Warum die Standardkonfiguration gefährlich ist
Microsoft 365 ist mächtig — aber standardmäßig auf Benutzerfreundlichkeit, nicht auf maximale Sicherheit optimiert. Externe Freigaben sind offen, SMTP AUTH mit Basic Auth ist vielerorts noch nutzbar, MFA nicht erzwungen. Das ist eine gefährliche Ausgangslage in einer Zeit, in der M365-Tenants täglich angegriffen werden.
2026-Kontext: Microsoft 365 ist das meistangegriffene Cloud-Produkt weltweit. Business Email Compromise (BEC), Phishing über Teams und kompromittierte OAuth-Apps nehmen massiv zu. Viele dieser Angriffe wären mit korrekter Konfiguration verhinderbar.
Hinweis zur Lizenz: Einige der folgenden Einstellungen erfordern Microsoft 365 Business Premium oder höher (z.B. Conditional Access, Defender for Business). Privileged Identity Management (PIM, #04) ist darin nicht enthalten, sondern erfordert Microsoft Entra ID P2 (z. B. über Microsoft 365 E5 oder als Add-on). Wir empfehlen Business Premium als Mindestlizenz für Unternehmen mit Sicherheitsanforderungen. Mehr dazu auf unserer Seite zur Microsoft 365 Betreuung.
Identität & Zugang
Multi-Faktor-Authentifizierung (MFA) für alle Nutzer
KRITISCHDie wichtigste Einzelmaßnahme in M365: MFA verhindert über 99 % aller passwortbasierten Angriffe. Standardmäßig ist MFA in vielen M365-Tenants noch nicht für alle Nutzer erzwungen.
Conditional Access Policies konfigurieren
KRITISCHConditional Access ist das Herzstück von Zero Trust in M365: Zugriff wird nur gewährt, wenn Nutzer, Gerät und Standort bestimmten Bedingungen entsprechen. Verfügbar ab M365 Business Premium.
Legacy-Authentifizierung deaktivieren
KRITISCHLegacy-Authentifizierung (Basic Auth) unterstützt kein MFA — Angreifer nutzen sie gezielt, um MFA zu umgehen. Microsoft hat Basic Auth in Exchange Online für EAS, POP, IMAP, EWS, Remote PowerShell und Outlook ab Oktober 2022 abgeschaltet; sie lässt sich seither nicht wieder aktivieren. Offen ist noch SMTP AUTH (Client Submission): Laut Microsoft ist es derzeit noch verfügbar und soll Ende Dezember 2026 für bestehende Mandanten standardmäßig deaktiviert werden.
Privileged Identity Management (PIM)
Admin-Konten sind das attraktivste Ziel in M365. PIM stellt sicher, dass Administratorrechte nur auf Anfrage und zeitlich begrenzt (Just-in-Time) vergeben werden — nicht dauerhaft. Voraussetzung ist Microsoft Entra ID P2 (z. B. über Microsoft 365 E5 oder als Add-on); in Business Premium ist PIM nicht enthalten.
Passwortschutz & Smart Lockout
Microsoft Entra Password Protection blockiert häufige und unternehmensspezifische schwache Passwörter. Smart Lockout schützt vor Brute-Force-Angriffen automatisch.
Datenschutz & Compliance
Microsoft Purview Data Loss Prevention (DLP)
DLP verhindert, dass sensible Daten (Kreditkartennummern, Personalausweisnummern, Gesundheitsdaten) unbeabsichtigt per E-Mail, Teams oder SharePoint nach außen gelangen.
Microsoft Purview Sensitivity Labels
Sensitivity Labels klassifizieren und schützen Dokumente und E-Mails automatisch — mit Verschlüsselung, Wasserzeichen und Zugriffseinschränkungen, die auch außerhalb von M365 greifen.
Externe Freigaben in SharePoint & OneDrive einschränken
KRITISCHStandardmäßig können Nutzer Dateien mit beliebigen externen Personen teilen — auch ohne M365-Konto. Das ist ein massives Datenleck-Risiko und DSGVO-kritisch.
Audit-Logging aktivieren und aufbewahren
KRITISCHDas einheitliche Überwachungsprotokoll in M365 ist für Compliance und Incident Response unverzichtbar. Bei Business-Lizenzen (Basic, Standard, Premium) ist es laut Microsoft nicht standardmäßig aktiviert und muss manuell eingeschaltet werden. Audit (Standard) bewahrt Einträge seit Oktober 2023 standardmäßig 180 Tage auf.
Bedrohungsschutz
Microsoft Defender for Office 365 – Safe Links & Safe Attachments
KRITISCHSafe Links überprüft URLs in E-Mails und Teams-Nachrichten zum Zeitpunkt des Klickens (nicht nur beim Eingang). Safe Attachments öffnet Anhänge in einer Sandbox, bevor sie zugestellt werden.
Anti-Phishing-Policies mit Impersonation Protection
KRITISCHM365 kann gezielt vor Angriffen schützen, bei denen Angreifer die Identität von Geschäftsführern oder Partnern imitieren (CEO-Fraud, BEC). Diese Policies müssen manuell konfiguriert werden.
DKIM & DMARC für eigene Domains konfigurieren
KRITISCHOhne DKIM und DMARC können Angreifer E-Mails versenden, die scheinbar von Ihrer Domain stammen. Das ist die Grundlage für CEO-Fraud und Phishing-Angriffe auf Ihre Kunden und Partner.
Microsoft Defender for Endpoint (EDR) Integration
M365 Business Premium enthält Microsoft Defender for Business — einen vollwertigen EDR-Client für alle Geräte. Die Integration mit M365 ermöglicht Conditional Access basierend auf dem Gerätestatus.
Administration & Monitoring
Break-Glass-Konten einrichten
Wenn Conditional Access oder PIM-Konfigurationen schiefgehen, können Admins ausgesperrt werden. Break-Glass-Konten sind reine Cloud-Notfallkonten (.onmicrosoft.com), die ausschließlich für solche Notfälle existieren.
Microsoft Secure Score regelmäßig auswerten
Der Microsoft Secure Score in Defender XDR zeigt Ihren aktuellen Sicherheitsstand und priorisierte Verbesserungsmaßnahmen — angepasst an Ihre konkrete M365-Konfiguration.
Fazit & nächste Schritte
Microsoft 365 bietet hervorragende Sicherheitsfunktionen — aber sie müssen aktiv konfiguriert werden. Die gute Nachricht: Viele dieser Einstellungen sind kostenlos im enthaltenen Lizenzumfang verfügbar und mit wenigen Klicks aktivierbar.
Quellen
- Sicherheitsstandards in Microsoft Entra ID (MFA, Blockieren der Legacy-Authentifizierung) — Microsoft Learn
- Microsoft Entra Conditional Access: Zero-Trust-Richtlinienmodul — Microsoft Learn
- Einstellung der Standardauthentifizierung in Exchange Online — Microsoft Learn
- Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline (Januar 2026) — Microsoft Exchange Team Blog
- Grundlagen der Microsoft Entra ID Governance-Lizenzierung (PIM: Entra ID P2) — Microsoft Learn
- Informationen zur Verhinderung von Datenverlust (DLP) — Microsoft Learn
- Aktivieren oder Deaktivieren der Überwachung (Audit-Log) — Microsoft Learn
- Überwachungslösungen in Microsoft Purview: Audit (Standard) und Audit (Premium) — Microsoft Learn
- Verwalten von Administratorkonten für den Notfallzugriff — Microsoft Learn
- Microsoft-Sicherheitsbewertung (Secure Score) — Microsoft Learn
Empfohlene Prioritäten für den Start:
Sofort: MFA für alle Nutzer erzwingen (#01)
Diese Woche: Legacy-Authentifizierung deaktivieren (#03) + Safe Links/Attachments aktivieren (#10)
Diesen Monat: Conditional Access Policies + externe Freigaben einschränken (#02, #08)
Laufend: Secure Score monatlich auswerten und verbessern (#15)
Häufige Fragen zur Microsoft-365-Sicherheit
Reicht die Standardkonfiguration von Microsoft 365 aus?
Nein. Microsoft liefert M365 mit Voreinstellungen aus, die auf Kompatibilität und einfache Inbetriebnahme optimiert sind, nicht auf maximale Sicherheit. Zentrale Schutzfunktionen wie Conditional Access, Anti-Phishing-Policies mit Impersonation Protection, DLP und DMARC sind standardmäßig nicht oder nur rudimentär aktiv. Sie müssen bewusst konfiguriert werden.
Welche Microsoft-365-Lizenz wird für Conditional Access und PIM benötigt?
Conditional Access ist ab Microsoft 365 Business Premium beziehungsweise Entra ID P1 verfügbar. Privileged Identity Management (PIM) erfordert Entra ID P2, das in Business Premium nicht enthalten ist. Für Unternehmen mit Sicherheitsanforderungen ist Business Premium die sinnvolle Mindestlizenz, da es zusätzlich Defender for Business und Intune umfasst.
Wie lange dauert die sichere Konfiguration von Microsoft 365?
Die kritischsten Maßnahmen wie MFA-Pflicht, Deaktivierung der Legacy-Authentifizierung und Safe Links lassen sich in wenigen Stunden umsetzen. Eine vollständige Härtung inklusive Conditional Access, DLP-Policies, Sensitivity Labels und DMARC-Rollout dauert bei einem mittelständischen Unternehmen typischerweise zwei bis sechs Wochen, da Richtlinien schrittweise im Audit-Modus getestet werden sollten.
Was ist der Microsoft Secure Score und welcher Wert ist gut?
Der Secure Score in Microsoft Defender XDR bewertet die Sicherheitskonfiguration eines Tenants und schlägt priorisierte Verbesserungen vor. Der Wert ist relativ zur eigenen Lizenz und Tenant-Größe zu lesen, ein absoluter Vergleich zwischen Unternehmen ist wenig aussagekräftig. Als praktikables Ziel gelten mindestens 70 Prozent des für den Tenant erreichbaren Scores.
Ist Microsoft 365 DSGVO-konform nutzbar?
Ja, aber nicht automatisch. Erforderlich sind ein Auftragsverarbeitungsvertrag mit Microsoft, eine bewusste Konfiguration der Datenspeicherorte sowie Einschränkungen bei externen Freigaben in SharePoint und OneDrive. Ergänzend sollten Audit-Logging aktiviert, Aufbewahrungsfristen definiert und DLP-Richtlinien für personenbezogene Daten eingerichtet werden.
Was kostet eine Microsoft-365-Sicherheitsprüfung?
Keep IT Fair kalkuliert die Prüfung als Festpreis, abhängig von der Anzahl der Nutzer und dem Umfang des Tenants. Das Ergebnis umfasst eine Bewertung aller in diesem Beitrag genannten Einstellungen, eine Gap-Liste und einen priorisierten Maßnahmenplan. Das Erstgespräch zur Einschätzung des Aufwands ist kostenlos.
Weiterlesen
