Fragen Sie ein Sicherheitsteam, was ihm Sorgen bereitet, und Sie werden von Ransomware, staatlich gestützten Akteuren und Zero-Day-Angriffen hören. Aktivieren Sie dann die Telemetrie in dessen Microsoft 365-Tenant und schauen Sie nach, was dort tatsächlich vor sich geht. Die Ergebnisse sind so gut wie nie außergewöhnlich. Es handelt sich um durchgesickerte Passwörter auf Websites, Regeln zur Weiterleitung von E-Mails, die niemand absichtlich erstellt hat, und Anmeldungen aus Ländern, in denen das Unternehmen keine Mitarbeiter hat.
Diese Lücke ist von Bedeutung, da sie Einfluss darauf hat, wohin die finanziellen Mittel fließen sollten. Unternehmen planen ihre Budgets auf der Grundlage der Bedrohungen, über die sie lesen, und werden dann von den Bedrohungen angegriffen, die sie nie berücksichtigt haben. In den meisten Microsoft 365-Umgebungen sind die Erkennungsfunktionen für die zweite Kategorie bereits lizenziert und liegen unkonfiguriert vor.
Dieser Beitrag gibt einen Überblick über die sieben Bedrohungskategorien, die bei einer ordnungsgemäßen Überwachung einer Microsoft 365- und Azure-Umgebung am häufigsten auftreten: Was jede einzelne davon ausmacht, welches Microsoft-Tool sie erkennt und welche Rückschlüsse Sie aus dem jeweiligen Befund tatsächlich auf Ihren Sicherheitsstatus ziehen können. Es handelt sich um dieselben Kategorien, die auch die Grundlage für einen „Threat Protection Envisioning Workshop“ bilden. Wenn Sie also abwägen, ob sich ein solches Projekt für Ihr Team lohnt, erhalten Sie hier einen guten Vorgeschmack darauf, welche Ergebnisse dabei zutage treten würden.
Warum gerade diese sieben und nicht die in der Schlagzeile genannten Bedrohungen?
Es gibt einen Grund dafür, dass die folgende Liste eher Zugangsdaten und E-Mail-Postfächer als Malware und Exploits im Vordergrund hat.
Die meisten Sicherheitsverletzungen beginnen nicht mit einem raffinierten Exploit. Sie beginnen mit einer gültigen Anmeldung. Ein Angreifer mit gültigen Anmeldedaten muss Ihren Endpunktschutz nicht überwinden, da er aus Sicht der Plattform ein Mitarbeiter ist, der ganz normale Mitarbeiteraufgaben erledigt. Entscheidend sind daher verhaltensbasierte Erkennungsmechanismen: Dieses Konto hat sich von einem unmöglichen Standort aus angemeldet, dieses Postfach leitet plötzlich alle E-Mails an einen externen Standort weiter, dieser Benutzer hat um 2 Uhr morgens viertausend Dateien heruntergeladen.
Diese Signale sind unauffällig. Sie rufen niemanden auf. Sie sammeln sich in Portalen an, denen niemand einen Eigentümer zugewiesen hat. Genau aus diesem Grund werden sie bei einer Überprüfung entdeckt, an einem normalen Dienstag jedoch nicht.
Die sieben Bedrohungskategorien
Beachten Sie, dass diese nach Kategorie und nicht nach Häufigkeit gruppiert sind und dass ein einziges gehacktes Konto oft drei oder vier davon gleichzeitig auslöst.
1. Durchgesickerte Zugangsdaten
Kategorie: Identität
Erkannt von: Microsoft Entra ID Protection, Microsoft Defender für Cloud-Apps
Microsoft betreibt einen Dienst für geleakte Anmeldedaten, der Kombinationen aus Benutzernamen und Passwörtern sammelt, die auf öffentlichen Websites, Paste-Seiten und Dark-Web-Marktplätzen auftauchen, und diese von Sicherheitsforschern, Strafverfolgungsbehörden sowie den eigenen Teams für Bedrohungsanalyse bezieht. Diese Kombinationen werden mit den aktiven Anmeldedaten in Ihrem Verzeichnis abgeglichen. Bei einer Übereinstimmung wird eine Risikomeldung bezüglich geleakter Anmeldedaten ausgelöst, die darauf hinweist, dass einer Ihrer Benutzer derzeit ein öffentlich bekanntes Passwort verwendet.
Diese Erkenntnis ist die eindeutigste auf der Liste. Es gibt keine Interpretation, die zu einem falsch-positiven Ergebnis führen könnte, und es muss keine Diskussion darüber geführt werden, ob man dieses Risiko in Kauf nimmt. Die Maßnahmen zur Risikominderung sind gut etabliert: Multi-Faktor-Authentifizierung, bedingter Zugriff, Self-Service-Passwortzurücksetzung zur automatischen Behebung sowie Entra Password Protection, um von vornherein zu verhindern, dass schwache Passwörter festgelegt werden. Wenn Sie weiterhin eine Föderation über AD FS nutzen, ist die Umstellung auf die Passwort-Hash-Synchronisierung ebenfalls Teil dieser Diskussion.
2. Erkennung von Malware
Kategorie: E-Mail, Daten
Erkannt von: Exchange Online Protection, Microsoft Defender für Office 365, Microsoft Defender für Cloud-Anwendungen
Es gibt zwei Arten von Malware: bekannte (bereits identifizierte) und unbekannte (Bedrohungen, die noch nie erfasst wurden).
Bekannte Malware wurde von Microsoft oder anderen Anbietern von Sicherheitslösungen analysiert und dokumentiert. Laut dem „2025 Digital Defense Report“ von Microsoft werden täglich rund 4,5 Millionen neue Malware-Dateien blockiert. Jeder Microsoft 365-Mandant mit Exchange Online verfügt über diese Schutzebene.
Umgekehrt stellt unbekannte Malware eine neue Bedrohung dar, die bisher noch nicht aufgetreten ist und nicht anhand einer Signatur identifiziert werden kann. Um sie zu erkennen, sind daher eine Auslösung, heuristische Verfahren und Modelle des maschinellen Lernens erforderlich. Genau das bietet Microsoft Defender für Office 365 durch die Funktionen „Safe Attachments“ und „Safe Links“ – und genau deshalb lohnt es sich, die Entscheidung zwischen Plan 1 und Plan 2 bewusst zu treffen, anstatt sich auf die Standardeinstellung zu verlassen.
Wenn bei einer Überprüfung ausschließlich bekannte Malware entdeckt wird, ist dies ein Zeichen dafür, dass Exchange Online Protection seine Aufgabe erfüllt. Wenn bei einer Überprüfung festgestellt wird, dass unbekannte Malware durchrutscht, bedeutet dies, dass Ihre E-Mail-Sicherheit nur auf Signaturen basiert – was im Jahr 2026 keine vertretbare Position mehr ist.
3. Mehrere fehlgeschlagene Anmeldeversuche
Kategorie: Identität
Erkannt von: Microsoft Entra ID Protection, Microsoft Defender für Cloud-Apps
Dieses Signal wird durch zwei verschiedene Angriffe ausgelöst, die jeweils eine unterschiedliche Reaktion erfordern.
Bei Passwort-Spray-Angriffen wird eine kleine Auswahl gängiger Passwörter (z. B. „Welcome123!“) bei einer großen Anzahl von Konten ausprobiert, die häufig unternehmensweit anhand vorhersehbarer Namensmuster wie „Initiale des Vornamens-Nachname“ ermittelt werden. Der Grund, warum diese Angriffe unentdeckt bleiben, liegt darin, dass ein Spray-Angriff aus der Perspektive eines einzelnen Mandanten wie ein vereinzelter fehlgeschlagener Anmeldeversuch eines Benutzers aussieht, der sich beim Eingeben seines Passworts vertippt hat.
Brute-Force-Angriffe sind eng gefasst und intensiv. Es werden viele Versuche gegen eine kleine Gruppe von Konten unternommen, die in der Regel aufgrund ihrer erweiterten Zugriffsrechte ausgewählt werden. Dazu gehören Führungskräfte und Infrastruktur-Administratoren.
Entra Smart Lockout ist die praktische Lösung für beide Probleme, da es den Angreifer aussperrt, ohne den rechtmäßigen Benutzer auszuschließen. Ergänzen Sie dies durch bedingten Zugriff und nutzen Sie Privileged Identity Management, um den dauerhaften Administratorzugriff zu reduzieren – denn genau dieser macht die Ziele für Brute-Force-Angriffe erst einmal so attraktiv.
4. Phishing-Versuche
Kategorie: E-Mail, Identität
Erkannt von: Microsoft Defender für Office 365, Exchange Online Protection
Phishing ist nach wie vor die häufigste Methode, durch die ein Unternehmen angreifbar werden kann. Diese bewährte Vorgehensweise hat sich nicht grundlegend geändert: eine seriös wirkende Nachricht, die zu einer Seite führt, auf der Anmeldedaten abgefragt werden, oder ein Anhang, bei dem der Empfänger aufgefordert wird, sich erneut anzumelden, um ihn zu öffnen.
Was sich geändert hat, ist die Art der Übermittlung. Angreifer haben sich darauf eingestellt, dass die E-Mail-Sicherheit inzwischen gut ist, sodass Phishing nun in Form einer SMS oder eines Telefonanrufs erfolgt, wenn E-Mails versagen.
Zu den technischen Schutzmaßnahmen zählen Anti-Phishing-Richtlinien zum Schutz vor Identitätsdiebstahl, „Safe Attachments“ und „Safe Links“ sowie korrekt konfigurierte SPF-, DKIM- und DMARC-Einträge für jede sendende Domain. Die DNS-Komponente wird häufiger übersehen, als man vielleicht erwarten würde, und ist dabei der kostengünstigste Punkt auf der Liste.
5. Verdächtige Anmeldeaktivitäten
Kategorie: Identität
Erkannt von: Microsoft Entra ID Protection, Microsoft Defender für Cloud-Apps
Diese Kategorie liefert in der Regel die aussagekräftigsten Erkenntnisse, da sie ein breites Spektrum an ungewöhnlichen Anmeldeverhalten abdeckt. Dazu gehören beispielsweise Anmeldungen über einen Tor-Ausgangsknoten, ein anonymes VPN oder aus einem Land, in dem Ihr Unternehmen keine Mitarbeiter beschäftigt. Ebenfalls dazu zählen Fälle von „unmöglichen Reisen“, beispielsweise wenn derselbe Benutzer sich innerhalb einer Stunde scheinbar sowohl aus Seattle als auch aus London anmeldet.
Was diese Erkennungsmechanismen so effektiv macht, ist, dass sie nicht auf einer festen Checkliste basieren. Entra ID Protection und Defender for Cloud Apps verbringen Zeit damit, zu lernen, was für jeden Benutzer normal ist. Nach dieser Lernphase vergleichen sie jede neue Anmeldung anhand Dutzender Risikosignale mit dem typischen Verhalten dieser Person. Wenn die Aktivität einer Person plötzlich von ihrem normalen Muster abweicht, erhöht das System die Risikobewertung. Ohne diese Verhaltensbasis würden viele dieser Anomalien wie gewöhnliche Anmeldungen aussehen.
Wenn Sie nur einen Bereich verbessern möchten, dann diesen. Gerade beim Thema Identität versagen Cloud-Umgebungen tatsächlich – ein Punkt, auf den wir an anderer Stelle bereits ausführlich eingegangen sind.
6. Verdächtige Aktivitäten am Briefkasten
Kategorie: E-Mail
Erkannt von: Microsoft Defender für Cloud-Apps
Änderungen am E-Mail-Postfach sind eines der deutlichsten Anzeichen dafür, dass ein Angreifer möglicherweise bereits die Kontrolle über ein Konto übernommen hat. Häufige Beispiele hierfür sind neu erstellte Weiterleitungsregeln, Regeln, durch die Sicherheitsbenachrichtigungen aus dem Blickfeld geraten, sowie ungewöhnliche Aktivitäten beim Löschen von E-Mails.
Der Grund, warum diese Änderungen von Bedeutung sind, ist praktischer Natur. Ein Angreifer, der eingehende E-Mails weiterleitet, kann auch nach einer Änderung des ursprünglichen Passworts weiterhin Informationen sammeln. Eine Regel, die Benachrichtigungen zur Passwortzurücksetzung oder Sicherheitswarnungen ausblendet, kann die Aufdeckung verzögern, während gelöschte Nachrichten Beweise für den Vorfall beseitigen können.
Das Postfach liefert dem Angreifer zudem nützliche Hintergrundinformationen. Es kann sensible Dokumente, interne Unterhaltungen, Kontaktdaten und Beispiele dafür enthalten, wie Mitarbeiter miteinander kommunizieren. Diese Informationen können dann genutzt werden, um einen anderen Mitarbeiter mit einer wesentlich überzeugenderen Phishing-Nachricht ins Visier zu nehmen.
Die Warnrichtlinien von Defender für Cloud-Apps und Microsoft 365 können viele dieser Verhaltensweisen erkennen. Diese Warnungen sollten umgehend untersucht werden, auch wenn das Vorhandensein einer Weiterleitungsregel allein nicht immer auf eine Kompromittierung hindeutet; manche Benutzer und Administratoren richten solche Regeln aus legitimen Gründen ein.
7. Ungewöhnliche Aktivitäten des Nutzers
Kategorie: E-Mail, Daten
Erkannt von: Microsoft Defender für Cloud-Apps, Microsoft 365-Warnrichtlinien
Die letzte Kategorie umfasst Ereignisse, die eintreten, nachdem sich der Angreifer etabliert hat und sich wie ein Insider verhält: ungewöhnlich hohe Mengen an Dateidownloads, ungewöhnliche Dateifreigaben, Massenlöschungen, Identitätsdiebstahl sowie ungewöhnliche administrative Maßnahmen.
Diese Erkennungen stützen sich auf dieselben Referenzwerte für das Benutzer- und Entitätsverhalten, die auch zur Identifizierung ungewöhnlicher Anmeldeaktivitäten herangezogen werden. Das bedeutet, dass der Aufwand für die Erstellung der Referenzwerte mehr als nur eine Art der Erkennung abdeckt. Es bedeutet auch, dass die Warnmeldungen erst dann wirklich nützlich sind, wenn die Plattform genügend Zeit hatte, um zu lernen, wie das normale Verhalten jedes einzelnen Benutzers aussieht.
Ungewöhnliche administrative Aktivitäten sind oft der Punkt, an dem aus einer routinemäßigen Kontoübernahme etwas weitaus Ernsthafteres wird. Erlangt der Angreifer Zugriff auf ein privilegiertes Konto, ist er nicht mehr auf die Daten beschränkt, auf die der Benutzer zugreifen kann. Er kann neue Administratoren anlegen, Berechtigungen ändern, Sicherheitskontrollen deaktivieren oder einen weiteren vertrauenswürdigen Zugang zum Mandanten schaffen. Sobald dies geschieht, weitet sich die Reaktion in der Regel von der Bereinigung eines einzelnen Kontos auf die Untersuchung der gesamten Microsoft 365-Umgebung aus.
Identität ist der rote Faden
Betrachtet man die sieben Kategorien insgesamt, so sind fünf davon identitätsbezogen oder können unmittelbar zu einer Identitätskompromittierung führen. Die übrigen beiden betreffen Malware oder Datenbewegungen, doch diese Aktivitäten finden oft erst statt, nachdem sich ein Angreifer bereits Zugang zu einem Benutzerkonto verschafft hat.
Die Identitätsüberwachung sollte nicht als separate Sicherheitsfunktion am Rande stehen. Endgeräteschutz kann Malware und verdächtige Geräteaktivitäten stoppen, informiert Sie jedoch nicht darüber, wenn ein gültiges Konto von einem ungewöhnlichen Standort aus genutzt wird oder wenn sich Berechtigungen unerwartet ändern. Ohne diese Transparenz könnte sich ein Angreifer bereits in der Umgebung bewegen, bevor die Endgerätetools etwas Offensichtliches erkennen können.
Die meisten dieser Erkennungsfunktionen haben Sie wahrscheinlich bereits
Das ist der Punkt, der die Leute überrascht, und dabei handelt es sich eher um eine Frage der Lizenzierung als um eine Frage der Sicherheit.
Exchange Online Protection ist in jedem Mandanten enthalten. Defender for Office 365 Plan 1 ist in Microsoft 365 Business Premium enthalten, Plan 2 in E5. Für die vollständige Risikoerkennung und -untersuchung in Entra ID Protection ist Entra ID P2 erforderlich, das in Microsoft 365 E5 und EMS E5 enthalten ist. Defender for Cloud Apps ist in E5 enthalten und als eigenständige Lösung verfügbar.
Bei den meisten E5-Kunden lassen sich sechs der sieben Kategorien bereits mithilfe ihrer Lizenzen erkennen. Das Problem ist in der Regel operativer Natur: Die Richtlinien wurden nie aktiviert, die Plattform hatte nie Zeit, eine Basislinie zu erstellen, oder es wurde niemand damit beauftragt, die Warnmeldungen zu überprüfen. Bei Bewertungen werden häufig Sicherheitsfunktionen aufgedeckt, die zwar schon seit Monaten oder Jahren im Abonnement enthalten sind, aber noch nie genutzt wurden.
Finden Sie heraus, was sich tatsächlich in Ihrer Umgebung befindet
Jede Bedrohung in diesem Beitrag lässt sich aufspüren. Die Frage ist nur, ob jemand danach sucht.
Der „Threat Protection Envisioning Workshop“ ist ein strukturierter Prozess, bei dem Ihre Microsoft 365- und Azure-Umgebung in den Bereichen E-Mail, Identitäten, Endgeräte und Daten umfassend untersucht wird und die Ergebnisse anschließend in konkrete Empfehlungen umgesetzt werden, auf deren Grundlage Sie Maßnahmen ergreifen können. Es handelt sich nicht um eine Präsentation über hypothetische Risiken, sondern um einen Bericht über Ihren Tenant.
Was der Auftrag umfasst:
- Überprüfung Ihrer Sicherheitsziele und -vorgaben
- Ermittlung tatsächlicher Bedrohungen und Schwachstellen in Ihrer Umgebung, nicht allgemeiner Branchenbeispiele
- Abgleich der identifizierten Risiken mit gezielten Lösungsvorschlägen
- Ein gemeinsamer Plan und vereinbarte nächste Schritte
Wählen Sie Ihre Module aus. Das Angebot ist modular aufgebaut. Sie wählen drei der folgenden sechs Module aus, je nachdem, wo Ihre Risiken tatsächlich liegen und welche Prioritäten Sie setzen:
- Einheitliche SecOps-Plattform
- E-Mail-Schutz
- Schutz von Endgeräten und Cloud-Anwendungen
- Identitätsschutz
- Serverschutz
- Demonstration von Microsoft Security Copilot
Warum TrustedTech? Wenn es um Sicherheit geht, brauchen Sie einen Partner, der bereits Erfahrung in diesem Bereich hat. TrustedTech trägt die Auszeichnung „Microsoft Solutions Partner for Security“, die die nachgewiesene Fähigkeit des Unternehmens würdigt, fortschrittliche Sicherheitslösungen für Microsoft 365 und Azure bereitzustellen. Unser Leistungsspektrum umfasst Microsoft Entra ID, Azure, Microsoft 365, Purview, Defender XDR, Sentinel, Intune sowie die lokale Microsoft-Infrastruktur. Das bedeutet, dass die Empfehlungen, die Sie erhalten, Ihre bereits erworbenen Lizenzen und die tatsächliche Struktur Ihrer Umgebung berücksichtigen.
Vereinbaren Sie einen Workshop zur Konzeption von Schutzmaßnahmen gegen Bedrohungen und finden Sie heraus, was Ihre Telemetriedaten aufgezeichnet haben, während niemand sie ausgewertet hat.
