Microsoft 365 Sicherheitscheck für Ihr KMU

Ein Microsoft 365 Sicherheitscheck beginnt selten mit einer spektakulären Sicherheitslücke. Häufiger zeigt er etwas Alltägliches: Ein ehemaliger Mitarbeiter kann sich noch anmelden, die Mehrfaktor-Authentifizierung gilt nicht für alle Konten oder vertrauliche Daten werden ohne klare Regeln geteilt. Microsoft 365 ist für viele KMU das zentrale Werkzeug für E-Mail, Dateien und Zusammenarbeit. Gerade deshalb muss die Absicherung zur tatsächlichen Nutzung im Betrieb passen - nicht nur zu den Standardeinstellungen bei der Einrichtung.

Für Geschäftsführung und Verantwortliche geht es dabei nicht darum, jeden technischen Begriff zu kennen. Entscheidend sind klare Antworten: Wer kann auf welche Daten zugreifen? Was passiert bei einem gestohlenen Passwort? Sind E-Mails ausreichend gegen Betrug geschützt? Und können wir nach einem Fehler oder Angriff wieder arbeitsfähig werden?

Was ein Microsoft 365 Sicherheitscheck prüft

Ein sinnvoller Sicherheitscheck betrachtet den gesamten Microsoft-365-Mandanten. Nicht als reine Liste von Einstellungen, sondern entlang der realen Risiken im Unternehmen. Ein Betrieb mit zehn Mitarbeitenden hat andere Abläufe als ein Unternehmen mit mehreren Standorten, externen Projektpartnern und mobilen Geräten. Die Grundfragen bleiben aber gleich.

Zunächst werden Identitäten und Zugänge geprüft. Benutzerkonten sind der häufigste Einstiegspunkt für Angriffe. Ein starkes Kennwort allein genügt nicht mehr, weil Zugangsdaten durch gefälschte Anmeldeseiten, kompromittierte Geräte oder wiederverwendete Passwörter abgegriffen werden können. Mehrfaktor-Authentifizierung reduziert dieses Risiko deutlich, wenn sie konsequent eingerichtet ist. Dabei muss auch geregelt sein, wie Mitarbeitende bei einem Gerätewechsel oder Verlust ihres Smartphones wieder sicher Zugang erhalten.

Danach folgt die Berechtigungsstruktur. In gewachsenen Umgebungen sammeln sich oft globale Administratoren, nicht mehr benötigte Konten und Freigaben an, die niemand bewusst eingerichtet hat. Jede weitreichende Berechtigung erhöht den möglichen Schaden bei einem kompromittierten Konto. Das Ziel ist nicht, Mitarbeitenden die Arbeit unnötig schwer zu machen. Es geht darum, Rechte so zu vergeben, dass sie für die jeweilige Aufgabe reichen - aber nicht darüber hinaus.

Ein weiterer Schwerpunkt liegt auf E-Mail und Zusammenarbeit. Phishing ist für KMU weiterhin eines der größten Risiken, weil eine glaubwürdige Rechnung oder eine vermeintliche Nachricht der Geschäftsführung genügt. Der Check prüft deshalb Schutzmechanismen für eingehende E-Mails, Regeln für Weiterleitungen und die Absicherung der eigenen Absenderdomain mit SPF, DKIM und DMARC. Gerade automatische Weiterleitungen an externe Adressen verdienen Aufmerksamkeit. Sie können unbemerkt sensible Kommunikation aus dem Unternehmen leiten.

Die kritischen Bereiche im Überblick

Ein Microsoft 365 Sicherheitscheck sollte mindestens diese Bereiche nachvollziehbar bewerten:

• Mehrfaktor-Authentifizierung und sichere Anmeldeverfahren für alle Benutzerkonten, insbesondere für Administratoren.
• Administratorrechte, externe Benutzer, ehemalige Mitarbeitende sowie nicht mehr benötigte Konten und Lizenzen.
• Schutz vor Phishing, Schadsoftware und betrügerischen E-Mails inklusive SPF, DKIM und DMARC.
• Freigaben in Teams, SharePoint und OneDrive sowie Regeln für externe Zusammenarbeit.
• Gerätesicherheit bei Notebooks und Mobilgeräten, etwa Verschlüsselung, Updates und Sperrbildschirm.
• Protokollierung, Alarmierung und nachvollziehbare Abläufe für Sicherheitsvorfälle.
• Datensicherung und die Wiederherstellung von E-Mails, Dateien und Teams-Daten.

Diese Punkte hängen zusammen. Eine starke Anmeldung hilft wenig, wenn ein Administrator zu viele Rechte besitzt. Eine saubere E-Mail-Konfiguration verhindert nicht jede betrügerische Nachricht, wenn Mitarbeitende ohne Rückfrage Zahlungsdaten ändern können. Sicherheit entsteht aus mehreren passenden Maßnahmen, nicht aus einem einzelnen Schalter.

Standardkonfiguration ist kein Sicherheitskonzept

Viele Unternehmen gehen davon aus, dass Microsoft 365 mit der richtigen Lizenz automatisch ausreichend abgesichert ist. Das ist verständlich, aber nur teilweise richtig. Microsoft stellt viele Schutzfunktionen bereit. Ob sie aktiviert, sinnvoll konfiguriert und im Alltag kontrolliert werden, ist eine andere Frage.

Besonders häufig finden sich Ausnahmen, die irgendwann aus Zeitdruck eingerichtet wurden: ein Konto ohne Mehrfaktor-Authentifizierung, eine weit offene Gastfreigabe oder eine Regel, die E-Mails automatisch an eine private Adresse weiterleitet. Solche Ausnahmen sind nicht immer falsch. Sie müssen aber begründet, dokumentiert und regelmäßig überprüft werden. Sonst werden sie zum blinden Fleck.

Auch die Lizenz allein beantwortet nicht, welche Schutzmaßnahmen notwendig oder verfügbar sind. Manche Funktionen setzen bestimmte Lizenzpläne voraus. Ein guter Check trennt daher klar zwischen sofort umsetzbaren Einstellungen, organisatorischen Maßnahmen und Optionen, die eine andere Lizenz oder zusätzliche Lösung benötigen. Transparenz ist hier wichtiger als ein pauschales Versprechen.

Backup: Verfügbarkeit braucht einen zweiten Weg

Microsoft betreibt eine sehr zuverlässige Plattform. Das bedeutet aber nicht automatisch, dass jede versehentlich gelöschte Datei, jede falsch konfigurierte Berechtigung oder jede absichtlich entfernte Information unbegrenzt wiederherstellbar ist. Aufbewahrungsfristen, Papierkörbe und Microsoft-eigene Redundanz sind wertvoll, ersetzen aber kein Backup-Konzept für geschäftskritische Daten.

Der Sicherheitscheck sollte daher klären, welche Daten gesichert werden müssen, wie lange sie aufbewahrt werden und wer eine Wiederherstellung auslösen darf. Ebenso wichtig ist ein Praxistest. Ein Backup, das nur als grünes Symbol in einer Oberfläche erscheint, ist noch kein Beweis dafür, dass eine bestimmte E-Mail, ein SharePoint-Ordner oder ein Teams-Inhalt im Ernstfall rechtzeitig wieder verfügbar ist.

Wie umfangreich die Sicherung sein muss, hängt vom Betrieb ab. Für ein Unternehmen, das Angebote, Verträge und Projektunterlagen vollständig in Microsoft 365 führt, gelten andere Anforderungen als für ein Team, das die Plattform fast ausschließlich für Kommunikation verwendet. Diese Entscheidung sollte bewusst getroffen und dokumentiert werden.

NIS2 und Verantwortung der Geschäftsführung

NIS2 und das österreichische NISG 2024 beschäftigen viele Unternehmen, auch wenn nicht jeder Betrieb unmittelbar in den Geltungsbereich fällt. Ein Microsoft 365 Sicherheitscheck ersetzt keine rechtliche Einordnung und keine vollständige Compliance-Prüfung. Er liefert jedoch eine belastbare technische Grundlage: Risiken werden sichtbar, Zuständigkeiten können festgelegt und offene Maßnahmen lassen sich priorisieren.

Für die Geschäftsführung ist vor allem entscheidend, dass Sicherheitsentscheidungen nachvollziehbar sind. Es muss erkennbar sein, welche Risiken bekannt waren, welche Maßnahmen vereinbart wurden und was bewusst zu einem späteren Zeitpunkt umgesetzt wird. Nicht jede Verbesserung muss sofort erfolgen. Nichtstun ohne Bewertung ist jedoch etwas anderes als eine begründete Entscheidung mit klarer Frist.

Vom Prüfbericht zur umsetzbaren Reihenfolge

Ein Bericht mit vielen roten Markierungen hilft wenig, wenn niemand weiß, was am Montag passieren soll. Darum sollte das Ergebnis eines Sicherheitschecks priorisiert sein. Zuerst kommen Maßnahmen, die einen direkten und großen Schutzgewinn bringen: Mehrfaktor-Authentifizierung, die Absicherung von Administratorkonten, das Entfernen ungenutzter Zugänge und der Schutz gegen E-Mail-Betrug.

Danach folgen Themen, die Abstimmung benötigen, etwa Freigaberegeln für externe Partner, die Verwaltung privater Geräte oder Aufbewahrungsfristen. Hier gibt es selten eine Einstellung, die für jedes Unternehmen passt. Ein Architekturbüro muss große Pläne möglicherweise mit externen Beteiligten teilen. Ein Personalbüro sollte bei Bewerbungsunterlagen deutlich restriktiver arbeiten. Gute Sicherheit respektiert solche Arbeitsabläufe, statt sie zu ignorieren.

Ebenso wichtig ist die laufende Betreuung. Mitarbeitende treten ein und aus, neue Geräte kommen dazu, Teams und Projekte entstehen. Eine einmalige Prüfung ist deshalb ein sinnvoller Startpunkt, aber kein Dauerzustand. Regelmäßige Kontrollen halten die Umgebung sauber und verhindern, dass kleine Ausnahmen über Jahre bestehen bleiben.

Bei Cloudschmiede ist ein solcher unabhängiger Blick unter dem Namen TenantSchmiede Teil der Sicherheitsarbeit. Entscheidend ist dabei nicht ein möglichst umfangreicher Bericht, sondern ein Gespräch auf Augenhöhe: Welche Risiken betreffen Ihren Betrieb tatsächlich, welche Maßnahmen sind jetzt sinnvoll und wer übernimmt verbindlich die Umsetzung?

Der beste Zeitpunkt für einen Sicherheitscheck ist nicht erst nach einem verdächtigen Login oder einer gefälschten Rechnung. Prüfen Sie Ihre Microsoft-365-Umgebung, solange Sie Reihenfolge, Aufwand und Verantwortlichkeiten selbst bestimmen können.