Microsoft 365 und sichere Geräte: Warum Intune, Defender und Gerätekonformität für KMU wichtig sind

Kurzantwort für Geschäftsführer

Microsoft 365 ist nur so sicher wie die Geräte, die darauf zugreifen.

Ein Benutzerkonto kann mit MFA geschützt sein. SharePoint kann sauber strukturiert sein. E-Mail-Schutz kann aktiv sein. Aber wenn ein kompromittiertes, ungepatchtes oder verlorenes Gerät Zugriff auf Unternehmensdaten hat, bleibt ein erhebliches Risiko.

Typische Geräte sind:

• Firmen-Notebooks
• Desktop-PCs
• Smartphones
• Tablets
• private Geräte
• Homeoffice-Geräte
• Terminalserver
• mobile Apps
• Browserzugriffe

Für kleine und mittelständische Unternehmen bedeutet das:

Microsoft-365-Sicherheit endet nicht in der Cloud.

Geräte müssen bekannt, abgesichert, aktualisiert und kontrolliert werden. Besonders wichtig sind:

• Geräteinventar
• aktueller Patchstand
• aktivierter Endpoint-Schutz
• Festplattenverschlüsselung
• Gerätesperre
• sichere Anmeldung
• Gerätekonformität
• App-Schutzrichtlinien
• Schutz bei verlorenen Geräten
• klare Regeln für private Geräte
• Conditional Access auf Basis des Gerätestatus

Microsoft Intune kann helfen, Geräte und Apps zentral zu verwalten. Microsoft Defender kann helfen, Bedrohungen auf Endgeräten besser zu erkennen. Conditional Access kann den Zugriff auf Microsoft 365 abhängig vom Gerätezustand steuern.

Die wichtigste Botschaft lautet:

Wer Microsoft 365 absichern will, muss auch die Endgeräte absichern.

Warum Geräte für Microsoft 365 so wichtig sind

Microsoft 365 wird selten nur aus dem Büro genutzt.

Mitarbeiter arbeiten:

• am Firmen-Notebook
• im Homeoffice
• unterwegs
• auf dem Smartphone
• im Browser
• über Outlook
• über Teams
• über OneDrive-Synchronisation
• über mobile Apps
• manchmal auch auf privaten Geräten

Dadurch entsteht eine neue Sicherheitsfrage:

Nicht nur „Wer meldet sich an?“ ist wichtig. Sondern auch: „Von welchem Gerät erfolgt der Zugriff?“

Ein Beispiel:

Ein Mitarbeiter meldet sich korrekt mit Passwort und MFA an. Das Gerät ist aber ungepatcht, hat keinen aktiven Schutz, keine Verschlüsselung und wurde seit Monaten nicht geprüft.

Dann ist der Zugriff trotzdem riskant.

Ein weiteres Beispiel:

Ein privates Smartphone greift auf Outlook und Teams zu. Das Gerät wird später verloren. Ohne App-Schutz oder Geräteverwaltung können Unternehmensdaten lokal verfügbar bleiben.

Noch ein Beispiel:

Ein Notebook synchronisiert OneDrive-Daten lokal. Wenn das Gerät kompromittiert oder gestohlen wird, können Dateien außerhalb der Microsoft-365-Cloud betroffen sein.

Deshalb gehören Geräte in jede Microsoft-365-Sicherheitsstrategie.

Häufige Risiken in KMU

In kleinen und mittelständischen Unternehmen sind Geräte oft historisch gewachsen.

Typische Risiken:

• niemand kennt alle Geräte mit Microsoft-365-Zugriff
• alte Notebooks werden weiter genutzt
• private Geräte greifen auf E-Mail und Teams zu
• Windows-Updates sind unregelmäßig
• Endpoint-Schutz ist nicht zentral überwacht
• BitLocker oder Festplattenverschlüsselung ist nicht flächendeckend aktiv
• lokale Administratorrechte sind zu weit verbreitet
• verlorene Geräte können nicht sauber entfernt werden
• OneDrive synchronisiert sensible Daten auf unsichere Geräte
• mobile Apps sind nicht geschützt
• Geräte ehemaliger Mitarbeiter bleiben im Zugriffsumfeld
• niemand prüft Gerätekonformität regelmäßig

Diese Punkte wirken einzeln oft harmlos.

Zusammen können sie aber dazu führen, dass ein Unternehmen zwar Microsoft 365 nutzt, aber keinen echten Überblick über die Geräte hat, die auf Unternehmensdaten zugreifen.

Was ist Microsoft Intune?

Microsoft Intune ist eine Cloud-Lösung von Microsoft zur Verwaltung von Geräten und Apps.

Vereinfacht gesagt hilft Intune bei Fragen wie:

• Welche Geräte gehören zum Unternehmen?
• Welche Geräte dürfen auf Unternehmensdaten zugreifen?
• Welche Sicherheitsanforderungen müssen Geräte erfüllen?
• Welche Apps dürfen genutzt werden?
• Welche Einstellungen sollen auf Geräten gelten?
• Welche Geräte sind nicht konform?
• Was passiert, wenn ein Gerät verloren geht?
• Wie werden Unternehmensdaten in Apps geschützt?

Intune kann sowohl für klassische Geräteverwaltung als auch für App-Schutz genutzt werden.

Das ist besonders relevant, weil nicht jedes Unternehmen jedes Gerät vollständig verwalten möchte.

Ein Firmen-Notebook kann vollständig verwaltet werden. Ein privates Smartphone kann über App-Schutzregeln eingeschränkt werden. Ein nicht konformes Gerät kann über Conditional Access vom Zugriff ausgeschlossen werden.

Wichtig:

Intune ist kein Selbstläufer. Die Lösung muss geplant, lizenziert, eingerichtet und betreut werden.

Gerätekonformität: Was bedeutet compliant?

Ein Gerät ist nicht automatisch sicher, nur weil es Windows 11 nutzt oder Outlook installiert hat.

Mit Compliance-Richtlinien kann festgelegt werden, welche Mindestanforderungen ein Gerät erfüllen muss.

Typische Kriterien sind:

• Betriebssystemversion
• Patchstand
• aktivierte Verschlüsselung
• Gerätesperre oder PIN
• Kennwortrichtlinien
• Jailbreak- oder Root-Erkennung bei Mobilgeräten
• Sicherheitsstatus
• Bedrohungsstatus
• Mindestversionen
• Integrität des Geräts

Ein Gerät, das diese Anforderungen erfüllt, kann als konform gelten.

Ein Gerät, das sie nicht erfüllt, ist nicht konform.

Das wird besonders stark, wenn Conditional Access einbezogen wird.

Dann kann Microsoft 365 so gesteuert werden:

Nur konforme Geräte dürfen auf bestimmte Unternehmensressourcen zugreifen.

Oder:

Nicht konforme Geräte erhalten keinen Zugriff auf E-Mail, SharePoint, Teams oder sensible Anwendungen.

Das ist ein großer Unterschied zu einer Umgebung, in der jedes Gerät mit Benutzername, Passwort und MFA zugreifen darf.

Conditional Access und Gerätestatus

Conditional Access wurde bereits in einem früheren Artikel erklärt.

Im Zusammenhang mit Geräten wird Conditional Access besonders wichtig.

Denn dann entscheidet nicht nur die Identität über den Zugriff, sondern auch der Zustand des Geräts.

Beispiele:

Ein Benutzer darf sich anmelden, aber nur von einem konformen Gerät.

Ein privates Gerät darf Teams im Browser nutzen, aber keine Dateien herunterladen.

Ein nicht verwaltetes Gerät darf keine sensiblen SharePoint-Sites öffnen.

Ein Gerät mit hohem Bedrohungsstatus wird blockiert.

Ein Administratorzugriff ist nur von bekannten Geräten erlaubt.

Ein Smartphone benötigt App-Schutzrichtlinien für Outlook und Teams.

So wird aus Microsoft 365 eine kontrollierte Arbeitsplattform.

Nicht jedes Gerät erhält automatisch denselben Zugriff.

App-Schutzrichtlinien: Schutz ohne vollständige Geräteverwaltung

Nicht jedes Unternehmen möchte oder darf jedes Gerät vollständig verwalten.

Besonders bei privaten Smartphones ist das sensibel.

Mitarbeiter wollen ihre privaten Fotos, Apps und Daten nicht unter Unternehmensverwaltung sehen. Gleichzeitig möchte das Unternehmen geschäftliche E-Mails, Teams-Chats und Dateien schützen.

Hier können App-Schutzrichtlinien helfen.

App-Schutzrichtlinien wirken auf App-Ebene.

Beispiele:

• Outlook benötigt eine PIN oder biometrische Freigabe
• Unternehmensdaten dürfen nicht in private Apps kopiert werden
• Speichern in privaten Cloud-Diensten wird eingeschränkt
• Screenshots oder Teilen können begrenzt werden, sofern unterstützt
• Zugriff ist nur mit zugelassenen Apps erlaubt
• Unternehmensdaten können aus der App entfernt werden
• private Daten auf dem Gerät bleiben unberührt

Das ist besonders wichtig für BYOD-Szenarien.

BYOD bedeutet: Bring your own device. Also private Geräte, die beruflich mitgenutzt werden.

Für KMU kann App-Schutz ein pragmatischer Einstieg sein, wenn vollständiges Mobile Device Management noch nicht umgesetzt werden soll.

Microsoft Defender und Endpoint-Schutz

Gerätesicherheit braucht Schutz vor Schadsoftware, verdächtigem Verhalten und Angriffen.

Microsoft Defender kann hier eine wichtige Rolle spielen.

Je nach Lizenz und Konfiguration geht es um:

• Virenschutz
• Bedrohungserkennung
• Angriffserkennung
• Sicherheitsstatus von Geräten
• Schutz vor Schadsoftware
• Kontrolle von Bedrohungsstufen
• Integration mit Intune
• Signale für Compliance und Conditional Access

Wichtig ist:

Ein installierter Virenschutz allein reicht nicht, wenn niemand den Status überwacht.

Unternehmen sollten wissen:

• Ist Defender aktiv?
• Sind Signaturen aktuell?
• Gibt es Warnmeldungen?
• Werden Geräte mit Bedrohungen erkannt?
• Wer reagiert auf Meldungen?
• Sind Geräte in Intune sichtbar?
• Fließen Bedrohungsinformationen in Zugriffskontrollen ein?

Geräteschutz ist nur dann wirksam, wenn er betreut wird.

Festplattenverschlüsselung und BitLocker

Notebooks gehen verloren.

Sie werden im Auto vergessen, auf Reisen liegen gelassen oder im Homeoffice gestohlen.

Wenn auf einem Gerät lokale Unternehmensdaten liegen, ist Festplattenverschlüsselung entscheidend.

Bei Windows-Geräten ist BitLocker ein wichtiger Baustein.

Zu prüfen ist:

• Ist BitLocker auf Firmen-Notebooks aktiv?
• Sind Wiederherstellungsschlüssel sauber dokumentiert?
• Sind Schlüssel zentral abrufbar?
• Sind alle Laufwerke berücksichtigt?
• Was passiert bei Geräteaustausch?
• Wie wird bei ausgeschiedenen Mitarbeitern verfahren?
• Sind lokale Daten minimiert?

Besonders relevant ist OneDrive-Synchronisation.

Viele Benutzer speichern Daten in OneDrive und haben sie lokal auf dem Notebook synchronisiert. Wenn das Gerät unverschlüsselt verloren geht, können Daten betroffen sein.

Cloud-Sicherheit schützt nicht automatisch lokale Kopien.

Patchmanagement und Betriebssysteme

Ein Gerät ist nicht dauerhaft sicher.

Sicherheit hängt davon ab, ob es aktuell gehalten wird.

Wichtige Punkte:

• Windows-Updates
• Treiberupdates
• Browserupdates
• Office-Updates
• Sicherheitsupdates
• veraltete Betriebssysteme
• alte Office-Versionen
• nicht mehr unterstützte Geräte

Ein Gerät, das monatelang keine Updates erhalten hat, sollte nicht denselben Zugriff erhalten wie ein aktuelles, gepflegtes Firmen-Notebook.

Für KMU ist die Herausforderung oft nicht die Technik, sondern die Regelmäßigkeit.

Wer prüft den Patchstand? Wer reagiert auf fehlgeschlagene Updates? Wer nimmt alte Geräte aus dem Betrieb? Wer entscheidet, wann ein Gerät ersetzt wird?

Gerätesicherheit braucht Betrieb.

Lokale Administratorrechte

Viele Sicherheitsvorfälle werden dadurch erleichtert, dass Benutzer lokale Administratorrechte haben.

Lokale Adminrechte sind bequem, aber riskant.

Sie können dazu führen, dass:

• unerwünschte Software installiert wird
• Schutzfunktionen deaktiviert werden
• Schadsoftware mehr Rechte erhält
• Einstellungen verändert werden
• Schatten-IT entsteht
• Geräte schwerer standardisiert werden können

Nicht jeder Benutzer benötigt lokale Administratorrechte.

Unternehmen sollten prüfen:

• Wer hat lokale Adminrechte?
• Warum sind diese Rechte nötig?
• Gibt es Alternativen?
• Werden Adminrechte zeitlich begrenzt vergeben?
• Werden Installationen zentral gesteuert?
• Sind Standardbenutzerkonten möglich?
• Gibt es getrennte Admin-Konten?

Lokale Adminrechte sollten bewusst vergeben und regelmäßig geprüft werden.

Private Geräte und BYOD

Private Geräte sind in vielen Unternehmen Realität.

Ein Mitarbeiter liest E-Mails auf dem Smartphone. Ein Geschäftsführer nutzt ein privates Tablet. Ein Außendienstmitarbeiter greift unterwegs auf Teams zu. Ein externer Mitarbeiter arbeitet mit eigenem Notebook.

Das kann funktionieren.

Aber es braucht Regeln.

Zu klären ist:

• Sind private Geräte erlaubt?
• Welche Daten dürfen darauf genutzt werden?
• Welche Apps sind zugelassen?
• Ist App-Schutz aktiv?
• Darf heruntergeladen werden?
• Was passiert bei Verlust?
• Wie werden Unternehmensdaten entfernt?
• Welche Mindestanforderungen gelten?
• Gibt es eine schriftliche Regelung?

Private Geräte dürfen nicht stillschweigend zum Teil der Unternehmens-IT werden.

30-60-90-Tage-Fahrplan

Erste 30 Tage: Geräte sichtbar machen

• Geräte mit Microsoft-365-Zugriff erfassen
• Firmen- und Privatgeräte unterscheiden
• Windows-Versionen und Patchstand prüfen
• BitLocker-Status prüfen
• Defender-Status prüfen
• lokale Administratorrechte erfassen
• OneDrive-Synchronisation bewerten
• mobile Nutzung erfassen

Bis 60 Tage: Grundschutz herstellen

• Mindestanforderungen für Geräte definieren
• Intune-Lizenzsituation prüfen
• Compliance-Richtlinien planen
• Conditional Access für Gerätestatus bewerten
• App-Schutzrichtlinien für mobile Apps prüfen
• BitLocker flächendeckend aktivieren
• lokale Adminrechte reduzieren
• verlorene oder alte Geräte bereinigen

Bis 90 Tage: Betrieb etablieren

• Compliance-Regeln einführen
• Geräte-Dashboard regelmäßig prüfen
• Update- und Patchprozess dokumentieren
• Defender-Warnmeldungen zuordnen
• BYOD-Regeln festlegen
• Notfallprozess für verlorene Geräte dokumentieren
• regelmäßige Geräteprüfung einführen
• Benutzer informieren und schulen

Geschäftsführer-Checkliste

Diese Fragen sollte ein Unternehmen beantworten können:

• Wissen wir, welche Geräte auf Microsoft 365 zugreifen?
• Sind Firmen-Notebooks verschlüsselt?
• Ist Defender aktiv und überwacht?
• Sind Windows- und Office-Updates aktuell?
• Gibt es lokale Administratorrechte?
• Sind private Geräte erlaubt oder verboten?
• Gibt es App-Schutz für mobile Geräte?
• Werden nicht konforme Geräte erkannt?
• Wird Conditional Access mit Gerätestatus genutzt?
• Können verlorene Geräte gesperrt oder bereinigt werden?
• Sind OneDrive-Daten lokal geschützt?
• Gibt es einen festen Prozess für Gerätesicherheit?

Wenn mehrere Antworten unklar sind, sollte die Gerätesicherheit im Microsoft-365-Umfeld geprüft werden.

Unsere Empfehlung

EDV Systeme Donner empfiehlt, Microsoft-365-Sicherheit nicht nur im Admin Center zu betrachten.

Die entscheidende Frage lautet:

Welche Geräte greifen auf Unternehmensdaten zu, und wie gut sind diese Geräte geschützt?

Für KMU ist ein pragmatischer Weg sinnvoll:

Zuerst Geräte sichtbar machen. Dann Mindestanforderungen definieren. Dann Verschlüsselung, Updates und Defender prüfen. Dann Intune und App-Schutz gezielt einsetzen. Dann Conditional Access auf Gerätezustand ausrichten. Und anschließend regelmäßig kontrollieren.

Es geht nicht darum, jedes Unternehmen mit maximaler Komplexität zu überziehen.

Es geht darum, die größten Risiken sichtbar zu machen und sinnvoll zu reduzieren.

Fazit

Microsoft 365 ist eine starke Plattform.

Aber wenn unsichere Geräte darauf zugreifen, bleibt ein erhebliches Risiko.

Gerätesicherheit, Intune, Defender, Compliance-Richtlinien, App-Schutz, BitLocker, Patchmanagement und Conditional Access gehören zusammen.

Für kleine und mittelständische Unternehmen ist das besonders wichtig, weil viele Arbeitsplätze heute hybrid, mobil und cloudbasiert funktionieren.

EDV Systeme Donner unterstützt Unternehmen dabei, Geräte mit Microsoft-365-Zugriff sichtbar zu machen, Risiken zu bewerten und praxistaugliche Schutzmaßnahmen umzusetzen.