Microsoft 365 sicher einrichten in 8 Schritten
Ein kompromittiertes E-Mail-Postfach genügt oft, um Rechnungen umzuleiten, vertrauliche Daten abzugreifen oder Schadsoftware im Unternehmen zu verteilen. Wer Microsoft 365 sicher einrichten möchte, sollte deshalb nicht bei einzelnen Häkchen im Admin Center stehen bleiben. Entscheidend ist ein Sicherheitskonzept, das Identitäten, Geräte, E-Mails und Unternehmensdaten gemeinsam schützt – und im Arbeitsalltag praktikabel bleibt.
Microsoft 365 bietet dafür viele Funktionen. Ohne klare Reihenfolge und passende Regeln entstehen jedoch schnell Sicherheitslücken oder Einstellungen, die Mitarbeitende unnötig ausbremsen. Gerade kleine und mittelständische Unternehmen profitieren von einer schlanken, nachvollziehbaren Grundkonfiguration mit festen Verantwortlichkeiten.
Microsoft 365 sicher einrichten: Sicherheit beginnt beim Tenant
Der Microsoft-365-Tenant ist die zentrale Umgebung Ihres Unternehmens. Hier werden Benutzerkonten, Lizenzen, E-Mail-Domänen, Dateien und Sicherheitsrichtlinien verwaltet. Noch bevor Mitarbeitende angelegt werden, sollten die Grundlagen sauber definiert sein.
Dazu gehört eine eigene Unternehmensdomäne für E-Mails, die technisch korrekt eingebunden ist. Ebenso wichtig ist ein zentraler Prozess für neue und ausscheidende Mitarbeitende. Neue Benutzer erhalten nur die Zugriffe, die sie für ihre Aufgabe benötigen. Beim Austritt werden Konten nicht einfach gelöscht, sondern zunächst gesperrt, Daten gesichert und Weiterleitungen kontrolliert.
Besondere Aufmerksamkeit verdienen Administratorkonten. Sie haben weitreichende Berechtigungen und sind ein bevorzugtes Ziel für Angriffe. Für die tägliche Arbeit sollte niemand ein globales Administratorkonto verwenden. Besser sind getrennte Konten: ein normales Benutzerkonto für E-Mail und Teams sowie ein separates Administratorkonto für Verwaltungsaufgaben.
1. Mehrstufige Anmeldung verpflichtend machen
Die Multifaktor-Authentifizierung, kurz MFA, ist eine der wirksamsten Schutzmaßnahmen gegen gestohlene Passwörter. Neben dem Kennwort wird eine zweite Bestätigung verlangt, etwa über eine Authenticator-App, einen Sicherheitsschlüssel oder eine Geräteanmeldung.
MFA sollte für alle Benutzer verpflichtend sein, für Administratoren ohne Ausnahme. Die bloße Aktivierung reicht allerdings nicht aus. Unternehmen sollten prüfen, welche Methode zugelassen wird. SMS ist besser als kein zweiter Faktor, kann aber durch SIM-Swapping und Phishing leichter angegriffen werden als eine Authenticator-App oder ein FIDO2-Sicherheitsschlüssel.
Auch ein sicherer Registrierungsprozess gehört dazu. Wird ein neues Smartphone eingerichtet oder eine Authenticator-App zurückgesetzt, braucht es eine nachvollziehbare Identitätsprüfung. Sonst kann ein Angreifer unter Umständen genau diesen Wiederherstellungsweg ausnutzen.
2. Zugriffe nach Risiko und Standort steuern
Nicht jede Anmeldung ist gleich riskant. Ein Zugriff vom verwalteten Firmenlaptop in Wiesbaden ist anders zu bewerten als ein Anmeldeversuch aus einem unbekannten Land über ein altes E-Mail-Protokoll. Mit bedingtem Zugriff lassen sich Regeln definieren, die auf Benutzergruppen, Geräten, Standorten und Risiken reagieren.
Eine sinnvolle Grundregel kann sein: Der Zugriff auf Unternehmensdaten ist nur mit MFA möglich, und besonders sensible Anwendungen dürfen nur von verwalteten Geräten genutzt werden. Zugriffe aus Ländern, zu denen kein geschäftlicher Bezug besteht, können blockiert werden. Für Unternehmen mit internationalen Kunden oder reisenden Teams muss diese Regel differenzierter gestaltet werden. Sicherheit darf keine berechtigte Zusammenarbeit verhindern.
Viele Funktionen für bedingten Zugriff setzen passende Microsoft-365- oder Entra-ID-Lizenzen voraus. Vor der Umsetzung sollte deshalb geprüft werden, was die vorhandene Lizenz abdeckt und welche Maßnahmen alternativ möglich sind.
3. Alte Anmeldeverfahren konsequent abschalten
Veraltete Protokolle wie POP, IMAP oder SMTP-Authentifizierung werden häufig von älteren Anwendungen und Multifunktionsdruckern genutzt. Sie unterstützen teilweise keine MFA und öffnen damit einen unnötigen Angriffsweg.
Zunächst sollte ermittelt werden, ob und wo solche Verfahren noch im Einsatz sind. Danach lassen sie sich durch moderne Anmeldung, einen abgesicherten Versandweg oder eine passende technische Alternative ersetzen. Ein pauschales Abschalten ohne Bestandsaufnahme kann dagegen dazu führen, dass Scanner, Fachanwendungen oder automatisierte E-Mail-Versände plötzlich nicht mehr funktionieren.
Geräte als Teil der Microsoft-365-Sicherheit behandeln
Ein gut geschütztes Benutzerkonto hilft nur begrenzt, wenn vertrauliche Daten auf einem ungesicherten Notebook liegen. Geräte müssen daher in das Sicherheitskonzept einbezogen werden – unabhängig davon, ob sie im Büro, im Homeoffice oder unterwegs verwendet werden.
4. Firmenrechner zentral verwalten
Über eine zentrale Geräteverwaltung lassen sich Sicherheitsstandards verbindlich durchsetzen. Dazu zählen aktuelle Betriebssysteme, Festplattenverschlüsselung, Bildschirmsperren, sichere Browser-Einstellungen und eine aktuelle Endpoint-Security-Lösung. Auch verlorene oder gestohlene Geräte können bei Bedarf gesperrt oder zurückgesetzt werden.
Besonders praktisch ist die Verbindung zwischen Gerätemanagement und Zugriffsrichtlinien: Nur Geräte, die die definierten Anforderungen erfüllen, erhalten Zugriff auf SharePoint, OneDrive und Teams. Das reduziert das Risiko, dass Daten auf veralteten oder privat verwalteten Rechnern landen.
Bei Bring-your-own-device-Modellen ist ein abgestufter Ansatz sinnvoll. Private Smartphones müssen nicht vollständig durch die Firma verwaltet werden. Stattdessen können geschäftliche Apps und Daten getrennt abgesichert werden. Welche Variante passt, hängt vom Schutzbedarf der Daten und von der Arbeitsweise im Unternehmen ab.
5. Mobile Geräte und Apps absichern
E-Mails, Teams-Chats und Dateien werden heute häufig auf Smartphones bearbeitet. Ohne Regeln können Daten leicht in private Apps kopiert, auf ungesicherte Cloudspeicher übertragen oder nach dem Ausscheiden eines Mitarbeitenden weiter genutzt werden.
Mobile-Application-Management-Richtlinien können beispielsweise verhindern, dass geschäftliche Inhalte in private Apps kopiert werden. Zusätzlich lassen sich PIN-Anforderungen, Verschlüsselung und der Schutz vor gerooteten oder manipulierten Geräten festlegen. Für besonders sensible Rollen, etwa Geschäftsführung, Buchhaltung oder Personalwesen, dürfen die Vorgaben strenger sein als für allgemeine Benutzerkonten.
E-Mail, Teams und Dateien gezielt schützen
Die meisten Sicherheitsvorfälle beginnen weiterhin mit einer E-Mail. Gleichzeitig entstehen sensible Daten längst nicht nur im Postfach, sondern auch in Teams-Chats, SharePoint-Bibliotheken und OneDrive-Ordnern. Deshalb braucht Microsoft 365 klare Regeln für Kommunikation und Zusammenarbeit.
6. E-Mail-Schutz gegen Phishing und Betrug konfigurieren
Ein professioneller E-Mail-Schutz filtert Schadsoftware, gefälschte Absender und verdächtige Links. Er ersetzt jedoch nicht die Aufmerksamkeit der Mitarbeitenden. Besonders wirksam sind zusätzlich Regeln gegen die Nachahmung von Geschäftsführung, Lieferanten oder eigenen Domains.
Technische Maßnahmen sollten mit kurzen, regelmäßigen Sensibilisierungen verbunden werden. Mitarbeitende müssen wissen, wie sie verdächtige Nachrichten erkennen und unkompliziert melden können. Entscheidend ist eine offene Fehlerkultur: Wer einen falschen Klick sofort meldet, ermöglicht eine schnelle Reaktion und begrenzt den Schaden.
Für die eigene E-Mail-Domäne gehören außerdem sauber eingerichtete Schutzmechanismen gegen Absenderfälschung dazu. Sie erhöhen die Zustellqualität legitimer Nachrichten und erschweren es Kriminellen, unter Ihrem Firmennamen E-Mails zu versenden.
7. Freigaben in Teams, SharePoint und OneDrive begrenzen
Dateifreigaben sind wertvoll für die Zusammenarbeit mit Kunden, Steuerberatern oder externen Dienstleistern. Unkontrollierte Freigaben können jedoch dazu führen, dass vertrauliche Unterlagen lange nach Projektende erreichbar bleiben.
Legen Sie fest, wer externe Freigaben erstellen darf, wie lange Freigabelinks gültig sind und ob ein Kennwort erforderlich ist. Links mit Bearbeitungsrechten sollten die Ausnahme sein. Für sensible Bereiche wie Personal, Finanzen oder Geschäftsleitung sind getrennte Berechtigungen und restriktivere Freigaberegeln sinnvoll.
Auch Teams-Gäste brauchen einen klaren Prozess. Externe Personen sollten nur in den Teams arbeiten, die sie wirklich benötigen. Regelmäßige Prüfungen helfen, nicht mehr benötigte Gastzugänge und alte Projektfreigaben zu entfernen.
Daten sichern, Änderungen überwachen, Abläufe festlegen
8. Backup und Wiederherstellung vorab planen
Microsoft 365 schützt die Plattform und stellt Funktionen zur Wiederherstellung bereit. Dennoch ist ein separates Backup für viele Unternehmen sinnvoll. Es schützt beispielsweise bei versehentlichem Löschen, Fehlkonfigurationen, längeren Aufbewahrungsanforderungen oder gezielten Angriffen auf Benutzerkonten.
Ein Backup ist erst dann verlässlich, wenn die Wiederherstellung getestet wurde. Es sollte klar sein, wer im Notfall Postfächer, OneDrive-Dateien, SharePoint-Daten oder Teams-Inhalte zurückholen kann und wie lange dieser Vorgang dauert. Gerade bei Buchhaltung, Personalakten oder Kundenprojekten sollte der erforderliche Zeitraum vorher definiert werden.
Sicherheit bleibt außerdem eine laufende Aufgabe. Anmeldeereignisse, verdächtige Weiterleitungsregeln, neue Administratorrechte und auffällige Dateifreigaben sollten regelmäßig geprüft werden. Ebenso wichtig sind dokumentierte Notfallwege: Wer entscheidet bei einem Sicherheitsvorfall? Wer informiert Mitarbeitende, Kunden oder Dienstleister? Welche Konten werden sofort gesperrt?
Für mittelständische Unternehmen muss diese Arbeit nicht in einer eigenen großen IT-Abteilung landen. Iwanow-IT unterstützt Unternehmen im Rhein-Main-Gebiet dabei, Microsoft 365 strukturiert einzurichten, Endgeräte zu betreuen und Sicherheitsmaßnahmen dauerhaft zu überwachen.
Der beste Zeitpunkt für klare Regeln ist nicht nach einem Vorfall, sondern bevor ein einzelnes kompromittiertes Konto den Betrieb beeinträchtigt. Eine sauber konfigurierte Microsoft-365-Umgebung schafft dabei mehr als Schutz: Sie gibt Mitarbeitenden einen verlässlichen Rahmen, um produktiv und sicher zusammenzuarbeiten.