Warum die Standardkonfiguration gefährlich ist
Microsoft 365 ist mächtig — aber standardmäßig auf Benutzerfreundlichkeit, nicht auf maximale Sicherheit optimiert. Externe Freigaben sind offen, Legacy-Protokolle aktiv, MFA nicht erzwungen. Das ist eine gefährliche Ausgangslage in einer Zeit, in der M365-Tenants täglich angegriffen werden.
2026-Kontext: Microsoft 365 ist das meistangegriffene Cloud-Produkt weltweit. Business Email Compromise (BEC), Phishing über Teams und kompromittierte OAuth-Apps nehmen massiv zu. Viele dieser Angriffe wären mit korrekter Konfiguration verhinderbar.
Hinweis zur Lizenz: Einige der folgenden Einstellungen erfordern Microsoft 365 Business Premium oder höher (z.B. Conditional Access, PIM, Defender for Business). Wir empfehlen Business Premium als Mindestlizenz für Unternehmen mit Sicherheitsanforderungen.
Identität & Zugang
Multi-Faktor-Authentifizierung (MFA) für alle Nutzer
KRITISCHDie wichtigste Einzelmaßnahme in M365: MFA verhindert über 99 % aller passwortbasierten Angriffe. Standardmäßig ist MFA in vielen M365-Tenants noch nicht für alle Nutzer erzwungen.
Conditional Access Policies konfigurieren
KRITISCHConditional Access ist das Herzstück von Zero Trust in M365: Zugriff wird nur gewährt, wenn Nutzer, Gerät und Standort bestimmten Bedingungen entsprechen. Verfügbar ab M365 Business Premium.
Legacy-Authentifizierung deaktivieren
KRITISCHAlte Protokolle wie Basic Auth (POP3, IMAP, SMTP) unterstützen kein MFA. Angreifer nutzen diese gezielt, um MFA zu umgehen. Microsoft hat Basic Auth für Exchange Online 2023 deaktiviert — aber Ausnahmen sind oft noch aktiv.
Privileged Identity Management (PIM)
Admin-Konten sind das attraktivste Ziel in M365. PIM stellt sicher, dass Administratorrechte nur auf Anfrage und zeitlich begrenzt (Just-in-Time) vergeben werden — nicht dauerhaft.
Passwortschutz & Smart Lockout
Microsoft Entra Password Protection blockiert häufige und unternehmensspezifische schwache Passwörter. Smart Lockout schützt vor Brute-Force-Angriffen automatisch.
Datenschutz & Compliance
Microsoft Purview Data Loss Prevention (DLP)
DLP verhindert, dass sensible Daten (Kreditkartennummern, Personalausweisnummern, Gesundheitsdaten) unbeabsichtigt per E-Mail, Teams oder SharePoint nach außen gelangen.
Microsoft Purview Sensitivity Labels
Sensitivity Labels klassifizieren und schützen Dokumente und E-Mails automatisch — mit Verschlüsselung, Wasserzeichen und Zugriffseinschränkungen, die auch außerhalb von M365 greifen.
Externe Freigaben in SharePoint & OneDrive einschränken
KRITISCHStandardmäßig können Nutzer Dateien mit beliebigen externen Personen teilen — auch ohne M365-Konto. Das ist ein massives Datenleck-Risiko und DSGVO-kritisch.
Audit-Logging aktivieren und aufbewahren
KRITISCHDas einheitliche Überwachungsprotokoll in M365 ist für Compliance und Incident Response unverzichtbar — aber es muss aktiv aktiviert und ausreichend lang aufbewahrt werden.
Bedrohungsschutz
Microsoft Defender for Office 365 – Safe Links & Safe Attachments
KRITISCHSafe Links überprüft URLs in E-Mails und Teams-Nachrichten zum Zeitpunkt des Klickens (nicht nur beim Eingang). Safe Attachments öffnet Anhänge in einer Sandbox, bevor sie zugestellt werden.
Anti-Phishing-Policies mit Impersonation Protection
KRITISCHM365 kann gezielt vor Angriffen schützen, bei denen Angreifer die Identität von Geschäftsführern oder Partnern imitieren (CEO-Fraud, BEC). Diese Policies müssen manuell konfiguriert werden.
DKIM & DMARC für eigene Domains konfigurieren
KRITISCHOhne DKIM und DMARC können Angreifer E-Mails versenden, die scheinbar von Ihrer Domain stammen. Das ist die Grundlage für CEO-Fraud und Phishing-Angriffe auf Ihre Kunden und Partner.
Microsoft Defender for Endpoint (EDR) Integration
M365 Business Premium enthält Microsoft Defender for Business — einen vollwertigen EDR-Client für alle Geräte. Die Integration mit M365 ermöglicht Conditional Access basierend auf dem Gerätestatus.
Administration & Monitoring
Break-Glass-Konten einrichten
Wenn Conditional Access oder PIM-Konfigurationen schiefgehen, können Admins ausgesperrt werden. Break-Glass-Konten sind Notfallkonten ohne MFA-Pflicht, die ausschließlich für solche Notfälle existieren.
Microsoft Secure Score regelmäßig auswerten
Der Microsoft Secure Score in Defender XDR zeigt Ihren aktuellen Sicherheitsstand und priorisierte Verbesserungsmaßnahmen — angepasst an Ihre konkrete M365-Konfiguration.
Fazit & nächste Schritte
Microsoft 365 bietet hervorragende Sicherheitsfunktionen — aber sie müssen aktiv konfiguriert werden. Die gute Nachricht: Viele dieser Einstellungen sind kostenlos im enthaltenen Lizenzumfang verfügbar und mit wenigen Klicks aktivierbar.
Empfohlene Prioritäten für den Start:
Sofort: MFA für alle Nutzer erzwingen (#01)
Diese Woche: Legacy-Authentifizierung deaktivieren (#03) + Safe Links/Attachments aktivieren (#10)
Diesen Monat: Conditional Access Policies + externe Freigaben einschränken (#02, #08)
Laufend: Secure Score monatlich auswerten und verbessern (#15)
