Microsoft 365 absichern

Microsoft 365 ist für viele mittelständische Unternehmen das zentrale Arbeitswerkzeug für E-Mail, Dateien und Teams. Damit wird die Microsoft 365 Security zur Grundlage der gesamten IT-Sicherheit. Viele Tenants laufen jedoch noch mit Standardeinstellungen, ohne durchgängige Multi-Faktor-Authentifizierung (MFA) und mit zu vielen Administratoren. Ein gestohlenes Passwort reicht dann für den Zugriff auf Postfach und Dateien. Dieser Beitrag zeigt, wie Sie Microsoft 365 absichern und welche Funktionen in Ihren Lizenzen bereits enthalten sind.

Was bedeutet Microsoft 365 Security?

Microsoft 365 Security bezeichnet die Einstellungen und Dienste, mit denen Sie Identitäten, Geräte, E-Mails und Daten in Microsoft 365 schützen. Im Mittelpunkt steht Microsoft Entra ID, die Benutzerverwaltung des Tenants. Dazu kommen Microsoft Defender für Geräte und E-Mail sowie Intune für die Geräteverwaltung.

Die vier Schutzebenen:

• Identität: MFA, Conditional Access und geschützte Admin-Konten
• Geräte: Verwaltung mit Intune und Schutz mit Defender for Business
• E-Mail: Schutz vor Phishing und schädlichen Anhängen
• Daten: Freigaberegeln für SharePoint, OneDrive und Teams

Sicherheitsstandards oder Conditional Access?

Microsoft bietet zwei Wege für den Basisschutz der Anmeldung. Die Tabelle zeigt die Unterschiede.[1]

Identitäten schützen: MFA und Conditional Access

Die meisten Angriffe auf Microsoft 365 beginnen mit gestohlenen Zugangsdaten. Deshalb steht der Schutz der Anmeldung an erster Stelle.

MFA für alle Benutzer

MFA verlangt neben dem Passwort einen zweiten Faktor, etwa die Bestätigung in der Authenticator-App. Microsoft empfiehlt, MFA für alle Anmeldungen zu verlangen.[4] Bevorzugen Sie App-Bestätigungen oder Passkeys gegenüber SMS.

Conditional Access einrichten

Conditional Access prüft bei jeder Anmeldung Bedingungen wie Benutzer, Gerät, Standort und Anwendung. Microsoft beschreibt in seinem Bereitstellungsplan eine Einführung in Phasen.[4]

Grundrichtlinien laut Microsoft:

• Legacy-Authentifizierung blockieren: alte Protokolle ohne MFA-Unterstützung sperren
• MFA für alle: starke Authentifizierung für jede Anmeldung
• Admin-Schutz: phishingresistente Methoden für privilegierte Rollen
• Registrierung schützen: MFA-Registrierung nur unter Bedingungen erlauben
• Gäste absichern: starke Authentifizierung auch für Gastkonten

Testen vor dem Einschalten

Neue Richtlinien sollten Sie zuerst im Berichtsmodus oder mit einer Testgruppe prüfen. Schließen Sie ein Notfallkonto (Break-Glass-Konto) aus, damit Sie sich nicht selbst aussperren. Microsoft empfiehlt zudem einen Testbenutzer ohne Admin-Rechte.[4]

Mitarbeitende vorbereiten

Die Einführung von MFA gelingt, wenn Mitarbeitende wissen, was auf sie zukommt. Kündigen Sie den Termin an und erklären Sie die Einrichtung der Authenticator-App in wenigen Schritten. Planen Sie für den ersten Tag eine erreichbare Ansprechperson ein.

Was die Einführung erleichtert:

• Ankündigung: Termin und Grund der Umstellung eine Woche vorher
• Anleitung: kurze Schritt-für-Schritt-Hilfe mit Screenshots
• Registrierungsphase: einige Tage Zeit zur Einrichtung vor der Pflicht
• Sonderfälle: Lösungen für Mitarbeitende ohne Dienst-Smartphone, etwa Hardware-Schlüssel

Admin-Konten und Berechtigungen

Administratorkonten sind das wertvollste Ziel im Tenant. Je weniger es davon gibt, desto kleiner ist die Angriffsfläche.

Weniger globale Administratoren

Vergeben Sie die Rolle „Globaler Administrator“ nur an wenige Personen. Für Alltagsaufgaben genügen spezialisierte Rollen wie Benutzer- oder Exchange-Administrator.

Regeln für Admin-Konten:

• Trennung: eigene Admin-Konten ohne Postfach, getrennt vom Alltagskonto
• Starke Methoden: phishingresistente MFA wie FIDO2-Schlüssel oder Passkeys
• Notfallkonto: zwei Break-Glass-Konten, sicher verwahrt und überwacht
• Überprüfung: Rollen regelmäßig kontrollieren und entfernen

Zeitlich begrenzte Rechte

Mit Privileged Identity Management (PIM) werden Admin-Rechte nur bei Bedarf und zeitlich begrenzt aktiviert. PIM ist Teil von Entra ID P2.[2] Für kleinere Tenants reicht oft eine klare Rollentrennung.

Geräte und E-Mails mit Defender schützen

Eine sichere Anmeldung nützt wenig, wenn das Gerät kompromittiert ist. Microsoft Defender schützt Endgeräte und E-Mails.

Defender for Business

Microsoft Defender for Business bietet Endpunktschutz mit Erkennung und Reaktion (EDR) für Windows, macOS, iOS und Android.[5] Es ist in Microsoft 365 Business Premium enthalten und für Unternehmen bis 300 Benutzer gedacht. Größere Unternehmen nutzen Defender for Endpoint.

Defender for Office 365

Defender for Office 365 Plan 1 ist ebenfalls in Business Premium enthalten.[3] Es prüft Links und Anhänge in E-Mails und Teams. Aktivieren Sie die voreingestellten Sicherheitsrichtlinien als Ausgangspunkt. Ergänzen Sie diese um eine Kennzeichnung externer E-Mails und um klare Regeln, wie Mitarbeitende verdächtige Nachrichten melden.

Geräte mit Intune verwalten

Mit Intune stellen Sie sicher, dass nur verwaltete und aktuelle Geräte auf Unternehmensdaten zugreifen. Über Conditional Access können Sie den Zugriff an konforme Geräte binden. Eine Konformitätsrichtlinie legt zum Beispiel fest, dass Verschlüsselung aktiv und das Betriebssystem aktuell sein muss. Private Smartphones schützen Sie mit App-Schutzrichtlinien, ohne das ganze Gerät zu verwalten.

Checkliste: Microsoft 365 absichern

Gehen Sie die Punkte der Reihe nach durch. Jeder Schritt sollte getestet und dokumentiert werden.

• Lizenzen prüfen: Entra ID P1 oder Business Premium vorhanden?
• MFA einführen: Registrierung für alle Benutzer, dann Pflicht
• Legacy-Authentifizierung blockieren
• Admin-Konten trennen: wenige globale Administratoren, zwei Notfallkonten
• Conditional Access: Grundrichtlinien im Berichtsmodus testen, dann aktivieren
• Defender aktivieren: Endpunktschutz und E-Mail-Schutz einrichten
• Geräte verwalten: Intune und Konformitätsrichtlinien
• Freigaben prüfen: externe Freigaben in SharePoint und OneDrive einschränken
• Protokolle nutzen: Anmelde- und Überwachungsprotokolle regelmäßig auswerten

Was passiert, wenn Sie nichts ändern?

Ein ungeschützter Tenant ist für Angreifer leicht zu übernehmen. Die Folgen gehen über das einzelne Postfach hinaus.

Typische Folgen eines kompromittierten Kontos:

• Betrug: gefälschte Zahlungsaufforderungen aus echten Postfächern
• Datenabfluss: Zugriff auf Dateien in OneDrive und SharePoint
• Weiterverbreitung: Phishing an Kunden und Partner
• Meldepflichten: mögliche Meldungen nach DSGVO und NIS2

Ein Passwortmanager ergänzt MFA sinnvoll, siehe Passwortmanager für Unternehmen. Für den Ernstfall hilft unser Beitrag zu Backup und Notfallplan.

Microsoft 365 Security mit Blured

Microsoft 365 bringt viele Schutzfunktionen mit, sie müssen aber eingeschaltet und gepflegt werden. Als IT-Dienstleister aus Düsseldorf sichern wir Microsoft-365-Tenants von Unternehmen mit 25 bis 250 Mitarbeitenden ab und betreuen sie laufend. Für IT-Infrastrukturberatung und -implementierung sind wir nach ISO/IEC 27001 zertifiziert.

Ihre Vorteile:

• Bestandsaufnahme: Lizenzen, Admin-Konten und Einstellungen geprüft
• schrittweise Einführung: MFA und Conditional Access ohne Aussperren
• Schutz für Geräte und E-Mail: Defender und Intune eingerichtet
• laufende Betreuung: Richtlinien und Warnungen im Blick

Jetzt Erstgespräch vereinbaren · Telefon: +49 211 822 00 80

FAQ

Über den AutorMehmet YükselGründer & Geschäftsführer

Mehmet Yüksel ist Gründer und Geschäftsführer der BDT Group GmbH (Blured Digital Technologies), eines 2018 gegründeten Managed Service Providers in Düsseldorf. Seine Schwerpunkte sind IT-Infrastruktur, Cyber Security und Managed Services.