Microsoft 365 ist in den meisten mittelständischen Unternehmen das Herzstück der Arbeit: E-Mail, Dateien, Teams, Identitäten. Entsprechend beliebt ist es bei Angreifern. Die gute Nachricht: Die wirksamsten Schutzmaßnahmen sind in den gängigen Lizenzen bereits enthalten. Sie sind nur nicht immer eingeschaltet. Die folgenden zehn Punkte finden wir in Audits am häufigsten – und jeder davon lässt sich an einem Nachmittag prüfen.

1. Multi-Faktor-Authentifizierung für alle

Nicht nur für Administratoren, nicht nur „empfohlen“, sondern erzwungen für jedes Konto. Nutzen Sie die Microsoft-Authenticator-App mit Nummernabgleich statt SMS. Konten ohne MFA sind mit gestohlenen Passwörtern in Minuten übernommen.

2. Legacy-Authentifizierung blockieren

Alte Protokolle wie IMAP, POP3 und SMTP-Auth umgehen MFA vollständig. Prüfen Sie in den Anmeldeprotokollen, ob sie noch genutzt werden, und sperren Sie sie per Conditional Access. Meist hängt nur ein alter Multifunktionsdrucker daran.

3. Bedingter Zugriff statt Alles-oder-nichts

Mit Conditional Access legen Sie fest, unter welchen Bedingungen ein Zugriff erlaubt ist: nur von verwalteten Geräten, nur aus bestimmten Ländern, nur mit MFA, für Administratoren nur aus dem Firmennetz. Beginnen Sie mit den Microsoft-Standardrichtlinien und erweitern Sie schrittweise.

4. Getrennte Administrator-Konten

Wer täglich mit einem Konto arbeitet, das Global-Admin-Rechte hat, riskiert bei jedem Phishing-Klick die gesamte Umgebung. Administratoren erhalten ein separates Konto ohne Postfach, das nur für Verwaltungsaufgaben verwendet wird. Die Anzahl der Global Admins sollte zwischen zwei und vier liegen.

5. Externe Freigaben kontrollieren

SharePoint und OneDrive erlauben standardmäßig Freigaben an „jeden mit dem Link“. Beschränken Sie externe Freigaben auf bestimmte Domains oder authentifizierte Gäste, setzen Sie Ablaufdaten und prüfen Sie regelmäßig, welche Dateien nach außen sichtbar sind.

6. Weiterleitungsregeln überwachen

Nach einer Kontoübernahme richten Angreifer fast immer eine Regel ein, die eingehende E-Mails unbemerkt nach außen weiterleitet – oft für Monate. Blockieren Sie automatische Weiterleitungen an externe Adressen und lassen Sie sich über neue Postfachregeln alarmieren.

7. Schutz vor Phishing und Schadsoftware aktivieren

Microsoft Defender for Office 365 bietet sichere Links, sichere Anhänge und Schutz vor Identitätsmissbrauch der eigenen Führungskräfte. Die voreingestellten Sicherheitsrichtlinien „Standard“ oder „Strict“ sind mit wenigen Klicks aktiviert und deutlich besser als die Grundeinstellung.

8. SPF, DKIM und DMARC für die eigene Domain

Ohne diese drei DNS-Einträge kann jeder E-Mails in Ihrem Namen verschicken – an Ihre Kunden und an Ihre eigenen Mitarbeitenden. DKIM wird in Microsoft 365 aktiviert, SPF und DMARC werden beim Domain-Anbieter gesetzt. Beginnen Sie mit DMARC im Überwachungsmodus und verschärfen Sie nach einigen Wochen.

9. Protokollierung und Aufbewahrung

Das einheitliche Audit-Protokoll muss eingeschaltet sein, sonst gibt es nach einem Vorfall nichts zu analysieren. Prüfen Sie die Aufbewahrungsdauer der Anmelde- und Audit-Protokolle – standardmäßig sind es je nach Lizenz nur 30 bis 90 Tage. Angriffe werden oft erst später entdeckt.

10. Backup außerhalb von Microsoft

Microsoft sichert die Verfügbarkeit der Plattform, nicht Ihre Daten gegen Löschung, Verschlüsselung oder Fehlbedienung. Der Papierkorb ist kein Backup. Ein unabhängiges Backup von Exchange, SharePoint, OneDrive und Teams – mit regelmäßig getesteter Wiederherstellung – gehört zu jeder ernsthaften Microsoft-365-Umgebung.

Wie Sie vorgehen

Der Microsoft Secure Score im Defender-Portal zeigt Ihnen, welche dieser Punkte in Ihrer Umgebung offen sind, und priorisiert sie. Ein Wert unter 50 Prozent ist im Mittelstand die Regel und kein Grund zur Panik – aber ein Grund, anzufangen. Wir prüfen Ihre Konfiguration in einem halbtägigen Review, setzen die Maßnahmen mit Ihrer IT um und dokumentieren das Ergebnis für Audits, Versicherer und Kunden.