Ein Unternehmen kauft Microsoft 365, migriert die E-Mails, die Mitarbeitenden fangen an zu arbeiten, und alle gehen davon aus, dass die Sicherheit erledigt ist. Es ist ja Microsoft. Das stimmt teilweise: Die Plattform hat viele Schutzschichten. Aber ein guter Teil davon ist in einem neuen Tenant ausgeschaltet oder nur teilweise aktiv, weil Microsoft nicht wissen kann, wie Ihr Unternehmen arbeitet, und die Entscheidung dem Administrator überlässt.
Wenn wir die Administration von Microsoft 365 übernehmen, ist nach unserer Erfahrung der häufigste Befund kein Einbruch, sondern ein Tenant mit Standardeinstellungen: MFA nur für Administratoren aktiviert, Legacy-Protokolle für E-Mail offen, das Audit-Protokoll nicht eingeschaltet und einige Mitarbeitende, die Regeln eingerichtet haben, die E-Mails an ein privates Postfach weiterleiten. Nichts davon fällt im Arbeitsalltag auf, bis ein Vorfall eintritt.
Nachfolgend die acht Einstellungen, die wir zuerst prüfen. Die meisten verursachen keine zusätzlichen Kosten und lassen sich in Stunden statt Wochen einschalten.
MFA für alle, nicht nur für Administratoren
Die Multifaktor-Authentifizierung (MFA) ist die wichtigste Einzelmaßnahme gegen die Übernahme von Konten. Passwörter werden geleakt, erraten und per Phishing abgegriffen, und ein zweiter Faktor unterbricht diese Kette. Microsoft schaltet für neue Tenants die Sicherheitsstandards ein, die MFA verlangen, in älteren Tenants sind sie aber oft ausgeschaltet, und in Unternehmen, die Conditional Access nutzen, geht die Verantwortung auf Richtlinien über.
Was zu prüfen ist: ob die MFA-Registrierung für alle Benutzer verlangt wird, einschließlich freigegebener Postfächer, an denen man sich direkt anmeldet, und Dienstkonten. Ob die App Microsoft Authenticator statt SMS verwendet wird, der schwächsten Form. Ob der Schutz vor MFA-Müdigkeit aktiv ist, bei der ein Benutzer nur deshalb auf „Genehmigen“ tippt, weil die Anfragen nicht aufhören.
Conditional Access statt „jeder bekommt alles“
Conditional Access ist eine Funktion von Entra ID P1, die Business Premium und die Enterprise-Tarife enthalten. Damit legen Sie Regeln fest: aus welchen Ländern Anmeldungen kommen dürfen, ob das Gerät verwaltet sein muss, wann erneut nach MFA gefragt wird, welche Apps blockiert werden.
Die häufigste Situation ist ein Unternehmen, das Premium hat, aber keine einzige Conditional-Access-Richtlinie. Das heißt, es bezahlt für eine Funktion, die nicht läuft. Das Minimum, das wir empfehlen:
- Anmeldungen aus Ländern blockieren, in denen das Unternehmen nicht tätig ist.
- MFA für alle Cloud-Apps verlangen.
- Für Administratorkonten ein konformes Gerät verlangen.
- Legacy-Authentifizierungsprotokolle blockieren (dazu unten mehr).
- Die Sitzungsdauer auf nicht verwalteten Geräten begrenzen.
Wir schalten Richtlinien zunächst im Modus „Nur Bericht“ ein, um zu sehen, was blockiert würde, und aktivieren sie erst danach. So vermeiden wir, dass am Montagmorgen das halbe Unternehmen sich nicht anmelden kann.
Legacy-Protokolle, die MFA umgehen
POP3, IMAP, SMTP AUTH und ältere Outlook-Versionen nutzen die sogenannte Legacy-Authentifizierung, die MFA nicht unterstützt. Sind diese Protokolle offen, braucht ein Angreifer nur das Passwort, und niemand fragt nach einem zweiten Faktor. Die meisten Angriffe, bei denen Passwörter durchprobiert werden, laufen genau über diese Protokolle.
Microsoft hat einige davon auf Plattformebene deaktiviert, aber SMTP AUTH lässt sich für einzelne Postfächer weiterhin aktivieren, und das ist oft bei Multifunktionsdruckern, Scannern oder alten Anwendungen der Fall, die E-Mails versenden. Die Lösung: in den Anmeldeprotokollen prüfen, wer Legacy-Protokolle tatsächlich nutzt, die Geräte auf moderne Authentifizierung oder einen separaten Sendeconnector umstellen und die Protokolle dann mit einer Conditional-Access-Richtlinie blockieren.
Kontrolle von Regeln zur Weiterleitung von E-Mails
Das ist eines der unauffälligsten und gefährlichsten Themen. Übernimmt ein Angreifer ein Konto, besteht der erste Schritt oft nicht darin, E-Mails zu lesen, sondern eine Regel anzulegen: Jede Nachricht mit Wörtern wie „Rechnung“, „Zahlung“ oder „Bank“ an eine externe Adresse weiterleiten und aus dem Posteingang löschen. Der Benutzer bemerkt nichts, während der Angreifer monatelang die Korrespondenz mit Kunden verfolgt und auf den richtigen Moment wartet, um die Bankverbindung auf einer Rechnung zu ändern.
Was einzustellen ist: In der Richtlinie für ausgehenden Spam in Exchange Online die automatische Weiterleitung an externe Domänen blockieren. Die Warnung für neu angelegte Weiterleitungsregeln einschalten. Einmal im Monat die Weiterleitungseinstellungen aller Postfächer prüfen. Wird eine Weiterleitung tatsächlich gebraucht, erlauben Sie sie für ein bestimmtes Postfach, nicht für alle.
Schutz vor Datenverlust (DLP)
Mit DLP-Richtlinien erkennen und stoppen Sie den Versand sensibler Daten: Ausweisnummern, Bankkonten, Kartennummern, vertrauliche Dokumente. Microsoft Purview bietet fertige Vorlagen, darunter eine für die Datenschutz-Grundverordnung (DSGVO), aber keine davon ist standardmäßig aktiv.
Es lohnt sich, im Überwachungsmodus zu beginnen: Die Richtlinie protokolliert, wer sensible Daten wohin sendet, blockiert aber nichts. Nach einem Monat sehen Sie das reale Bild. Meist zeigt sich, dass personenbezogene Daten in Teams-Chats und an private E-Mail-Adressen viel häufiger wandern, als sich jemand vorgestellt hat. Dann verschärfen Sie die Richtlinien: eine Warnung an den Benutzer, Blockieren mit der Möglichkeit einer geschäftlichen Begründung, Blockieren ohne Ausnahmen.
Das Audit-Protokoll und seine Aufbewahrungsdauer
Das einheitliche Audit-Protokoll zeichnet auf, wer sich wann und von wo angemeldet hat, welche Dateien geöffnet, welche Regeln angelegt und was gelöscht wurde. Ohne es ist die Untersuchung eines Vorfalls Rätselraten. In neuen Tenants ist es meist eingeschaltet, ältere Tenants müssen geprüft werden, und die Aufbewahrungsdauer hängt vom Tarif ab: In Business-Tarifen und E3 werden die Einträge 180 Tage aufbewahrt.
Gilt NIS2 oder DORA für Ihr Unternehmen, können 180 Tage zu wenig sein. Dann brauchen Sie entweder das Add-on für längere Aufbewahrung oder einen Export der Protokolle in ein externes System. Das ist eines der Dinge, die wir bei einem IT-Sicherheitsaudit prüfen.
Freigabeeinstellungen in SharePoint und OneDrive
Standardmäßig erlauben SharePoint und OneDrive, Dateien mit jedem zu teilen, auch über einen anonymen Link „Jeder mit dem Link“. Das ist bequem, bedeutet aber, dass ein Mitarbeiter versehentlich einen ganzen Ordner öffentlich machen kann, und der Link bleibt unbegrenzt gültig.
Wir empfehlen: externe Freigabe nur für bestimmte Gäste erlauben, die sich nach einer Identitätsprüfung anmelden. Anonyme Links mit Ablaufdatum und reinen Leseberechtigungen versehen. Die Standardoption für Links von „Jeder“ auf „Personen in Ihrer Organisation“ ändern. Zugriffsüberprüfungen für Gäste einschalten, damit Gäste, mit denen Sie nicht mehr arbeiten, automatisch entfernt werden.
Administratorkonten: getrennt und ohne E-Mail
Eine häufige Situation: Die für die IT zuständige Person nutzt ihr Alltagskonto mit den Rechten eines globalen Administrators. Sie liest E-Mails, öffnet Anhänge und surft, und das alles mit Berechtigungen, die das Löschen des gesamten Tenants erlauben. Eine einzige erfolgreiche Phishing-E-Mail, und der Angreifer hat alles.
Der richtige Weg: ein eigenes Konto für die Administration, ohne Lizenz und ohne Postfach, mit verpflichtender MFA und möglichst einem Hardware-Schlüssel. Nicht mehr als zwei oder drei globale Administratoren, alle anderen erhalten engere Rollen nach Funktion (Exchange, SharePoint, Benutzeradministrator). Ein Notfallkonto (Break-Glass) mit langem Passwort, das in einem Safe liegt und von den Conditional-Access-Richtlinien ausgenommen ist. Wird der Tenant von einem externen Dienstleister betreut, sollte dieser sich über eigene getrennte Konten anmelden, nicht über einen gemeinsamen Benutzer „admin“.
Wo Sie anfangen
Keine dieser Einstellungen erfordert ein Projekt. Es braucht nur Konsequenz.
- Öffnen Sie im Admin Center den Bericht Microsoft Secure Score. Er zeigt, welche der oben genannten Punkte in Ihrem Tenant nicht aktiviert sind und wie viele Benutzer keine MFA haben.
- Woche eins: MFA für alle, Legacy-Protokolle blockieren, externe Weiterleitung verbieten. Diese drei Dinge stoppen die meisten Fälle von Kontoübernahme.
- Woche zwei: Conditional-Access-Richtlinien im Modus „Nur Bericht“, Trennung der Administratorkonten, strengere Freigabeeinstellungen.
- Innerhalb eines Monats: DLP im Überwachungsmodus, Prüfung der Aufbewahrungsdauer des Audit-Protokolls.
- Jedes Quartal: Überprüfung des Secure Score und Kontrolle der Weiterleitungsregeln.
Wenn wir das für Sie einrichten und pflegen sollen, deckt unsere Leistung Microsoft-365-Sicherheit alle acht Punkte als erste Bereinigung und laufende Überwachung ab. Zusammen mit der Microsoft-365-Administration sorgt sie dafür, dass die Einstellungen nicht zurückdriften, wenn jemand eine Richtlinie „vorübergehend“ ausschaltet und vergisst, sie wieder einzuschalten.
