Microsoft 365 ist ab Werk nicht unsicher, aber es ist auf Bequemlichkeit eingestellt, nicht auf Schutz. Zehn Einstellungen entscheiden darüber, ob ein gestohlenes Passwort zum Vorfall wird oder ins Leere läuft. Die meisten davon sind in einer Stunde gesetzt und kosten keinen Cent extra.
1. Mehrfaktor-Anmeldung für alle, ohne Ausnahme
Die wichtigste Maßnahme überhaupt. Microsoft schaltet die Sicherheitsstandards inzwischen für neue Mandanten ein, in älteren Umgebungen fehlen sie oft noch. Prüfen Sie, ob wirklich jedes Konto betroffen ist, auch Geschäftsführung, Postfächer für Funktionen wie info@ und externe Gäste.
2. Administratorkonten trennen
Wer täglich mit einem Konto arbeitet, das zugleich globaler Administrator ist, hat bei einem Phishing-Treffer den Mandanten verloren. Getrennte Admin-Konten ohne Postfach, mit Mehrfaktor-Anmeldung und nur bei Bedarf genutzt, sind Standard.
3. Bedingter Zugriff statt reiner Passwortprüfung
Conditional Access erlaubt Regeln wie: Anmeldung nur von verwalteten Geräten, nur aus Deutschland, nur mit aktueller App. Damit werden viele Angriffe abgefangen, bevor überhaupt ein Passwort geprüft wird. Voraussetzung ist eine Lizenz mit Entra ID P1, etwa Business Premium.
4. Veraltete Anmeldeverfahren abschalten
Legacy-Authentifizierung (etwa alte IMAP- oder SMTP-Anmeldungen) umgeht die Mehrfaktor-Anmeldung. Sie gehört deaktiviert, sobald keine Altanwendung sie mehr braucht. Ein Blick in die Anmeldeprotokolle zeigt, ob das der Fall ist.
5. Automatische Weiterleitungen nach außen sperren
Angreifer richten nach einem Kontodiebstahl als Erstes eine unauffällige Weiterleitung ein und lesen wochenlang mit. Eine Transportregel oder die entsprechende Richtlinie in Exchange Online unterbindet das mandantenweit.
6. Schutz vor Phishing und Schadanhängen aktivieren
Safe Links und Safe Attachments prüfen Links und Anhänge beim Öffnen, nicht nur beim Empfang. Sie sind in Business Premium enthalten und müssen nur eingeschaltet und auf alle Nutzer angewendet werden.
7. Externe Freigaben in SharePoint und OneDrive eingrenzen
Die Standardeinstellung erlaubt Freigaben an jeden, teils ohne Anmeldung. Sinnvoll sind Freigaben nur an bestimmte Personen, mit Ablaufdatum und ohne anonyme Links.
8. Geräte verwalten
Firmendaten gehören nur auf Geräte, die Sie kennen. Intune registriert Geräte, erzwingt Verschlüsselung und Bildschirmsperre und löscht Firmendaten bei Verlust, auch auf privaten Smartphones, ohne private Fotos anzurühren.
9. Warnmeldungen und Protokolle nutzen
Microsoft meldet ungewöhnliche Anmeldungen, Massenlöschungen oder neue Weiterleitungsregeln. Diese Warnungen müssen bei jemandem ankommen, der sie liest. In unserer Betreuung landen sie im Monitoring und werden bearbeitet, nicht nur gesammelt.
10. Backup außerhalb von Microsoft
Microsoft sichert die Plattform, nicht Ihre Daten. Gelöschte Postfächer, verschlüsselte SharePoint-Bibliotheken oder versehentlich geleerte Papierkörbe sind nach kurzer Frist weg. Ein eigenständiges Backup Ihrer Microsoft-365-Daten schließt diese Lücke.
Häufige Fragen
Sind diese Einstellungen in jeder Lizenz enthalten?
Mehrfaktor-Anmeldung, Weiterleitungssperre und Freigabeeinstellungen ja. Bedingter Zugriff, Safe Links und Intune brauchen Business Premium oder eine vergleichbare Lizenz.
Stört das die Mitarbeiter im Alltag?
Kaum. Nach der ersten Einrichtung meldet sich die Authenticator-App meist nur bei neuen Geräten oder ungewöhnlichen Anmeldungen.
Wie lange dauert die Umsetzung?
Die zehn Einstellungen sind bei einem typischen Mittelständler an einem Tag gesetzt. Länger dauert nur die Geräteverwaltung, wenn viele Geräte neu registriert werden.
Wer kontrolliert, dass die Einstellungen bleiben?
Einstellungen ändern sich, etwa durch neue Mitarbeiter oder Updates. In der laufenden Betreuung prüfen wir sie regelmäßig und werten die Warnmeldungen aus.
Microsoft 365 prüfen lassen
Wir prüfen Ihre Microsoft-365-Umgebung anhand dieser zehn Punkte und setzen die fehlenden Einstellungen um. Team Data GmbH, Microsoft-365-Betreuung aus Osnabrück.
