Microsoft 365 ist nicht automatisch sicher: Die sieben Stellschrauben

Microsoft 365 wird gern als fertig abgesicherte Plattform gekauft. Das ist nur die halbe Wahrheit: Microsoft betreibt die Infrastruktur sicher — aber Identitäten, Konfiguration und Daten liegen in Ihrer Verantwortung. Diese geteilte Verantwortung („Shared Responsibility") ist der Punkt, an dem es in der Praxis scheitert. Die gute Nachricht: Die entscheidenden Einstellungen sind bekannt und überschaubar.

1. Multi-Faktor-Authentifizierung ohne Ausnahmen

MFA für alle Konten — einschließlich Geschäftsführung und externe Dienstleister. Ebenso wichtig: Legacy-Authentifizierung deaktivieren (POP, IMAP, Basic Auth), denn sie umgeht MFA komplett und ist der häufigste Einfallstor für Kontoübernahmen.

2. Getrennte Administrator-Konten

Das Alltagskonto ist nicht das Adminkonto. Administratoren arbeiten mit zwei Identitäten: eine für E-Mail und Dokumente, eine für Verwaltung. Das Adminkonto bekommt keine Mailbox und wird für nichts anderes genutzt. So landet ein Phishing-Klick im Alltag nicht im Rechenzentrum.

3. Conditional Access statt Vertrauen ins Passwort

Zugriffsrichtlinien prüfen Kontext statt nur Kennwort: nur verwaltete Geräte, nur erwartete Standorte, Risikoanmeldungen gesperrt. Wer diese Richtlinien nutzt, macht aus einem geklauten Passwort einen wertlosen Datensatz.

4. Externe Freigaben und Gastzugänge begrenzen

Teams und SharePoint erlauben standardmäßig großzügiges Teilen. Prüfen Sie: anonyme Links aus, Ablaufdaten für Gäste, regelmäßige Zugriffsüberprüfung. Sonst bleiben externe Zugänge jahrelang bestehen — lange nach dem Projektende.

5. Audit-Logs und Benachrichtigungen aktivieren

Ohne aktivierte Überwachung merkt niemand, wenn Postfach-Regeln angelegt oder Massen an Daten heruntergeladen werden. Die Protokolle sind vorhanden — sie müssen nur eingeschaltet und ausgewertet werden.

6. Backup: Microsoft sichert die Plattform, nicht Ihre Daten

Aufbewahrungsfristen und Papierkörbe sind kein Backup. Nach Ablauf der Fristen sind gelöschte Mails, Teams-Chats und Dateien endgültig weg — auch bei versehentlichem Löschen oder Ransomware. Eine unabhängige Sicherung von Exchange, SharePoint, OneDrive und Teams ist Teil der eigenen Verantwortung.

7. Die enthaltenen Schutzfunktionen ausreizen

Anti-Phishing-Richtlinien, Safe Links und Safe Attachments sind je nach Lizenz bereits enthalten, aber in der Standardeinstellung zurückhaltend konfiguriert. Wer sie sauber einstellt, filtert den Großteil der Angriffe, bevor sie den Posteingang erreichen.

Der pragmatische Weg

Keine dieser Maßnahmen erfordert ein Großprojekt: Eine Basis-Härtung ist in wenigen Tagen umgesetzt, danach reicht eine quartalsweise Überprüfung der Richtlinien, Gastzugänge und Protokolle. Wichtig ist nur, dass es jemand verantwortet — nicht „irgendwo mitläuft".

← alle guides