Ein kompromittiertes Microsoft-365-Konto ist selten nur ein einzelnes IT-Problem. Angreifer erhalten damit oft Zugriff auf E-Mails, Dateien, Teams-Chats, Kontakte und interne Prozesse. Wer Microsoft 365 sicher konfigurieren möchte, muss deshalb Identitäten, Geräte, Daten und tägliche Arbeitsabläufe gemeinsam betrachten – nicht einzelne Einstellungen isoliert aktivieren.

Für mittelständische Unternehmen, Gemeinden, Schulen und spezialisierte Betriebe gilt: Sicherheit muss im Alltag funktionieren. Mitarbeitende brauchen einen einfachen, verlässlichen Zugriff auf ihre Werkzeuge. Gleichzeitig müssen Verantwortliche nachvollziehen können, wer worauf zugreift, wo Daten liegen und wie im Ernstfall reagiert wird. Eine gute Konfiguration reduziert Risiken, ohne die Produktivität auszubremsen.

Microsoft 365 sicher konfigurieren beginnt mit Identitäten

Das Benutzerkonto ist der zentrale Zugangspunkt zu Microsoft 365. Wird ein Kennwort gestohlen oder ein Zugang per Phishing abgegriffen, reichen klassische Passwortrichtlinien allein nicht aus. Multifaktor-Authentifizierung, kurz MFA, sollte deshalb für alle Konten verpflichtend sein – besonders für Administratoren, Führungskräfte und Mitarbeitende mit Zugriff auf sensible Daten.

Dabei kommt es auf die Umsetzung an. Eine Authenticator-App oder passwortlose Anmeldung bietet im Regelfall besseren Schutz als SMS-Codes. SMS kann in Ausnahmefällen sinnvoll sein, etwa während einer Übergangsphase oder für Nutzende ohne geeignetes Mobilgerät. Als dauerhafte Standardmethode bleibt sie jedoch anfälliger für Angriffe und organisatorische Probleme, etwa bei Rufnummernwechseln.

Mindestens ebenso relevant sind getrennte Administratorkonten. Wer Microsoft 365 verwaltet, sollte nicht mit dem täglichen Benutzerkonto globale Administrationsrechte besitzen. Für die normale Arbeit wird ein Standardkonto verwendet, für Verwaltungsaufgaben ein separates, besonders geschütztes Konto. So bleibt der Schaden begrenzt, falls das persönliche Postfach kompromittiert wird.

Auch ehemalige Mitarbeitende dürfen nicht zum blinden Fleck werden. Ein klarer Onboarding- und Offboarding-Prozess stellt sicher, dass Konten rechtzeitig angelegt, Rollen sauber vergeben und Zugänge beim Austritt sofort gesperrt werden. Gemeinsame Postfächer, Weiterleitungen, mobile Geräte und externe Freigaben gehören dabei mit auf die Prüfliste.

Zugriffe nur erlauben, wenn sie plausibel sind

MFA schützt nicht vor jedem Angriff. Wenn ein Angreifer eine Sitzung übernimmt oder ein Nutzer einer täuschend echten Abfrage zustimmt, können weitere Kontrollen entscheidend sein. Conditional Access, also bedingter Zugriff, ergänzt die Anmeldung um Regeln: Darf sich ein Benutzer mit diesem Gerät, aus dieser Region und über diese Anwendung anmelden?

Für viele Organisationen ist ein stufenweiser Ansatz sinnvoll. Zuerst werden Administratorkonten und besonders sensible Anwendungen abgesichert. Danach folgen alle Mitarbeitenden sowie Zugriffe auf Exchange Online, SharePoint, OneDrive und Teams. Regeln können beispielsweise verlangen, dass nur verwaltete oder als konform eingestufte Geräte auf Unternehmensdaten zugreifen dürfen.

Pauschale Sperren nach Ländern klingen auf den ersten Blick überzeugend, passen aber nicht immer zum Geschäftsmodell. Ein Handwerksbetrieb mit regionalem Einsatzgebiet hat andere Anforderungen als ein Logistikunternehmen mit internationalen Teams oder ein Hotel mit saisonalen Mitarbeitenden. Besser als eine starre Regel ist ein Konzept, das reale Arbeitswege berücksichtigt und Ausnahmen dokumentiert.

Besondere Aufmerksamkeit verdienen Legacy-Authentifizierung und veraltete Protokolle. Sie umgehen häufig moderne Anmeldekontrollen und werden von Angreifern gezielt ausgenutzt. Wo keine fachliche Abhängigkeit besteht, sollten diese Zugriffswege deaktiviert werden. Besteht eine Abhängigkeit, etwa durch ein älteres Multifunktionsgerät, braucht es eine klar abgegrenzte technische Lösung statt einer allgemeinen Sicherheitsausnahme.

Geräteverwaltung macht Sicherheitsregeln durchsetzbar

Ob Notebook, Smartphone oder Tablet: Unternehmensdaten verlassen den geschützten Standort. Ohne Geräteverwaltung lässt sich kaum zuverlässig feststellen, ob ein Endgerät verschlüsselt, aktuell und mit einer Displaysperre geschützt ist. Microsoft Intune kann hier die Basis für ein einheitliches Management schaffen.

Eine praxistaugliche Gerätekonfiguration prüft unter anderem Betriebssystemupdates, Festplattenverschlüsselung, Virenschutz, sichere Bildschirmsperren und den Status von Sicherheitsfunktionen. Bei mobilen Geräten können geschäftliche Anwendungen zusätzlich von privaten Bereichen getrennt werden. Das ist besonders hilfreich, wenn Bring Your Own Device erlaubt ist.

BYOD ist allerdings keine reine Lizenzfrage. Unternehmen müssen vorab festlegen, welche Daten auf private Geräte dürfen, ob Downloads erlaubt sind und was beim Ausscheiden eines Mitarbeitenden geschieht. In vielen Fällen reicht es aus, nur die Unternehmensanwendungen zu verwalten und bei Bedarf geschäftliche Daten daraus zu entfernen. Ein vollständiges Management des privaten Smartphones wäre dagegen oft unverhältnismäßig und wird von Mitarbeitenden verständlicherweise kritisch gesehen.

Für gemeinsam genutzte Geräte in Schulen, im Einzelhandel, in der Produktion oder an Empfangsarbeitsplätzen gelten wiederum andere Regeln. Dort sind standardisierte Benutzerprofile, automatisches Abmelden und eingeschränkte lokale Speichermöglichkeiten häufig sinnvoller als eine umfangreiche persönliche Gerätefreigabe.

E-Mail bleibt das wichtigste Einfallstor

Phishing, gefälschte Rechnungen und manipulierte Freigabelinks erreichen Mitarbeitende meist per E-Mail. Exchange Online sollte deshalb mit einer abgestimmten Schutzstrategie betrieben werden. Dazu gehören Anti-Phishing-Richtlinien, Spam- und Malwarefilter sowie eine Quarantäne, die regelmäßig geprüft wird.

Nicht jede verdächtige Nachricht muss automatisch gelöscht werden. Gerade in Bereichen mit vielen externen Kontakten können zu aggressive Filter geschäftskritische E-Mails zurückhalten. Die richtige Konfiguration sucht den Ausgleich: bekannte Bedrohungsmuster konsequent blockieren, auffällige Nachrichten kennzeichnen und Quarantäneprozesse klar regeln.

Zusätzlich sollten externe Weiterleitungen kontrolliert werden. Automatische Weiterleitungen an private Postfächer führen schnell zu Datenabflüssen, oft ohne böse Absicht. Wenn externe Weiterleitungen fachlich erforderlich sind, sollten sie gezielt genehmigt, protokolliert und regelmäßig überprüft werden.

Technische Filter ersetzen keine Sensibilisierung. Mitarbeitende müssen wissen, wie sie ungewöhnliche Anmeldeabfragen, Rechnungsänderungen oder vermeintliche Nachrichten der Geschäftsleitung erkennen und melden. Kurze, wiederkehrende Schulungen mit realistischen Beispielen wirken meist besser als eine jährliche Pflichtunterweisung ohne Praxisbezug.

Daten schützen, ohne Zusammenarbeit zu erschweren

SharePoint, OneDrive und Teams machen Zusammenarbeit schnell und flexibel. Genau diese Flexibilität schafft Risiken, wenn Freigaben unkontrolliert wachsen. Links mit Zugriff für „Jeder“ sind bequem, aber für viele interne Dokumente ungeeignet. Standardmäßig sollten Freigaben auf benannte Personen oder klar definierte Gruppen begrenzt sein.

Für externe Zusammenarbeit braucht es Regeln statt pauschaler Verbote. Projektpartner, Steuerberater oder Lieferanten benötigen in manchen Fällen Zugriff auf einzelne Bereiche. Dann sollten Gastzugänge zeitlich begrenzt, Verantwortliche benannt und sensible Bereiche separat verwaltet werden. Eine Freigabe für einen Projektordner ist etwas anderes als ein dauerhafter Zugang zum gesamten Team.

Sensitivitätsbezeichnungen können dabei helfen, Daten sichtbar zu klassifizieren – etwa als intern, vertraulich oder streng vertraulich. Je nach Schutzbedarf lassen sich passende Maßnahmen verknüpfen, beispielsweise Verschlüsselung, Einschränkungen für Ausdrucke oder Warnhinweise bei externen Empfängern. Der Nutzen entsteht jedoch nur, wenn die Kategorien verständlich bleiben. Zehn komplizierte Stufen werden im Alltag kaum korrekt angewendet.

Auch Aufbewahrung und Löschung brauchen eine bewusste Entscheidung. Daten endlos zu speichern wirkt zunächst sicher, erhöht aber Kosten, Suchaufwand und das Risiko bei Auskunftsersuchen oder Sicherheitsvorfällen. Gesetzliche Vorgaben, vertragliche Anforderungen und interne Prozesse müssen hier zusammenpassen. Für medizinische Einrichtungen, öffentliche Stellen oder Unternehmen mit Qualitätsmanagement gelten oft zusätzliche Anforderungen.

Protokolle und Warnungen müssen zu Reaktionen führen

Microsoft 365 erzeugt viele Signale: ungewöhnliche Anmeldungen, Änderungen an Berechtigungen, neue Weiterleitungsregeln oder massive Dateidownloads. Ohne feste Zuständigkeiten werden diese Hinweise jedoch schnell übersehen. Sicherheit entsteht nicht durch aktivierte Benachrichtigungen, sondern durch einen definierten Ablauf für die Bearbeitung.

Klären Sie daher vorab, wer Warnungen prüft, welche Ereignisse sofort eskaliert werden und wie ein Konto im Verdachtsfall gesperrt wird. Ein dokumentierter Notfallprozess sollte auch die Kommunikation abdecken: Wer informiert Geschäftsführung, Datenschutz, betroffene Kunden oder den Versicherer? Im Ernstfall kostet fehlende Klarheit wertvolle Zeit.

Regelmäßige Sicherheitsbewertungen sind ebenfalls sinnvoll. Neue Anwendungen, veränderte Teams, Fusionen oder der Wechsel eines Dienstleisters verändern die Risikolage. Eine Konfiguration, die vor zwei Jahren passend war, muss nicht mehr zu aktuellen Arbeitsweisen und Compliance-Vorgaben passen.

Sicherheit als betreibbarer Prozess

Microsoft 365 sicher zu konfigurieren ist kein Projekt mit einem endgültigen Haken auf der Aufgabenliste. Lizenzen, Funktionen, Bedrohungen und Arbeitsmodelle verändern sich laufend. Entscheidend ist daher ein Sicherheitskonzept, das dokumentiert, überprüfbar und für die eigene Organisation verständlich bleibt.

IT4YOU unterstützt Unternehmen dabei, technische Maßnahmen und operative Abläufe zusammenzuführen – von der Bestandsaufnahme über die Einführung bis zum laufenden Monitoring und schnellen Support. Der beste nächste Schritt ist nicht, möglichst viele Richtlinien gleichzeitig zu aktivieren. Beginnen Sie mit den Konten, Daten und Prozessen, deren Ausfall oder Verlust Ihr Unternehmen tatsächlich treffen würde, und bauen Sie den Schutz von dort strukturiert aus.