Berater, der Salesforce Health Checks anbietet, kann jedoch hilfreich sein, wenn Risiko, Arbeitsaufwand oder technische Komplexität das übersteigen, was das interne Team sicher bewältigen kann.

Was Sie von Dienstleistungen für Salesforce Health Checks erwarten können

Professionelle Dienstleistungen für Salesforce Health Checks sollten mehr liefern als einen automatisch ermittelten Bewertungswert und eine lange Exportdatei mit Warnmeldungen. Die Ergebnisse müssen einen Bezug zu tatsächlichen Arbeitsabläufen, namentlich benannten Verantwortlichen und technischen Abhängigkeiten haben und in einen Maßnahmenplan münden, den das Unternehmen finanzieren und zeitlich einplanen kann.

Ein üblicher Auftrag sollte vier Phasen umfassen:

Sie sollten außerdem wissen, wer die Salesforce-Umgebung prüft, wie exportierte Nachweise geschützt werden und welche Berichte Sie genau erhalten.

Einblick in den Salesforce Org Health Check von Routine Automation

Unternehmen wie Routine Automation führen einen Sicherheits-Health-Check in Salesforce durch; eine umfassendere Prüfung der Salesforce-Umgebung folgt einem sorgfältigen schrittweisen Prozess. Das Team kombiniert Salesforce-Diagnosen mit manuellen Analysen und Gesprächen mit den Menschen, die wissen, wo das CRM Probleme verursacht.

Die Prüfung erfolgt in sieben Phasen:

1. Festlegen, was geprüft wird: Bestätigen Sie das geschäftliche Problem, die einbezogenen Umgebungen, wesentlichen Prozesse, bekannten Risiken und bereits auf der Roadmap vorgesehenen Arbeiten. 

2. Die Menschen anhören, die Salesforce nutzen: Befragen Sie Administratoren, Entwickler, IT- und Sicherheitsverantwortliche, Abteilungsleitungen und Anwender, die täglich mit dem System arbeiten. 

3. Die Salesforce-Umgebung genau unter die Lupe nehmen: Untersuchen Sie Sicherheit, Berechtigungen, Datensätze, Architektur, Automatisierung, Code, Integrationen, Speicher, Pakete, Lizenzen und Berichtswesen. 

4. Ermitteln, worauf es ankommt: Unterscheiden Sie harmlose Altlasten von Befunden, die Daten offenlegen, Berichte beeinträchtigen, die Arbeit verzögern, Kosten erhöhen oder Releases gefährden.

5. Den Bericht zum Salesforce Health Check erstellen: Ergänzen Sie Nachweise, Verantwortliche, Abhängigkeiten, Aufwandsschätzungen, Prioritäten und empfohlene Maßnahmen. 

6. Die Behebung planen: Trennen Sie dringende Korrekturen von Bereinigungen, Codeänderungen, Architekturarbeiten und Governance-Maßnahmen.

7. Bei der Behebung weiter unterstützen: Routine Automation kann bei Bedarf Konfiguration, Entwicklung, Tests, Bereitstellung und spätere Prüfungen übernehmen.

Das Ziel ist kein besserer Bewertungswert im integrierten Tool. Es ist eine Salesforce-Umgebung, die die richtigen Daten schützt, die heutige Arbeitsweise des Unternehmens unterstützt und sich ändern lässt, ohne dass jedes Release zur archäologischen Ausgrabung wird.

Sichern Sie die Zukunftsfähigkeit Ihrer Salesforce-Strategie

Es lohnt sich, Salesforce Health Check fest in die Administrationsroutine aufzunehmen. Das Tool erkennt schwache Sicherheitseinstellungen schnell und gibt dem Team konkrete Anhaltspunkte für weitere Untersuchungen. Lassen Sie nur nicht zu, dass ein Bewertungswert von 95 % die Diskussion beendet.

Der Prozentwert sagt sehr wenig über doppelte Datensätze, alten Apex-Code, konkurrierende Flows, fehlerhafte Übergaben, verschwendete Lizenzen oder Berichte aus, denen die Nutzer schon seit Monaten nicht mehr vertrauen. Nutzen Sie das integrierte Tool für regelmäßige Kontrollen und veranlassen Sie eine gründlichere Prüfung, wenn die Salesforce-Umgebung stark angepasst wird, an kritische Systeme angebunden ist oder Änderungen daran ungewöhnlich viel Stress verursachen. Letzteres ist meist das deutlichste Anzeichen.

Routine Automation kann Sie bei der umfassenderen Prüfung unterstützen und anschließend auch den Workshop, die technische Planung, Tests und die darauffolgenden Arbeiten an Salesforce begleiten.