Microsoft 365 verfügt über Sicherheitstools auf Unternehmensniveau. Das Problem sind nicht die Tools. Die meisten Sicherheitsvorfälle, bei deren Bewältigung wir unseren Kunden helfen, lassen sich auf dieselbe Handvoll Einstellungen zurückführen, die niemand korrigiert hat.
Hier sind die zwölf Probleme, die am häufigsten auftreten, zusammen mit den jeweiligen Lösungen. Wenn Ihr Team die Hälfte davon in einem Quartal beheben kann, liegen Sie bereits über dem Durchschnitt der M365-Kunden.
| Fehlerhafte Konfiguration | Warum das wichtig ist |
|---|---|
| MFA wird nicht vollständig umgesetzt | Ein gestohlenes Passwort ist eine Freikarte in das Konto des Mieters |
| Zu viele globale Administratoren | Jeder zusätzliche Administrator ist eine weitere Einfallstür |
| Kein bedingter Zugriff | Keine Regeln bedeuten keine echte Zugriffskontrolle |
| Die alte Authentifizierung ist noch aktiviert | Ältere Protokolle verzichten gänzlich auf MFA |
| Keine Datenklassifizierung | Unbeschriftete Daten können nicht geschützt werden, insbesondere nicht vor Copilot |
| Übermäßiges Teilen von Informationen in Teams/SP | „Jeder, der den Link hat“ – so entstehen Datenlecks |
| Keine DLP-Richtlinien | Nichts verhindert, dass sensible Daten nach außen gelangen |
| Defender nicht konfiguriert | Für einen Schutz bezahlen, der nicht aktiviert ist |
| Unzureichender Schutz vor Phishing | E-Mails sind nach wie vor das Einfallstor für Angreifer |
| Protokollierung deaktivieren | Keine Protokolle, keine Ermittlungen |
| Keine Reaktion auf den Vorfall | Warnmeldungen ohne Verantwortliche sind nur Lärm |
| Keine laufende Feinabstimmung | Die Sicherheit lässt nach, wenn man nicht mehr aufpasst |
1. Die MFA wird nicht für alle durchgesetzt.
Gestohlene Anmeldedaten sind nach wie vor der häufigste Weg, über den sich Angreifer Zugang verschaffen. Ohne MFA ist ein durchgesickertes Passwort eine Freikarte für den Zugriff auf den Mandanten. Das gilt insbesondere für ein Administratorkonto. Microsofts eigenen Untersuchungen zufolge blockiert MFA über 99 % der Angriffe auf Konten, weshalb das Unternehmen diese Methode schrittweise zur Pflicht macht. Die Durchsetzung von Azure MFA Phase 2 trat im Oktober 2025 für alle Aktionen zur Azure-Ressourcenverwaltung in Kraft, und ähnliche Maßnahmen werden auch für den Rest der Plattform eingeführt.
Lösung: MFA für jeden Benutzer vorschreiben, ohne Ausnahmen. Zuerst die Administratoren, dann die Rollen mit hohem Risiko und schließlich alle anderen. Verwenden Sie die Authenticator-App oder FIDO2-Schlüssel. SMS ist besser als gar nichts, aber langfristig nicht die gewünschte Lösung. Die Standard-Sicherheitseinstellungen von Microsoft decken das meiste davon ab, wenn Sie bei Null anfangen.
2. Zu viele globale Administratoren
Wir stoßen regelmäßig auf Mandanten mit 15 bis 30 Global-Admins. Das sind 15 bis 30 Schlüssel zum Königreich, von denen die meisten gar nicht genutzt werden.
Lösung: Beschränken Sie die Anzahl der globalen Administratoren auf 2 bis 4 Konten. Nutzen Sie für alle anderen Bereiche die rollenbasierte Zugriffskontrolle von Entra ID. Aktivieren Sie das Privileged Identity Management (PIM), damit Administratorrechte nicht dauerhaft, sondern zeitlich begrenzt und bedarfsgerecht erteilt werden.
3. Keine Richtlinien zum bedingten Zugriff
Wenn sich Benutzer von überall und auf jedem Gerät lediglich mit einem Passwort anmelden können, gibt es keine wirkliche Zugriffskontrolle. Der bedingte Zugriff ist das Herzstück eines Zero-Trust-Ansatzes in M365.
Lösung: Erstellen Sie in Entra ID einen Basis-Satz von Richtlinien für den bedingten Zugriff:
- Altes Authentifizierungsverfahren blockieren
- Für Unternehmensdaten sind konforme oder hybrid verbundene Geräte erforderlich
- MFA für risikobehaftete Anmeldungen (ungewöhnlicher Standort, anonyme IP-Adresse usw.) verlangen
- Anmeldungen aus Ländern blockieren, in denen Sie nicht tätig sind
Starten Sie im reinen Berichtsmodus, um die Randfälle zu erfassen, und wechseln Sie anschließend in den Durchsetzungsmodus.
4. Die bisherige Authentifizierung ist weiterhin zulässig
Ältere Protokolle (IMAP, POP3, SMTP mit Basisauthentifizierung) unterstützen keine MFA. Microsoft hat die Basisauthentifizierung für Exchange Online Ende 2022 abgeschafft, sie kann jedoch für SMTP weiterhin reaktiviert werden, und es gibt Mandanten, bei denen sie noch aktiviert ist.
Lösung: Stellen Sie sicher, dass die Basisauthentifizierung für alle Protokolle deaktiviert ist. Blockieren Sie die veraltete Authentifizierung zusätzlich über den bedingten Zugriff. Überprüfen Sie die Anmeldeprotokolle auf Clients, die weiterhin Anmeldeversuche unternehmen. Dabei handelt es sich in der Regel um ältere Smartphones oder E-Mail-Programme von Drittanbietern, die aktualisiert werden müssen.
5. Sensible Daten sind nicht gekennzeichnet
Wenn Dokumente nicht klassifiziert sind, können Sie keine Schutzrichtlinien auf sie anwenden. Das war schon immer ein Problem. Da Copilot nun jede Datei im Mandanten liest, sind die Kosten bei Fehlern gestiegen.
Lösung: Richten Sie in Microsoft Purview ein System zur Kennzeichnung der Vertraulichkeitsstufe ein („Öffentlich“, „Intern“, „Vertraulich“ und „Eingeschränkt“ sind sinnvolle Standardwerte). Verwenden Sie die automatische Kennzeichnung für offensichtliche Muster: Kreditkartennummern, Sozialversicherungsnummern und alles, was Ihren Datenklassifizierungen entspricht. Schulen Sie die Benutzer darin, Kennzeichnungen bereits bei der Erstellung zu vergeben.
6. Übermäßige Freigabe in SharePoint, Teams und OneDrive
Die Standardeinstellung „Jeder mit dem Link“ sowie dreißig Personen in einer Gruppe mit dem Namen „Alle außer externen Nutzern“ führen dazu, dass vertrauliche Dokumente bei Google landen.
Maßnahme: Überprüfen Sie die mandantenweiten Freigabeeinstellungen. Legen Sie als Standardeinstellung für neue SharePoint-Websites „Personen in Ihrer Organisation“ anstelle von „Jeder“ fest. Erzwingen Sie das Ablaufen von Gastlinks. Führen Sie vierteljährliche Zugriffsprüfungen für sensible Websites durch. Website-Besitzer erhalten eine Liste der Personen mit Zugriffsrechten und bestätigen diese.
7. Keine DLP-Richtlinien
Ohne Regeln zur Verhinderung von Datenverlusten hindert nichts einen Mitarbeiter daran, die Kundenliste per E-Mail an sein Gmail-Konto zu senden.
Lösung: Beginnen Sie mit den Microsoft Purview-DLP-Vorlagen für personenbezogene Daten (PII), Finanzdaten und alle anderen regulierten Daten, die in Ihrer Branche von Bedeutung sind. Wenden Sie diese in Exchange, Teams, SharePoint und OneDrive an. Starten Sie zunächst im Überwachungsmodus, um zu sehen, welche Alarme ausgelöst werden, und wechseln Sie dann zum Blockieren oder Warnen, sobald Sie die Fehlalarme beseitigt haben. Unsere Schritt-für-Schritt-Anleitung zur Funktionsweise von DLP in M365 erläutert die Bereitstellung ausführlicher.
8. Defender ist nicht vollständig konfiguriert
Dies ist das häufigste Muster bei E5-Kunden. Sie zahlen für die gesamte Microsoft Defender-Suite: Defender for Endpoint, Defender for Office 365, Defender for Identity und Defender for Cloud Apps. Die Hälfte davon läuft in der Standardkonfiguration.
Behebung:
- Fügen Sie alle Endpunkte zu Defender for Endpoint hinzu und aktivieren Sie die Regeln zur Reduzierung der Angriffsfläche
- Konfigurieren Sie die Anti-Phishing- und Anti-Spam-Richtlinien von Defender für Office 365 (die Voreinstellung „Standard“ oder „Streng“ ist eine schnelle Lösung). Wenn Sie sich nicht sicher sind, ob Sie Plan 1 oder Plan 2 haben, überprüfen Sie Ihre Lizenz, bevor Sie davon ausgehen, dass bestimmte Funktionen verfügbar sind.
- Aktivieren Sie „Defender for Identity“ auf Ihren Domänencontrollern
- Sehen Sie sich den Microsoft Secure Score monatlich an. Er ist eine kostenlose, nach Prioritäten geordnete Aufgabenliste.
9. Unzureichender Schutz vor Phishing und E-Mail-Angriffen
Die standardmäßigen Anti-Phishing-Einstellungen erkennen die offensichtlichen Fälle. Die gezielten Angriffe (Vortäuschung der Identität Ihres Geschäftsführers, ähnlich klingende Domains, Kompromittierung von Lieferanten) schlüpfen jedoch durch die Maschen. Genau dafür gibt es „Defender für Office 365“, doch die Schutzmaßnahmen müssen aktiviert und angepasst werden.
Behebung:
- „Sichere Links“ und „Sichere Anhänge“ aktivieren
- Fügen Sie Ihre Führungskräfte, Ihr Finanzteam und Ihre Personalabteilung zur Liste für den Identitätsschutz hinzu
- Anti-Spoofing aktivieren
- Führen Sie regelmäßig Phishing-Simulationen durch, um herauszufinden, welche Benutzer mehr Schulung benötigen
10. Protokollierung von Abmeldungen oder nicht überwachte Vorgänge
Die einheitliche Protokollierung erfasst die Aktivitäten von Benutzern und Administratoren im gesamten Mandanten. Wenn diese Funktion deaktiviert ist oder niemand die Protokolle überprüft, haben Sie keine Anhaltspunkte für die Untersuchung, falls etwas schiefgeht.
Lösung: Stellen Sie sicher, dass die Audit-Protokollierung in Purview aktiviert ist. Verlängern Sie die Aufbewahrungsfrist, sofern Ihre Lizenz dies zulässt. Am wichtigsten ist jedoch, dass Sie die Protokolle in ein SIEM einspeisen. Microsoft Sentinel funktioniert nativ, aber jedes System, das M365-Protokolle erfasst, ist geeignet, solange jemand die Daten tatsächlich überwacht.
11. Kein Workflow für die Reaktion auf Vorfälle
Warnmeldungen ohne Verantwortliche sind nichts als Lärm. Das beobachten wir ständig: Defender generiert echte, präzise Warnmeldungen zu Credential Stuffing oder Malware, doch diese bleiben ungelesen im Portal liegen.
Lösung: Legen Sie klare Zuständigkeiten für Sicherheitswarnungen fest. Definieren Sie einen Workflow für die wichtigsten Szenarien (kompromittiertes Konto, Malware auf Endgeräten, DLP-Verstoß, massenhaftes Löschen von Dateien). Nutzen Sie die automatisierte Untersuchung und Reaktion (AIR) in Defender für Fälle, die keiner manuellen Überprüfung bedürfen. Wenn Sie hierfür kein internes Team haben, ist dies der Bereich mit dem größten Hebeleffekt, den Sie auslagern sollten.
12. Keine fortlaufende Feinabstimmung
Microsoft veröffentlicht regelmäßig Sicherheitsupdates für M365. Ein Mandant, der vor zwei Jahren noch gut konfiguriert war, ist es heute wahrscheinlich nicht mehr.
Lösung: Tragen Sie eine vierteljährliche Überprüfung in den Kalender eines Mitarbeiters ein. Sehen Sie sich den Secure Score an, prüfen Sie die Empfehlungen für neue Funktionen, überprüfen Sie, welche Richtlinien für den bedingten Zugriff tatsächlich greifen, und nehmen Sie Anpassungen vor, basierend auf den Erkenntnissen aus den Protokollen. Sollte dies intern nicht realisierbar sein, deckt eine Microsoft 365-Mandantenbewertung dieselben Aspekte in einem einzigen Auftrag ab.
Das Fazit
Bei den meisten Sicherheitsmaßnahmen für M365 geht es nicht darum, weitere Lizenzen zu erwerben. Es geht vielmehr darum, die bereits vorhandenen Lizenzen so einzusetzen, dass sie ihre Aufgabe erfüllen. Wenn Sie E3 oder E5 nutzen und in den letzten 12 Monaten keine Konfigurationsüberprüfung durchgeführt haben, lassen Sie mit ziemlicher Sicherheit Schutzmaßnahmen ungenutzt, für die Sie bereits bezahlt haben.
Verschaffen Sie sich mit unserer M365-Tenant-Bewertung einen Überblick über Ihren Tenant und decken Sie Konfigurationslücken, Sicherheitsrisiken und Compliance-Risiken auf.
