Microsoft 365 absichern: die Checkliste

Microsoft 365 wird einsatzbereit ausgeliefert, aber nicht abgesichert. Die Voreinstellungen lassen Lücken offen, die im Alltag teuer werden können. Mit einigen gezielten Einstellungen schließen Sie die wichtigsten davon.

Die wichtigsten Stellschrauben

Die Punkte im Einzelnen

Die Mehrfaktor-Anmeldung ist der wirksamste einzelne Schutz, denn gestohlene Passwörter sind der häufigste Weg in ein Konto. Wichtig ist die Reihenfolge: zuerst die Administratorkonten, dann alle anderen, und zwar ohne Ausnahmen. Genau die eine Ausnahme „für den Chef, weil es schnell gehen muss" ist das Konto, das Angreifer suchen.

MFA nützt allerdings wenig, solange die alten Anmeldeverfahren offen bleiben. Basic Auth, POP und IMAP stammen aus einer Zeit ohne zweiten Faktor und hebeln ihn aus, wenn sie aktiv sind. Abschalten fällt oft schwer, weil noch ein alter Kopierer oder ein Scan-to-Mail-Gerät daran hängt; genau diese Altlasten muss man finden und umstellen, sonst bleibt die Hintertür offen.

Der bedingte Zugriff macht aus einzelnen Regeln ein System: Anmeldungen aus Ländern, in denen niemand von Ihnen arbeitet, werden blockiert, riskante Anmeldungen fordern einen zusätzlichen Nachweis. Dazu gehört auch, die Selbstbedienung bei App-Freigaben einzuschränken. Sonst genügt ein unbedachter Klick eines Mitarbeiters, und eine fremde App liest dauerhaft das Postfach mit, ganz ohne gestohlenes Passwort.

Bei den Berechtigungen gilt: so wenig wie möglich. Globale Administratoren gehören an einer Hand abgezählt, Freigaben in SharePoint und OneDrive regelmäßig aufgeräumt. Rechte, die niemand mehr braucht, sind Angriffsfläche ohne Nutzen, und öffentliche Freigabe-Links geraten schneller in Umlauf, als sie aufgeräumt werden.

Die E-Mail-Absicherung mit SPF, DKIM und DMARC schützt in beide Richtungen: Ihre Empfänger vor gefälschten Mails in Ihrem Namen, Sie selbst davor, dass Ihre legitimen Mails im Spam landen. Und die Protokollierung schließlich kostet nichts, entscheidet aber im Ernstfall darüber, ob Sie nachvollziehen können, was passiert ist, oder im Dunkeln stehen.

Wer ist zuständig: Microsoft oder Sie?

Die Aufgabenteilung ist klar geregelt und wird trotzdem ständig missverstanden. Microsoft betreibt die Plattform: Rechenzentren, Verfügbarkeit, die Sicherheit der Infrastruktur selbst. Sie verantworten, was darin passiert: Konten, Passwörter, Berechtigungen, Konfiguration und Ihre Daten. Dieses Prinzip heißt geteilte Verantwortung (Shared Responsibility). Wird ein Konto durch ein schwaches Passwort ohne MFA übernommen oder fließen Daten über eine zu weit gefasste Freigabe ab, ist das kein Microsoft-Ausfall, sondern Ihre Seite der Vereinbarung. Auch das Sichern der Daten gehört dazu: Der Papierkorb ist kein Backup.

Warum die Standardeinstellung nicht reicht

Microsoft sorgt dafür, dass der Dienst läuft, nicht dafür, dass er bei Ihnen optimal abgesichert ist. Die Härtung ist Ihre Aufgabe, und ohne sie steht vieles offen, was ein Angreifer als Erstes ausprobiert. Dazu kommt: Eine Microsoft-365-Umgebung ist nichts, was man einmal einstellt und abhakt. Rechte wachsen, Mitarbeiter kommen und gehen, Microsoft ändert Standards und führt neue Funktionen ein. Absicherung ist deshalb ein laufender Prozess, keine einmalige Checkliste.

Woran Sie merken, dass es Zeit für eine Prüfung ist

Trifft davon auch nur ein Punkt zu, lohnt der systematische Blick. Die Lücken, die dabei auftauchen, sehen fast immer aus wie ganz normale Einstellungen, und genau das macht sie gefährlich: Sie fallen im Alltag niemandem auf, einem Angreifer aber sofort.

Wie wir absichern

Wir prüfen Ihre Microsoft-365-Konfiguration im Sicherheitscheck und schließen die gefundenen Lücken, statt Ihnen nur eine Liste in die Hand zu drücken. Das funktioniert unabhängig davon, wer Ihre IT sonst betreut, als neutraler Blick von außen. Eine gehärtete Umgebung ist zugleich der beste Schutz vor Ransomware. Einen Überblick über die ganze Umgebung gibt Microsoft 365 für Unternehmen.