Microsoft 365 absichern: Die Einstellungen, die in kleinen Betrieben fehlen

Warum reichen die Voreinstellungen von Microsoft 365 nicht?

Microsoft 365 bringt viele Schutzfunktionen mit, aber nicht alle sind eingeschaltet, und manche Voreinstellungen sind auf Bequemlichkeit ausgelegt. Drei Beispiele aus der Dokumentation von Microsoft:

• Überwachungsprotokoll: In Microsoft 365 Business Basic, Business Standard und Business Premium ist die Überwachung nicht standardmäßig aktiviert.
• App-Einwilligung: Benutzer dürfen Apps standardmäßig selbst Zugriff auf ihre Daten geben, etwa auf das eigene Postfach.
• Weiterleitung nach außen: Die Voreinstellung für automatische Weiterleitungen an externe Adressen verhält sich laut Microsoft je nach Organisation unterschiedlich.

Dazu kommt die Aufgabenteilung: Konten, Zugriffsrechte, Endgeräte und Daten bleiben nach Microsofts Modell der geteilten Verantwortung Sache des Kunden, auch bei Software as a Service wie Microsoft 365. Microsoft stellt die Schalter bereit, umlegen muss sie der Betrieb.

Fast alles in diesem Artikel ist in jedem Business-Plan enthalten; eine teurere Lizenz brauchen Sie nur für einzelne Punkte wie den bedingten Zugriff. Welcher Plan was mitbringt, steht im Ratgeber Microsoft 365 Business Basic, Standard oder Premium.

Wie richten Sie MFA für alle ein — Sicherheitsstandards oder bedingter Zugriff?

MFA steht für Mehrfaktor-Authentifizierung: Zur Anmeldung gehört neben dem Passwort ein zweiter Nachweis, meist eine Bestätigung in der App Microsoft Authenticator. Ein gestohlenes Passwort allein reicht dann nicht mehr. Microsoft bietet zwei Wege, MFA für alle Konten durchzusetzen.

Die Sicherheitsstandards schalten Sie im Microsoft Entra Admin Center unter Entra ID > Übersicht > Eigenschaften > Sicherheitsstandards verwalten ein; dafür braucht es mindestens die Rolle „Administrator für bedingten Zugriff“. Wer auf den bedingten Zugriff umsteigt und die Sicherheitsstandards abschaltet, sollte seine Richtlinien vorher fertig haben; einzelne Schutzfunktionen stellt Microsoft dann als von Microsoft verwaltete Richtlinien bereit. Für Organisationen mit Entra-ID-P1- oder -P2-Lizenzen hält Microsoft die Sicherheitsstandards für wahrscheinlich nicht die richtige Wahl.

Für Administratoren nimmt Microsoft einen Teil der Entscheidung inzwischen selbst ab: Für die Anmeldung am Entra Admin Center und am Intune Admin Center erzwingt Microsoft MFA seit der zweiten Jahreshälfte 2024, für das Microsoft 365 Admin Center seit Februar 2025 — schrittweise in allen Mandanten und auch ohne eigene Richtlinie.

Wie ist der Stand bei der Legacy-Authentifizierung 2026?

Standardauthentifizierung, oft auch Legacy- oder Basic-Authentifizierung genannt, heißt: Ein Programm meldet sich nur mit Benutzername und Passwort an, ohne zweiten Faktor. In Exchange Online hat Microsoft sie für die meisten Protokolle bereits abgeschaltet. Die wichtige Ausnahme ist SMTP AUTH. Über diesen Weg versenden Multifunktionsgeräte, Berichtsserver und viele Fachanwendungen E-Mails über ein Microsoft-365-Postfach.

Den Zeitplan für SMTP AUTH hat das Exchange-Team von Microsoft im Januar 2026 neu gefasst. Stand des Blogbeitrags vom 27. Januar 2026:

• Bis Dezember 2026: Für SMTP AUTH mit Standardauthentifizierung ändert sich nichts.
• Ende Dezember 2026: In bestehenden Mandanten wird sie standardmäßig abgeschaltet. Administratoren können sie bei Bedarf wieder einschalten.
• Neue Mandanten nach Dezember 2026: Dort ist die Standardauthentifizierung für SMTP AUTH von Anfang an nicht verfügbar; unterstützt wird OAuth.
• Zweite Jahreshälfte 2027: Microsoft will das endgültige Abschaltdatum bekanntgeben.

Nutzen Sie die Zeit für eine Bestandsaufnahme: Welche Geräte und Programme senden über SMTP AUTH, und beherrschen sie OAuth, das moderne Anmeldeverfahren? Microsoft empfiehlt dringend, SMTP AUTH für die gesamte Organisation abzuschalten und nur für die Postfächer freizugeben, die es noch brauchen. Die Ausnahme pro Postfach setzen Sie im Microsoft 365 Admin Center bei den aktiven Benutzern: Benutzer auswählen, dann E-Mail > E-Mail-Apps verwalten und dort Authentifiziertes SMTP. Sind die Sicherheitsstandards aktiv, ist SMTP AUTH bereits abgeschaltet.

Wie viele Administratoren braucht ein kleiner Betrieb?

Weniger, als die meisten haben. Microsoft empfiehlt, die Rolle „Globaler Administrator“ weniger als fünf Personen zuzuweisen; ab fünf Zuweisungen zeigt die Übersichtsseite von Microsoft Entra eine Warnung. Der Grund: Globale Administratoren können fast jede Einstellung im Mandanten lesen und ändern. Wer Microsoft 365 für den Betrieb registriert hat, ist automatisch globaler Administrator — oft die Geschäftsführung, die dasselbe Konto dann täglich für E-Mails nutzt.

• Getrennte Konten: Administratorrechte gehören auf ein eigenes Konto, das nur zur Verwaltung dient. Das tägliche Arbeitskonto mit Postfach bleibt ohne Adminrolle. Ein Phishing-Link im Posteingang trifft dann kein Konto, das den ganzen Mandanten verwalten darf.
• Kleinste passende Rolle: Für Benutzerverwaltung, Kennwortrücksetzungen oder Exchange gibt es eigene Rollen. Microsoft empfiehlt das Prinzip der geringsten Rechte: Jeder Administrator bekommt genau die Berechtigungen, die er für seine Arbeit braucht.
• Zugang für den Notfall: Microsoft empfiehlt zwei reine Cloud-Notfallkonten mit der Rolle „Globaler Administrator“, die keiner bestimmten Person zugeordnet sind und nur genutzt werden, wenn die normalen Administratorkonten nicht mehr funktionieren. Wie Sie solche Zugänge ablegen, beschreibt der Ratgeber zum Passwortmanager im Unternehmen.
• Zugänge für Dienstleister: Arbeitet ein IT-Dienstleister in Ihrem Mandanten, bekommt er eigene, benannte Konten und kein geteiltes Admin-Konto. So bleibt nachvollziehbar, wer was geändert hat.

Welche Einstellungen verhindern, dass Daten unbemerkt abfließen?

Automatische Weiterleitung nach außen

Eine Posteingangsregel, die alle E-Mails still an eine fremde Adresse schickt, fällt niemandem auf; Microsoft nennt ausdrücklich kompromittierte Konten als mögliche Ursache. Gesteuert wird das im Microsoft Defender-Portal auf der Seite Antispamrichtlinien, in der Standardrichtlinie für ausgehenden Spam im Abschnitt Weiterleitungsregeln. Voreingestellt ist „Automatisch – Systemgesteuert“. Weil sich dieser Wert je nach Organisation unterschiedlich verhält, rät Microsoft, ausdrücklich „Ein“ oder „Aus“ zu wählen. Für die meisten Betriebe ist „Aus – Weiterleitung ist deaktiviert“ richtig; wer einzelne Weiterleitungen braucht, legt eine eigene Richtlinie für genau diese Postfächer an. Weiterleitungen zwischen internen Benutzern bleiben davon unberührt.

Freigaben in SharePoint und OneDrive

Die Freigabestufe für die ganze Organisation legen Sie im SharePoint Admin Center unter Richtlinien > Freigabe fest. Es gibt vier Stufen: „Jeder“ (Links funktionieren ohne Anmeldung), „Neue und vorhandene Gäste“, „Vorhandene Gäste“ und „Nur Personen in Ihrer Organisation“. OneDrive kann strenger eingestellt sein als SharePoint, aber nicht lockerer. Für die meisten Betriebe reicht „Neue und vorhandene Gäste“: Externe müssen sich anmelden oder einen Bestätigungscode eingeben. Wer „Jeder“-Links behalten will, sollte sie mit einer Ablaufzeit versehen und auf reines Anzeigen begrenzen.

Einwilligung für Apps

Standardmäßig dürfen Benutzer einer App den Zugriff auf ihre Daten erlauben, solange die App keine Administratorzustimmung verlangt. Genau das versuchen böswillige Apps auszunutzen. Microsoft empfiehlt, die Einwilligung nur für Apps von verifizierten Herausgebern zuzulassen. Die Einstellung steht im Microsoft Entra Admin Center unter Identität > Anwendungen > Enterprise-Apps > Zustimmung und Berechtigungen > Einstellungen zur Benutzerzustimmung. Schalten Sie zusätzlich den Workflow für die Administratoreinwilligung ein. Dann können Mitarbeiter eine gesperrte App zur Prüfung anfragen, statt einen Umweg zu suchen.

Wie behalten Sie den Überblick und schützen Ihre E-Mail-Domain?

Überwachungsprotokoll einschalten

Das Überwachungsprotokoll zeichnet auf, was Benutzer und Administratoren im Mandanten tun. Ohne Protokoll lässt sich nach einem Vorfall kaum klären, was ein Angreifer getan hat. In den Business-Plänen müssen Sie es selbst einschalten:

1. 01

   Purview-Portal öffnen

   Melden Sie sich im Microsoft Purview-Portal mit einem Administratorkonto an.

2. 02

   Überwachung auswählen

   Wählen Sie die Lösung Überwachung. Wird sie nicht angezeigt, finden Sie sie unter Alle Lösungen anzeigen.

3. 03

   Aufzeichnung starten

   Ist die Überwachung aus, erscheint ein Banner. Wählen Sie Aufzeichnung von Benutzer- und Administratoraktivitäten starten. Das Einschalten kann bis zu 60 Minuten dauern.

Die Standardüberwachung bewahrt Einträge 180 Tage auf; längere Aufbewahrung gehört zu Audit (Premium).

Secure Score als Arbeitsliste

Die Microsoft-Sicherheitsbewertung (Secure Score) im Microsoft Defender-Portal misst, wie viele empfohlene Maßnahmen umgesetzt sind, und listet die offenen auf. Eine hohe Punktzahl beweist keine Sicherheit. Als Arbeitsliste für die nächsten Schritte ist sie trotzdem brauchbar.

SPF, DKIM und DMARC für die eigene Domain

• SPF (Sender Policy Framework) legt im DNS fest, welche Server E-Mails für Ihre Domain versenden dürfen. Jeder Dienst, der in Ihrem Namen sendet, gehört hinein — auch Newsletter-Werkzeug und Webshop.
• DKIM (DomainKeys Identified Mail) signiert ausgehende Nachrichten. Für die eigene Domain schalten Sie es im Defender-Portal unter E-Mail & Zusammenarbeit > Richtlinien & Regeln > Bedrohungsrichtlinien > E-Mail-Authentifizierungseinstellungen, Registerkarte DKIM, ein. Vorher legen Sie beim Domain-Anbieter die CNAME-Einträge an, die das Portal anzeigt.
• DMARC sagt empfangenden Servern, was mit Nachrichten geschehen soll, die die Prüfung nicht bestehen. Microsoft empfiehlt, mit „p=none“ zu beginnen, die Berichte auszuwerten und die Richtlinie dann schrittweise auf „p=quarantine“ und „p=reject“ zu verschärfen.

Ersetzt Microsoft 365 eine eigene Datensicherung?

Nein. Microsoft sorgt dafür, dass der Dienst läuft. Für die Daten selbst bleiben Sie verantwortlich: Nach Microsofts Modell der geteilten Verantwortung behält der Kunde die Zuständigkeit für seine Daten unabhängig davon, wie ein Dienst bereitgestellt wird.

Papierkorb, Versionsverlauf und Aufbewahrungsrichtlinien helfen bei einzelnen gelöschten oder überschriebenen Dateien. Sie liegen aber im selben Mandanten wie die Daten und sind keine unabhängige Kopie.

Dass hier eine Lücke besteht, zeigt Microsoft selbst: Mit Microsoft 365 Backup verkauft Microsoft eine Datensicherung als eigenes, nutzungsbasiert abgerechnetes Zusatzangebot und nennt als Anlass ausdrücklich Ransomware sowie versehentliches oder böswilliges Löschen. Ob Sie dieses Angebot oder das Produkt eines anderen Herstellers nutzen, ist zweitrangig. Entscheidend ist eine unabhängige Kopie, deren Wiederherstellung regelmäßig getestet wird. Wie ein solches Konzept aussieht, beschreibt der Ratgeber zum Backup-Konzept nach 3-2-1; was im Ernstfall zu tun ist, der Ransomware-Notfallplan für die ersten 24 Stunden.

Checkliste: Welche Einstellung kommt zuerst?

Alle Einstellungen aus diesem Artikel mit Priorität und Ort, zum Ausdrucken und Abhaken:

Die mit „Hoch“ markierten Punkte kosten keine zusätzliche Lizenz und betreffen genau die Lage nach einem gestohlenen Passwort: Anmeldung, Adminrechte, stille Weiterleitung und Nachvollziehbarkeit. Ob Sie die Liste selbst abarbeiten oder im Rahmen einer IT-Betreuung abgeben, ist zweitrangig. Wichtig ist, dass jemand dafür zuständig ist und das Ergebnis dokumentiert.