Microsoft 365 absichern: Die wichtigsten Einstellungen für kleine Unternehmen

Ein Microsoft-365-Mandant ist nach der Einrichtung nicht unsicher, aber er ist auf Kompatibilität ausgelegt und nicht auf das Risikoprofil eines konkreten Unternehmens. Für kleine Firmen sind deshalb einige wenige Einstellungen entscheidend: Anmeldungen konsequent mit MFA absichern und Legacy-Authentifizierung abschalten, Administratoren von Alltagskonten trennen und einen Notfallzugang vorhalten, externe Weiterleitungen sperren, den E-Mail-Schutz über die voreingestellten Richtlinien aktivieren, App-Einwilligungen begrenzen, Freigaben bewusst einstellen und das Audit-Log prüfen. Geräteverwaltung mit Intune kommt dazu, sobald die Identitätsseite steht.

Welche Werkzeuge dafür zur Verfügung stehen, hängt stark von der Lizenz ab. Mit Business Basic oder Standard arbeiten Sie im Wesentlichen mit Sicherheitsstandards und den in Exchange Online Protection enthaltenen Richtlinien. Mit Business Premium kommen bedingter Zugriff, Intune und Defender for Office 365 Plan 1 hinzu. Welche Lizenz zu welchem Arbeitsplatz passt, beschreibt unser Vergleich von Business Basic, Standard und Premium. Dieser Beitrag konzentriert sich auf die Konfiguration.

Sicherheitsstandards oder bedingter Zugriff: Die Lizenz entscheidet zuerst

Die Sicherheitsstandards (Security Defaults) sind ein fester Satz an Schutzmaßnahmen, der ohne Zusatzlizenz in jedem Mandanten verfügbar ist. Sie verlangen von allen Benutzern die MFA-Registrierung, erzwingen MFA für Administratorrollen bei jeder Anmeldung, fordern sie von normalen Benutzern bei Bedarf an und blockieren Legacy-Authentifizierung. Microsoft beschreibt Umfang und Grenzen der Sicherheitsstandards in der Entra-Dokumentation und weist dort auch darauf hin, dass sie für Organisationen mit Entra ID P1 oder P2 in der Regel nicht die richtige Wahl sind.

Bedingter Zugriff (Conditional Access) setzt mindestens Entra ID P1 voraus, das in Business Premium enthalten ist. Statt eines globalen Schalters definieren Sie Richtlinien: MFA für alle Benutzer, phishing-resistente Methoden für Administratoren, Blockieren von Legacy-Protokollen, Zugriff nur von konformen Geräten oder Sperren bestimmter Länder. Beide Ansätze schließen sich aus. Wer bedingten Zugriff nutzen will, muss die Sicherheitsstandards deaktivieren und die Schutzwirkung vorher vollständig über eigene Richtlinien nachbauen.

Für ein 8-Personen-Büro mit Business Standard sind aktivierte Sicherheitsstandards ein solider Ausgangspunkt. Sobald Business Premium im Einsatz ist, lohnt sich der Wechsel zu bedingtem Zugriff. Die Richtlinien müssen dann aber wirklich alle Konten abdecken: Ein Mandant, in dem nach dem Abschalten der Sicherheitsstandards einzelne Konten ohne MFA bleiben, ist schlechter geschützt als vorher. Bei gemischter Lizenzierung ist außerdem zu beachten, dass Premium-Funktionen lizenzrechtlich nur für entsprechend lizenzierte Benutzer vorgesehen sind. Welche Konten bei der MFA-Einführung Vorrang haben und welche Methoden für Administratoren infrage kommen, haben wir im Beitrag MFA richtig priorisieren beschrieben.

Legacy-Authentifizierung ist das Schlupfloch neben MFA

Ältere Protokolle wie POP, IMAP oder SMTP mit Benutzername und Kennwort (Basic Auth) können keinen zweiten Faktor abfragen. Solange sie für ein Konto funktionieren, nützt die schönste MFA-Richtlinie wenig, denn ein Angreifer mit dem Passwort meldet sich einfach über das alte Protokoll an. Für die meisten Exchange-Online-Protokolle hat Microsoft Basic Auth bereits abgeschaltet. Die Ausnahme ist SMTP AUTH für den Mailversand.

Genau dort hängen in kleinen Betrieben oft Multifunktionsgeräte mit Scan-to-Mail, eine ältere Warenwirtschaft oder ein Webshop, der Bestellbestätigungen über ein Microsoft-365-Postfach verschickt. Microsoft hat im aktualisierten Zeitplan angekündigt, Basic Auth für SMTP AUTH Ende Dezember 2026 in bestehenden Mandanten standardmäßig zu deaktivieren; Administratoren können es danach vorerst wieder aktivieren, das endgültige Abschaltdatum will Microsoft im zweiten Halbjahr 2027 bekanntgeben (Stand Oktober 2026). Wer jetzt prüft, welche Geräte und Anwendungen noch so senden, kann diese gezielt auf OAuth, einen Connector oder einen separaten Relay-Dienst umstellen, statt im Januar von nicht mehr ankommenden Scans überrascht zu werden.

Praktisch beginnt das in den Entra-Anmeldeprotokollen: Ein Filter auf die Client-App-Typen der Legacy-Authentifizierung zeigt, welche Konten noch betroffen sind. SMTP AUTH sollte anschließend auf Mandantenebene deaktiviert und nur für die Postfächer freigeschaltet werden, die es tatsächlich noch benötigen.

Admin-Konten trennen und einen Notfallzugang vorhalten

Wenn ein Alltagskonto zugleich Globaler Administrator ist, können Phishing oder gestohlene Anmeldesitzungen weitreichende Änderungen im Mandanten ermöglichen. Administrative Aufgaben gehören deshalb auf separate Konten ohne Alltags-Mailverkehr, mit möglichst geringen Rechten und starken Anmeldeverfahren. Ein eigenes Office-Postfach ist dafür nicht nötig; Premium-Funktionen für diese Konten können trotzdem eine passende Lizenz verlangen.

Zusätzlich sollte nicht jeder Administrator gleich Global Administrator sein. Wer Benutzer anlegt und Kennwörter zurücksetzt, kommt mit der Rolle Benutzeradministrator oder Helpdeskadministrator aus. Wer Verteilerlisten und Postfachberechtigungen pflegt, braucht den Exchange-Administrator. Je weniger Konten Vollzugriff haben, desto kleiner ist die Angriffsfläche und desto übersichtlicher bleibt die Frage, wer was geändert hat.

Mit strengeren Richtlinien steigt allerdings das Risiko, sich selbst auszusperren, etwa durch eine fehlerhafte Richtlinie für bedingten Zugriff oder einen Ausfall des MFA-Dienstes. Dafür sind Notfallzugriffskonten (Break-Glass-Konten) gedacht. Microsoft empfiehlt in seiner Anleitung zu Notfallzugriffskonten mindestens zwei reine Cloud-Konten auf der onmicrosoft.com-Domäne mit dauerhaft zugewiesener Rolle Global Administrator, abgesichert mit Passkeys beziehungsweise FIDO2 oder zertifikatbasierter Anmeldung und ausgenommen von sperrenden Richtlinien für bedingten Zugriff. Jede Anmeldung mit diesen Konten sollte einen Alarm auslösen, und ihre Funktion sollte regelmäßig getestet werden.

Mit Sicherheitsstandards lassen sich einzelne Konten nicht ausnehmen. Ihre dokumentierten Registrierungsanforderungen sind daher auch für Notfallkonten zu berücksichtigen. Ein FIDO2-Schlüssel allein darf nicht ungeprüft als vollständiger Ersatz für alle Anmelde- und Registrierungsanforderungen angenommen werden. Testen Sie den Notfallweg einschließlich einer administrativen Aufgabe in der tatsächlich verwendeten Konfiguration. Wenn dafür gezielte Ausnahmen nötig sind, muss eine passend lizenzierte Lösung mit bedingtem Zugriff geplant werden, die die übrige Schutzwirkung erhält.

Externe Weiterleitungen gezielt sperren

Ein Angreifer kann in einem übernommenen Postfach eine Regel anlegen, die geschäftliche Nachrichten an eine externe Adresse weiterleitet oder im Posteingang verbirgt. So lässt sich Korrespondenz mitlesen und später etwa ein Zahlungsbetrug vorbereiten. Unbekannte Weiterleitungen sind deshalb ein relevanter Prüfpunkt, auch wenn bislang kein Spamversand aufgefallen ist.

Gesteuert wird die automatische externe Weiterleitung in Exchange Online über die Ausgangsspamrichtlinie. Sie betrifft Posteingangsregeln der Benutzer ebenso wie administrativ gesetzte Postfachweiterleitungen. Microsoft empfiehlt in der Dokumentation zur externen Weiterleitung, statt der Einstellung „Automatisch , systemgesteuert“ ausdrücklich „Ein“ oder „Aus“ zu wählen, weil sich das automatische Verhalten je nach Alter des Mandanten unterscheiden kann. Für kleine Unternehmen ist „Aus“ in der Standardrichtlinie der richtige Ausgangspunkt. Wenn ein einzelnes Postfach tatsächlich an einen externen Steuerberater weiterleiten muss, erlaubt eine eigene Richtlinie genau für dieses Postfach die Ausnahme.

Bei der Umstellung lohnt ein Blick auf bereits bestehende Regeln und Weiterleitungen. Was dort an private Adressen oder unbekannte Domains geht, sollte geklärt werden, bevor es durch die neue Einstellung einfach still scheitert.

E-Mail-Schutz über voreingestellte Richtlinien aktivieren

Exchange Online Protection filtert Spam, Malware und Spoofing in jedem Mandanten. Wer die Richtlinien nicht anfasst, arbeitet allerdings mit eher zurückhaltenden Standardwerten. Statt Dutzende Einzelschalter in Antispam-, Antiphishing- und Antimalware-Richtlinien zu setzen, empfiehlt sich der Weg über die voreingestellten Sicherheitsrichtlinien. Microsoft beschreibt die Profile Standard und Streng in der Defender-Dokumentation; die Einstellungen darin basieren auf Microsofts Empfehlungen und lassen sich bewusst kaum verändern.

Mit Defender for Office 365 Plan 1, der in Business Premium enthalten ist, kommen Sichere Links, Sichere Anlagen und der Schutz vor Identitätswechsel hinzu. Gerade Letzterer ist für kleine Firmen interessant: Er erkennt Mails, die sich als Geschäftsführung oder als bekannte Partnerdomain ausgeben. Ein praxistaugliches Modell ist das Profil Standard für alle Benutzer und das Profil Streng für besonders exponierte Postfächer wie Geschäftsführung und Buchhaltung.

Die voreingestellten Richtlinien ersetzen keine saubere Absenderauthentifizierung der eigenen Domain. Wie SPF, DKIM und DMARC zusammenspielen, sollte bei der Absicherung deshalb mitgeprüft werden.

App-Einwilligungen sind ein unterschätzter Zugang

Neben Passwort und MFA gibt es einen dritten Weg an Postfächer und Dateien: OAuth-Anwendungen, denen ein Benutzer per Klick Zugriff erteilt. Beim sogenannten Consent Phishing erscheint ein echter Microsoft-Anmeldedialog, der Benutzer stimmt Berechtigungen wie „E-Mails lesen“ zu, und die App behält diesen Zugriff auch nach einer Kennwortänderung. MFA hilft hier nicht, weil die Anmeldung ja legitim war.

Laut Microsoft dürfen Benutzer standardmäßig in Berechtigungen einwilligen, die keine Administratoreinwilligung erfordern. In der Anleitung zur Konfiguration der Benutzereinwilligung empfiehlt Microsoft, die Einwilligung auf Apps verifizierter Herausgeber und auf Berechtigungen mit geringer Auswirkung zu beschränken. Für kleine Unternehmen ist oft noch einfacher, die Benutzereinwilligung ganz zu deaktivieren und den Workflow für Administratoreinwilligung einzuschalten. Mitarbeitende können eine App dann anfragen, und ein Administrator entscheidet bewusst.

Bei der Gelegenheit lohnt ein Blick in die Liste der Unternehmensanwendungen. Dort finden sich häufig alte Kalender-Tools, Mail-Plugins oder Testzugänge, die längst niemand mehr nutzt, aber weiterhin Leseberechtigungen besitzen.

Freigaben und Gastzugriff bewusst einstellen

SharePoint, OneDrive und Teams sind auf Zusammenarbeit ausgelegt, auch über Unternehmensgrenzen hinweg. Die Freigabestufe auf Organisationsebene legt fest, was überhaupt möglich ist: Links für „Jeder“ ohne Anmeldung, Freigaben an neue und vorhandene Gäste, nur an bereits bekannte Gäste oder ausschließlich intern. Einzelne Websites können diese Grenze nur weiter einschränken, nicht lockern.

„Jeder“-Links sind bequem, aber wer den Link weiterleitet, gibt die Datei weiter, ohne dass sich jemand anmelden muss. Für die meisten kleinen Betriebe reicht die Stufe für neue und vorhandene Gäste, kombiniert mit dem Standardlinktyp „Personen in Ihrer Organisation“. Wo anonyme Links wirklich gebraucht werden, etwa für den Versand großer Pläne an Kunden, sollten sie eine Ablaufzeit haben und auf Ansicht beschränkt sein.

Gastkonten sammeln sich über die Jahre an. Ein ehemaliger Projektpartner, der noch Zugriff auf ein Team mit Kundendaten hat, ist ein typischer Befund. Eine regelmäßige Durchsicht der Gäste in Entra ID gehört deshalb zur laufenden Pflege dazu.

Geräteverwaltung mit Intune folgt auf eine stabile Identitätsbasis

Mit Business Premium steht Intune zur Verfügung. Damit lassen sich unterstützte Geräte zentral konfigurieren, Verschlüsselung und Updates steuern sowie Konformitätsregeln festlegen. Über passend konfigurierte Richtlinien für bedingten Zugriff kann für bestimmte Anwendungen ein als konform gemeldetes Gerät verlangt werden. Das begrenzt neue Anmeldungen von fremden Geräten, ist aber keine Garantie gegen Angriffe: Ein kompromittiertes verwaltetes Gerät, gestohlene Sitzungen, nicht erfasste Anwendungen oder Ausnahmen können weiterhin Risiken schaffen. Geräteverwaltung, starke Anmeldung und Schutz der Anmeldesitzungen müssen zusammen betrachtet werden.

Für private Smartphones, die nur Outlook und Teams nutzen, sind App-Schutzrichtlinien oft passender als eine vollständige Geräteregistrierung. Sie schützen die Firmendaten in den Apps, etwa gegen Kopieren in private Anwendungen, ohne das gesamte Gerät zu verwalten. Die Reihenfolge ist wichtig: Wer Gerätekonformität verlangt, bevor alle Geräte sauber registriert sind, sperrt zuerst die eigenen Mitarbeitenden aus.

Audit-Log und Secure Score zeigen, ob die Einstellungen greifen

Microsoft Purview Audit zeichnet ausgewählte Benutzer- und Administratoraktivitäten auf, etwa Änderungen an Postfachregeln oder Dateifreigaben. Für Business Basic, Standard und Premium gilt ein wichtiger Sonderfall: Laut Microsoft ist die Überwachungsprotokollierung bei diesen SMB-Lizenzen nicht standardmäßig aktiviert und muss manuell eingeschaltet werden. Prüfen Sie den tatsächlichen Stand, etwa mit Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled in Exchange Online PowerShell, aktivieren Sie die Erfassung bei Bedarf und kontrollieren Sie anschließend echte Testaktivitäten. Audit (Standard) hält erfasste Einträge grundsätzlich 180 Tage vor; Lizenzierung und Aufbewahrungsregeln beeinflussen den Umfang. Entra-Anmeldeprotokolle sind eine zusätzliche, getrennte Quelle mit eigenen Aufbewahrungsgrenzen und gehören ebenfalls zur Vorfallprüfung.

Microsoft Secure Score im Defender-Portal fasst den Konfigurationsstand als Punktwert zusammen und schlägt Maßnahmen vor. Als Kontrollinstrument ist das hilfreich, weil vergessene Einstellungen sichtbar werden. Als Ziel taugt der Wert weniger: Manche Empfehlungen setzen Lizenzen voraus, die nicht vorhanden sind, andere passen nicht zu einem 10-Personen-Büro. Entscheidend ist, dass jede nicht umgesetzte Empfehlung eine bewusste Entscheidung ist und kein Versehen.

In welcher Reihenfolge kleine Unternehmen vorgehen sollten

Nicht alles muss an einem Tag umgesetzt werden, aber die Reihenfolge sollte stimmen. Sinnvoll ist, mit den Maßnahmen zu beginnen, die Kontoübernahmen verhindern, und erst danach Komfort und Zusammenarbeit nachzuschärfen:

1. Notfallzugriffskonten anlegen und Administratorkonten von Alltagskonten trennen

2. MFA über Sicherheitsstandards oder bedingten Zugriff für alle Benutzer durchsetzen

3. Legacy-Authentifizierung und SMTP AUTH abschalten, Ausnahmen dokumentieren

4. Externe Weiterleitung sperren und voreingestellte Sicherheitsrichtlinien aktivieren

5. Benutzereinwilligung für Apps einschränken und Unternehmensanwendungen prüfen

6. Freigabestufen, Standardlinks und Gastkonten bereinigen

7. Audit-Log prüfen und Secure Score als regelmäßige Kontrolle nutzen

8. Intune und gerätebasierte Zugriffsregeln einführen, sofern Business Premium vorhanden ist

Die ersten vier Punkte lassen sich in den meisten kleinen Mandanten mit überschaubarem Aufwand umsetzen und schließen die häufigsten Einfallstore. Die späteren Schritte brauchen mehr Abstimmung mit den Mitarbeitenden, weil sie Arbeitsabläufe verändern.

Was Wernecke IT dabei übernehmen kann

Im Rahmen unserer Microsoft 365 Betreuung können wir bestehende Mandanten aufnehmen, grundlegende Sicherheitskonfigurationen für die vorhandene Lizenzierung prüfen und vereinbarte Änderungen dokumentiert umsetzen. Weitergehende Anforderungen an bedingten Zugriff, Intune und Protokollierung klären wir vorab anhand Ihrer Umgebung, Lizenzierung und unseres vereinbarten Leistungsumfangs. Die Einführung sollte mit Testkonten und einer Pilotgruppe erfolgen, damit Auswirkungen vor einer breiten Aktivierung sichtbar werden.

Wenn Sie die Absicherung von Microsoft 365 in ein übergreifendes Sicherheitskonzept für Ihr Unternehmen einbetten möchten, ist unsere Leistung IT-Sicherheit der passende Rahmen. Für Unternehmen in Berlin und Brandenburg gehen wir den Mandanten gern gemeinsam durch und zeigen, wo die größten Lücken liegen. Kontakt aufnehmen.