Suche
SupportMicrosoft 365 sicher einrichten: Die wichtigsten Einstellungen
Microsoft 365 ist in vielen Unternehmen gesetzt, die Standardeinstellungen sind aber auf Komfort ausgelegt. Diese Einstellungen sollten Sie prüfen – und so führen Sie sie ohne Aussperren ein.
Ein Mitarbeiter gibt auf einer täuschend echten Anmeldeseite sein Microsoft-365-Kennwort ein. Weil für sein Konto keine Mehr-Faktor-Anmeldung aktiv ist, meldet sich der Angreifer wenig später an, richtet eine unauffällige Weiterleitungsregel ein und liest wochenlang mit. Irgendwann geht von diesem Postfach eine Rechnung mit geänderter Bankverbindung an einen Kunden. Solche Abläufe sind kein Ausnahmefall, und sie lassen sich mit wenigen Einstellungen weitgehend verhindern.
Mit Microsoft 365 verlagern viele Unternehmen E-Mail, Dateiablage und Zusammenarbeit in die Cloud. Microsoft betreibt die Plattform und sichert die Rechenzentren ab. Für die sichere Konfiguration des eigenen Mandanten – wer sich wie anmeldet, wer was teilen darf, was protokolliert wird – ist jedoch jedes Unternehmen selbst verantwortlich. Die folgenden Punkte sind die wichtigsten Stellschrauben.
1. Mehr-Faktor-Authentifizierung für alle
Gestohlene Zugangsdaten sind einer der häufigsten Angriffswege auf Cloud-Konten. Mehr-Faktor-Authentifizierung sollte für alle Benutzerinnen und Benutzer verpflichtend sein. Je nach Lizenz geschieht das über die Sicherheitsstandards von Microsoft oder über Richtlinien für bedingten Zugriff. Mit bedingtem Zugriff lassen sich zusätzlich Anmeldungen aus unerwarteten Ländern blockieren oder Zugriffe nur von verwalteten Geräten erlauben.
Bevorzugen Sie die Authenticator-App mit Zahlenabgleich, Passkeys oder Hardware-Schlüssel gegenüber SMS. Für Administratorkonten empfehlen sich phishing-resistente Verfahren.
2. Alte Anmeldeverfahren blockieren
Ältere Protokolle und Anwendungen, die nur Benutzername und Kennwort kennen, umgehen die Mehr-Faktor-Anmeldung. Sie sollten blockiert sein. Prüfen Sie vorher in den Anmeldeprotokollen, ob noch Geräte wie Multifunktionsdrucker oder alte Fachanwendungen darauf angewiesen sind, und stellen Sie diese gezielt um.
3. Administrative Konten trennen
Globale Administratorrechte gehören auf wenige, ausschließlich für die Verwaltung genutzte Konten – nicht auf das Konto, mit dem täglich E-Mails gelesen werden. Vergeben Sie Rechte nach Rollen: Wer nur Benutzer anlegt, braucht keine globalen Rechte. Für den Notfall empfiehlt sich ein besonders geschütztes Zugangskonto (oft „Break-Glass-Konto“ genannt), das sicher verwahrt, überwacht und von den regulären Richtlinien so ausgenommen ist, dass ein Fehler in einer Richtlinie nicht alle Administratoren aussperrt.
4. Externe Freigaben steuern
Teams, SharePoint und OneDrive machen es sehr leicht, Dateien mit Externen zu teilen – manchmal zu leicht. Legen Sie bewusst fest:
- Ob anonyme Links („Jeder mit dem Link“) erlaubt sind oder Externe sich anmelden müssen
- Wie lange Freigabelinks gültig bleiben
- Wer Gäste einladen darf und ob Gastzugänge regelmäßig überprüft werden
- Ob neue Teams von allen oder nur von bestimmten Personen angelegt werden dürfen
5. E-Mail-Schutz schärfen
- Schutz vor Phishing, Identitätsfälschung und schädlichen Anhängen und Links aktivieren
- Automatische Weiterleitungen an externe Adressen unterbinden – ein beliebter Trick von Angreifern
- SPF, DKIM und DMARC für alle eigenen Domains einrichten, auch für Domains, die keine E-Mails versenden
- Externe Absender in E-Mails deutlich kennzeichnen
- Benutzern das Melden verdächtiger Nachrichten mit einem Klick ermöglichen
Ergänzende Lösungen beschreiben wir auf unserer Seite zur E-Mail-Security.
6. Geräte einbeziehen
Ein sicheres Konto auf einem unsicheren Gerät bleibt ein Risiko. Mit Intune lassen sich Firmengeräte zentral verwalten: Verschlüsselung, Bildschirmsperre, Updates und Virenschutz werden erzwungen, und bedingter Zugriff kann den Zugang auf konforme Geräte beschränken. Für private Geräte genügt oft ein Schutz der Firmendaten in den Apps, ohne das ganze Gerät zu verwalten.
7. Protokollierung und Überwachung
Stellen Sie sicher, dass die Überwachungsprotokolle aktiv sind, und werten Sie Warnmeldungen regelmäßig aus – etwa zu riskanten Anmeldungen, neuen Weiterleitungsregeln oder massenhaften Downloads. Nur so lässt sich im Ernstfall nachvollziehen, wer wann auf welche Daten zugegriffen hat. Wie lange Protokolle aufbewahrt werden, hängt von der Lizenz ab; prüfen Sie, ob das für Ihre Anforderungen reicht.
8. Daten zusätzlich sichern
Microsoft sorgt für die Verfügbarkeit der Plattform, eine klassische Datensicherung ersetzt das jedoch nicht. Papierkorb und Versionsverlauf haben begrenzte Aufbewahrungszeiten. Gegen versehentliches Löschen, Ransomware, die synchronisierte Dateien verschlüsselt, oder lange zurückliegende Fehler hilft nur eine separate Sicherung von Postfächern, OneDrive, SharePoint und Teams. Warum auch diese Sicherung getestet werden muss, steht im Beitrag Backup oder Desaster?
Einführen, ohne jemanden auszusperren
Die größte Sorge bei neuen Sicherheitsrichtlinien ist berechtigt: Eine falsch konfigurierte Regel kann den gesamten Betrieb aussperren. Bewährt hat sich ein schrittweises Vorgehen:
- Richtlinien für bedingten Zugriff zuerst im Berichtsmodus betreiben und die Auswirkungen auswerten
- Mit einer Pilotgruppe starten, dann abteilungsweise ausrollen
- Mitarbeitende vorab informieren und bei der Einrichtung der App unterstützen
- Den Notfallzugang vor jeder Änderung testen
9. App-Berechtigungen und Zustimmungen begrenzen
Ein unterschätzter Angriffsweg sind Anwendungen, denen Benutzer selbst den Zugriff auf Postfach oder Dateien erlauben. Ein Klick auf „Akzeptieren“ genügt, und eine fremde App liest dauerhaft mit – auch nachdem das Kennwort geändert wurde. Legen Sie fest, dass Benutzer solchen Apps nicht selbst zustimmen dürfen oder nur Apps verifizierter Herausgeber mit geringen Rechten. Weitergehende Anfragen prüft die Administration.
10. Regelmäßig überprüfen
Ein Mandant, der heute gut eingerichtet ist, ist es in einem Jahr nicht automatisch noch. Microsoft ergänzt laufend Funktionen und ändert Standardeinstellungen, neue Mitarbeitende und Gäste kommen hinzu, Ausnahmen werden „vorübergehend“ eingerichtet und bleiben. Planen Sie deshalb feste Prüftermine ein, etwa quartalsweise: Administratorrollen, Gastkonten, Ausnahmen vom bedingten Zugriff, Weiterleitungsregeln und App-Zustimmungen.
So gehen wir bei BABFE vor
Für betreute Kunden arbeiten wir mit einer Sicherheits-Baseline aus über 60 Einstellungen, abgeleitet aus CIS Microsoft 365, der Windows-Sicherheitsbaseline und den Empfehlungen von Microsoft. Wir aktivieren sie in Stufen und Einführungsphasen, bedingten Zugriff zunächst im Berichtsmodus, damit niemand ausgesperrt wird.
Im Kundenportal sehen Sie für jede Einstellung, ob sie auf Windows, macOS, iOS und Android aktiv ist, dazu den Sicherheitswert Ihres Mandanten und den Anteil der Benutzer mit Mehr-Faktor-Anmeldung. Microsoft 365 und Intune binden wir dafür nur lesend an; Änderungen erfolgen geplant und dokumentiert. Einen schnellen ersten Eindruck vom Zustand Ihrer Arbeitsplätze liefert unser kostenloser Sicherheitscheck. Unsere IT-Sicherheitsleistungen für Unternehmen in München und Umgebung finden Sie unter IT-Sicherheit München.
Ihr nächster Schritt
Prüfen Sie als Erstes, ob wirklich jedes Konto die Mehr-Faktor-Anmeldung nutzt und ob externe Weiterleitungen blockiert sind. Wenn Sie Ihren Mandanten vollständig überprüfen lassen möchten, sprechen Sie uns an.
