Microsoft 365 absichern: Welche Einstellungen braucht ein KMU?

Wo stellt man die Sicherheit von Microsoft 365 ein?

Die Einstellungen verteilen sich auf mehrere Verwaltungsportale. Für ein Büro mit 3 bis 50 Arbeitsplätzen sind diese vier wichtig. Die Menüs heißen in der deutschen Oberfläche teilweise anders, die folgenden Pfade beziehen sich auf die Dokumentation von Microsoft, Stand Oktober 2026.

Schritt 1: Sicherheitsstandards oder bedingter Zugriff?

Die Sicherheitsstandards (Security Defaults) sind kostenlos und für jeden Mandanten verfügbar. Für Mandanten, die ab dem 22. Oktober 2019 angelegt wurden, sind sie laut Microsoft standardmäßig aktiv. Ältere Mandanten sollten prüfen, ob sie eingeschaltet sind. Die Sicherheitsstandards:

• verlangen von allen Benutzern die Registrierung für die Mehr-Faktor-Anmeldung,
• verlangen von Administratoren bei jeder Anmeldung einen zweiten Faktor,
• fordern einen zweiten Faktor von Benutzern, wenn es nötig erscheint,
• blockieren veraltete Anmeldeverfahren, die keinen zweiten Faktor unterstützen,
• schützen privilegierte Tätigkeiten wie den Zugriff auf die Verwaltungsportale.

Eingeschaltet werden sie im Entra Admin Center unter Entra ID, Übersicht, Eigenschaften, „Sicherheitsstandards verwalten“. Dafür ist mindestens die Rolle Administrator für bedingten Zugriff nötig. Microsoft empfiehlt, danach bestehende Anmeldesitzungen zu widerrufen, damit alle sich neu anmelden.

Beides gleichzeitig geht nicht: Wer Richtlinien für bedingten Zugriff nutzt, kann die Sicherheitsstandards nicht aktivieren. Die frühere Mehr-Faktor-Einstellung pro Benutzer empfiehlt Microsoft nicht mehr. Welche Verfahren als zweiter Faktor sinnvoll sind, steht im Ratgeber Passwort-Manager und Zwei-Faktor.

Schritt 2: Wie gehen Sie mit Administratorkonten um?

• Für Verwaltung ein eigenes Konto verwenden, nicht das tägliche Arbeitskonto mit Postfach.
• Die Rolle globaler Administrator nur wenigen Personen geben, für Alltagsaufgaben eingeschränkte Rollen nutzen.
• Mindestens zwei Personen mit Administratorrechten, damit niemand ausgesperrt ist.
• Administratoren mit Passkey oder Sicherheitsschlüssel anmelden.
• Bei Austritt eines Administrators sofort Rechte entziehen und Passwörter ändern.

Schritt 3: Wie schützen Sie E-Mails vor Phishing und Schadsoftware?

Microsoft bietet im Defender Portal zwei voreingestellte Sicherheitsrichtlinien an: „Standard“ und „Streng“. Sie bündeln die empfohlenen Einstellungen gegen Spam, Phishing und Schadsoftware und werden von Microsoft laufend angepasst. Der Pfad laut Dokumentation: security.microsoft.com, E-Mail und Zusammenarbeit, Richtlinien und Regeln, Bedrohungsrichtlinien, voreingestellte Sicherheitsrichtlinien.

• **Standard** für alle Benutzer ist für die meisten Büros der richtige Ausgangspunkt.
• **Streng** eignet sich für besonders gefährdete Konten wie Geschäftsführung und Buchhaltung. Es landen mehr Nachrichten in der Quarantäne, die jemand regelmäßig prüfen muss.
• Der Basisschutz funktioniert in jedem Plan mit Exchange Online. Sichere Links und sichere Anlagen kommen nur mit Defender für Office 365 dazu, etwa in Business Premium.

Technik ersetzt kein aufmerksames Team. Wie Sie Ihre Beschäftigten schulen, zeigt der Beitrag Phishing erkennen.

Schritt 4: Warum sollten Sie Weiterleitungen nach außen sperren?

Nach einer Kontoübernahme richten Angreifer gern eine unauffällige Weiterleitung ein und lesen so wochenlang mit, etwa um Rechnungen abzufangen. In der Richtlinie für ausgehenden Spam lässt sich die automatische Weiterleitung an externe Adressen steuern. Microsoft empfiehlt, die Einstellung ausdrücklich auf „Aus“ zu setzen. Der Wert „Automatisch“ kann sich in älteren Organisationen wie „Ein“ verhalten. Interne Weiterleitungen zwischen Kollegen sind davon nicht betroffen. Wer eine externe Weiterleitung wirklich braucht, bekommt eine eigene Richtlinie nur für dieses Postfach.

Prüfen Sie bei dieser Gelegenheit auch die bestehenden Posteingangsregeln der wichtigsten Postfächer, etwa von Geschäftsführung und Buchhaltung. Regeln, die Nachrichten mit Wörtern wie „Rechnung“ oder „Zahlung“ automatisch verschieben, löschen oder weiterleiten, sind ein typisches Zeichen für ein übernommenes Konto.

Schritt 5: Wer hat was getan und wer sieht welche Daten?

Ist das Überwachungsprotokoll eingeschaltet?

Das Überwachungsprotokoll zeichnet auf, wer sich wann angemeldet, Dateien geteilt oder Einstellungen geändert hat. Nach einem Vorfall ist es oft die einzige Spur. Laut Microsoft ist die Standardüberwachung für die meisten Organisationen bereits aktiv und speichert Einträge 180 Tage, bei Lizenzen ohne E5. Ob sie läuft, prüft ein Administrator in Exchange Online PowerShell mit dem Befehl Get-AdminAuditLogConfig: Der Wert UnifiedAuditLogIngestionEnabled muss True sein.

Zusätzlich lohnt ein regelmäßiger Blick in die Anmeldeprotokolle im Entra Admin Center. Auffällig sind Anmeldungen aus Ländern, in denen niemand aus Ihrem Team arbeitet, viele fehlgeschlagene Versuche oder neue Postfachregeln, die niemand bewusst angelegt hat.

Wie regeln Sie Freigaben und Gastzugriffe?

• Im SharePoint Admin Center festlegen, ob Links für „Jeder“ ohne Anmeldung erlaubt sind. Für die meisten Büros reichen Freigaben an bestimmte Personen.
• Ablaufdatum für Freigabelinks setzen, wenn anonyme Links nötig sind.
• Gastkonten in Teams regelmäßig durchsehen und nicht mehr benötigte entfernen.
• Freigaben aus OneDrive ausgeschiedener Beschäftigter vor dem Löschen des Kontos prüfen.

Was passiert, wenn jemand das Unternehmen verlässt?

1. Anmeldung blockieren und alle Sitzungen abmelden.
2. Passwort zurücksetzen und registrierte Anmeldemethoden entfernen.
3. Postfach bei Bedarf in ein freigegebenes Postfach umwandeln, damit Kundenanfragen nicht verloren gehen.
4. Dateien aus OneDrive an die Nachfolge übergeben.
5. Lizenz erst entfernen, wenn Daten übergeben oder gesichert sind.

Schritt 6: Brauchen Sie ein eigenes Backup für Microsoft 365?

Ja. Gelöschte Dateien bleiben in OneDrive bei Geschäftskonten 93 Tage im Papierkorb, und mit „Dateien wiederherstellen“ lässt sich der Stand der letzten 30 Tage zurückholen. Das hilft bei Versehen, liegt aber im selben Mandanten und mit denselben Zugängen. Microsoft bietet mit Microsoft 365 Backup ein eigenes Produkt an, daneben gibt es Lösungen anderer Anbieter. Wichtig ist ein eigener, gut geschützter Zugang zur Sicherung. Mehr dazu im Ratgeber Backup-Strategie nach der 3-2-1-Regel.

Checkliste: Microsoft 365 im Überblick

Zur E-Mail-Sicherheit gehört auch die eigene Domain mit korrekten SPF-, DKIM- und DMARC-Einträgen. Die Sicherheitseinstellungen Ihrer Website prüfen Sie mit dem Security-Header-Check. Wenn Sie noch zwischen Anbietern entscheiden, hilft der Vergleich Microsoft 365 oder Google Workspace.

Was kostet die Einrichtung bei Astra IT Solutions?

Das Absichern eines bestehenden Microsoft 365 kostet bei uns ab 290 € netto zum Festpreis: Zwei-Faktor für alle Konten, getrennte Administratorkonten, Schutz vor Phishing und Weiterleitungen nach außen, Freigaben prüfen. Das gilt bis 10 Benutzerkonten, größere Umgebungen nach Aufwand. Das Neueinrichten von Microsoft 365 und E-Mail kostet ebenfalls ab 290 € netto, für bis zu fünf Postfächer mit Umzug der alten Mails, jedes weitere Postfach 29 €. Die Lizenzen zahlen Sie direkt an Microsoft. Die laufende Betreuung kostet 35 € netto je Arbeitsplatz und Monat. Alle Preise stehen auf der Preisübersicht.

Ihr nächster Schritt: Ihren Mandanten prüfen lassen

Der IT-Sicherheits-Check zeigt, ob Mehr-Faktor-Anmeldung, Sicherung und Notfallplan in Ihrem Büro geregelt sind. Wenn Sie Microsoft 365 neu einrichten oder umziehen, finden Sie alles beim IT-Support für Büros. Für die Absicherung eines bestehenden Mandanten siehe IT-Sicherheit für kleine Unternehmen. Was bei einem Angriff trotzdem zu tun ist, steht im Ransomware-Notfallplan. Oder Sie schreiben uns, wie viele Postfächer Sie haben und welche Lizenz Sie nutzen.