Microsoft 365 ist in vielen KMU das Herzstück der IT: E-Mail, Dateien, Teams, Kalender – alles drin. Umso wichtiger ist eine saubere Sicherheitskonfiguration. Dieser Ratgeber erklärt, was KMU wirklich absichern müssen und wo die typischen Fehler liegen.
Microsoft 365 wird in der Regel mit Grundeinstellungen ausgeliefert, die auf breite Nutzbarkeit optimiert sind – nicht auf maximale Sicherheit. Wer sein Tenant einfach einrichtet und loslegt, öffnet damit Türen, die besser geschlossen bleiben sollten.
Das bedeutet nicht, dass Microsoft unsicher wäre. Im Gegenteil: M365 bietet hervorragende Sicherheitswerkzeuge. Aber diese Werkzeuge müssen aktiviert, konfiguriert und regelmäßig überprüft werden. Genau daran scheitern viele kleinere Unternehmen – nicht aus Sorglosigkeit, sondern weil niemand erklärt hat, was konkret zu tun ist.
Dieser Ratgeber gibt Ihnen eine klare Orientierung zu den wichtigsten Sicherheitsbausteinen: MFA, Conditional Access, Rollen und Rechte, Backup sowie häufige Konfigurationsfehler, die wir in der Praxis regelmäßig sehen.
MFA ist der effektivste einzelne Schutzmechanismus, den Sie in Microsoft 365 aktivieren können. Studien von Microsoft selbst zeigen, dass MFA über 99 % der auf Passwörtern basierenden Kontoangriffe verhindert.
Das Prinzip: Neben dem Passwort muss bei der Anmeldung ein zweiter Faktor bestätigt werden – üblicherweise per Microsoft Authenticator App, alternativ per SMS oder Hardware-Token. Selbst wenn ein Angreifer das Passwort kennt (durch Phishing, Datenleck oder Brute-Force), kommt er ohne das zweite Gerät nicht rein.
In der Praxis sollten Sie folgendes sicherstellen:
Conditional Access (Bedingter Zugriff) ist ein leistungsstarkes Werkzeug, das ab Microsoft 365 Business Premium oder mit einem entsprechenden Azure-AD-Add-on verfügbar ist. Es erlaubt, den Zugang zu M365 an spezifische Bedingungen zu knüpfen.
Typische Richtlinien, die KMU einrichten sollten:
Conditional Access erfordert Planung: Zu restriktive Regeln können legitime Nutzer aussperren. Wir empfehlen, neue Richtlinien zunächst im „Report-only"-Modus zu testen, bevor sie aktiv geschaltet werden.
In Microsoft 365 gibt es eine Vielzahl von Administrator-Rollen mit unterschiedlichen Berechtigungen: von der globalen Admin-Rolle über Exchange-Admin bis hin zu Helpdesk-Admin oder Teams-Admin. Viele Unternehmen arbeiten nach dem Muster „alle Admins bekommen Global Admin" – das ist bequem, aber gefährlich.
Warum das ein Problem ist: Ein kompromittiertes Global-Admin-Konto gibt dem Angreifer vollständige Kontrolle über Ihr gesamtes M365-Tenant: alle E-Mails, alle Dateien, alle Nutzer. Häufig werden solche Angriffe genutzt, um im Hintergrund Weiterleitung aller E-Mails einzurichten – wochenlang unbemerkt.
Bessere Praxis:
Dies ist der Punkt, der die meisten Unternehmen überrascht: Microsoft sichert Ihre Daten nicht so, wie die meisten es erwarten.
Was Microsoft macht: Die Plattform-Infrastruktur wird von Microsoft redundant betrieben. Es gibt Papierkorb-Funktionen und limitierte Versionierungen. Aber: Diese sind auf kurzfristige Wiederherstellung kleiner Versehen ausgelegt, nicht auf vollständige Datensicherung gegen Ransomware, versehentliches Löschen größerer Mengen oder gezielte Manipulation durch Insider.
Konkrete Szenarien, für die Microsoft-Bordmittel oft nicht ausreichen:
Die Lösung: Ein eigenes M365-Backup über einen spezialisierten Dienst (Drittanbieter-Backup für Exchange Online, SharePoint, OneDrive und Teams). Gute Lösungen sichern täglich, halten Daten über Jahre vor und ermöglichen granulare Wiederherstellung einzelner Elemente. Mehr zum Thema Backup-Strategie lesen Sie in unserem Ratgeber zur 3-2-1-Backup-Strategie.
Zwei weitere Einstellungen, die in der Praxis regelmäßig übersehen werden:
Standardmäßig können Nutzer in vielen M365-Konfigurationen Dateien per Link mit beliebigen externen Personen teilen – ohne Anmeldung, ohne Ablaufdatum. Das ist komfortabel, aber aus Datenschutzsicht problematisch. Empfehlung: Externe Freigaben auf authentifizierte externe Nutzer beschränken und Links mit Ablaufdatum versehen.
Ein klassisches Angriffsmuster: Kompromittiertes Konto, Weiterleitung aller eingehenden E-Mails an externe Adresse einrichten, Weiterleitung verbergen. Das Ziel ist oft Wirtschaftsspionage oder Vorbereitung von CEO-Fraud. Schützen Sie sich durch eine Richtlinie, die automatische externe Weiterleitungen grundsätzlich blockiert oder nur für zugelassene Adressen erlaubt.
Eine saubere M365-Konfiguration ist kein einmaliges Projekt, sondern laufende Pflege. Microsoft veröffentlicht regelmäßig neue Sicherheitsfunktionen und passt Empfehlungen an. Was heute als Best Practice gilt, kann in einem Jahr bereits überholt sein.
Unser Leistungsumfang für Microsoft 365 umfasst:
Mehr zu unserem Leistungsbereich finden Sie auf der Microsoft-365-Leistungsseite und bei unserer IT-Sicherheit.
Wir prüfen Ihren Microsoft-365-Tenant auf die wichtigsten Sicherheitslücken und geben Ihnen eine klare, priorisierte Empfehlung. Kostenlos und ohne Verpflichtung – für Unternehmen in Schleswig, Flensburg, Rendsburg und ganz Schleswig-Holstein.