M365-Sicherheit: Die wichtigsten Einstellungen im Unternehmensalltag

Microsoft 365 ist nicht automatisch sicher konfiguriert

Microsoft 365 bündelt E-Mail, Dateien, Zusammenarbeit, Identitäten, Endgeräte und zunehmend auch KI-Funktionen in einer zentralen Cloud-Umgebung. Dadurch entstehen große Vorteile für Zusammenarbeit und Administration – zugleich aber auch eine hohe Abhängigkeit von wenigen zentralen Konten und Konfigurationen.

Die technische Plattform stellt zahlreiche Sicherheitsfunktionen bereit. Ihre Wirksamkeit hängt jedoch davon ab, ob sie passend zur Organisation aktiviert, konfiguriert und regelmäßig überprüft werden.

Microsoft beschreibt Cloud-Sicherheit ausdrücklich als geteilte Verantwortung. Der Anbieter schützt die zugrunde liegende Infrastruktur und die betriebenen Dienste. Unternehmen bleiben jedoch unter anderem für ihre Identitäten, Daten, Berechtigungen, Geräte und die von ihnen kontrollierten Konfigurationen verantwortlich.

Eine sichere Microsoft-365-Umgebung entsteht deshalb nicht allein durch den Abschluss einer Lizenz. Sie muss geplant und gepflegt werden.

1. Mehrfaktor-Authentifizierung konsequent durchsetzen

Gestohlene oder erratene Zugangsdaten gehören zu den häufigsten Ausgangspunkten erfolgreicher Angriffe.

Mehrfaktor-Authentifizierung ergänzt das Passwort um einen weiteren Nachweis. Das kann beispielsweise sein:

• eine Authenticator-App,
• ein Sicherheitsschlüssel,
• eine passwortlose Anmeldung,
• ein zertifikatsbasiertes Verfahren,
• ein zeitlich begrenzter Einmalcode.

Für kleine Umgebungen können die Sicherheitsstandards von Microsoft Entra ID eine grundlegende Absicherung bieten. Sie verpflichten Benutzer unter anderem zur Registrierung und Nutzung von Mehrfaktor-Authentifizierung.

In professionell verwalteten Umgebungen sollte MFA über Conditional Access gezielter gesteuert werden.

Besonders wichtig ist sie für:

• globale Administratoren,
• Exchange-Administratoren,
• SharePoint-Administratoren,
• Sicherheitsverantwortliche,
• externe Administratoren,
• Benutzer mit Zugriff auf sensible Daten,
• privilegierte technische Konten.

SMS sollte nur als Übergangslösung betrachtet werden. Für administrative Konten sind möglichst phishing-resistente Verfahren vorzuziehen.

2. Conditional Access gezielt einsetzen

Conditional Access ist die zentrale Richtliniensteuerung für Zugriffe in Microsoft Entra ID. Dabei werden verschiedene Signale zusammengeführt, bevor ein Zugriff erlaubt, eingeschränkt oder blockiert wird. Microsoft bezeichnet Conditional Access als Zero-Trust-Richtlinienmodul.

Berücksichtigt werden können beispielsweise:

• Benutzer oder Benutzergruppe,
• Rolle,
• Gerät,
• Standort,
• Anwendung,
• Anmelderisiko,
• Benutzerstatus,
• verwendete Authentifizierungsmethode.

Typische Regeln sind:

• MFA für alle Benutzer,
• stärkere Authentifizierung für Administratoren,
• Blockieren veralteter Anmeldeverfahren,
• Zugriff nur von konformen Geräten,
• Einschränkungen für unbekannte Länder,
• zusätzliche Prüfung bei riskanten Anmeldungen,
• Blockieren nicht verwalteter Geräte bei sensiblen Anwendungen.

Richtlinien sollten nicht unkontrolliert aktiviert werden. Sinnvoll ist eine schrittweise Einführung:

1. Regel im Berichtsmodus erstellen
2. Auswirkungen auswerten
3. Ausnahmen begrenzen
4. Pilotgruppe testen
5. Richtlinie aktivieren
6. Fehlermeldungen und Anmeldungen überwachen

Mindestens ein gesondertes Notfallkonto sollte von bestimmten Richtlinien ausgenommen, besonders geschützt und überwacht werden.

3. Administratorrechte nach dem Minimalprinzip vergeben

Viele Microsoft-365-Umgebungen besitzen zu viele globale Administratoren.

Das widerspricht dem Minimalprinzip. Benutzer sollten nur die Rechte erhalten, die sie für ihre konkrete Aufgabe benötigen.

Statt pauschal die Rolle „Globaler Administrator“ zu vergeben, sollten passende Rollen verwendet werden, beispielsweise:

• Benutzeradministrator,
• Kennwortadministrator,
• Exchange-Administrator,
• SharePoint-Administrator,
• Teams-Administrator,
• Sicherheitsleseberechtigter,
• Compliance-Administrator.

Microsoft empfiehlt, administrative Aufgaben mit möglichst gering privilegierten Rollen abzubilden.

Zusätzlich sollte geregelt werden:

• wer Administratorrechte beantragen darf,
• wer sie genehmigt,
• wie lange sie gelten,
• wie ihre Nutzung protokolliert wird,
• wie regelmäßig sie überprüft werden,
• wie ausscheidende Administratoren entfernt werden.

Für höherwertige Lizenzen kann Privileged Identity Management eingesetzt werden. Damit werden privilegierte Rollen nur bei Bedarf und zeitlich begrenzt aktiviert.

4. Notfallkonten einrichten und überwachen

Ein falsch konfiguriertes Conditional-Access-Regelwerk kann dazu führen, dass sich Administratoren selbst aussperren.

Deshalb empfiehlt Microsoft sogenannte Emergency-Access- oder Break-Glass-Konten. Diese Konten dienen ausschließlich dem Zugriff in Ausnahmesituationen.

Sie sollten:

• getrennt von normalen Benutzerkonten sein,
• keinem einzelnen Mitarbeitenden persönlich gehören,
• besonders lange und sichere Zugangsdaten verwenden,
• nicht im Tagesgeschäft eingesetzt werden,
• von ausgewählten Zugriffsregeln ausgenommen sein,
• regelmäßig getestet werden,
• bei jeder Nutzung einen Alarm auslösen.

Microsoft empfiehlt ausdrücklich, Anmelde- und Auditaktivitäten dieser Konten zu überwachen und Benachrichtigungen auszulösen.

Ein Notfallkonto ohne Überwachung kann selbst zum Sicherheitsrisiko werden.

5. Veraltete Authentifizierungsverfahren blockieren

Ältere Protokolle unterstützen häufig keine Mehrfaktor-Authentifizierung und können moderne Sicherheitskontrollen umgehen.

Dazu können gehören:

• POP3,
• IMAP4,
• SMTP AUTH,
• ältere Office-Anmeldeverfahren,
• Basic Authentication in Altanwendungen.

Solche Verfahren sollten grundsätzlich deaktiviert werden, sofern sie nicht nachweislich noch benötigt werden.

Vor der Abschaltung ist zu prüfen:

• Welche Systeme verwenden das Protokoll?
• Gibt es Scanner, Multifunktionsgeräte oder Anwendungen mit SMTP-Anbindung?
• Können moderne Authentifizierungsverfahren eingesetzt werden?
• Welche Übergangslösung ist technisch vertretbar?
• Wie wird eine verbleibende Ausnahme überwacht?

Dauerhafte Ausnahmen sollten auf das notwendige Minimum reduziert werden.

6. Gastzugänge und externe Freigaben kontrollieren

Microsoft 365 erleichtert die Zusammenarbeit mit externen Partnern. Gleichzeitig können Gastkonten, Teams-Einladungen und Freigabelinks dazu führen, dass Informationen langfristig außerhalb der Organisation zugänglich bleiben.

Deshalb sollten klare Regeln gelten für:

• Einladung externer Benutzer,
• anonyme Freigabelinks,
• Ablaufzeiten von Links,
• Zugriff auf SharePoint und OneDrive,
• Gastmitgliedschaften in Teams,
• Weitergabe durch Mitglieder,
• regelmäßige Überprüfung externer Konten.

Sinnvolle Maßnahmen sind:

• anonyme Links grundsätzlich einschränken,
• Ablaufzeiten vorgeben,
• Freigaben auf bestimmte Domänen begrenzen,
• Gastkonten regelmäßig rezertifizieren,
• Besitzer für externe Zugriffe festlegen,
• veraltete Gastkonten automatisiert oder manuell entfernen.

Nicht jede externe Zusammenarbeit benötigt denselben Schutz. Projektunterlagen, Bewerbungsdaten, Vertragsdokumente und technische Entwicklungsinformationen sollten unterschiedlich behandelt werden.

7. SharePoint, OneDrive und Teams sauber strukturieren

Viele Sicherheitsprobleme entstehen nicht durch technische Angriffe, sondern durch unklare Ablagestrukturen.

Typische Schwächen sind:

• Teams ohne verantwortlichen Besitzer,
• veraltete Projektbereiche,
• sensible Dokumente in allgemein zugänglichen Teams,
• zu weit gefasste Mitgliedergruppen,
• Freigaben ohne Ablaufdatum,
• private Daten in persönlichen OneDrive-Ablagen,
• fehlende Trennung interner und externer Zusammenarbeit.

Eine belastbare Struktur sollte festlegen:

• welche Daten wo gespeichert werden,
• wer einen neuen Bereich anlegen darf,
• wie Besitzer benannt werden,
• welche Namenskonventionen gelten,
• wann ein Team archiviert wird,
• wie externe Mitglieder überprüft werden,
• welche Schutzstufe ein Bereich erhält.

Die technische Plattform kann eine schlechte Informationsstruktur nicht automatisch korrigieren.

8. E-Mail-Sicherheit gezielt konfigurieren

E-Mail bleibt einer der wichtigsten Angriffswege.

Microsoft 365 bietet je nach Lizenz verschiedene Schutzfunktionen, unter anderem:

• Anti-Spam-Regeln,
• Anti-Malware-Schutz,
• Schutz vor Phishing,
• Safe Links,
• Safe Attachments,
• Quarantäne,
• Regeln für Spoofing und Identitätsmissbrauch.

Zusätzlich müssen die Domain-Einstellungen korrekt sein:

• SPF,
• DKIM,
• DMARC.

Diese Verfahren helfen, den Missbrauch der eigenen Domain zu erschweren und gefälschte Absender besser zu erkennen.

Die Konfiguration sollte nicht nur einmalig erfolgen. Zu prüfen sind regelmäßig:

• auffällige Weiterleitungsregeln,
• ungewöhnliche Posteingangsregeln,
• externe automatische Weiterleitungen,
• gehäufte Quarantänefälle,
• kompromittierte Konten,
• verdächtige Anmeldungen,
• neue oder geänderte Transportregeln.

Gerade unbemerkte automatische Weiterleitungen können über längere Zeit sensible Informationen abfließen lassen.

9. Endgeräte einbeziehen

Ein sicher konfigurierter Microsoft-365-Tenant reicht nicht aus, wenn Benutzer über unsichere Geräte zugreifen.

Zu berücksichtigen sind:

• Windows-PCs,
• MacBooks,
• Smartphones,
• Tablets,
• private Geräte,
• gemeinsam genutzte Geräte,
• administrative Arbeitsplätze.

Mit Microsoft Intune können je nach Lizenz unter anderem verwaltet werden:

• Gerätekonformität,
• Verschlüsselung,
• Betriebssystemversion,
• Bildschirmsperre,
• Geräteschutz,
• Anwendungsrichtlinien,
• Sicherheitsbaselines,
• Zugriff bei nicht konformen Geräten.

Microsoft stellt für Windows, Microsoft 365 Apps und Intune empfohlene Sicherheitsbaselines bereit. Diese bündeln empfohlene Konfigurationen, müssen aber vor einer flächendeckenden Einführung getestet werden.

Besonders privilegierte administrative Tätigkeiten sollten möglichst nicht von normalen Alltagsgeräten durchgeführt werden.

10. Protokollierung und Überwachung aktiv nutzen

Sicherheitsereignisse lassen sich nur untersuchen, wenn relevante Aktivitäten protokolliert und ausgewertet werden.

Microsoft Entra und Microsoft Purview stellen verschiedene Audit- und Anmeldeprotokolle bereit. Die Entra-Auditprotokolle erfassen nachvollziehbare Änderungen innerhalb des Tenants. Das einheitliche Microsoft-365-Auditprotokoll unterstützt die Untersuchung von Aktivitäten in verschiedenen Diensten.

Besonders relevant sind:

• neue Administratorrollen,
• geänderte Conditional-Access-Richtlinien,
• neue Anwendungen und App-Berechtigungen,
• ungewöhnliche Anmeldungen,
• fehlgeschlagene MFA-Vorgänge,
• Postfachweiterleitungen,
• Massenlöschungen,
• externe Freigaben,
• Änderungen an Transportregeln,
• Nutzung von Notfallkonten.

Nicht jedes Ereignis benötigt sofort einen Alarm. Kritische Änderungen sollten jedoch zeitnah erkannt werden.

11. Unternehmensanwendungen und App-Berechtigungen prüfen

Benutzer können häufig externe Anwendungen mit ihrem Microsoft-365-Konto verbinden.

Dabei werden Berechtigungen erteilt, zum Beispiel für:

• Lesen von Profilinformationen,
• Zugriff auf E-Mails,
• Zugriff auf Dateien,
• Kalenderdaten,
• Kontakte,
• dauerhafter Zugriff im Hintergrund.

Problematisch sind insbesondere Anwendungen mit weitreichenden oder mandantenweiten Berechtigungen.

Unternehmen sollten deshalb prüfen:

• Dürfen Benutzer Anwendungen selbst freigeben?
• Welche Apps sind bereits registriert?
• Welche Berechtigungen wurden erteilt?
• Welche Publisher sind verifiziert?
• Welche Apps werden nicht mehr benötigt?
• Wer darf eine mandantenweite Zustimmung erteilen?

Nicht mehr benötigte Anwendungen und Berechtigungen sollten entfernt werden.

12. Aufbewahrung und Backup unterscheiden

Aufbewahrungsrichtlinien und Backup erfüllen unterschiedliche Zwecke.

Aufbewahrungsrichtlinien in Microsoft Purview können Inhalte für definierte Zeiträume behalten oder regelgesteuert löschen.

Ein Backup dient dagegen der gezielten Wiederherstellung nach:

• versehentlichem Löschen,
• Fehlkonfiguration,
• Schadsoftware,
• Datenkorruption,
• massenhafter Veränderung,
• Benutzer- oder Administrationsfehlern.

Microsoft bietet inzwischen mit Microsoft 365 Backup einen eigenen Sicherungsdienst für ausgewählte Microsoft-365-Daten an.

Unternehmen sollten unabhängig vom verwendeten Produkt klären:

• Welche Daten müssen gesichert werden?
• Welche Wiederherstellungszeit wird benötigt?
• Wie lange müssen Sicherungen aufbewahrt werden?
• Wer darf Wiederherstellungen auslösen?
• Wie werden Sicherungen gegen Manipulation geschützt?
• Wie regelmäßig wird die Wiederherstellung getestet?

Ein Backup, das nie getestet wurde, ist nur eine Annahme.

13. Lösch- und Aufbewahrungsregeln abstimmen

Microsoft 365 darf nicht zu einem unbegrenzten Datenspeicher werden.

Für E-Mails, Teams-Inhalte, OneDrive, SharePoint und andere Bereiche sollten klare Regeln bestehen:

• Welche Daten müssen aufbewahrt werden?
• Welche Daten dürfen gelöscht werden?
• Welche gesetzlichen Fristen gelten?
• Welche Löschfristen ergeben sich aus dem Datenschutz?
• Welche Bereiche unterliegen einer Aufbewahrungssperre?
• Wer genehmigt Ausnahmen?

Aufbewahrung und Löschung müssen gemeinsam mit Datenschutz, Fachbereichen und gegebenenfalls Rechtsberatung abgestimmt werden.

14. Secure Score als Orientierung nutzen

Microsoft Secure Score fasst ausgewählte Sicherheitskonfigurationen und empfohlene Verbesserungsmaßnahmen in einem Bewertungswert zusammen. Ein höherer Wert zeigt, dass mehr empfohlene Maßnahmen umgesetzt wurden.

Der Wert ist hilfreich, um:

• offene Maßnahmen sichtbar zu machen,
• Verbesserungen zu priorisieren,
• Veränderungen nachzuverfolgen,
• Verantwortlichkeiten zuzuweisen,
• den Sicherheitsstatus regelmäßig zu besprechen.

Er ist jedoch kein Zertifikat und kein vollständiger Risikonachweis.

Eine hohe Punktzahl bedeutet nicht automatisch, dass alle wesentlichen Risiken angemessen behandelt sind. Maßnahmen müssen immer im Kontext von Geschäftsmodell, Lizenzen, Geräten, Daten und tatsächlichen Bedrohungen bewertet werden.

15. Änderungen kontrolliert umsetzen

Microsoft 365 verändert sich kontinuierlich.

Neue Funktionen, geänderte Standardwerte und zusätzliche Dienste können Auswirkungen auf Sicherheit und Datenschutz haben.

Deshalb sollte ein geregelter Änderungsprozess bestehen:

1. Änderung erfassen
2. Sicherheitsauswirkung bewerten
3. Verantwortlichkeit bestimmen
4. Testgruppe festlegen
5. Änderung dokumentieren
6. kontrolliert ausrollen
7. Wirkung überprüfen

Besonders relevant sind Änderungen an:

• Identitäten,
• Administratorrollen,
• Conditional Access,
• E-Mail-Sicherheit,
• externen Freigaben,
• Aufbewahrung,
• Apps und Schnittstellen,
• Copilot und KI-Funktionen.

Eine sichere M365-Umgebung bleibt eine Daueraufgabe

Microsoft 365 sollte nicht als einmal abgeschlossenes IT-Projekt betrachtet werden.

Eine belastbare Sicherheitsorganisation überprüft regelmäßig:

• Benutzer und Rollen,
• MFA-Abdeckung,
• Zugriffsrichtlinien,
• Gastkonten,
• externe Freigaben,
• Geräte,
• Unternehmensanwendungen,
• Protokolle,
• Sicherungen,
• offene Sicherheitsempfehlungen.

Ein sinnvoller Einstieg ist eine strukturierte Konfigurationsprüfung. Dabei werden technische Einstellungen, Verantwortlichkeiten und bestehende Risiken gemeinsam betrachtet.

Ist Ihre Microsoft-365-Umgebung angemessen abgesichert?

ProtectYourIT prüft Identitäten, Administratorrollen, Zugriffsrichtlinien, Freigaben und zentrale Sicherheitseinstellungen und zeigt nachvollziehbar auf, wo konkreter Handlungsbedarf besteht.

M365-Sicherheitsprüfung anfragen –>

Hinweis: Dieser Beitrag dient der allgemeinen Orientierung. Verfügbare Sicherheitsfunktionen und konkrete Konfigurationsmöglichkeiten hängen von der eingesetzten Microsoft-365- und Entra-Lizenz sowie der individuellen Systemlandschaft ab.