Microsoft 365 ist das meistgenutzte Cloud-Paket in deutschen KMU – und das aus gutem Grund. Teams, Outlook, SharePoint und OneDrive in einer Plattform, überall verfügbar, immer aktuell. Doch viele Unternehmen nutzen M365 mit den Werkseinstellungen – und verschenken damit einen erheblichen Teil des eingebauten Sicherheitspotenzials.
Warum Standardeinstellungen nicht reichen
Microsoft konfiguriert M365 so, dass es für möglichst viele Unternehmen sofort benutzbar ist. Das bedeutet: Kompromisse bei der Sicherheit zugunsten der Benutzerfreundlichkeit. Admins müssen aktiv eingreifen, um das volle Schutzniveau zu aktivieren.
7 Einstellungen, die einen Unterschied machen
1. MFA für alle Konten aktivieren
Nicht nur für Administratoren – für jeden Nutzer. Laut Microsoft werden 99,9 % der kompromittierten Konten durch MFA geschützt. Sicherheitsstandards (Security Defaults) aktivieren, oder noch besser: Conditional Access Policy anlegen.
2. Legacy-Authentifizierung blockieren
Alte Protokolle wie IMAP, POP3 und SMTP AUTH unterstützen kein MFA – Angreifer nutzen sie gezielt, um MFA zu umgehen. In Conditional Access blockieren, außer für explizit benötigte Ausnahmen.
3. Admin-Konten trennen
Niemand sollte mit seinem Adminkonto täglich arbeiten. Separate Konten für administrative Aufgaben verhindern, dass ein Phishing-Angriff direkt globale Adminrechte liefert.
4. Defender for Office 365 konfigurieren
Safe Links und Safe Attachments prüfen Links und Anhänge in Echtzeit – auch bei bereits zugestellten E-Mails. Anti-Phishing-Richtlinien schützen vor Spoofing und Impersonation-Angriffen.
5. Externe Weiterleitungen deaktivieren
Standardmäßig können Nutzer E-Mails automatisch an externe Adressen weiterleiten. Das ist ein beliebter Trick bei kompromittierten Konten: Angreifer leiten Mails an sich selbst weiter – still und unbemerkt. Im Exchange Admin Center deaktivieren.
6. Audit-Log aktivieren und aufbewahren
Das Unified Audit Log protokolliert alle Aktivitäten in M365. Ohne es ist im Ernstfall keine forensische Analyse möglich. Mindestens 90 Tage, besser 1 Jahr aufbewahren.
7. Privileged Identity Management (PIM)
Mit PIM werden Adminrechte nicht dauerhaft vergeben, sondern bei Bedarf für einen begrenzten Zeitraum aktiviert – mit Genehmigung und Protokollierung. Verfügbar ab M365 E3 / Azure AD P2.
Wo anfangen?
Der Microsoft Secure Score im Security Center zeigt Ihnen den aktuellen Stand und priorisiert Verbesserungsmaßnahmen. Ein guter Ausgangspunkt – aber kein Ersatz für eine individuelle Konfigurationsprüfung.
Ich führe M365-Security-Reviews durch und setze die notwendigen Einstellungen gemeinsam mit Ihnen um – ohne Betriebsunterbrechung.