Microsoft 365 sicher einrichten

Warum die Grundeinrichtung entscheidend ist

Microsoft 365 ist schnell gebucht und die ersten Postfächer sind in Minuten angelegt. Genau darin liegt das Risiko: Viele Umgebungen laufen jahrelang mit Standardeinstellungen, gemeinsam genutzten Konten und ohne zweiten Anmeldefaktor. Gestohlene Zugangsdaten – meist über Phishing – gehören zu den häufigsten Ursachen für Sicherheitsvorfälle in kleinen Unternehmen.

Die folgenden Schritte sind keine vollständige Sicherheitsarchitektur, decken aber die Punkte ab, die in der Praxis den größten Unterschied machen.

Schritt 1: Mehr-Faktor-Anmeldung für alle

Mehr-Faktor-Anmeldung (MFA) verlangt neben dem Passwort einen zweiten Nachweis, etwa eine Bestätigung in der Microsoft-Authenticator-App. Selbst wenn ein Passwort abgegriffen wird, reicht es dann allein nicht für die Anmeldung.

In kleineren Umgebungen lassen sich dafür die von Microsoft bereitgestellten Sicherheitsstandards (Security Defaults) aktivieren. Mit Lizenzen, die Microsoft Entra ID P1 enthalten – etwa Microsoft 365 Business Premium –, stehen Richtlinien für bedingten Zugriff (Conditional Access) zur Verfügung, mit denen sich Regeln feiner steuern lassen, zum Beispiel nur verwaltete Geräte oder bestimmte Länder.

Schritt 2: Administratorkonten trennen

1. Nutzen Sie für die Verwaltung ein eigenes Administratorkonto, nicht Ihr tägliches Arbeitskonto mit E-Mail.
2. Vergeben Sie die Rolle „Globaler Administrator“ nur an so wenige Personen wie nötig, aber mindestens zwei, damit kein Aussperren droht.
3. Schützen Sie Administratorkonten immer mit MFA.
4. Prüfen Sie regelmäßig, wer welche Rollen hat, und entfernen Sie nicht mehr benötigte Rechte.

Schritt 3: Domain und E-Mail-Sicherheit

Für E-Mails mit eigener Domain werden beim Domain-Anbieter DNS-Einträge gesetzt. Neben dem MX-Eintrag für den Empfang sind drei Einträge für die Sicherheit wichtig: SPF legt fest, welche Server im Namen Ihrer Domain senden dürfen. DKIM signiert ausgehende Mails. DMARC teilt empfangenden Servern mit, wie mit Mails umzugehen ist, die diese Prüfungen nicht bestehen.

Gemeinsam erschweren sie es Betrügern, gefälschte Mails mit Ihrer Absenderadresse zu verschicken, und verbessern die Zustellbarkeit. Große Mail-Anbieter verlangen diese Einträge inzwischen zunehmend.

Schritt 4: OneDrive und SharePoint richtig nutzen

OneDrive ist der persönliche Speicher eines Benutzers. SharePoint – meist über Microsoft Teams genutzt – ist die gemeinsame Ablage für Teams und Abteilungen. Gemeinsame Firmendaten gehören in SharePoint. Liegen sie im OneDrive eines Mitarbeiters, wird es beim Ausscheiden dieser Person kompliziert.

Legen Sie eine einfache Struktur fest, etwa nach Abteilungen oder Projekten, und vergeben Sie Berechtigungen über Gruppen statt einzeln. Prüfen Sie außerdem die Einstellungen für externe Freigaben: Links, die „jeder“ öffnen kann, sind bequem, aber selten nötig.

Schritt 5: Lebenszyklus der Benutzer

Für neue Mitarbeiter sollte klar sein, welche Lizenz, welche Gruppen und welche Geräte sie erhalten. Beim Ausscheiden wird das Konto zeitnah gesperrt, das Postfach bei Bedarf in ein freigegebenes Postfach umgewandelt und die Lizenz freigegeben.

Eine kurze Checkliste für Ein- und Austritte verhindert vergessene aktive Konten – ein häufiges und unnötiges Risiko.

Schritt 6: Zusätzliche Datensicherung

Microsoft betreibt seine Rechenzentren ausfallsicher und bietet Papierkorb- und Aufbewahrungsfunktionen. Das ersetzt aber keine unabhängige Sicherung gegen versehentliches Löschen über die Aufbewahrungsfristen hinaus, Fehlkonfigurationen oder Verschlüsselung durch Schadsoftware. Microsoft empfiehlt in seinem Servicevertrag selbst, Daten zusätzlich zu sichern.

Ein Backup für Exchange Online, OneDrive, SharePoint und Teams ist deshalb sinnvoll – inklusive gelegentlichem Wiederherstellungstest.

Regelmäßig überprüfen

Eine sichere Grundeinrichtung ist kein einmaliges Projekt. Mitarbeiter kommen und gehen, neue Funktionen werden freigeschaltet, und Freigaben sammeln sich über die Zeit an. Planen Sie deshalb eine regelmäßige Überprüfung ein, zum Beispiel einmal im Quartal.

Prüfen Sie dabei, welche Konten aktiv sind und ob alle MFA nutzen, wer Administratorrechte hat, welche externen Freigaben bestehen, ob Weiterleitungsregeln an externe Adressen eingerichtet wurden und ob die Sicherung von Postfächern und Dateien durchläuft. Gerade automatische Weiterleitungen an fremde Adressen sind ein typisches Anzeichen für ein kompromittiertes Konto. Der Microsoft Secure Score im Admin-Center liefert zusätzlich Hinweise, welche Einstellungen noch verbessert werden können.