Microsoft 365 absichern
Microsoft 365 ist im Auslieferungszustand nicht sicher
Ein Microsoft-365-Konto ist in einer Stunde eingerichtet und funktioniert sofort. Genau das ist das Problem: Im Standard fehlen zweiter Faktor, Regeln für riskante Anmeldungen, Schutz vor Weiterleitungsregeln und eine Protokollierung, die im Zweifelsfall zeigt, was passiert ist.
Der häufigste Vorfall in kleinen Unternehmen beginnt genau hier: Jemand kommt an ein Postfach, liest still mit und schlägt zu, wenn es um Geld geht.
Was wir einrichten
- Zweiter Faktor für alle Konten, ohne den Alltag auszubremsen
- Regeln für Anmeldungen aus dem Ausland und von unbekannten Geräten
- Schutz vor heimlichen Weiterleitungsregeln im Postfach
- Rechte nach Rolle statt gewachsener Freigaben
- Protokollierung, die im Ernstfall Antworten liefert
Drei Situationen, die wir bei Microsoft 365 immer wieder sehen
Die Zwei-Faktor-Anmeldung gilt für die Hälfte. Für die Geschäftsführung und die, die es freiwillig eingerichtet haben. Das Postfach der Rezeption, das Konto für den Scanner und der Zugang des Aushilfskollegen laufen ohne. Angreifer suchen sich genau dieses eine Konto. Wir schalten die zweite Bestätigung für alle Konten ein und richten sie so ein, dass sie im Büro nicht nervt.
Die Weiterleitungsregel, die niemand kennt. Nach einem gestohlenen Passwort richtet der Angreifer eine Regel ein, die alle Mails still an eine externe Adresse kopiert, und liest wochenlang mit. Bis eine Rechnung mit geänderter Bankverbindung rausgeht. Exchange kann Weiterleitungen nach außen zentral unterbinden. Die Einstellung dauert zwei Minuten und fehlt in den meisten Umgebungen.
Der Admin, der mit dem Admin-Konto mailt. Wer die Umgebung verwaltet, liest mit demselben Konto seine Post und klickt damit auch auf den falschen Anhang. Ein getrenntes Verwaltungskonto ohne Postfach, dazu ein Notfall-Admin im Tresor, falls der einzige Administrator ausfällt. Beides ist in einer Stunde eingerichtet.
Microsoft liefert die Umgebung auf Bequemlichkeit eingestellt aus, nicht auf ein Unternehmen mit Kundendaten. Die zehn wichtigsten Einstellungen haben wir in einem eigenen Ratgeber beschrieben. Bei einer Bestandsaufnahme prüfen wir genau diese zuerst.
Wer hat Zugriff auf Ihre Postfächer?
Der IT-Sicherheitscheck beantwortet das – und zeigt, welche Konten mehr dürfen, als sie sollten.