Microsoft 365 absichern: die typischen Lücken nach der Standard-Einrichtung
Ein neuer Microsoft-365-Mandant, also die Microsoft-365-Umgebung Ihres Unternehmens mit allen Konten und Daten, ist nach der Einrichtung sofort funktionsfähig, aber nicht automatisch gut abgesichert. Sechs prüfbare Punkte zeigen, wo die typischen Lücken liegen und wie Sie sie schließen.
Warum die Standard-Einrichtung nicht genügt
Microsoft 365 ist nach der Ersteinrichtung sofort einsatzbereit: E-Mail läuft, Dateien liegen in der Cloud, Teams funktioniert. Genau diese schnelle Einsatzbereitschaft führt zu einem Missverständnis. Viele Verantwortliche gehen davon aus, dass ein Produkt dieser Größenordnung ab Werk sicher konfiguriert ist. Tatsächlich sind viele Standardeinstellungen auf Kompatibilität und Bequemlichkeit ausgelegt, nicht auf das Schutzniveau, das ein Unternehmen braucht.
Für Angreifer sind Microsoft-365-Konten ein lohnendes Ziel, weil hinter einem einzigen Kennwort oft das gesamte digitale Unternehmen liegt: der E-Mail-Verkehr, Dateiablagen, Kalender und Kontakte. Wer ein Postfach übernimmt, kann Rechnungen manipulieren, sich als Geschäftsführung ausgeben oder in Ruhe mitlesen. Viele dieser Angriffe nutzen keine technischen Sicherheitslücken, sondern schwache oder gestohlene Zugangsdaten und großzügige Voreinstellungen.
Die gute Nachricht: Die wichtigsten Lücken lassen sich mit Bordmitteln schließen. Dieser Artikel ist als Prüfliste aufgebaut. Zu jedem der sechs Punkte finden Sie eine konkrete Frage, die Sie oder Ihr IT-Dienstleister mit Ja oder Nein beantworten können, und die dazugehörigen Handlungsschritte.
Punkt 1: Mehrfaktor-Anmeldung für alle Konten
Die Prüffrage lautet: Ist die Mehrfaktor-Anmeldung für ausnahmslos alle Konten aktiv? Mehrfaktor-Anmeldung, oft als MFA abgekürzt, bedeutet, dass zur Anmeldung neben dem Kennwort ein zweiter Nachweis nötig ist, zum Beispiel eine Bestätigung in einer App auf dem Smartphone. Ein gestohlenes Kennwort allein reicht dann nicht mehr aus, um sich anzumelden.
Kennwörter gelangen erstaunlich leicht in falsche Hände: durch Phishing, also gefälschte Anmeldeseiten und E-Mails, durch mehrfach verwendete Kennwörter aus fremden Datenlecks oder schlicht durch Ausprobieren. MFA gilt deshalb als eine der wirksamsten Einzelmaßnahmen in dieser Liste. Entscheidend ist das Wort ausnahmslos: Gerade Konten der Geschäftsführung und Funktionspostfächer wie info@ oder buchhaltung@ werden gern ausgenommen, sind aber für Angreifer besonders attraktiv.
Praktisch prüfen Sie das im Entra Admin Center, der zentralen Verwaltung für Benutzerkonten in Microsoft 365. Kleinere Umgebungen aktivieren dort die sogenannten Sicherheitsstandards, ein vorgefertigtes Paket, das MFA für alle erzwingt. Wer feiner steuern will, etwa strengere Regeln für Administratoren oder Ausnahmen für bestimmte Standorte, nutzt den bedingten Zugriff, ein Regelwerk, das je nach Situation über die Anmeldung entscheidet und eine entsprechende Lizenz voraussetzt. Bevorzugen Sie die Bestätigung per App gegenüber SMS, da Textnachrichten leichter abzufangen sind.
Punkt 2: Administratorkonten vom Tagesgeschäft trennen
Die Prüffrage lautet: Arbeitet niemand im Alltag mit einem Konto, das Administratorrechte besitzt? Ein globaler Administrator kann in Microsoft 365 praktisch alles: Konten anlegen, Postfächer einsehen, Regeln ändern, Daten löschen. Wenn dieses Konto gleichzeitig für die tägliche E-Mail genutzt wird, trifft jede Phishing-Mail direkt ein Konto mit Vollzugriff.
Die Lösung ist organisatorisch einfach: Jede Person, die administrative Aufgaben übernimmt, erhält dafür ein eigenes, zweites Konto ohne Postfach und ohne Office-Lizenz. Das Alltagskonto bleibt ein normales Benutzerkonto. Zusätzlich gilt: so wenige globale Administratoren wie möglich, in kleinen Unternehmen genügen meist zwei. Für abgegrenzte Aufgaben wie die Benutzerverwaltung oder das Zurücksetzen von Kennwörtern gibt es eingeschränkte Rollen, die ausreichen und im Schadensfall weniger Angriffsfläche bieten.
Sinnvoll ist außerdem ein dokumentiertes Notfallkonto, manchmal Break-Glass-Konto genannt: ein zusätzliches Administratorkonto mit sehr langem Kennwort, das sicher verwahrt wird und nur zum Einsatz kommt, wenn alle anderen Zugänge gesperrt sind, etwa nach einem Fehler in den Anmelderegeln. Den Ist-Zustand können Sie jederzeit selbst prüfen: Die Liste der Administratorrollen im Admin Center zeigt, wie viele Konten erhöhte Rechte besitzen und ob dahinter Alltagspostfächer stecken.
Punkt 3: Weiterleitungsregeln als stilles Einfallstor
Die Prüffrage lautet: Ist die automatische Weiterleitung an externe Adressen unterbunden, und werden neue Postfachregeln überwacht? Der Hintergrund: Wer ein Postfach übernommen hat, richtet häufig als Erstes eine unauffällige Regel ein, die eingehende E-Mails an eine externe Adresse kopiert. Das Opfer arbeitet normal weiter, während der Angreifer über Wochen mitliest und den passenden Moment abwartet, etwa um eine Rechnung mit geänderter Bankverbindung einzuschleusen.
Solche Regeln fallen ohne aktive Kontrolle kaum auf, denn sie verändern am sichtbaren Verhalten des Postfachs nichts. Deshalb gehört dieser Punkt in jede Prüfliste, obwohl er weit weniger bekannt ist als die Mehrfaktor-Anmeldung.
Konkret: Unterbinden Sie in Exchange Online, dem E-Mail-Dienst von Microsoft 365, die automatische Weiterleitung nach extern zentral über die ausgehende Spam-Richtlinie. Lassen Sie anschließend die vorhandenen Postfachregeln aller Benutzer einmal auswerten, um Altlasten zu finden. Richten Sie schließlich eine Benachrichtigung ein, die Alarm schlägt, sobald jemand eine neue Weiterleitungsregel anlegt. Die zentrale Sperre ist mit wenigen Klicks erledigt, die Auswertung vorhandener Regeln erfordert etwas Skript-Erfahrung und ist ein typischer Punkt, an dem externe Unterstützung Zeit spart.
Punkt 4: Freigaben nach außen im Blick behalten
Die Prüffrage lautet: Wissen Sie, welche Dateien und Ordner aktuell für Personen außerhalb des Unternehmens freigegeben sind? OneDrive, SharePoint und Teams machen das Teilen sehr einfach, auch mit Externen. Besonders heikel sind Links vom Typ „Jeder mit dem Link“: Sie funktionieren ohne Anmeldung, lassen sich beliebig weitergeben und laufen in der Standardeinstellung nicht ab.
In der Praxis sammeln sich über Monate Freigaben an, die niemand mehr auf dem Schirm hat: der Ordner für einen früheren Dienstleister, die Kalkulation für einen Interessenten, das Gastkonto eines ausgeschiedenen Projektpartners. Ein Gastkonto ist ein eigenes Konto für Externe im eigenen Microsoft-365-Mandanten, das ohne Pflege dauerhaft bestehen bleibt.
Drei Schritte schaffen Ordnung. Erstens die Voreinstellung ändern: Legen Sie im SharePoint Admin Center fest, dass neue Freigabelinks standardmäßig eine Anmeldung erfordern, und versehen Sie anonyme Links, falls sie nötig bleiben, mit einem Ablaufdatum. Zweitens den Bestand sichten: Die eingebauten Berichte zeigen bestehende externe Freigaben pro Website. Drittens einen Rhythmus festlegen: Einmal pro Quartal Gastkonten und externe Freigaben durchsehen und alles entfernen, was keinen aktuellen Zweck mehr hat.
Punkt 5: Datensicherung: was Microsoft übernimmt und was nicht
Die Prüffrage lautet: Existiert eine eigene, regelmäßig geprüfte Sicherung der Microsoft-365-Daten? Weit verbreitet ist die Annahme, Microsoft sichere ohnehin alles automatisch. Diese Annahme ist in einem Punkt richtig und in einem anderen falsch, und die Unterscheidung ist wichtig.
Richtig ist: Microsoft betreibt die Infrastruktur mit hoher Ausfallsicherheit und speichert Daten mehrfach redundant. Gegen den Ausfall eines Rechenzentrums sind Ihre Daten also gut geschützt. Falsch ist die Folgerung, damit sei auch eine Datensicherung im klassischen Sinn vorhanden. Microsoft beschreibt das selbst als geteilte Verantwortung: Der Anbieter verantwortet den Betrieb der Plattform, der Kunde bleibt für seine Daten und Konten verantwortlich. Gegen versehentliches Löschen, absichtliche Sabotage, Verschlüsselung durch Schadsoftware oder fehlerhafte Synchronisation hilft die Redundanz des Anbieters nicht, denn sie repliziert auch den Schaden zuverlässig mit.
Papierkörbe und Aufbewahrungsrichtlinien in Microsoft 365 mildern das Problem, sind aber zeitlich begrenzt und kein Ersatz für eine Sicherung, aus der sich Postfächer, Dateien und Teams-Inhalte gezielt zu einem früheren Stand wiederherstellen lassen. Der übliche Weg ist eine separate Backup-Lösung eines Drittanbieters, die Exchange, OneDrive, SharePoint und Teams regelmäßig in einen unabhängigen Speicherort sichert. Genauso wichtig wie die Sicherung selbst: Testen Sie die Wiederherstellung mindestens einmal im Jahr, denn ein Backup, aus dem noch nie etwas zurückgeholt wurde, ist nur eine Hoffnung.
Punkt 6: Protokollierung einschalten und dranbleiben
Die Prüffrage lautet: Ist das Überwachungsprotokoll aktiv, und schaut regelmäßig jemand hinein? Das Überwachungsprotokoll, im englischen Original Audit Log, zeichnet auf, wer wann was im Mandanten getan hat: Anmeldungen, Regeländerungen, Freigaben, Löschungen. Ohne diese Aufzeichnungen lässt sich nach einem Vorfall kaum rekonstruieren, was passiert ist und welche Daten betroffen waren. Bei Enterprise-Lizenzen ist die Protokollierung in der Regel bereits aktiv, bei den im Mittelstand verbreiteten Business-Lizenzen (Business Basic, Standard und Premium) muss sie laut Microsoft dagegen manuell eingeschaltet werden, verlassen sollten Sie sich darauf nicht: Der Status lässt sich im Microsoft Purview-Portal, dem Verwaltungsbereich für Compliance-Themen, in wenigen Minuten prüfen.
Protokolle nützen nur, wenn jemand auf sie reagiert. Richten Sie deshalb Warnungsrichtlinien ein, also automatische Benachrichtigungen bei kritischen Ereignissen wie neuen Weiterleitungsregeln, neuen Administratorrechten oder auffällig vielen fehlgeschlagenen Anmeldungen. Beachten Sie außerdem, dass die Aufbewahrungsdauer der Protokolle je nach Lizenz begrenzt ist, und klären Sie die Auswertung von Benutzeraktivitäten vorab mit der oder dem Datenschutzbeauftragten.
Damit ist die Prüfliste komplett: Mehrfaktor-Anmeldung für alle, getrennte Administratorkonten, gesperrte externe Weiterleitungen, kontrollierte Freigaben, eine eigene Datensicherung und aktive Protokollierung. Sicherheitsstandards aktivieren, Administratorrollen durchsehen und die Weiterleitung sperren können technisch versierte Verantwortliche selbst erledigen. Beim bedingten Zugriff, der Auswertung bestehender Regeln und Freigaben sowie der Auswahl und dem Test einer Backup-Lösung ist Unterstützung sinnvoll, weil Fehler hier entweder Benutzer aussperren oder Lücken offen lassen.
Das Wichtigste in Kürze
Microsoft 365 bringt solide Sicherheitswerkzeuge mit, aber sie wirken erst, wenn jemand sie einschaltet und regelmäßig kontrolliert. Die sechs Punkte dieser Liste decken die Lücken ab, die nach einer Standard-Einrichtung am häufigsten offen bleiben. Rechnen Sie für die sechs Punkte einen halben Tag, wenn Ihr Tenant überschaubar ist. Das ist der günstigste halbe Tag in dieser Liste.