Microsoft 365 sicher einrichten: die wichtigsten Grundeinstellungen
Ein Microsoft-365-Tenant ist in einer Stunde eingerichtet und in diesem Zustand nicht sicher betreibbar. Welche Einstellungen vor dem produktiven Start gesetzt sein sollten – nach Wirkung sortiert.
Das Wichtigste in Kürze
- Mehr-Faktor-Anmeldung für alle Konten ist der wirksamste einzelne Schritt – besonders für administrative Zugänge.
- Die Protokollierung liefert nur dann Antworten, wenn sie vor dem Vorfall eingeschaltet war.
- Externe Freigaben, Postfachweiterleitungen und die Datensicherung sind die drei am häufigsten übersehenen Punkte.
Microsoft 365 lässt sich in kurzer Zeit einrichten – das ist Teil des Produktversprechens. Was dabei entsteht, ist eine funktionierende, aber bewusst offen gehaltene Umgebung: Der Auslieferungszustand ist auf Kompatibilität ausgelegt, nicht auf einen abgesicherten Unternehmensbetrieb.
Die folgenden Punkte sind nach Wirkung geordnet. Wer nur eine Stunde Zeit hat, arbeitet die ersten drei ab.
Welche Einstellungen zur Verfügung stehen, hängt vom gebuchten Plan ab. Bedingter Zugriff etwa setzt eine entsprechende Entra-ID-Lizenzstufe voraus, die in einigen Business-Paketen enthalten ist und in anderen nicht. Prüfen Sie Ihren konkreten Lizenzumfang, bevor Sie planen.
1. Mehr-Faktor-Anmeldung – ausnahmslos
Ein Konto ohne zweiten Faktor ist genau so sicher wie das Passwort dahinter, und Passwörter sind ein bekanntes Problem. Für die Umsetzung gibt es zwei Wege: die vorkonfigurierten Sicherheitsstandards, die MFA pauschal für alle erzwingen, oder Richtlinien für bedingten Zugriff, die feiner steuern.
- Beginnen Sie bei den administrativen Konten. Sie sind das eigentliche Ziel.
- Bevorzugen Sie Authenticator-Apps mit Nummernabgleich gegenüber SMS.
- Planen Sie ein Notfallkonto ein, das von den Richtlinien ausgenommen ist, sicher verwahrt wird und überwacht ist – sonst sperren Sie sich bei einer Fehlkonfiguration selbst aus.
- Deaktivieren Sie ältere Anmeldeverfahren, die keinen zweiten Faktor unterstützen. Prüfen Sie vorher, ob Multifunktionsgeräte oder Fachanwendungen noch darauf angewiesen sind.
2. Administrative Rechte trennen
Der häufigste Aufbau in kleinen Umgebungen: Ein Konto liest E-Mails, bearbeitet Dokumente und verwaltet den Tenant. Ein einziger erfolgreicher Phishing-Versuch übergibt damit die vollständige Kontrolle.
- Ein eigenes Administrationskonto ohne Postfach und ohne Alltagsnutzung.
- Rollen so eng wie möglich vergeben – nicht jede Aufgabe braucht globale Rechte.
- Mindestens zwei Personen mit administrativem Zugang, damit Urlaub und Krankheit den Betrieb nicht blockieren.
3. Protokollierung einschalten und Aufbewahrung prüfen
Nach einem Vorfall lautet die erste Frage: Was ist passiert? Beantwortbar ist sie nur, wenn die Protokollierung vorher lief und die Aufbewahrungsdauer ausreicht. Da Postfachübernahmen häufig erst nach Wochen auffallen, ist eine kurze Aufbewahrung praktisch wertlos.
Prüfen Sie die Protokollierung im Sicherheits- und Compliance-Bereich, insbesondere die Postfachüberwachung, und legen Sie fest, wer Auffälligkeiten regelmäßig ansieht. Ohne Zuständigkeit entsteht nur Datenhaltung ohne Nutzen.
4. Automatische Weiterleitungen unterbinden
Der erste Schritt nach der Übernahme eines Postfachs ist fast immer eine Regel, die Kopien aller Nachrichten nach außen schickt – unauffällig, dauerhaft und für die Betroffenen unsichtbar.
Blockieren Sie die automatische Weiterleitung an externe Adressen zentral und lassen Sie begründete Ausnahmen einzeln zu. Prüfen Sie bei einer Bestandsübernahme, welche Regeln bereits eingerichtet sind. Näheres dazu in Phishing-Mails erkennen.
5. Absenderprüfung: SPF, DKIM und DMARC
Diese drei Einträge im Namenssystem Ihrer Domain entscheiden darüber, ob Fremde in Ihrem Namen schreiben können – und ob Ihre eigenen Nachrichten zuverlässig ankommen.
- SPF legt fest, welche Server für Ihre Domain versenden dürfen.
- DKIM versieht ausgehende Nachrichten mit einer Signatur.
- DMARC bestimmt, wie Empfänger mit Nachrichten umgehen, die durchfallen – und schickt Ihnen Berichte darüber.
Beginnen Sie bei DMARC mit einer beobachtenden Einstellung, werten Sie die Berichte einige Wochen aus und verschärfen Sie erst danach. Wer sofort auf Zurückweisung schaltet, blockiert mit einiger Wahrscheinlichkeit den eigenen Newsletter oder das Ticketsystem.
6. Externe Freigaben bewusst einstellen
SharePoint und OneDrive erlauben standardmäßig recht weitreichende Freigaben. Für die Zusammenarbeit ist das praktisch – solange klar ist, was gilt.
- Anonyme Links entweder abschalten oder mit Ablaufdatum versehen.
- Freigaben nach Möglichkeit an angemeldete Personen binden statt an einen offenen Link.
- Regelmäßig prüfen, welche Freigaben bestehen – gerade projektbezogene bleiben sonst dauerhaft offen.
7. Geräte in einen definierten Zustand bringen
Ohne Geräteverwaltung landen Unternehmensdaten auf beliebigen Endgeräten. Ein pragmatischer Einstieg genügt zunächst:
- Verschlüsselung der Datenträger auf Notebooks verpflichtend.
- Bildschirmsperre mit kurzer Zeitspanne.
- Möglichkeit, Unternehmensdaten auf verlorenen Geräten zu entfernen.
- Klare Regelung für private Geräte – zulassen oder ausschließen, aber entscheiden.
Die Betreuung von Windows-, macOS- und Linux-Clients gehört bei uns zum Client Management.
8. Datensicherung – auch in der Cloud
Der hartnäckigste Irrtum: „Das liegt in der Cloud, das ist gesichert.“ Microsoft sorgt für die Verfügbarkeit der Plattform, nicht für die Wiederherstellbarkeit Ihrer Inhalte nach eigenen Fehlern. Gelöschte Elemente sind nur innerhalb begrenzter Fristen zurückholbar, danach endgültig fort.
Für geschäftskritische Postfächer und Dateien braucht es deshalb eine eigenständige Sicherung mit selbst gewählter Aufbewahrungsdauer. Die Systematik dahinter erklärt Die 3-2-1-Backup-Regel – und ja, sie gilt auch hier: Eine Kopie beim selben Anbieter ist keine Auslagerung.
9. Datenschutz sauber dokumentieren
Beim Einsatz von Microsoft 365 werden personenbezogene Daten im Auftrag verarbeitet. Dazu gehören ein Auftragsverarbeitungsvertrag, ein Eintrag im Verzeichnis der Verarbeitungstätigkeiten und eine Festlegung, welche Datenarten dort abgelegt werden dürfen.
Praktisch bewährt hat sich eine kurze schriftliche Regelung, welche Inhalte in die Cloud gehören und welche im eigenen Haus bleiben. Wo diese Grenze verläuft, ist eine Geschäftsentscheidung – die IT setzt sie um.
Eine praktikable Reihenfolge
- MFA für administrative Konten, Notfallkonto anlegen.
- MFA für alle übrigen Konten ausrollen.
- Protokollierung und Aufbewahrung prüfen.
- Externe Weiterleitungen sperren.
- SPF, DKIM, DMARC einrichten – DMARC zunächst beobachtend.
- Freigabeeinstellungen anpassen.
- Sicherung der Cloud-Daten einrichten.
- Geräterichtlinien und Dokumentation nachziehen.
Fazit
Microsoft 365 ist schnell nutzbar und braucht trotzdem eine bewusste Grundkonfiguration. Die ersten vier Punkte dieser Liste sind an einem Vormittag erledigt und verhindern die Zwischenfälle, die uns in der Praxis am häufigsten begegnen.
Bei Einrichtung, Übernahme oder Überprüfung bestehender Umgebungen unterstützen wir im Rahmen von Cloud, Open Source & Automatisierung – auf Wunsch auch als reine Zweitmeinung zu einer vorhandenen Konfiguration.
