Microsoft 365 absichern: Die wichtigsten Maßnahmen für Unternehmen

1. Kurzantwort für Geschäftsführer

Microsoft 365 ist keine fertige Sicherheitslösung, nur weil es von Microsoft betrieben wird.

Die Plattform stellt viele wichtige Sicherheitsfunktionen bereit. Dazu gehören Mehr-Faktor-Authentifizierung, Security Defaults, Conditional Access, Defender-Funktionen, sichere Freigaben, Protokolle, Geräteverwaltung und Schutzfunktionen für E-Mail und Zusammenarbeit.

Aber diese Funktionen müssen richtig eingerichtet, überwacht und regelmäßig geprüft werden.

Für Unternehmen bedeutet das:

Microsoft schützt die Plattform. Das Unternehmen bleibt verantwortlich für Benutzer, Berechtigungen, Freigaben, Geräte, Daten, Backup, Administration und interne Prozesse.

Die wichtigsten Maßnahmen sind:

• Mehr-Faktor-Authentifizierung aktivieren
• Administratorkonten besonders schützen
• Legacy Authentication und riskante Anmeldewege blockieren
• E-Mail- und Phishing-Schutz sauber konfigurieren
• OneDrive-, SharePoint- und Teams-Freigaben kontrollieren
• ein unabhängiges Microsoft-365-Backup einrichten
• Geräte absichern
• Protokolle und Warnmeldungen prüfen
• Benutzer regelmäßig schulen
• Änderungen dokumentieren

Microsoft 365 wird nicht durch eine einzelne Einstellung sicher. Sicherheit entsteht durch ein Zusammenspiel aus Technik, Prozessen und laufender Betreuung.

2. Warum Microsoft 365 in KMU besonders kritisch ist

Viele kleine und mittelständische Unternehmen nutzen Microsoft 365 als zentrale Arbeitsplattform.

Dort liegen oft:

• geschäftliche E-Mails
• Kalender
• Kontakte
• Dateien
• Teams-Chats
• Besprechungsdaten
• OneDrive-Daten
• SharePoint-Bibliotheken
• Kundendokumente
• Angebote
• Rechnungen
• interne Projektinformationen
• Benutzerkonten und Anmeldedaten

Wenn ein Angreifer Zugriff auf ein Microsoft-365-Konto erhält, ist das selten nur ein einzelnes Problem. Häufig kann er E-Mails lesen, Weiterleitungen einrichten, Dateien herunterladen, interne Kommunikation verfolgen, neue Phishing-Mails versenden oder sich in laufende Geschäftsprozesse einklinken.

Besonders gefährlich ist das bei:

• Geschäftsführung
• Buchhaltung
• Personalabteilung
• Vertrieb
• IT-Administration
• gemeinsam genutzten Postfächern
• Konten mit Zugriff auf sensible SharePoint- oder Teams-Bereiche

Deshalb ist Microsoft 365 für viele Unternehmen heute ein Kernsystem. Es muss entsprechend behandelt werden.

3. Microsoft 365 ist nicht automatisch sicher

Ein häufiger Irrtum lautet:

„Microsoft kümmert sich doch um die Sicherheit.“

Das stimmt nur teilweise.

Microsoft betreibt die Plattform und stellt viele Sicherheitsfunktionen bereit. Das Unternehmen selbst entscheidet aber weiterhin, wie Benutzerkonten angelegt werden, welche Freigaben erlaubt sind, wer Administrator ist, welche Geräte Zugriff haben, ob MFA aktiv ist und ob Daten unabhängig gesichert werden.

Ein Beispiel:

Microsoft 365 kann Mehr-Faktor-Authentifizierung bereitstellen. Wenn sie nicht aktiviert oder falsch ausgenommen wird, schützt sie nicht.

Ein weiteres Beispiel:

SharePoint kann sehr sicher betrieben werden. Wenn aber jeder Benutzer externe Links erstellen darf und niemand diese Freigaben prüft, entstehen Risiken.

Noch ein Beispiel:

Exchange Online schützt E-Mails mit Spam- und Malwarefiltern. Wenn jedoch keine zusätzlichen Schutzrichtlinien, keine Sensibilisierung und keine Prüfung verdächtiger Weiterleitungen erfolgen, bleiben wichtige Angriffspunkte offen.

Die Plattform ist leistungsfähig. Die Verantwortung für den sicheren Betrieb bleibt beim Unternehmen.

4. Maßnahme 1: Mehr-Faktor-Authentifizierung aktivieren

Mehr-Faktor-Authentifizierung, kurz MFA, ist eine der wichtigsten Sicherheitsmaßnahmen in Microsoft 365.

Der Grund ist einfach:

Ein Passwort kann gestohlen, erraten, wiederverwendet oder durch Phishing abgegriffen werden. MFA sorgt dafür, dass ein Angreifer mit dem Passwort allein nicht direkt Zugriff erhält.

Für kleine Unternehmen ist MFA oft der erste und wichtigste Schritt.

Wichtig ist aber:

MFA muss für alle Benutzer gelten, nicht nur für Administratoren.

Besonders wichtig ist MFA für:

• Geschäftsführung
• Buchhaltung
• Administratoren
• Benutzer mit Zugriff auf sensible Daten
• gemeinsam genutzte Postfächer
• Benutzer mit externem Zugriff
• Benutzer mit mobilen Geräten

MFA sollte nicht leichtfertig ausgenommen werden. Jede Ausnahme ist ein potenzieller Angriffspunkt.

5. Maßnahme 2: Security Defaults oder Conditional Access bewusst nutzen

Microsoft bietet mit Security Defaults eine Basisschutzfunktion, die für viele kleinere Umgebungen ein sinnvoller Einstieg ist.

Security Defaults können unter anderem helfen, MFA durchzusetzen, Administratorzugriffe stärker zu schützen, ältere unsichere Anmeldewege zu blockieren und bestimmte riskante Anmeldeflüsse einzuschränken.

Für Unternehmen mit höheren Anforderungen ist Conditional Access der nächste Schritt.

Conditional Access ermöglicht feinere Regeln, zum Beispiel:

• Anmeldung nur mit MFA
• Zugriff nur von verwalteten Geräten
• Zugriff abhängig von Standort oder Risiko
• Blockieren bestimmter Länder
• strengere Regeln für Administratoren
• gesonderte Regeln für sensible Anwendungen
• Einschränkung von Altprotokollen
• gezielte Ausnahmen für definierte Sonderfälle

Die Grundidee lautet:

Nicht jede Anmeldung ist gleich riskant.

Ein Administratorzugriff aus einem unbekannten Land ist anders zu bewerten als ein normaler Benutzerzugriff von einem bekannten Firmen-Notebook.

Security Defaults sind ein guter Start. Conditional Access ist sinnvoll, wenn das Unternehmen gezieltere Regeln benötigt.

6. Maßnahme 3: Administratorkonten besonders schützen

Administratorkonten sind der Generalschlüssel der Microsoft-365-Umgebung.

Wenn ein Angreifer ein normales Benutzerkonto übernimmt, ist das schlimm. Wenn er ein Administratorkonto übernimmt, kann er die Umgebung verändern, Sicherheitsfunktionen deaktivieren, neue Benutzer anlegen, Rechte vergeben, Daten exportieren oder Schutzmaßnahmen umgehen.

Deshalb sollten Administratorkonten besonders behandelt werden.

Empfehlungen:

• keine normalen Tagesarbeiten mit Administratorkonten durchführen
• getrennte Admin-Konten verwenden
• MFA für alle Administratorkonten erzwingen
• globale Administratoren auf ein Minimum reduzieren
• Rollen gezielt statt pauschal vergeben
• Notfallkonten dokumentieren
• Admin-Anmeldungen regelmäßig prüfen
• alte oder ungenutzte Admin-Konten entfernen
• keine gemeinsam genutzten Admin-Konten verwenden

Ein Geschäftsführer muss nicht jedes technische Detail kennen. Aber er sollte wissen, wer administrative Rechte hat und wie diese Konten geschützt sind.

7. Maßnahme 4: Alte Anmeldewege und riskante Flows blockieren

Viele Angriffe nutzen nicht die modernsten Angriffsmethoden, sondern alte oder falsch konfigurierte Zugangswege.

Dazu gehören zum Beispiel:

• Legacy Authentication
• alte Mailprotokolle
• unsichere App-Zugriffe
• nicht mehr genutzte Clients
• unkontrollierte Geräteanmeldungen
• missbrauchte Device-Code-Flows

Legacy Authentication ist besonders kritisch, weil ältere Anmeldeverfahren häufig keine moderne MFA-Unterstützung haben. Dadurch kann ein Angreifer Schutzmaßnahmen umgehen.

Unternehmen sollten deshalb prüfen:

• Werden IMAP, POP3 oder alte SMTP-Anmeldungen noch benötigt?
• Gibt es alte Office-Versionen oder Altgeräte?
• Gibt es Geräte oder Anwendungen, die unsichere Anmeldung erzwingen?
• Wird Device Code Flow wirklich benötigt?
• Sind moderne Authentifizierungsverfahren aktiv?

Nicht jeder Altzugang kann sofort abgeschaltet werden. Aber jeder Altzugang sollte bekannt, bewertet und dokumentiert sein.

8. Maßnahme 5: E-Mail- und Phishing-Schutz richtig konfigurieren

E-Mail bleibt einer der wichtigsten Angriffswege.

Typische Angriffe sind:

• Phishing-Mails
• gefälschte Absender
• schädliche Anhänge
• Links zu gefälschten Loginseiten
• Rechnungsbetrug
• CEO-Fraud
• kompromittierte Kunden- oder Lieferantenkonten
• Weiterleitungsregeln nach außen

Microsoft 365 enthält bereits Schutzfunktionen gegen Spam, Malware und Phishing. Je nach Lizenz können zusätzliche Defender-Funktionen wie Safe Links, Safe Attachments und erweiterte Anti-Phishing-Richtlinien genutzt werden.

Wichtig ist, diese Funktionen nicht nur zu besitzen, sondern richtig einzusetzen.

Unternehmen sollten prüfen:

• Sind Standard- oder Strict-Preset-Security-Policies aktiv?
• Werden verdächtige Anhänge geprüft?
• Werden gefährliche Links überprüft?
• Gibt es Schutz vor Absender-Imitation?
• Sind externe Absender klar erkennbar?
• Werden automatische Weiterleitungen nach außen kontrolliert?
• Gibt es klare Meldewege für verdächtige E-Mails?
• Werden Mitarbeiter regelmäßig sensibilisiert?

Technik allein reicht nicht. Mitarbeiter müssen wissen, wie sie verdächtige Mails erkennen und melden.

9. Maßnahme 6: SharePoint, OneDrive und Teams-Freigaben kontrollieren

Viele Sicherheitsprobleme entstehen nicht durch Hacker, sondern durch zu offene Freigaben.

Ein Link ist schnell geteilt. Ein Teams-Gast ist schnell eingeladen. Ein Ordner ist schnell extern freigegeben.

Das ist praktisch, kann aber gefährlich werden.

Typische Risiken:

• anonyme Links
• dauerhaft gültige Freigaben
• externe Gäste ohne Prüfung
• alte Projektfreigaben
• Freigaben auf sensible Daten
• zu weit gefasste SharePoint-Berechtigungen
• private OneDrive-Freigaben mit geschäftskritischen Dokumenten

Unternehmen sollten verbindlich regeln:

• Wer darf extern teilen?
• Welche Daten dürfen nicht extern geteilt werden?
• Wie lange dürfen Links gültig sein?
• Werden Gäste regelmäßig geprüft?
• Gibt es getrennte Bereiche für sensible Daten?
• Werden alte Freigaben entfernt?
• Gibt es klare Verantwortliche für Teams und SharePoint?

SharePoint und Teams können sehr gut funktionieren. Aber nur, wenn Freigaben kontrolliert werden.

10. Maßnahme 7: Microsoft 365 Backup unabhängig umsetzen

OneDrive, SharePoint und Exchange Online bieten Papierkorb, Versionierung und Aufbewahrungsfunktionen.

Das ist hilfreich, ersetzt aber kein unabhängiges Backup.

Ein Backup ist besonders wichtig bei:

• versehentlichem Löschen
• Benutzerlöschung
• Ransomware
• beschädigten Dateien
• falsch gesetzten Aufbewahrungsrichtlinien
• böswilligen Aktionen
• Kontosperrung
• längeren Wiederherstellungsszenarien

Unternehmen sollten klären:

• Werden Exchange Online, OneDrive, SharePoint und Teams gesichert?
• Liegt das Backup getrennt vom Microsoft-365-Tenant?
• Können einzelne Dateien wiederhergestellt werden?
• Können Postfächer wiederhergestellt werden?
• Können SharePoint-Bibliotheken wiederhergestellt werden?
• Wie lange werden Daten aufbewahrt?
• Wurde eine Wiederherstellung getestet?

Ein Backup, das nie getestet wurde, ist im Ernstfall nur eine Hoffnung.

11. Maßnahme 8: Geräte absichern

Microsoft 365 wird nicht nur im Browser genutzt.

Mitarbeiter greifen zu über:

• Notebooks
• Desktop-PCs
• Smartphones
• Tablets
• private Geräte
• Terminalserver
• Outlook-Clients
• Teams-Apps

Wenn Geräte nicht abgesichert sind, hilft auch eine gute Cloud-Konfiguration nur begrenzt.

Wichtige Punkte:

• aktuelle Windows-Versionen
• aktivierter Virenschutz
• aktivierte Festplattenverschlüsselung
• sichere Gerätesperre
• Patchmanagement
• Gerätestatus prüfen
• Zugriff von privaten Geräten regeln
• verlorene Geräte aus der Ferne sperren oder entfernen
• mobile Geräte verwalten
• keine veralteten Office-Versionen nutzen

Gerätesicherheit und Microsoft-365-Sicherheit gehören zusammen.

12. Maßnahme 9: Protokolle, Warnmeldungen und Änderungen überwachen

Viele Angriffe kündigen sich an.

Typische Hinweise sind:

• ungewöhnliche Anmeldungen
• Anmeldungen aus unbekannten Ländern
• neue Weiterleitungsregeln
• plötzlich geänderte MFA-Methoden
• neue Administratoren
• ungewöhnliche Downloads
• neue App-Berechtigungen
• verdächtige OAuth-App-Zustimmungen
• viele fehlgeschlagene Anmeldeversuche
• Gastbenutzer mit ungewöhnlichem Zugriff

Diese Signale helfen aber nur, wenn sie jemand prüft.

Unternehmen brauchen deshalb einen Prozess:

• Wer schaut auf Warnmeldungen?
• Wie oft werden Protokolle geprüft?
• Wer reagiert bei Verdacht?
• Was passiert bei kompromittierten Konten?
• Wie werden Sitzungen widerrufen?
• Wer informiert Geschäftsführung und Datenschutz?
• Wie wird ein Vorfall dokumentiert?

Sicherheit ist kein einmaliger Haken. Sicherheit ist laufende Kontrolle.

13. Maßnahme 10: Copilot und KI-Funktionen vorbereiten

Microsoft 365 Copilot und andere KI-Funktionen können die Arbeit erleichtern. Sie können aber auch vorhandene Schwächen sichtbarer machen.

Wenn Benutzer bereits zu viele Zugriffsrechte haben, kann Copilot Informationen leichter auffindbar machen, die vorher zwar technisch zugänglich, aber praktisch schwerer zu finden waren.

Vor der Einführung von Copilot sollten Unternehmen prüfen:

• Sind SharePoint-Berechtigungen sauber?
• Gibt es sensible Daten an falschen Orten?
• Sind externe Freigaben geprüft?
• Sind vertrauliche Dokumente klassifiziert?
• Sind Benutzerrollen sinnvoll vergeben?
• Gibt es eine Regelung zur KI-Nutzung?
• Ist klar, welche Daten verarbeitet werden dürfen?

Copilot sollte nicht auf eine unaufgeräumte Microsoft-365-Umgebung gesetzt werden.

Erst aufräumen, dann aktivieren.

14. 30-60-90-Tage-Fahrplan

Erste 30 Tage: Grundschutz herstellen

• MFA für alle Benutzer aktivieren
• Admin-Konten prüfen
• globale Administratoren reduzieren
• Legacy Authentication prüfen
• externe Weiterleitungen kontrollieren
• grundlegende E-Mail-Schutzrichtlinien aktivieren
• kritische Freigaben erfassen
• Backup-Status prüfen

Bis 60 Tage: Struktur schaffen

• Conditional-Access-Strategie festlegen
• SharePoint- und Teams-Freigaben bereinigen
• Gastbenutzer prüfen
• Gerätezugriffe regeln
• Microsoft-365-Backup umsetzen
• Wiederherstellung testen
• Sicherheitsrollen dokumentieren
• Meldeweg für Phishing festlegen

Bis 90 Tage: Betrieb absichern

• Monitoring und Warnmeldungen etablieren
• regelmäßige Rechteprüfung einführen
• Benutzer schulen
• Notfallprozess dokumentieren
• Wiederherstellungsszenarien üben
• Copilot-/KI-Bereitschaft prüfen
• laufenden Sicherheitscheck planen

Dieser Fahrplan ersetzt keine individuelle Prüfung. Er zeigt aber, dass Microsoft-365-Sicherheit nicht theoretisch bleiben muss. Sie lässt sich Schritt für Schritt verbessern.

15. Geschäftsführer-Checkliste

Diese Fragen sollte jedes Unternehmen beantworten können:

• Ist MFA für alle Benutzer aktiv?
• Gibt es getrennte Administratorkonten?
• Wissen wir, wer globale Administratorrechte hat?
• Sind alte Anmeldeprotokolle blockiert oder bewertet?
• Sind E-Mail-Schutzrichtlinien aktiv?
• Werden externe Freigaben regelmäßig geprüft?
• Gibt es ein unabhängiges Microsoft-365-Backup?
• Wurde eine Wiederherstellung praktisch getestet?
• Sind Geräte abgesichert?
• Werden Warnmeldungen und Protokolle geprüft?
• Gibt es einen Notfallplan bei Kontokompromittierung?
• Sind Mitarbeiter für Phishing sensibilisiert?
• Ist Copilot vorbereitet, bevor KI-Funktionen aktiviert werden?

Wenn mehrere Punkte nicht klar beantwortet werden können, sollte Microsoft 365 strukturiert geprüft werden.

16. Unsere Empfehlung

Microsoft 365 ist für kleine und mittelständische Unternehmen eine starke Plattform.

Aber sie sollte nicht nebenbei betrieben werden.

Eine sichere Microsoft-365-Umgebung braucht:

• klare Verantwortung
• saubere Konfiguration
• regelmäßige Prüfung
• unabhängiges Backup
• Benutzer-Sensibilisierung
• dokumentierte Prozesse
• laufende Betreuung

EDV Systeme Donner empfiehlt, Microsoft 365 nicht nur als E-Mail- und Office-Paket zu betrachten, sondern als zentrale Unternehmensplattform.

Wer Microsoft 365 richtig absichert, reduziert nicht nur Risiken. Er schafft auch eine stabilere Grundlage für Zusammenarbeit, mobiles Arbeiten, Datenschutz und zukünftige KI-Funktionen.

17. Fazit

Microsoft 365 kann sehr sicher betrieben werden. Aber nicht automatisch.

Die wichtigsten Risiken entstehen oft durch fehlende MFA, zu viele Administratorrechte, unkontrollierte Freigaben, fehlendes Backup, alte Anmeldewege, schwache Geräte und fehlende Kontrolle.

Die gute Nachricht:

Viele Maßnahmen lassen sich schrittweise umsetzen. Unternehmen müssen nicht alles an einem Tag lösen. Aber sie sollten anfangen.

Der beste Zeitpunkt, Microsoft 365 zu prüfen, ist nicht nach dem Sicherheitsvorfall.

Sondern vorher.

EDV Systeme Donner unterstützt Unternehmen dabei, Microsoft 365 sauber abzusichern, typische Schwachstellen zu erkennen und eine praxistaugliche Sicherheitsstrategie umzusetzen.