Microsoft 365 absichern: Die wichtigsten Einstellungen für KMU

Standard-Setups als Risiko: Warum du dein Microsoft 365 selbst härten musst

Microsoft 365 ist die zentrale Plattform für die Zusammenarbeit in modernen Unternehmen. Nach der Einrichtung ist das System meist sofort einsatzbereit, was im stressigen Arbeitsalltag von kleinen und mittleren Unternehmen auf den ersten Blick vorteilhaft erscheint. Doch genau hier liegt die Gefahr: Out-of-the-Box-Systeme sind standardmäßig auf maximale Nutzbarkeit und Komfort ausgelegt, nicht auf maximale Sicherheit. Microsoft liefert dir eine solide technische Infrastruktur, überlässt die konkrete Absicherung und Härtung des Tenants jedoch komplett deiner eigenen Verantwortung.

Wer die Standardeinstellungen unverändert übernimmt, lässt kritische Einfallstore für Cyberkriminelle offen. Ein ungesicherter Tenant lädt Angreifer geradezu ein, sensible Unternehmensdaten zu entwenden oder Schadsoftware einzuschleusen. Dass diese Bedrohung für den deutschen Mittelstand existenzgefährdend sein kann, zeigen die aktuellen Zahlen der Bitkom-Studie Wirtschaftsschutz 2025. Laut dieser Erhebung waren im vergangenen Jahr enorme 87 Prozent der befragten Unternehmen von Datendiebstahl, Spionage oder Sabotage betroffen. Der Gesamtschaden für die deutsche Wirtschaft stieg auf einen Rekordwert von 289,2 Milliarden Euro, wovon allein 202,4 Milliarden Euro direkt auf Cyberangriffe zurückzuführen sind. Wenn ein Angreifer erst einmal Zugriff auf dein E-Mail-System hat, droht eine gefährliche Infektionskette, wie sie oft bei Ransomware im Mittelstand beobachtet wird.

Warum Standard-Defaults keine echte Härtung ersetzen

Viele Geschäftsführer und IT-Verantwortliche im Mittelstand gehen fälschlicherweise davon aus, dass die integrierten Sicherheitsfunktionen von Microsoft bereits ausreichen, um alle Risiken abzudecken. Doch die sogenannten Security Defaults von Microsoft bieten nur einen sehr grundlegenden Basisschutz, der flexiblen Business-Szenarien oft nicht gerecht wird. Sobald du beispielsweise komplexe Zugriffsregeln benötigst oder bestimmte Ausnahmen definieren musst, geraten die Standard-Defaults an ihre Grenzen. Eine echte Härtung erfordert die gezielte Konfiguration von Richtlinien, die exakt zu den Abläufen und Sicherheitsanforderungen deines Unternehmens passen.

• Veraltete Protokolle: Legacy-Authentifizierung ist oft noch aktiv und erlaubt es Angreifern, moderne Schutzmaßnahmen wie die Multi-Faktor-Authentifizierung (MFA) komplett zu umgehen.
• Zu großzügige Freigaben: Externe Freigaben für Dokumente und SharePoint-Seiten sind im Standardzustand sehr permissiv konfiguriert und begünstigen unbeabsichtigten Datenabfluss.
• Fehlende Protokollierung: Audit-Logs werden zwar teilweise erfasst, ihre Aufbewahrungsdauer ist jedoch standardmäßig extrem kurz, was eine nachträgliche forensische Analyse nach einem Vorfall fast unmöglich macht.
• Schwache Phishing-Filter: Die voreingestellten Spam- und Phishing-Filter von Microsoft Defender blockieren zwar bekannte Bedrohungen, bieten aber ohne zusätzliche manuelle Härtung kaum Schutz vor gezielten Phishing-Kampagnen.

Diese Schwachstellen zeigen deutlich, dass IT-Sicherheit kein statischer Zustand ist, sondern eine kontinuierliche Überwachung und Anpassung erfordert. Für mittelständische Betriebe ist es personell und fachlich oft kaum realisierbar, diese Härtung und das permanente Monitoring im Alleingang umzusetzen. Eine professionelle Dienstleistung im Bereich Managed IT kann hier entlasten, indem sie deinen Tenant von Anfang an nach Best Practices konfiguriert und kontinuierlich absichert. Ergänzend sorgt ein spezialisierter Service für Cybersecurity für den Mittelstand für eine proaktive Abwehr rund um die Uhr, damit Sicherheitslücken gar nicht erst ausgenutzt werden können.

Multi-Faktor-Authentifizierung (MFA): Der unentbehrliche Schutz für deine Konten

Ein einfaches Passwort reicht heute längst nicht mehr aus, um deine Unternehmensdaten in Microsoft 365 vor unbefugten Zugriffen zu schützen. Cyberkriminelle nutzen hochentwickelte Phishing-Methoden, automatisierte Passwort-Spraying-Angriffe und Datenlecks auf Drittanbieter-Plattformen, um an Zugangsdaten zu gelangen. Hat ein Angreifer erst einmal deinen Benutzernamen und dein Passwort erbeutet, steht ihm dein gesamtes M365-Konto offen. Für Geschäftsführer und IT-Verantwortliche im deutschen Mittelstand ist der Schutz der Identitäten daher die wichtigste Verteidigungslinie.

Hier kommt die Multi-Faktor-Authentifizierung (MFA) ins Spiel. Microsofts eigene Sicherheitsdaten belegen eindrucksvoll die Wirksamkeit dieses Instruments: Mehr als 99,9 % der kompromittierten Konten hatten keine MFA aktiviert^[1]. Die lückenlose Aktivierung der Identitätsprüfung schließt fast alle Einfallstore für automatisierten Identitätsdiebstahl. Wenn du im Rahmen von Services wie Managed IT deine Infrastruktur absichern lässt, gehört die Durchsetzung einer konsequenten MFA-Richtlinie daher zu den allerersten Standardmaßnahmen.

Authenticator-Apps versus unsichere SMS-Verfahren

MFA ist jedoch nicht gleich MFA. Viele Unternehmen verlassen sich nach wie vor auf den Versand von Einmalcodes per SMS. Diese Methode ist zwar besser als gar kein zweiter Faktor, gilt in modernen Sicherheitsarchitekturen aber als veraltet und unsicher. Angreifer können SMS-Nachrichten durch sogenanntes SIM-Swapping abfangen oder gezielte Phishing-Seiten aufsetzen, die den SMS-Code in Echtzeit abfragen. Sicherere Alternativen sind dedizierte Authenticator-Apps wie der Microsoft Authenticator oder hardwarebasierte FIDO2-Sicherheitsschlüssel. Ergänzend schützt eine kontinuierliche Security-Awareness dein Team davor, auf Social-Engineering-Tricks hereinzufallen.

• App-basierte Freigabe (z. B. Microsoft Authenticator): Diese Methode ist sehr sicher und komfortabel. Sie schützt durch Push-Benachrichtigungen und die Abfrage einer zweistelligen Zahl auf dem Bildschirm vor versehentlichen Freigaben.
• FIDO2-Sicherheitsschlüssel: Diese physischen USB-Sticks oder NFC-Token bieten den höchsten Schutz gegen Phishing-Angriffe, da die Anmeldung an die physische Präsenz des Schlüssels gebunden ist.
• SMS- und Telefonanrufe: Bieten nur eine geringe Barriere gegen gezielte Angriffe, sollten jedoch als temporäre Übergangslösung genutzt werden, falls keine App-Nutzung möglich ist.

Absicherung aller administrativen Konten als erste Priorität

Besondere Aufmerksamkeit musst du den administrativen Konten in deinem Microsoft 365 Tenant widmen. Ein globaler Administrator verfügt über uneingeschränkten Zugriff auf deine gesamte Cloud-Umgebung, alle E-Mail-Postfächer und sämtliche Unternehmensdaten. Wird ein solches Konto kompromittiert, sind die Folgen verheerend. Daher gilt: Für alle Administratoren muss MFA ab der ersten Sekunde und ohne jede Ausnahme verpflichtend sein. Eine lückenlose Überwachung und die kontinuierliche Härtung deiner Konten erreichst du am besten mit professionellen Sicherheitsdiensten wie der Cybersecurity von CAVRIX, die deine IT-Umgebung rund um die Uhr überwacht.

Conditional Access: Intelligente Zugriffssteuerung statt starrer Blockaden

Herkömmliche Passwörter reichen längst nicht mehr aus, um deine Unternehmensdaten im heutigen Bedrohungsalltag zu schützen. Microsoft-Analysen zeigen immer wieder, dass über 99,9 % der erfolgreich kompromittierten Konten über keinen aktiven Mehrfaktor-Schutz (MFA) verfügen^[2]. Doch statische MFA-Abfragen allein können deine Teams im Alltag stören oder bei falscher Konfiguration umgangen werden. Hier setzt der bedingte Zugriff (Conditional Access) an: Er fungiert wie ein intelligenter, digitaler Pförtner. Statt den Zugriff pauschal zu erlauben oder stumpf zu sperren, bewertet Conditional Access jeden einzelnen Login-Versuch in Echtzeit anhand vordefinierter Kriterien und gibt den Zugriff nur unter sicheren Bedingungen frei.

Wie Conditional Access im KMU-Alltag funktioniert

Im Arbeitsalltag deiner Mitarbeiter läuft dieser Prozess nahezu unsichtbar im Hintergrund ab. Wenn sich ein Teammitglied beispielsweise aus dem Büro in Deutschland mit einem vom Unternehmen verwalteten Laptop anmeldet, erfolgt der Login direkt und ohne zusätzliche Hürden. Ändert sich jedoch der Kontext, passt sich das System flexibel an. Meldet sich dieselbe Person von einem privaten Endgerät oder aus einem unüblichen Urlaubsland an, fordert das System automatisch eine zusätzliche Verifizierung oder sperrt den Zugriff vollständig. Dadurch schützt du dein Unternehmen effektiv vor Schadsoftware und unerlaubten Zugriffen, ohne die tägliche Produktivität deiner Mitarbeiter unnötig einzuschränken.

• Geoblocking für unübliche Regionen: Sperre Anmeldeversuche aus Ländern, in denen deine Mitarbeiter niemals geschäftlich aktiv sind. Wenn dein Team nur in Deutschland und Westeuropa arbeitet, sollten Logins aus Asien oder anderen fernen Regionen standardmäßig blockiert werden.
• Zugriff nur für verifizierte Geräte (Managed Devices): Erlaube den direkten Zugriff auf sensible Firmendaten wie SharePoint oder interne Systeme nur für Geräte, die von deiner IT registriert und überwacht werden. Unbekannte Privatgeräte müssen draußen bleiben oder erhalten nur stark eingeschränkte Lese-Rechte.
• Risikobasierte MFA-Erzwingung: Nutze die intelligenten Signale von Microsoft Entra ID. Erkennt das System ein ungewöhnliches Anmeldeverhalten (wie eine unmögliche Reisegeschwindigkeit zwischen zwei Logins), wird zwingend eine erneute Bestätigung über die Authenticator-App gefordert.

Gerade für Geschäftsführer im deutschen Mittelstand ist die Absicherung von Identitäten und Cloud-Diensten kein optionales Projekt mehr. Bei Sicherheitsvorfällen drohen nicht nur finanzielle Schäden, sondern unter Umständen auch eine persönliche Haftung der Geschäftsführung. Richtlinien für den bedingten Zugriff bilden das Fundament einer modernen Zero-Trust-Strategie und stellen sicher, dass deine Unternehmensdaten auch im mobilen Arbeiten optimal geschützt sind.

Best Practices für die Einrichtung deiner ersten Richtlinien

Die Einführung von Conditional Access erfordert Sorgfalt. Wenn du Richtlinien unüberlegt aktivierst, läufst du Gefahr, dich selbst und deine gesamte Belegschaft auszusperren. Erstelle daher immer ein sogenanntes Notfallkonto (Break-Glass-Account), das von den Richtlinien ausgeschlossen ist und mit einem extrem sicheren, physisch hinterlegten Passwort geschützt wird. Zudem solltest du neue Regeln zuerst im reinen Report-Modus testen. So siehst du in den Protokollen genau, welche Auswirkungen die Richtlinie auf deine Mitarbeiter gehabt hätte, bevor du sie endgültig scharfschaltest.

Wenn dir im hektischen Mittelstandsalltag die Zeit oder das tiefgehende Fachwissen für die fortlaufende Konfiguration fehlen, helfen professionelle IT-Partner. Mit einem Service wie Managed IT oder einer umfassenden Cybersecurity -Lösung von CAVRIX lagerst du diese komplexen Aufgaben an Experten aus. Das sorgt für eine lückenlose Überwachung deiner Microsoft-Umgebung und gibt dir die Gewissheit, dass deine Sicherheitsrichtlinien stets auf dem neuesten Stand der Technik sind und rechtliche Vorgaben verlässlich erfüllen.

Audit-Logs aktivieren: Behalte die volle Kontrolle über deinen Tenant

In vielen Standard-Setups von Microsoft 365 sind die Audit-Logs zwar aktiviert, aber ihre Konfiguration reicht oft nicht aus, um dein Unternehmen wirksam zu schützen. Wenn Angreifer in deinen Tenant eindringen, bemerkst du das laut Sicherheitsstudien wie dem IBM Cost of a Data Breach Report durchschnittlich erst nach 194 Tagen^[3]. Das Problem dabei: Microsoft 365 speichert die standardmäßigen Überwachungsprotokolle in den meisten Standard-Tarifen nur für 180 Tage^[4]. Das bedeutet konkret, dass wichtige digitale Spuren bereits automatisch gelöscht sind, noch bevor du den Einbruch überhaupt bemerkst.

IT-Forensik und Compliance: Warum jede Sekunde zählt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt eine lückenlose Protokollierung aller administrativen Aktivitäten und kritischen Systemereignisse. Ohne diese Daten ist eine nachträgliche Schadensanalyse (IT-Forensik) im Ernstfall unmöglich. Du kannst dann weder feststellen, welche Daten abgeflossen sind, noch über welche Konten die Angreifer eingedrungen sind. Das hat auch handfeste Konsequenzen für deinen Versicherungsschutz: Wenn du nach einem Vorfall finanzielle Schäden geltend machen willst, prüft deine Cyberversicherung ganz genau, ob du deine Sorgfaltspflichten erfüllt und ausreichende Logs bereitgestellt hast.

Speicherfristen manuell anpassen und überwachen

Um zu verhindern, dass essenzielle Beweismittel gelöscht werden, musst du die standardmäßigen Aufbewahrungsrichtlinien für deine Audit-Logs im Microsoft Purview Compliance Portal manuell anpassen^[4]. Je nach Lizenzierung kannst du die Speicherung für wichtige Protokolle auf ein Jahr oder länger verlängern. Da die kontinuierliche Überwachung und Härtung eines Tenants jedoch viel Zeit kostet, lagern viele mittelständische Unternehmen diese Aufgaben aus. Eine professionelle Begleitung durch Services wie Managed IT stellt sicher, dass deine Cloud-Infrastruktur dauerhaft sicher konfiguriert bleibt.

• Aktivierung des Unified Audit Log (UAL) direkt nach der Einrichtung des Tenants.
• Einrichtung von automatischen Warnungen bei der Zuweisung von privilegierten Admin-Rollen.
• Alarmierung bei der Erstellung von neuen Postfach-Weiterleitungsregeln, da diese oft für Spionage genutzt werden.
• Überwachung von ungewöhnlichen Massendownloads oder dem massenhaften Löschen von Dokumenten in SharePoint.
• Echtzeit-Alerts bei Logins aus ungewöhnlichen Ländern oder IP-Adressbereichen.

Mit diesen gezielten Alarmierungsregeln verwandelst du passive Datenprotokolle in ein aktives Frühwarnsystem für dein KMU. Sobald eine ungewöhnliche Aktivität registriert wird, können deine IT-Verantwortlichen sofort eingreifen, um Schlimmeres zu verhindern. Ein solches proaktives Monitoring lässt sich ideal im Rahmen einer umfassenden Cybersecurity -Strategie abbilden, die Angriffe abwehrt, bevor sie Schaden anrichten können.

E-Mail-Härtung: So schützt du deine Domain vor Phishing und Spoofing

E-Mails sind das Einfallstor Nummer eins für Ransomware im Mittelstand. Viele Unternehmen verlassen sich nach der Einrichtung von Microsoft 365 auf die Standardkonfiguration, doch diese lässt kritische Einfallstore offen. Ohne zusätzliche Absicherung können Kriminelle E-Mails im Namen deiner eigenen Domain versenden, um Mitarbeiter oder Kunden zu täuschen. Mit einer professionellen Cybersecurity und der gezielten Härtung deiner E-Mail-Infrastruktur verhinderst du dieses sogenannte Spoofing effektiv.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt nachdrücklich die Implementierung von drei etablierten Sicherheitsstandards, um die Authentizität deiner E-Mails zweifelsfrei nachzuweisen. Als Geschäftsführer oder IT-Verantwortlicher musst du sicherstellen, dass diese technischen Protokolle fehlerfrei im Domain Name System (DNS) deiner Domain hinterlegt sind, um Haftungsrisiken und Betriebsunterbrechungen zu vermeiden. Diese Standards greifen wie Zahnräder ineinander:

• Sender Policy Framework (SPF): Dieses Protokoll legt fest, welche spezifischen Server berechtigt sind, E-Mails im Namen deiner KMU-Domain zu versenden, sodass unautorisierte Quellen sofort erkannt werden.
• DomainKeys Identified Mail (DKIM): DKIM fügt jeder ausgehenden Nachricht eine unsichtbare, kryptografische Signatur hinzu, die als digitaler Stempel dient und Manipulationen der E-Mail auf dem Transportweg ausschließt.
• Domain-based Message Authentication, Reporting and Conformance (DMARC): DMARC baut auf den Ergebnissen von SPF und DKIM auf und gibt empfangenden Servern eine klare Anweisung, wie sie mit gefälschten E-Mails verfahren sollen.

DMARC-Richtlinien schrittweise scharf schalten

Ein häufiger Fehler bei der Implementierung von DMARC ist die sofortige Aktivierung der schärfsten Richtlinie. Wenn du DMARC direkt auf den Modus Reject setzt, riskierst du, dass auch legitime Nachrichten wie Rechnungen von Drittanbietern oder Newsletter blockiert werden. Das BSI empfiehlt daher ein kontrolliertes Vorgehen in drei Phasen. Zuerst startest du mit der Richtlinie p=none, um Reports über die genutzten Versandquellen zu sammeln. Nach der Bereinigung aller legitimen Quellen stellst du auf p=quarantine um, wodurch verdächtige E-Mails im Spam-Ordner landen. Erst im letzten Schritt aktivierst du p=reject, um nicht autorisierte E-Mails komplett abzuweisen.

Integrierter Phishing-Schutz in Microsoft Defender

Neben der Domain-Härtung im DNS ist der Schutz auf Empfängerseite entscheidend. In Microsoft 365 Defender solltest du die Anti-Phishing-Richtlinien manuell verschärfen, da die Standardeinstellungen oft zu tolerant sind. Aktiviere den erweiterten Schutz vor Identitätswechseln (Impersonation Protection), damit Angreifer nicht den Namen deiner Geschäftsführer oder Schlüsselpersonen nachahmen können. Ein automatisiertes IT-Management wie unser Managed IT sorgt dafür, dass solche Richtlinien fortlaufend überwacht, aktualisiert und an neue Bedrohungslagen angepasst werden, ohne dass dein internes Team wertvolle Zeit verliert.

Sichere Freigaben in SharePoint und OneDrive: Datenabfluss gezielt unterbinden

Die unkontrollierte Freigabe von Dateien gehört zu den am meisten unterschätzten Sicherheitsrisiken im modernen Arbeitsalltag. Eine aktuelle Analyse zeigt, dass 68 Prozent aller IT-Entscheidungsträger anonyme Freigabelinks in SharePoint als gravierendes Sicherheitsrisiko einstufen, während 76 Prozent befürchten, dass künstliche Intelligenz sensible interne Daten zutage fördert, die unbemerkt für jeden freigegeben wurden^[5]. Wenn Mitarbeiter arglos Dokumente über unbegrenzte, anonyme Links mit externen Partnern teilen, verlierst du sofort die Kontrolle darüber, wer diese Geschäftsgeheimnisse liest, weiterleitet oder kopiert.

Die Gefahr anonymer Links und wie du sie entschärfst

Standardmäßig erlauben es die Werkseinstellungen von Microsoft 365 oft, Dateien mit der Option Jeder mit dem Link zu teilen. Ein solcher Link erfordert keine Anmeldung, keine Verifizierung und besitzt kein Ablaufdatum. Gelangt dieser Link in falsche Hände oder wird er von Suchmaschinen indiziert, sind deine sensiblen Daten öffentlich im Netz verfügbar. Um diesen Datenabfluss im deutschen Mittelstand konsequent zu verhindern, solltest du die globalen Freigabeeinstellungen im SharePoint Admin Center restriktiv konfigurieren. Hierbei hilft dir ein strukturiertes Governance- und GRC-Konzept, das du über professionelle Compliance Services von CAVRIX nahtlos in deine IT-Struktur integrieren kannst.

• Standard-Freigaben einschränken: Ändere den Standard-Linktyp von Jeder mit dem Link auf Personen in deiner Organisation oder Personen mit vorhandenem Zugriff.
• Ablauffristen erzwingen: Lege fest, dass externe Freigabelinks automatisch nach einer bestimmten Zeit, beispielsweise nach 14 oder 30 Tagen, ihre Gültigkeit verlieren.
• Zweistufige Verifizierung: Erlaube das Teilen mit externen Partnern nur, wenn sich diese durch einen zeitlich begrenzten Einmalcode identifizieren müssen.
• Download-Verbot aktivieren: Nutze die Option, das Herunterladen von geteilten Dokumenten für Externe komplett zu sperren, sodass Dateien nur im Browser gelesen werden können.

Regelmäßige Audits: Behalte die Hoheit über deine Daten

Die einmalige Einrichtung sicherer Richtlinien reicht langfristig nicht aus. Da Freigaben im Laufe der Zeit akkumulieren, ist eine regelmäßige Überprüfung aller aktiven Freigaben unerlässlich. Über das Microsoft 365 Security-Center oder durch die Implementierung von Cybersecurity Konzepten von CAVRIX lassen sich automatisierte Audits einrichten, die ungenutzte Gastzugänge und verwaiste Freigabelinks aufspüren. Dadurch schützt du dein Unternehmen vor unbeabsichtigten Datenlecks und stellst gleichzeitig sicher, dass gesetzliche Anforderungen an den Datenschutz eingehalten werden. Dies ist ein zentraler Baustein für deine allgemeine IT-Sicherheit und die Widerstandsfähigkeit deines Betriebs.