E-Commerce: Microsoft 365 ohne Ausfall und ohne erfolgreichen Phishing-Angriff

Ausgangslage

Ein E-Commerce-Unternehmen in Kaunas, Litauen, verkauft Haus- und Gartenprodukte in Litauen und den baltischen Staaten. Es hat 40 Beschäftigte: Kundenservice, Marketing, Einkauf und Lager. E-Mail und Kalender lagen bei einem lokalen Hosting-Anbieter, demselben, der viele Jahre zuvor den ersten Webshop gebaut hatte. Die Postfächer hatten begrenzte Kapazität, es gab keinen Ort für gemeinsame Dokumente, und die Mitarbeitenden tauschten Dateien über private Cloud-Konten aus.

Dazu kamen gemeinsam genutzte Konten: „info“, „orders“ und „purchasing“. Mehrere Personen meldeten sich bei jedem mit demselben Passwort an, oft vom privaten Telefon. Niemand nutzte eine Zwei-Faktor-Bestätigung.

Der Vorfall ereignete sich im Herbst, zu Beginn der Hochsaison. Eine Einkaufsleiterin erhielt eine E-Mail, angeblich von einem Lieferanten, mit einem Link zu einer „aktualisierten Rechnung“. Sie gab ihr E-Mail-Passwort auf einer gefälschten Seite ein. Innerhalb weniger Stunden wurden von ihrem Konto E-Mails an alle ihre Kontakte verschickt, und ein Lieferant erhielt die Aufforderung, die Bankverbindung für die Zahlung zu ändern. Der Lieferant rief zur Kontrolle an, deshalb ging kein Geld verloren, doch der Geschäftsführer des Unternehmens erkannte, dass es Glück war und kein Schutz.

Was erforderlich war

Gemeinsam mit dem Geschäftsführer und der Leiterin des Kundenservice legten wir die Ziele fest:

• E-Mail, Kalender und Kontakte so zu Microsoft 365 verlagern, dass der Kundenservice keine Unterbrechung spürt. In der Saison bedeutet jede Stunde unbeantworteter E-Mails verlorene Bestellungen.
• Eine Identität für jeden Mitarbeitenden, ohne gemeinsame Passwörter, und gemeinsame Postfächer als freigegebene Mail-Ressourcen statt als eigene Konten.
• Zwei-Faktor-Bestätigung für alle ohne Ausnahme, auch für die Führungskräfte.
• Schutz vor Phishing-E-Mails, bevor sie die Mitarbeitenden erreichen.
• Backups von E-Mails und Dokumenten, die unabhängig von Microsoft sind.
• Frist: vor den größten Verkaufstagen des Jahres, also vier Wochen.

Was wir getan haben

Woche 1: Vorbereitung und Identitäten

Wir legten einen Microsoft-365-Tenant an, verifizierten die Domain und begannen mit den Identitäten: ein persönliches Microsoft-Entra-ID-Konto für jeden Mitarbeitenden, und die gemeinsamen Postfächer „info“, „orders“ und „purchasing“ wurden zu freigegebenen Mail-Ressourcen, auf die bestimmte Personen mit ihrem eigenen Konto zugreifen. Nun ist sichtbar, wer welche E-Mail beantwortet hat.

Parallel bereiteten wir den Plan für die Migration vor: Der Mailverlauf wird im Voraus mehrfach nach Microsoft 365 kopiert, solange beide Systeme laufen, und die Umstellung erfolgt erst durch Änderung der Mail-Einträge der Domain.

Woche 2: Migration ohne Ausfall

Wir migrierten den Mailverlauf, manche Postfächer enthielten zehn Jahre E-Mails. Am Mittwochabend stellten wir die Domain-Einträge um, und am nächsten Morgen arbeiteten die Mitarbeitenden bereits in Microsoft 365. E-Mails, die in den Stunden der Umstellung eintrafen, wurden aus dem alten System abgeholt und übertragen. Keine einzige E-Mail ging verloren, und der Kundenservice arbeitete wie gewohnt.

Am schwierigsten waren die Systeme von Webshop und Lager, die automatische E-Mails über den alten Mailserver an Kunden verschickten. Wir konfigurierten sie vorab um und testeten sie, damit die Bestellbestätigungen nicht unterbrochen wurden.

Woche 3: Sicherheit

Wir aktivierten die Zwei-Faktor-Bestätigung für alle über eine Smartphone-App. Wir konfigurierten Conditional Access: Anmeldungen von unbekannten Geräten oder aus ungewöhnlichen Ländern werden blockiert, und die Legacy-Protokolle, die Phishing-Angreifer nutzen, sind deaktiviert. Die Telefone der Mitarbeitenden mit E-Mail-Zugang zur Arbeit wurden in die Geräteverwaltung aufgenommen, sodass bei Verlust eines Telefons die Firmendaten aus der Ferne gelöscht werden.

Die E-Mail-Filter richteten wir nach der Praxis der Microsoft-365-Sicherheit ein: Links in E-Mails werden im Moment des Klicks geprüft, Anhänge werden in einer geschützten Umgebung geöffnet, und E-Mails aus dem Ausland, die die Namen unserer Führungskräfte verwenden, werden als verdächtig markiert. Die Führungskräfte, deren Namen am häufigsten gefälscht werden, erhielten zusätzlichen Schutz vor Identitätsvortäuschung.

Woche 4: Backups und Schulung

Wir aktivierten das Microsoft-365-Backup mit Veeam: E-Mail, OneDrive, SharePoint und Teams werden täglich in unserem Rechenzentrum in Litauen (EU) gesichert, unabhängig von Microsoft. Eine gelöschte E-Mail oder ein gelöschtes Dokument wird in Minuten wiederhergestellt, nicht über eine Anfrage beim Microsoft-Support.

In der letzten Woche hielten wir eine einstündige Schulung für alle Mitarbeitenden: wie man eine gefälschte E-Mail erkennt, was zu tun ist, wenn man geklickt hat, und warum eine Änderung der Bankverbindung immer telefonisch bestätigt werden muss. Nach der Schulung begannen wir mit regelmäßigen Phishing-Simulationen, simulierten E-Mails, die zeigen, wer noch klickt.

Ergebnis

In den sechs Monaten nach der Migration gab es keinen einzigen erfolgreichen Phishing-Fall. Wir messen das auf zwei Wegen: Das Sicherheits-Dashboard zeigt jede blockierte E-Mail und jeden blockierten Anmeldeversuch, und die simulierten Phishing-E-Mails zeigen, wie die Mitarbeitenden reagieren. Beim ersten Test klickten einige, beim dritten niemand mehr.

Der E-Mail-Ausfall während der Migration betrug 0 Stunden: Der Kundenservice arbeitete die ganze Zeit, und die Umstellung fand abends statt. Alle 40 Konten, also 100 %, haben Zwei-Faktor-Bestätigung und Conditional Access, gemeinsame Passwörter gibt es nicht mehr. Jede versehentlich gelöschte E-Mail und Datei wird aus dem Backup wiederhergestellt; im halben Jahr gab es vier solche Anfragen, alle am selben Tag erledigt.

Nach dem Vorfall dachte ich, Sicherheit bedeute Unbequemlichkeit. Es zeigt sich, dass die Unbequemlichkeit vorher da war, wir haben sie nur nicht bemerkt.

Was wir in einer ähnlichen Situation raten

• Gemeinsame Konten mit gemeinsamem Passwort sind das größte Risiko in kleinen Unternehmen. Gemeinsame Postfächer sind möglich, aber die Anmeldung dort sollte mit einer persönlichen Identität erfolgen.
• Zwei-Faktor-Bestätigung für alle, auch für die Führungskräfte. Die Konten der Führungskräfte sind genau die, die Angreifer am meisten schätzen.
• Kopieren Sie bei einer E-Mail-Migration den Mailverlauf im Voraus und stellen Sie nur die Domain-Einträge um. Dann beträgt der Ausfall null und nicht ein Wochenende.
• Microsoft schützt Ihre E-Mail, ist aber nicht dafür verantwortlich, was Sie selbst oder ein Angreifer löschen. Eine Kopie außerhalb von Microsoft ist kein Luxus, sondern Standard.