Microsoft 365 Sicherheit: Der vollständige Leitfaden für Unternehmen

Einer der häufigsten Irrtümer bei Microsoft 365 ist die Annahme, Microsoft kümmere sich um alle Sicher­heits­aspekte. Tatsächlich arbeiten Sie in einem Modell geteilter Verantwortung:

Microsoft sichert die physische Infrastruktur der Rechenzentren, die Verfügbarkeit der Dienste und die Verschlüsselung der Daten bei Speicherung und Übertragung.

Ihr Unternehmen ist verantwortlich für die Konfiguration der Sicher­heits­einstel­lungen, die Verwaltung von Benutzerkonten und Zugriffsrechten, die Absicherung der Endgeräte und die Schulung der Mitarbeiter.

Ein Beispiel aus der Praxis: Ein Mitarbeiter verlässt das Unternehmen, sein Benutzerkonto bleibt aber aktiv. Microsoft wird dieses Konto nicht automatisch sperren - das liegt in Ihrer Verantwortung. Ebenso werden Sicher­heits­funk­tionen wie Conditional Access oder Data Loss Prevention von Microsoft bereitgestellt, aber nicht automatisch aktiviert.

Jede Sicherheitslücke, die auf fehlende Konfiguration zurückzuführen ist, fällt in den Verant­wortungs­bereich des Unternehmens. Die folgenden Maßnahmen zeigen, worauf es ankommt.

MFA ist die einzelne Maßnahme mit dem höchsten Sicherheitsgewinn. Microsoft selbst gibt an, dass MFA über 99 Prozent aller kontobasierten Angriffe verhindert. Und dennoch setzen erschreckend wenige Unternehmen diese Funktion konsequent ein.

Was MFA tut: Bei jeder Anmeldung wird zusätzlich zum Passwort ein zweiter Faktor abgefragt - zum Beispiel eine Bestätigung über die Microsoft Authenticator App, ein Einmalcode per SMS oder ein FIDO2-Sicher­heits­schlüssel.

Unsere Empfehlung für die Umsetzung:

Aktivieren Sie MFA ausnahmslos für alle Benutzer - nicht nur für Administratoren. Setzen Sie auf phishing-resistente Verfahren wie Passkeys im Microsoft Authenticator, Windows Hello for Business oder FIDO2-Schlüssel statt SMS-Codes - Microsoft hat Passkeys im September 2026 zum Standard in Entra ID gemacht. Alles zur Umstellung lesen Sie auf unserer Seite zu phishing-resistenter MFA. Konfigurieren Sie MFA über Conditional Access Policies statt über die ältere „Per-User MFA“-Methode, da dies mehr Kontrolle und Flexibilität bietet. Kommunizieren Sie die Änderung an Ihre Mitarbeiter und planen Sie eine Übergangsfrist von 14 Tagen für die Einrichtung.

MFA allein verbessert Ihren Microsoft Secure Score bereits signifikant - typischerweise um 10 bis 15 Prozentpunkte.

Conditional Access (bedingter Zugriff) ist das zentrale Steu­erungs­instru­ment für den Zugang zu Ihrer Microsoft 365 Umgebung. Damit definieren Sie Regeln, die bestimmen, unter welchen Bedingungen ein Zugriff erlaubt, eingeschränkt oder blockiert wird.

Ein Beispiel: Sie können festlegen, dass der Zugriff auf SharePoint nur von unter­nehmens­eigenen Geräten möglich ist, dass bei Anmeldungen aus dem Ausland zusätzlich eine MFA-Bestätigung erforderlich wird und dass nicht konforme Geräte ohne aktuelles Betriebssystem keinen Zugriff auf E-Mails erhalten.

Die wichtigsten Policies, die in jeder Microsoft 365 Umgebung konfiguriert sein sollten, umfassen: MFA-Pflicht für alle Benutzer, Blockierung von Anmeldungen aus unbekannten oder risikobehafteten Standorten, Gerätecompliance als Zugriffs­voraus­setzung und separate, strenge Regeln für Admi­nistra­torkonten.

Conditional Access erfordert mindestens Microsoft Entra ID P1 (enthalten in Microsoft 365 Business Premium und E3/E5). Die Konfiguration erfolgt im Microsoft Entra Admin Center unter „Schutz“ → „Bedingter Zugriff“.

Ältere Authen­tifi­zierungs­proto­kolle wie POP3, IMAP, SMTP Auth und die ältere Exchange Web Services-Authentifizierung unterstützen keine Multi-Faktor-Authentifizierung. Das macht sie zu einem beliebten Einfallstor für Angreifer - selbst wenn MFA für alle Benutzer aktiviert ist.

Solange Legacy-Authentifizierung erlaubt ist, kann ein Angreifer mit gestohlenen Zugangsdaten über ein altes Protokoll auf das Postfach zugreifen, ohne dass MFA greift. Diese Lücke wird in der Praxis aktiv und regelmäßig ausgenutzt.

Die Lösung: Erstellen Sie eine Conditional Access Policy, die Legacy-Authen­tifi­zierungs­proto­kolle für alle Benutzer blockiert. Prüfen Sie vorab im Azure AD Sign-in Log, ob noch Dienste oder Anwendungen in Ihrer Umgebung Legacy-Protokolle nutzen. Falls ja, migrieren Sie diese zuerst auf moderne Authentifizierung (OAuth 2.0). Typische Kandidaten sind ältere Druckersysteme, die per SMTP E-Mails versenden, ältere CRM- oder ERP-Systeme und lokale Outlook-Versionen vor 2016.

Admi­nistra­torkonten mit Global-Admin-Rechten sind das wertvollste Ziel für Angreifer. Ein kompromittiertes Admin-Konto gibt einem Angreifer die vollständige Kontrolle über Ihren gesamten Microsoft 365 Tenant - einschließlich aller E-Mails, Dateien und Benutzerkonten.

Die wichtigsten Schutzmaßnahmen für Admin-Konten sind: Verwenden Sie dedizierte Admin-Konten, die ausschließlich für administrative Aufgaben genutzt werden - nicht für den täglichen E-Mail-Verkehr oder das Surfen im Internet. Setzen Sie das Prinzip der geringsten Rechte (Least Privilege) um und weisen Sie nur die Rollen zu, die tatsächlich benötigt werden. Nutzen Sie Privileged Identity Management (PIM), um Admin-Rollen nur zeitlich befristet und mit gesonderter Genehmigung zu aktivieren (erfordert Entra ID P2). Die Iden­titäts­platt­form dahinter erläutern wir ausführlich auf unserer Seite zu Microsoft Entra ID. Halten Sie die Anzahl der Globalen Administratoren auf maximal zwei bis vier Personen und nutzen Sie für alles andere spezifischere Rollen wie Exchange-Administrator oder SharePoint-Administrator. Richten Sie Notfall-Admin-Konten (Break Glass Accounts) ein, die nur für absolute Notfälle gedacht sind und die Sie sicher und offline aufbewahren.

Microsoft Defender ist nicht ein einzelnes Produkt, sondern eine Suite von Sicher­heits­lösungen, die verschiedene Bereiche abdecken.

Defender for Office 365 schützt E-Mails, Anhänge und Links vor Phishing, Malware und anderen E-Mail-basierten Bedrohungen. Defender for Endpoint erkennt Bedrohungen auf Endgeräten (Laptops, Desktops, Smartphones) in Echtzeit und bietet Endpoint Detection and Response (EDR). Defender for Identity analysiert Anmeldemuster und erkennt ungewöhnliches Benutzerverhalten, das auf eine Konto­kompro­mittie­rung hindeuten könnte. Defender for Cloud Apps überwacht die Nutzung von Cloud-Anwendungen und erkennt Schatten-IT.

Die Suite wird im Microsoft Defender Portal unter security.microsoft.com verwaltet. Der Funktionsumfang hängt von Ihrer Lizenz ab: Microsoft 365 Business Premium enthält Defender for Business, die E5-Lizenz bietet den vollständigen Funktionsumfang.

Entscheidend ist: Defender muss aktiv konfiguriert werden. Die Stan­dard­einstel­lungen bieten einen Grundschutz, aber erst durch die Feinabstimmung der Policies auf Ihre Umgebung entfaltet Defender sein volles Potenzial. Wie wirksam Ihre Defender-Konfiguration ist, lässt sich im Microsoft Secure Score ablesen und gezielt verbessern.

E-Mail bleibt der häufigste Angriffsvektor. Über 90 Prozent aller erfolgreichen Cyberangriffe beginnen mit einer Phishing-E-Mail. Microsoft 365 bietet mit Safe Links und Safe Attachments zwei wichtige Schutzmechanismen.

Safe Links überprüft URLs in E-Mails und Office-Dokumenten zum Zeitpunkt des Klicks - nicht nur beim Empfang. Das ist wichtig, weil Angreifer oft Links verwenden, die erst Stunden nach dem Versand auf schädliche Inhalte umgeleitet werden. Safe Attachments öffnet E-Mail-Anhänge in einer isolierten Sandbox-Umgebung und analysiert sie auf schädliches Verhalten, bevor sie dem Empfänger zugestellt werden.

Zusätzlich sollten Sie Exchange Online Protection (EOP) optimal konfigurieren: Anti-Spam-Filterung, Anti-Phishing-Policies mit Impersonation-Schutz (schützt davor, dass sich Angreifer als bekannte Kontakte oder Führungskräfte ausgeben), und DMARC/DKIM/SPF-Einträge für Ihre Domain, die das Fälschen Ihrer E-Mail-Adresse durch Dritte erschweren.

Safe Links und Safe Attachments sind in Defender for Office 365 Plan 1 enthalten (ab Microsoft 365 Business Premium). Seit 2026 werden grundlegende Defender-for-Office-Funktionen auch in E3-Lizenzen integriert.

Mitarbeiter greifen heute von unter­schied­lichsten Geräten auf Unternehmensdaten zu - Firmen-Laptops, private Smartphones, Tablets im Homeoffice. Ohne zentrale Geräteverwaltung haben Sie keine Kontrolle darüber, auf welchen Geräten Ihre Daten landen.

Microsoft Intune ermöglicht die zentrale Verwaltung und Absicherung aller Endgeräte und bietet unter anderem: die Erzwingung von Sicher­heits­richt­linien wie BitLocker-Verschlüsselung, Firewall-Aktivierung und automatische Updates, Compliance-Policies, die definieren, welche Mindest­anfor­derungen ein Gerät erfüllen muss (z.B. aktuelles Betriebssystem, kein Jailbreak), die Möglichkeit, bei Verlust oder Diebstahl Unternehmensdaten aus der Ferne zu löschen, und die Trennung von privaten und geschäftlichen Daten auf privaten Geräten (BYOD-Szenarien).

Intune arbeitet eng mit Conditional Access zusammen: Nur konforme Geräte erhalten Zugriff auf Unternehmensdaten. Ein Laptop mit veraltetem Betriebssystem oder deaktivierter Fest­plat­tenver­schlüs­selung wird automatisch blockiert.

Aktivieren Sie Multi-Admin Approval für kritische Intune-Aktionen wie Remote Wipe - der Stryker-Vorfall zeigt, warum das unverzichtbar ist.

Data Loss Prevention verhindert, dass sensible Unternehmensdaten unbeabsichtigt oder absichtlich nach außen gelangen. DLP-Richtlinien erkennen vertrauliche Informationen anhand von Mustern (z.B. Kredit­karten­nummern, IBAN-Nummern, Personalausweis-IDs) und können den Versand blockieren oder den Benutzer warnen.

DLP-Policies lassen sich auf E-Mails (Exchange Online), Dateien (SharePoint, OneDrive), Chat-Nachrichten (Teams) und sogar auf lokale Endgeräte anwenden. Ein Beispiel: Eine DLP-Policy erkennt, dass eine E-Mail an einen externen Empfänger eine Excel-Tabelle mit Kunden-IBANs enthält, und blockiert den Versand automatisch.

Für die Umsetzung empfehlen wir, zuerst im „Nur Überwachung“-Modus zu starten. So sehen Sie, welche Datenflüsse die Policies auslösen würden, ohne den Arbeitsablauf zu stören. Nach einer Analyse- und Optimierungsphase von zwei bis vier Wochen können Sie die Policies schrittweise auf „Blockieren“ umstellen.

DLP-Policies werden im Microsoft Purview Compliance Portal konfiguriert und sind ab Microsoft 365 E3 (eingeschränkt) bzw. E5 (vollständig) verfügbar.

Sensitivity Labels (Vertrau­lich­keits­bezeich­nungen) ermöglichen es, Dokumente und E-Mails zu klassifizieren und automatisch zu schützen. Ein Dokument mit dem Label „Vertraulich - nur intern“ kann beispielsweise automatisch verschlüsselt werden, so dass es außerhalb Ihrer Organisation nicht geöffnet werden kann - selbst wenn es versehentlich an einen externen Empfänger weitergeleitet wird.

Die Klassifizierung kann manuell durch den Benutzer erfolgen oder automatisch anhand von Inhalten (z.B. sobald ein Dokument bestimmte Schlagworte oder Muster wie Personalnummern enthält). Labels können auch die Weiterleitung, das Kopieren oder das Drucken einschränken.

Sensitivity Labels sind Teil von Microsoft Information Protection (MIP) und eng mit DLP-Policies verzahnt. Die Kombination aus beiden sorgt dafür, dass sensible Daten nicht nur erkannt, sondern auch durchgehend geschützt werden - unabhängig davon, wohin sie innerhalb oder außerhalb der Organisation bewegt werden.

Ohne aktives Monitoring werden Sicher­heits­vorfälle nicht erkannt. Studien zeigen, dass Unternehmen im Durchschnitt mehrere Monate brauchen, um eine Kompromittierung zu bemerken. In dieser Zeit haben Angreifer freien Zugang zu Systemen und Daten.

Microsoft 365 bietet ein Unified Audit Log, das sicher­heits­rele­vante Aktivitäten im gesamten Tenant protokolliert - Anmeldungen, Dateifreigaben, Postfachzugriffe, Admin-Aktionen und vieles mehr. Stellen Sie sicher, dass das Audit Logging aktiviert ist (es ist standardmäßig aktiv, sollte aber geprüft werden).

Richten Sie Alert Policies ein, die Sie sofort benachrichtigen, wenn verdächtige Aktivitäten auftreten: ungewöhnlich viele fehlgeschlagene Anmeldeversuche, Massenlöschungen von Dateien, Post­fach­weiter­leitungs­regeln an externe Adressen (ein klassisches Zeichen für kompromittierte Konten) und Änderungen an Admin-Rollen oder Sicher­heits­einstel­lungen.

Alert Policies werden im Microsoft Defender Portal unter „Policies & Rules“ konfiguriert. Für erweiterte Bedro­hungs­erken­nung bietet Microsoft Defender XDR die Korrelation von Signalen aus E-Mails, Endgeräten und Identitäten zu einem Gesamtbild.

Für Unternehmen, die unter NIS2 fallen, ist die Protokollierung Pflicht: Erhebliche Sicher­heits­vorfälle müssen innerhalb von 24 Stunden an das BSI gemeldet werden - ohne vollständige Audit-Protokolle lassen sich die geforderten Angaben kaum liefern. Welche weiteren Anforderungen gelten und wie Sie sie in Ihrem Tenant umsetzen, lesen Sie auf unserer Seite NIS2-Anforderungen in Microsoft 365 umsetzen.

Der Microsoft Secure Score fasst alle Sicher­heits­empfeh­lungen in einer einzigen Kennzahl zusammen. Er wird im Microsoft Defender Portal als Punktzahl und als prozentualer Wert angezeigt und täglich aktualisiert. Je höher der Score, desto besser ist Ihre Umgebung gegen Bedrohungen geschützt.

Der Secure Score bewertet Ihre Konfiguration in vier Kategorien: Identität, Geräte, Daten und Applikationen. Für jede umgesetzte Empfehlung erhalten Sie Punkte. Microsoft liefert zu jeder Empfehlung eine konkrete Hand­lungs­anlei­tung.

Achten Sie dabei nicht nur auf den Prozentwert. Er bezieht sich auf das Maximum, das Ihre Lizenzen und aktivierten Dienste ermöglichen. Ein hoher Prozentwert auf einem künstlich niedrigen Maximum täuscht Sicherheit vor. Aussagekräftiger ist die absolute Punktzahl: Das theoretische Maximum liegt bei über 1.800 Punkten, mit Microsoft 365 Business Premium sind rund 1.450 Punkte erreichbar. Warum ein Wert von 60 Prozent in die Irre führen kann, erklären wir unter Die Prozentfalle beim Microsoft Secure Score.

Wichtig: Der Secure Score ist kein einmaliges Projekt. Microsoft erweitert den Empfeh­lungs­katalog regelmäßig. Ein heute guter Score kann morgen sinken, weil neue Empfehlungen hinzugekommen sind. Deshalb empfehlen wir eine regelmäßige Überprüfung - idealerweise monatlich.

Ihren aktuellen Score können Sie unter security.microsoft.com/securescore einsehen.

Ein weit verbreiteter Irrtum: Microsoft sichere die Daten in Microsoft 365 automatisch und vollständig. Tatsächlich gilt auch hier das Prinzip der geteilten Verantwortung. Microsoft sorgt für die Verfügbarkeit der Plattform und repliziert Daten über Rechenzentren hinweg, übernimmt aber keine Garantie für die Wiederherstellung von Daten, die durch versehentliches Löschen, böswillige Innentäter, Ransomware oder abgelaufene Aufbe­wahrungs­fristen verloren gehen. Der Schutz Ihrer Daten liegt in Ihrer Verantwortung.

Seit einiger Zeit bietet Microsoft mit Microsoft 365 Backup eine nativ in die Plattform integrierte Backup-Lösung an. Sie sichert Exchange-Postfächer, OneDrive-Konten und SharePoint-Websites direkt innerhalb der Microsoft-Cloud und ermöglicht eine schnelle Wiederherstellung - auch im Fall eines großflächigen Ransomware-Angriffs. Da die Sicherung innerhalb der Microsoft-Infrastruktur verbleibt, sind die Wieder­herstel­lungs­zeiten deutlich kürzer als bei klassischen Drittanbieter-Backups.

Die Nutzung von Microsoft 365 Backup setzt ein Azure-Abonnement mit einem eingerichteten Azure-Speicher voraus, über das die Lösung abgerechnet wird. Die Einrichtung umfasst das Anlegen des Azure-Pay-as-you-go-Modells, die Aktivierung des Dienstes im Microsoft 365 Admin Center sowie die Konfiguration der Siche­rungs­richt­linien für die gewünschten Postfächer, Konten und Websites.

Die InSys AG^® richtet das in Microsoft 365 integrierte Backup für ihre Kunden vollständig ein und nimmt es in Betrieb: von der Bereitstellung des Azure-Speichers über die Konfiguration der Siche­rungs­richt­linien bis zur Validierung der Wiederherstellung. So stellen wir sicher, dass Ihre Microsoft 365 Daten jederzeit wiederherstellbar sind.

Die bisherigen Maßnahmen entfalten ihre volle Wirkung, wenn sie einem gemeinsamen Leitgedanken folgen: Zero Trust. Das Modell bricht mit der klassischen Vorstellung eines sicheren internen Netzwerks hinter einer Firewall. Stattdessen gilt der Grundsatz „Niemals vertrauen, immer prüfen“ - jeder Zugriff wird unabhängig von Standort und Netzwerk einzeln verifiziert.

Zero Trust ruht auf drei Prinzipien: Erstens die explizite Verifizierung jedes Zugriffs anhand von Identität, Gerät, Standort und Risikobewertung. Zweitens das Prinzip der geringsten Rechte, bei dem Benutzer nur genau die Berechtigungen erhalten, die sie tatsächlich benötigen. Drittens die Annahme, dass eine Kompro­mittie­rung jederzeit möglich ist - weshalb Segmentierung, Monitoring und schnelle Reaktion fest eingeplant werden.

Das Gute daran: Wer die vorangegangenen Maßnahmen umsetzt, baut Zero Trust bereits Schritt für Schritt auf. Multi-Faktor-Authentifizierung und Conditional Access bilden die explizite Verifizierung, die Absicherung privilegierter Konten setzt die geringsten Rechte um, und Audit Logging mit Microsoft Defender liefert das Monitoring. Microsoft 365 bringt mit Entra ID, Conditional Access und Defender XDR alle Bausteine mit, um eine Zero-Trust-Architektur schrittweise zu realisieren.

Die InSys AG^® begleitet Unternehmen auf diesem Weg - von der Stand­ortbe­stim­mung über die Priorisierung der nächsten Schritte bis zur konkreten Umsetzung in Ihrer Microsoft 365 Umgebung.

Die Absicherung von Microsoft 365 ist keine einmalige Aufgabe, sondern ein kontinuierlicher Prozess. Microsoft aktualisiert seine Sicher­heits­empfeh­lungen regelmäßig, neue Bedrohungen erfordern neue Schutzmaßnahmen, und auch Ihre eigene Umgebung verändert sich laufend durch neue Benutzer, Geräte und Anwendungen.

Die gute Nachricht: Mit den 14 Maßnahmen aus diesem Leitfaden decken Sie die wichtigsten Sicher­heits­bereiche ab. Besonders die ersten vier Maßnahmen (MFA, Conditional Access, Legacy-Auth-Blockierung und Admin-Absicherung) können Sie sofort umsetzen und damit Ihre Sicherheitslage deutlich verbessern.

Wenn Sie Unterstützung bei der Umsetzung benötigen oder den Sicherheitsstatus Ihrer Microsoft 365 Umgebung professionell bewerten lassen möchten, stehen Ihnen unsere Microsoft Security Spezialisten zur Verfügung - als einmaliger Tenant Check oder als laufender Microsoft Secure Score Managed Service.

Zertifizierter Microsoft Solutions Partner für Security: Die InSys AG^® ist mehrfach zertifizierter Microsoft Solutions Partner in den Bereichen Sicherheit, KI-Geschäftslösungen und Azure Infrastructure.

Erfahrung seit 1991: Seit 1991 betreuen wir als IT Systemhaus aus Bielefeld und Hamburg Unternehmen im gesamten Bundesgebiet.

80.000+ Microsoft 365 Lizenzen: Als einer der führenden Microsoft Cloudpartner in Deutschland verfügen wir über tiefgreifendes Praxis-Know-how aus hunderten von Microsoft 365 Umgebungen.

Hunderte erfolgreiche Migrationen: Mehr als 300 erfolgreiche Microsoft 365 Migrationen und die Erfahrung aus der Absicherung unter­schied­lichster Branchen und Unter­nehmens­größen.

Microsoft Direct Cloud Solution Provider: Als Microsoft CSP beraten wir Sie auch zur optimalen Lizenzierung für maximale Sicherheit.