Microsoft 365 sicher einrichten

Microsoft-365-Sicherheit und IT-Grundschutz

Einen eigenen Baustein für Microsoft 365 gibt es im IT-Grundschutz-Kompendium nicht. Maßgeblich sind die allgemeinen Bausteine: OPS.2.2 «Cloud-Nutzung» für Strategie, Verantwortlichkeiten und Vertrag, APP.5.4 «Unified Communications und Collaboration» für Dienste wie Teams, APP.5.3 «Allgemeiner E-Mail-Client und -Server» sowie ORP.4 «Identitäts- und Berechtigungsmanagement». APP.5.4 verlangt als Basis-Anforderungen unter anderem ein Rollen- und Berechtigungskonzept, die Deaktivierung nicht benötigter Funktionen und Regeln für die sichere Benutzung.

Die folgenden Empfehlungen setzen diese Anforderungen für Microsoft 365 um. Welche Funktionen verfügbar sind, hängt vom Lizenzplan ab; Bezeichnungen und Menüs ändert Microsoft gelegentlich.

Anmeldung absichern

Sicherheitsstandards oder bedingter Zugriff

Microsoft Entra ID, der Identitätsdienst hinter Microsoft 365, bietet zwei Wege:

• Sicherheitsstandards (Security Defaults): ohne zusätzliche Lizenz verfügbar. Sie verlangen von allen Benutzern die Registrierung für Mehrfaktor-Authentifizierung, erzwingen sie für Administratorrollen, blockieren ältere Authentifizierungsprotokolle und schützen privilegierte Aktivitäten. Anpassen lassen sie sich nicht, sie sind nur ein- oder ausgeschaltet.
• Bedingter Zugriff (Conditional Access): erfordert mindestens Microsoft Entra ID P1, das in einigen Business- und Enterprise-Plänen enthalten ist. Damit lassen sich Regeln nach Benutzer, Anwendung, Gerätezustand und Standort festlegen.

Für kleine Betriebe ohne Premium-Lizenz sind die Sicherheitsstandards der wichtigste Schalter. Wer bedingten Zugriff nutzt, schaltet die Sicherheitsstandards ab und bildet ihre Wirkung mit eigenen Richtlinien nach, mindestens: Mehrfaktor für alle, Blockieren der Legacy-Authentifizierung, strengere Regeln für Administratoren.

Veraltete Protokolle

Ältere Authentifizierungsverfahren, etwa für POP3, IMAP oder SMTP mit einfacher Anmeldung, unterstützen keinen zweiten Faktor. Wenn sie offen bleiben, nützt die beste Mehrfaktor-Regel wenig. Prüfen Sie vor dem Abschalten, ob Geräte wie Multifunktionsdrucker oder Fachanwendungen darüber Mails versenden, und stellen Sie diese auf einen unterstützten Weg um.

Anmeldeverfahren

Eine App mit Push-Bestätigung und Zahlenabgleich ist besser als SMS. Noch robuster gegen Phishing sind FIDO2-Sicherheitsschlüssel oder Passkeys, besonders für Administratoren.

Administratoren

• Wenige globale Administratoren: so viele wie nötig, so wenige wie möglich. Für Alltagsaufgaben gibt es spezialisierte Rollen, etwa für Benutzerverwaltung, Exchange oder Helpdesk.
• Eigene Administrationskonten: ohne Postfach, nicht für E-Mail oder Surfen genutzt.
• Notfallzugänge: Microsoft empfiehlt zwei reine Cloud-Konten für den Notfallzugriff mit dauerhaft zugewiesener Rolle «Globaler Administrator», die keinen Einzelpersonen zugeordnet sind und nur im Notfall genutzt werden. Ihre Zugangsdaten werden sicher hinterlegt, ihre Nutzung überwacht.
• Dienstleister: Zugriffe von IT-Partnern über delegierte Administration regelmäßig prüfen und nicht mehr benötigte Beziehungen entfernen.

E-Mail schützen

• Absenderauthentifizierung: SPF, DKIM und DMARC für die eigene Domain einrichten, damit Fälschungen Ihrer Absenderadresse leichter erkannt werden.
• Automatische Weiterleitungen nach außen einschränken: Angreifer richten in übernommenen Postfächern gern Weiterleitungs- oder Löschregeln ein.
• Schutzfunktionen nutzen: Filter für Spam, Schadsoftware und Phishing sind in Exchange Online enthalten; erweiterte Funktionen wie die Prüfung von Links und Anhängen beim Öffnen hängen vom Lizenzplan ab.

Dateien und Freigaben

In SharePoint, OneDrive und Teams legen Sie fest, ob und wie mit Externen geteilt werden darf. Bewährt haben sich:

• Freigaben standardmäßig nur für bestimmte Personen statt «Jeder mit dem Link».
• Ablaufdaten für externe Links.
• Klare Regeln, wer Gäste in Teams einladen darf.
• Eine regelmäßige Durchsicht externer Freigaben.

Geräte

Wer von privaten Geräten auf Firmendaten zugreift, nimmt diese Daten mit. Mit einer Geräteverwaltung wie Microsoft Intune lassen sich Mindestanforderungen an Geräte durchsetzen, etwa Verschlüsselung, Bildschirmsperre und aktuelles Betriebssystem, und Firmendaten auf verlorenen Geräten löschen. Ob das lizenziert ist, hängt wieder vom Plan ab.

Protokolle und Überwachung

Das Prüfprotokoll (Audit) in Microsoft Purview zeichnet Aktivitäten wie Anmeldungen, Dateizugriffe und Konfigurationsänderungen auf. Prüfen Sie, ob es aktiv ist und wie lange Einträge aufbewahrt werden. Die Anmeldeprotokolle in Entra ID zeigen, von wo sich Konten anmelden. Microsoft Secure Score gibt eine Liste empfohlener Einstellungen mit dem Umsetzungsstand und eignet sich als Arbeitsliste.

Datensicherung

Microsoft betreibt die Dienste hochverfügbar und bietet Papierkörbe, Versionierung und Aufbewahrungsrichtlinien. Das ist nicht dasselbe wie eine unabhängige Datensicherung: Bei einem übernommenen Administrator-Konto, einer ungewollten Löschung, die erst spät bemerkt wird, oder einem Streit um den Mandanten fehlt eine Kopie außerhalb. Für geschäftskritische Postfächer und Dateien ist eine zusätzliche Sicherung bei einem anderen Anbieter oder lokal empfehlenswert.

Reihenfolge für den Einstieg

1. Sicherheitsstandards oder entsprechende Richtlinien für bedingten Zugriff aktivieren und prüfen, ob wirklich alle Konten einen zweiten Faktor registriert haben.
2. Globale Administratoren auf ein Minimum reduzieren, Notfallkonten anlegen.
3. Legacy-Authentifizierung abschalten, vorher Geräte und Anwendungen umstellen.
4. SPF, DKIM und DMARC einrichten, Weiterleitungen nach außen einschränken.
5. Freigabe-Einstellungen für SharePoint, OneDrive und Teams festlegen.
6. Prüfprotokoll kontrollieren und eine unabhängige Sicherung einrichten.

Datenschutz

Ob und wie Microsoft 365 datenschutzkonform eingesetzt werden kann, wird von Aufsichtsbehörden und Fachleuten unterschiedlich bewertet. Klären Sie die Einstellungen zur Datenverarbeitung, den Vertrag zur Auftragsverarbeitung und Ihre Dokumentation mit Ihrer oder Ihrem Datenschutzbeauftragten.