Microsoft 365 ist nach dem Kauf nicht automatisch sicher
Viele kleine Betriebe richten Microsoft 365 einmal ein und lassen dann alles so, wie es ist. Das ist verständlich, denn es funktioniert ja. Aber einige wichtige Schutzfunktionen sind nicht überall eingeschaltet oder hängen von der Lizenz ab. Und das E-Mail-Konto ist für Angreifer das beliebteste Ziel: Wer es übernimmt, kann im Namen Ihrer Firma Rechnungen fälschen.
Hier sind die Einstellungen, die ich bei jedem neuen Kunden zuerst prüfe.
1. Mehrfaktor-Anmeldung für alle
Das ist die wichtigste Maßnahme überhaupt. Ein gestohlenes Passwort allein reicht dann nicht mehr.
- In kleinen Umgebungen sind die Sicherheitsstandards (Security Defaults) von Microsoft der einfachste Weg. Sie schalten MFA für alle Konten ein und blockieren veraltete Anmeldeverfahren.
- Mit Business-Premium-Lizenzen lassen sich stattdessen Richtlinien für bedingten Zugriff nutzen, die feiner einstellbar sind.
- Als zweiten Faktor eine Authenticator-App oder Passkeys nutzen, SMS nur als Notlösung.
2. Getrennte Admin-Konten
Wer täglich mit einem Administratorkonto E-Mails liest, macht es Angreifern leicht.
- Ein eigenes Admin-Konto ohne Postfach, nur für Verwaltungsaufgaben
- Höchstens zwei bis vier globale Administratoren
- Ein Notfallkonto („Break Glass“) mit langem Passwort, sicher hinterlegt
3. Veraltete Anmeldeverfahren abschalten
Alte Protokolle wie POP, IMAP oder SMTP mit einfacher Anmeldung umgehen MFA. Microsoft hat die Basisauthentifizierung für Exchange Online weitgehend abgeschaltet. Prüfen Sie trotzdem, ob alte Drucker, Scanner oder Programme noch so Mails verschicken, und stellen Sie sie um.
4. Automatische Weiterleitung nach außen sperren
Ein klassischer Trick nach einer Kontoübernahme: Angreifer richten eine heimliche Weiterleitung aller Mails an eine fremde Adresse ein. Sperren Sie externe automatische Weiterleitungen in den Richtlinien für ausgehenden Spam, und erlauben Sie Ausnahmen nur gezielt.
5. E-Mail-Absender absichern: SPF, DKIM, DMARC
Diese drei Einträge in Ihrer Domain sorgen dafür, dass niemand so leicht Mails in Ihrem Namen verschickt und Ihre Mails seltener im Spam landen. Große Mail-Anbieter verlangen sie inzwischen für viele Absender. Starten Sie DMARC mit „p=none“, werten Sie die Berichte aus und verschärfen Sie dann schrittweise.
6. Freigaben in OneDrive und SharePoint begrenzen
- Freigaben für „Jeder mit dem Link“ einschränken oder mit Ablaufdatum versehen
- Standard-Freigabe auf „Personen in Ihrer Organisation“ setzen
- Gästezugänge regelmäßig prüfen
7. Protokollierung und Warnungen
Das Überwachungsprotokoll (Audit-Log) sollte aktiv sein. Richten Sie Warnungen ein, etwa für ungewöhnliche Anmeldungen oder neue Weiterleitungsregeln. Nur so merken Sie früh, wenn etwas nicht stimmt.
8. Sicherung nicht vergessen
Microsoft betreibt die Plattform zuverlässig, aber Ihre Daten sichern Sie nach dem Modell der geteilten Verantwortung selbst. Gelöschte oder verschlüsselte Dateien sind nach Ablauf der Aufbewahrungsfristen weg. Ein separates Backup für Mails, OneDrive und SharePoint gehört dazu. Mehr dazu im Beitrag zu Backup-Strategien.
Kurz-Checkliste
Häufige Fragen
Reichen die Sicherheitsstandards von Microsoft? Für sehr kleine Betriebe sind sie ein guter Start. Wer Ausnahmen braucht oder mehr Kontrolle will, steigt auf bedingten Zugriff um.
Wie lange dauert das? Für einen Betrieb mit zehn Mitarbeitenden sind die Grundeinstellungen meist an einem Tag umgesetzt. Die Einführung von MFA bei allen Mitarbeitenden braucht etwas Begleitung.
Fazit
Microsoft 365 bringt gute Schutzfunktionen mit, man muss sie nur nutzen. Mit diesen acht Punkten schließen Sie die häufigsten Lücken. Wenn Sie Ihre Umgebung prüfen lassen möchten, finden Sie unsere Leistungen unter Workplace & Microsoft 365.
