Microsoft 365 im Unternehmen: einrichten, absichern, betreiben – die 10 Einstellungen, die zählen

Microsoft 365 ist in den meisten kleinen Unternehmen irgendwann einfach da. Jemand hat vor Jahren Lizenzen gekauft, die Postfächer umgezogen, und seitdem läuft es. Was dabei fast nie passiert ist: dass jemand die Einstellungen angeschaut hat, mit denen Microsoft die Umgebung ausliefert. Die sind auf Bequemlichkeit optimiert, nicht auf ein Unternehmen mit Kundendaten.

Die zehn Punkte unten sind die, die wir bei einer Bestandsaufnahme als Erstes prüfen. Nicht, weil sie kompliziert wären, sondern weil sie fast immer offen sind – und weil hinter fast jedem Vorfall, den wir bei Microsoft-365-Kunden gesehen haben, einer dieser Punkte steckte.

Zugänge

1. Zwei-Faktor-Anmeldung für jedes Konto, ohne Ausnahme

Nicht nur für die Geschäftsführung, nicht nur für die, die es freiwillig eingerichtet haben. Für alle, auch für das Postfach der Rezeption und das Konto für den Scanner. Der Angreifer sucht sich das eine Konto ohne zweiten Faktor, und das ist erfahrungsgemäß nie das des Chefs.

2. Administratoren arbeiten nicht mit Administratorkonten

Wer die Umgebung verwaltet, braucht zwei Konten: eines zum Arbeiten und Mailen, eines für die Verwaltung. Das Admin-Konto hat keine Mailbox, keine Lizenz und wird nur benutzt, wenn etwas eingestellt wird. Ein Admin, der mit seinem Admin-Konto Mails liest, ist die Einladung, die am häufigsten angenommen wird.

3. Ein Notfall-Admin, dessen Zugang im Tresor liegt

Wenn der einzige Administrator im Urlaub ist, sein Handy verliert oder das Unternehmen verlässt, ist die Umgebung ohne dieses Konto nicht mehr erreichbar. Deshalb gehört ein zweites Admin-Konto dazu, das nur in der Cloud existiert, keiner Person zugeordnet ist und im Alltag nicht benutzt wird. Microsoft empfiehlt sogar zwei solcher Notfallkonten. Weil Microsoft für Administratoren inzwischen eine Mehrfaktor-Anmeldung verlangt, gehört auch dieses Konto geschützt: am besten mit einem Sicherheitsschlüssel (Passkey, FIDO2) oder einem Zertifikat statt mit einem Passwort allein. Die Zugangsdaten und der Schlüssel werden getrennt aufbewahrt, und mindestens alle 90 Tage sollte ein Anmeldetest laufen. Klingt nach Overkill, bis man es braucht.

E-Mail

4. Weiterleitungen nach außen sind blockiert

Der Klassiker nach einem gestohlenen Passwort: Der Angreifer richtet eine Regel ein, die alle Mails still an eine externe Adresse kopiert, und liest wochenlang mit. Exchange Online kann automatische Weiterleitungen nach außen zentral unterbinden. Die Einstellung kostet zwei Minuten und wird trotzdem in den meisten Umgebungen nie gesetzt.

5. Phishing-Schutz, der Links und Anhänge wirklich prüft

Der einfache Spamfilter ist bei jeder Lizenz dabei. Was er nicht tut: Links beim Anklicken prüfen und Anhänge in einer geschützten Umgebung öffnen, bevor sie beim Mitarbeiter landen. Das können die erweiterten Schutzfunktionen, die in Business Premium enthalten sind. Ob Sie die brauchen, hängt davon ab, wie viele Mails mit Anhängen bei Ihnen ankommen. Bei einer Kanzlei oder einem Makler lautet die Antwort ja.

6. Ihre Domain ist gegen Missbrauch abgesichert

Drei Einträge im Domain-System – SPF, DKIM, DMARC – sorgen dafür, dass niemand Mails in Ihrem Namen verschicken kann, ohne dass die Empfänger gewarnt werden. Sie schützen weniger Sie als Ihre Kunden, und seit große Anbieter Mails ohne diese Einträge zunehmend abweisen, schützen sie auch Ihre Zustellbarkeit. Ob sie bei Ihnen gesetzt sind, sieht man von außen in einer Minute.

Daten

7. Freigaben sind nicht „jeder mit dem Link“

OneDrive und SharePoint erlauben standardmäßig Links, die jeder öffnen kann, der sie hat. Das ist praktisch und der Grund, warum Angebote und Personalunterlagen in fremden Postfächern liegen. Die Voreinstellung lässt sich auf „nur Personen in der Organisation“ oder „nur bestimmte Personen“ setzen. Ausnahmen bleiben möglich, nur eben bewusst.

8. Es gibt ein Backup, das nicht bei Microsoft liegt

Microsoft hält den Dienst am Laufen. Was ein Mitarbeiter löscht, ein Trojaner verschlüsselt oder ein Angreifer mit Admin-Rechten leert, ist nicht Microsofts Problem, sondern Ihres. Der Papierkorb hilft dreißig Tage, danach nicht mehr. Ein echtes Backup der Postfächer, Dateien und Teams-Daten liegt außerhalb des Kontos, bei einem anderen Anbieter, und wird gelegentlich zurückgespielt, um zu prüfen, dass es funktioniert. Mehr dazu in Backup ist kein Sync.

Geräte und Kontrolle

9. Firmendaten nur auf Geräten, die Sie kennen

Wenn sich jeder von jedem Gerät anmelden kann, liegen Ihre Kundendaten auf dem privaten Laptop des Praktikanten und auf dem Handy, das der Ex-Mitarbeiter behalten hat. Mit der Geräteverwaltung in Business Premium lässt sich festlegen, dass Firmendaten nur auf verwalteten oder zumindest verschlüsselten Geräten landen – und dass sie sich aus der Ferne löschen lassen, wenn ein Gerät weg ist.

10. Jemand schaut regelmäßig ins Protokoll

Microsoft 365 protokolliert Anmeldungen, Regeländerungen, Freigaben, Admin-Aktionen. Das nützt nur, wenn jemand die Warnungen bekommt und liest: Anmeldung aus einem Land, in dem niemand von Ihnen ist. Neue Weiterleitungsregel. Massenhaftes Herunterladen. Diese Benachrichtigungen lassen sich einrichten, und sie sind der Unterschied zwischen einem Vorfall, den Sie nach zwei Stunden bemerken, und einem, den Ihr Kunde Ihnen nach drei Monaten meldet.

Und dann?

Die zehn Punkte sind kein Projekt, sondern ein Nachmittag Einrichtung und danach Routine. Was in den meisten Unternehmen fehlt, ist nicht das Wissen, sondern jemand, der es tatsächlich macht und einmal im Quartal wieder hinschaut. Wenn Sie nicht sicher sind, wie Ihre Umgebung heute eingestellt ist, prüfen wir das im Erstgespräch – bei bestehenden Umgebungen dauert allein die Bestandsaufnahme meist weniger als eine Stunde, und das Ergebnis ist selten so schlecht, wie befürchtet, aber fast nie so gut, wie gedacht.

Häufige Fragen

Reicht Microsoft 365 Business Basic, oder brauchen wir Premium?

Für die Sicherheitsfunktionen, die hier beschrieben sind, braucht es in mehreren Punkten Business Premium – Geräteverwaltung, erweiterter Phishing-Schutz, bedingter Zugriff. Ob sich das für Sie lohnt, hängt davon ab, wie viel davon Sie anders lösen. Wir rechnen das im Erstgespräch mit Ihnen durch, ohne Verkaufsdruck.

Sichert Microsoft unsere Daten nicht automatisch?

Microsoft sorgt dafür, dass der Dienst läuft. Für Ihre Daten – versehentlich gelöscht, verschlüsselt, von einem verärgerten Mitarbeiter geleert – sind Sie zuständig. Papierkorb und Versionierung helfen im Alltag, ersetzen aber kein Backup, das außerhalb des Kontos liegt.

Unsere Mitarbeiter finden die Zwei-Faktor-Anmeldung lästig. Gibt es einen Mittelweg?

Ja: Auf bekannten Geräten im Büro kann die zweite Bestätigung seltener abgefragt werden, unterwegs und bei neuen Geräten immer. Das lässt sich einstellen. Was es nicht gibt, ist ein Mittelweg beim Ob – ein Konto ohne zweiten Faktor ist das Konto, über das es passiert.

Wie lange dauert es, diese zehn Punkte umzusetzen?

Bei einem Unternehmen mit zwanzig Konten ein bis zwei Arbeitstage, die meiste Zeit geht für Abstimmung und Ankündigung drauf, nicht für Technik. Danach ist es Pflege: einmal im Quartal Konten, Freigaben und Regeln durchsehen.