Microsoft 365 absichern: 10 Einstellungen, die oft fehlen

Ist Microsoft 365 ab Werk sicher? Die kurze Antwort

Nicht vollständig. Microsoft betreibt die Rechenzentren und schützt die Plattform, doch wie sicher Ihr Tenant ist, hängt von Ihren eigenen Einstellungen ab. Viele Unternehmen arbeiten noch mit der Konfiguration aus der Ersteinrichtung vor einigen Jahren, und genau dort fehlen oft wichtige Schutzfunktionen.

Die folgenden zehn Einstellungen schließen die häufigsten Lücken, von der Anmeldung über E-Mail und Dateifreigaben bis zur Datensicherung. Die meisten sind in allen Business-Plänen verfügbar. Da Microsoft Menüs regelmäßig umbenennt, beschreiben wir, was einzustellen ist, und nicht, wo Sie klicken müssen.

Anmeldung und Konten schützen (Einstellungen 1 bis 4)

1. MFA für alle Benutzer, ohne Ausnahme

Ohne zweiten Faktor genügt ein gestohlenes Passwort, um ein Postfach zu übernehmen. Aktivieren Sie MFA deshalb für jedes Konto, nicht nur für die Geschäftsführung oder die IT. Als Standard eignet sich eine Authenticator-App, für Administratoren phishing-resistente Methoden wie FIDO2-Sicherheitsschlüssel oder Passkeys. Wie Sie die Umstellung planen, beschreibt unser Leitfaden zur Einführung von MFA.

2. Legacy-Authentifizierung blockieren

Bei der Legacy- oder Basic-Authentifizierung übermitteln Anwendungen und Geräte nur Benutzername und Passwort, MFA greift dabei nicht. Microsoft hat dieses Verfahren für die meisten Exchange-Online-Protokolle bereits abgeschaltet und auch für den SMTP-Versand, den viele Multifunktionsgeräte und ältere Anwendungen nutzen, das Ende angekündigt, wobei sich der Zeitplan mehrfach geändert hat. Sperren Sie Legacy-Anmeldungen über die Sicherheitsstandards oder Conditional Access und stellen Sie Geräte und Anwendungen schon jetzt auf moderne Authentifizierung um.

3. Getrennte Admin-Konten mit minimalen Rechten

Wer mit demselben Konto E-Mails liest und den Tenant verwaltet, macht jede Phishing-Mail zu einem Risiko für das ganze Unternehmen. Administratoren erhalten deshalb ein eigenes, reines Cloud-Konto ohne Postfach, das nur für Verwaltungsaufgaben dient. Globale Administratoren sollte es nur wenige geben, Microsoft empfiehlt weniger als fünf. Für den Alltag genügen eingeschränkte Rollen wie Benutzer-, Helpdesk- oder Exchange-Administrator.

4. Conditional Access nutzen, wo die Lizenz es erlaubt

Mit Conditional Access (bedingtem Zugriff) berücksichtigen Anmelderegeln den Kontext, etwa Gerät, Standort und Anwendung. Typische Regeln verlangen MFA für alle, erlauben den Zugriff auf sensible Daten nur von verwalteten Geräten und blockieren Anmeldungen aus Ländern ohne Geschäftsbezug. Die Funktion erfordert Microsoft Entra ID P1, das etwa in Microsoft 365 Business Premium und E3 enthalten ist. Ohne diese Lizenz bieten die kostenlosen Sicherheitsstandards (Security Defaults) einen soliden Grundschutz.

E-Mail und Dateien schützen (Einstellungen 5 bis 7)

5. Anti-Phishing-Richtlinien und Defender for Office 365

Jeder Tenant mit Exchange Online enthält Exchange Online Protection, einen Grundschutz gegen Spam, Schadsoftware und gefälschte Absender. Microsoft Defender for Office 365 ergänzt die Prüfung von Links im Moment des Anklickens, das Öffnen von Anhängen in einer Sandbox und den Schutz vor Identitätsvortäuschung, etwa wenn sich jemand als Geschäftsführer ausgibt. Plan 1 ist in Business Premium enthalten. Am einfachsten aktivieren Sie die voreingestellten Sicherheitsrichtlinien in der Stufe Standard oder Streng.

Zusätzlich sollte Ihre eigene Domain mit SPF, DKIM und DMARC geschützt sein, damit niemand in Ihrem Namen täuschend echte Mails versenden kann. Und weil kein Filter alles erkennt, bleibt ein Team wichtig, das die Warnzeichen von Phishing kennt.

6. Automatische Weiterleitung an externe Adressen sperren

Nach der Übernahme eines Postfachs richten Angreifer häufig eine Regel ein, die alle Mails unbemerkt an eine externe Adresse weiterleitet oder bestimmte Nachrichten ausblendet. So lesen sie Rechnungs- und Zahlungsverkehr mit, auch wenn das Passwort längst geändert wurde. Stellen Sie sicher, dass automatische Weiterleitungen nach außen in der Richtlinie für ausgehenden Spam ausdrücklich deaktiviert sind, mit Ausnahmen nur für einzelne, dokumentierte Postfächer. Kontrollieren Sie außerdem bestehende Weiterleitungen und Posteingangsregeln.

7. Externe Freigaben in SharePoint und OneDrive begrenzen

In vielen Tenants können Benutzer Dateien per Link mit beliebigen Personen teilen, ohne dass sich der Empfänger anmelden muss. Solche Links lassen sich weiterleiten und bleiben ohne Ablaufdatum unbegrenzt gültig. Lassen Sie externe Freigaben möglichst nur für Gäste zu, die sich anmelden müssen, stellen Sie den Standardlink auf bestimmte Personen um und versehen Sie anonyme Links, falls Sie sie überhaupt erlauben, mit einem verpflichtenden Ablaufdatum.

Überwachen und bewerten (Einstellungen 8 und 9)

8. Protokollierung und Warnungen aktivieren

Ohne Protokolle lässt sich nach einem Vorfall kaum klären, wer wann auf welche Daten zugegriffen hat. Prüfen Sie, ob das einheitliche Überwachungsprotokoll (Audit-Log) und die Postfachüberwachung aktiv sind: Beides ist in vielen Tenants standardmäßig eingeschaltet, aber nicht in allen. In der Standardstufe werden die Einträge derzeit 180 Tage aufbewahrt, für längere Zeiträume brauchen Sie eine höhere Lizenz oder einen Export.

Ebenso wichtig sind Warnungen, etwa bei neuen Weiterleitungsregeln, neu vergebenen Administratorrollen oder auffälligen Anmeldungen. Legen Sie die Empfänger ausdrücklich fest, vor allem wenn Ihre Admin-Konten kein Postfach haben, und bestimmen Sie, wer darauf reagiert. Wer das intern nicht abdecken kann, übergibt die Überwachung an einen Managed-Security-Dienst.

9. Secure Score als Orientierung nutzen

Microsoft Secure Score bewertet die Konfiguration Ihres Tenants und listet empfohlene Maßnahmen nach ihrer Wirkung. Das ist ein guter Ausgangspunkt, um Lücken zu finden und Fortschritte sichtbar zu machen. Der Wert ist aber kein Ziel an sich: Manche Empfehlungen setzen Lizenzen voraus, die Sie nicht haben, andere passen nicht zu Ihren Abläufen. Dokumentieren Sie, warum Sie eine Empfehlung umsetzen oder bewusst darauf verzichten.

Daten unabhängig sichern (Einstellung 10)

Nach dem Modell der geteilten Verantwortung hält Microsoft den Dienst verfügbar, für Ihre Daten bleiben Sie selbst verantwortlich. Papierkorb, Versionsverlauf und Aufbewahrungsrichtlinien helfen, einzelne Elemente zurückzuholen, sind aber kein vollständiges Backup: Sie reichen nur begrenzt zurück oder dienen vor allem der Compliance, und eine vollständige Wiederherstellung nach Massenlöschung oder Ransomware ist damit schwierig.

Sichern Sie Exchange, OneDrive und SharePoint (dort liegen auch die Teams-Dateien) deshalb mit einem separaten Backup-Dienst, dessen Zugang unabhängig von den normalen Admin-Konten geschützt ist. Testen Sie regelmäßig, ob sich ein Postfach oder eine Bibliothek tatsächlich wiederherstellen lässt. Wie eine robuste Sicherungsstrategie aussieht, zeigt unser Beitrag zur 3-2-1-Regel und unveränderlichen Backups.

Die 10 Einstellungen im Überblick

Fazit: sauber einrichten, dann laufend kontrollieren

Keine dieser Einstellungen ist kompliziert, aber gemeinsam schließen sie Lücken, die Angreifer in Microsoft 365 häufig ausnutzen. Kontrollieren Sie sie regelmäßig, denn neue Benutzer, Lizenzen und Funktionen verändern den Tenant laufend. Wenn Sie Ihre Umgebung überprüfen lassen möchten, unterstützt Sie Q-entra bei der Einrichtung im Rahmen von Cyber Security und auf Wunsch bei der laufenden Betreuung mit Managed Security.