# Microsoft 365 absichern: die wichtigsten Einstellungen für KMU

> Die Einstellungen, die wir bei jedem Microsoft-365-Mandanten zuerst prüfen: Anmeldung, Admin-Konten, E-Mail-Schutz, Freigaben, App-Rechte, Lizenzfragen und was Microsoft nicht für dich erledigt.

- Veröffentlicht: 2026-09-27
- Aktualisiert: 2026-09-27
- Quelle: https://art-kon-tor-digital.de/wissen/microsoft-365-absichern/

---

Microsoft 365 ist nach der Einrichtung nicht automatisch sicher eingestellt. Die wichtigsten Schritte für KMU: Mehrfaktor-Anmeldung für alle Konten, getrennte Admin-Konten mit Notfallzugang, veraltete Anmeldeverfahren abschalten, externe Weiterleitungen und Freigaben begrenzen, Mailschutz mit SPF, DKIM und DMARC, Protokollierung prüfen und eine eigene Datensicherung außerhalb des Mandanten. Das meiste lässt sich an einem Tag umsetzen, einiges hängt an der Lizenz. Laurens aus unserem IT-Team hat die Einstellungen zusammengestellt, die wir bei jeder Übernahme eines Microsoft-365-Mandanten zuerst prüfen.

## Warum die Standardeinstellungen nicht reichen

Microsoft richtet einen neuen Mandanten so ein, dass alles funktioniert, nicht so, dass alles geschützt ist. Viele Mandanten, die wir übernehmen, sind über Jahre gewachsen: angelegt von einem früheren Dienstleister, mit einem Admin-Konto, das gleichzeitig das Postfach der Geschäftsführung ist, mit Freigabelinks, die jeder im Internet öffnen kann, und mit Konten ehemaliger Mitarbeiter, die noch aktiv sind.

Das Muster bei Angriffen ist fast immer dasselbe: Ein Passwort wird per Phishing abgegriffen, der Angreifer meldet sich an, legt eine Weiterleitungsregel an und liest wochenlang mit, bis er eine Rechnung mit geänderter Bankverbindung verschickt. Jede der folgenden Einstellungen setzt an einer Stelle dieser Kette an.

## Konten und Anmeldung: der wichtigste Block

- **Mehrfaktor-Anmeldung für alle.** Ohne Ausnahme für „die Chefin, die das nicht will“. In kleinen Mandanten schalten wir dafür die Sicherheitsstandards ein, die kostenlos enthalten sind. Mit Business Premium oder Entra ID P1 nutzen wir stattdessen bedingten Zugriff, weil sich dann Regeln je Gruppe, Standort und Gerät festlegen lassen. Als zweiten Faktor richten wir den Microsoft Authenticator ein, keine SMS.
- **Getrennte Admin-Konten.** Wer administriert, hat dafür ein eigenes Konto ohne Postfach, das nie zum Surfen oder Mailen benutzt wird. Das Alltagskonto hat keine Admin-Rechte.
- **Zwei Notfallkonten.** Konten mit globalen Admin-Rechten, sehr langen Passwörtern oder Sicherheitsschlüsseln, die sicher verwahrt werden und nur benutzt werden, wenn alles andere ausfällt. Ihre Anmeldungen werden überwacht.
- **Veraltete Anmeldeverfahren blockieren.** Alte Protokolle ohne Mehrfaktor-Anmeldung sind das Einfallstor, über das MFA umgangen wird. Microsoft hat viele davon bereits abgeschaltet; Ausnahmen wie Scanner oder Drucker, die per SMTP Mails versenden, prüfen wir einzeln und stellen sie um.
- **Verwaiste Konten entfernen.** Ausgeschiedene Mitarbeiter, Testkonten, Konten von Dienstleistern. Postfächer, die weiter gebraucht werden, werden zu freigegebenen Postfächern ohne eigene Anmeldung.

Admin-Passwörter und Notfallzugänge gehören in einen Passwort-Manager, der dem Unternehmen gehört, wir nutzen Vaultwarden, nicht in eine Excel-Datei auf dem Desktop.

## E-Mail: Weiterleitungen, Spoofing und Anhänge

- **Automatische Weiterleitung nach außen sperren.** Wer eine Weiterleitung an eine private Adresse braucht, bekommt sie als dokumentierte Ausnahme. Alle anderen Regeln, die Mails nach außen schicken, sind ein Alarmzeichen.
- **SPF, DKIM und DMARC.** Diese drei DNS-Einträge sorgen dafür, dass niemand so einfach mit deiner Absenderadresse Mails verschicken kann und deine eigenen Mails seltener im Spam landen. DMARC starten wir im Beobachtungsmodus und verschärfen es, wenn alle legitimen Absender, Newsletter-Tool, Shop, Buchhaltung, erfasst sind.
- **Voreingestellte Sicherheitsrichtlinien** für Spam, Phishing und Schadsoftware aktivieren. Mit Defender für Office 365, das in Business Premium enthalten ist, kommen die Prüfung von Links beim Klick und von Anhängen in einer abgeschotteten Umgebung dazu.
- **Externe Absender kennzeichnen.** Ein Hinweis „Diese Nachricht kommt von außerhalb“ klingt klein, hilft aber gegen Mails, die sich als Kollege ausgeben.

## Freigaben, Apps und Geräte

SharePoint, OneDrive und Teams machen Teilen sehr einfach, auch mit Leuten, mit denen man nicht teilen wollte. Deshalb legen wir fest: Standardlinks gelten nur für bestimmte Personen, nicht für „jeden mit dem Link“. Anonyme Links sind entweder abgeschaltet oder laufen nach einer festgelegten Zeit ab. Gäste werden eingeladen, nicht über offene Links versorgt, und einmal im Jahr wird geprüft, wer noch Zugriff hat.

Ein unterschätzter Punkt sind App-Berechtigungen. Standardmäßig können Nutzer Drittanbieter-Apps Zugriff auf ihr Postfach und ihre Dateien geben. Genau das nutzen Angreifer mit gefälschten „Dokumentenbetrachtern“. Wir stellen um, sodass solche Zustimmungen über einen Admin laufen.

Wer Business Premium hat, kann mit Intune zusätzlich festlegen, dass nur verwaltete, verschlüsselte und aktuelle Geräte auf Firmendaten zugreifen. Wie das im Homeoffice aussieht, steht im Artikel [Homeoffice sicher anbinden](/wissen/homeoffice-sicher-anbinden/).

## Übersicht: Einstellung, Ort, Lizenz

| Einstellung | Wo | Lizenz |
| --- | --- | --- |
| Mehrfaktor-Anmeldung per Sicherheitsstandards | Entra Admin Center | In allen Plänen enthalten |
| Bedingter Zugriff nach Gruppe, Gerät, Standort | Entra Admin Center | Entra ID P1, z. B. in Business Premium |
| Weiterleitung nach außen sperren | Defender-Portal, Richtlinie für ausgehenden Spam | In allen Plänen mit Exchange Online |
| SPF, DKIM, DMARC | DNS der Domain, DKIM im Defender-Portal | Unabhängig von der Lizenz |
| Links und Anhänge beim Öffnen prüfen | Defender-Portal | Defender für Office 365 Plan 1, z. B. in Business Premium |
| Freigaberegeln für SharePoint und OneDrive | SharePoint Admin Center | In allen Plänen mit SharePoint |
| Geräteverwaltung und Gerätekonformität | Intune Admin Center | Intune, z. B. in Business Premium |
| Überwachungsprotokoll | Purview-Portal | In allen Plänen, Aufbewahrungsdauer je nach Lizenz |

Stand: 09/2026. Portal-Namen und Lizenzzuschnitte ändert Microsoft regelmäßig, bitte vor der Umsetzung prüfen.

Als laufende Kontrolle nutzen wir die Sicherheitsbewertung im Defender-Portal. Sie ist keine Wahrheit, aber eine brauchbare Liste offener Punkte, und sie zeigt, wenn eine Einstellung wieder zurückgedreht wurde.

## Was Microsoft 365 nicht für dich erledigt

Zwei Dinge bleiben trotz aller Einstellungen bei dir. Erstens die Datensicherung: Microsoft betreibt den Dienst, schützt deine Inhalte aber nicht zuverlässig gegen Löschen durch dich, einen Mitarbeiter oder einen Angreifer. Eine eigene Sicherung außerhalb des Mandanten gehört zu jeder [Backup-Strategie](/wissen/backup-strategie-kmu/).

Zweitens die grundsätzliche Frage, wo deine Daten liegen sollen. Microsoft bietet Datenhaltung in der EU an, bleibt aber ein US-Anbieter. Für viele Unternehmen ist das in Ordnung, für Berufsgeheimnisträger und Firmen mit sensiblen Konstruktionsdaten nicht immer. Eine ehrliche Abwägung steht im Artikel [Nextcloud oder Microsoft 365](/wissen/nextcloud-oder-microsoft-365-ein-ehrlicher-vergleich-fuer-kmu/); oft ist eine Mischung die pragmatische Antwort.

[**Checkliste: NIS2-Maßnahmen technisch umsetzen**Mehrfaktor-Anmeldung, Zugriffskontrolle, Protokollierung, Backup, die Maßnahmen, die auch in einem Microsoft-365-Mandanten greifen, als Liste zum Abhaken.*PDF herunterladen →*](https://art-kon-tor-digital.de/wp-content/uploads/2026/09/nis2-massnahmen-checkliste.pdf)

## Fazit

Microsoft 365 abzusichern ist kein Großprojekt, sondern eine Liste: Mehrfaktor-Anmeldung für alle, getrennte Admin- und Notfallkonten, alte Anmeldeverfahren blockieren, Weiterleitungen und Freigaben begrenzen, Mailschutz mit SPF, DKIM und DMARC, App-Zustimmungen über Admins, Protokolle prüfen und eigene Backups. Ein großer Teil davon ist in jeder Lizenz enthalten und wird trotzdem oft nicht genutzt. Wir prüfen und härten Mandanten im Rahmen der [IT-Betreuung](/it/it-betreuung/) und unter [Cyber-Security](/it/cyber-security/).

## Häufige Fragen

Reichen die Sicherheitsstandards von Microsoft?
Für kleine Mandanten ohne besondere Anforderungen sind sie ein guter Anfang: Sie erzwingen Mehrfaktor-Anmeldung und blockieren veraltete Anmeldeverfahren. Ausnahmen oder Regeln je Gruppe sind damit nicht möglich. Sobald du das brauchst, ist bedingter Zugriff mit Entra ID P1 der nächste Schritt.

Brauche ich Business Premium?
Nicht zwingend. Mehrfaktor-Anmeldung, Weiterleitungssperre, Freigaberegeln und Mailauthentifizierung gehen mit jedem Plan. Business Premium lohnt sich, wenn du Geräte zentral verwalten, bedingten Zugriff nutzen und Links und Anhänge zusätzlich prüfen lassen willst.

Wie erkenne ich, ob ein Konto kompromittiert ist?
Typische Zeichen sind neue Posteingangsregeln, die Mails weiterleiten oder verschieben, Anmeldungen aus ungewöhnlichen Ländern und Mails, die der Nutzer nicht geschrieben hat. Im Verdachtsfall sofort das Passwort ändern, alle Sitzungen beenden, Regeln prüfen und deinen Dienstleister informieren.

Muss ich Microsoft 365 zusätzlich sichern?
Wir empfehlen es. Papierkorb und Aufbewahrungsrichtlinien helfen bei versehentlichem Löschen für begrenzte Zeit, ersetzen aber keine unabhängige Sicherung, auf die ein Angreifer mit deinem Konto keinen Zugriff hat.

Wie oft sollte ich die Einstellungen prüfen?
Nach jeder größeren Änderung und sonst mindestens zweimal im Jahr. Microsoft ändert Portale und Standardwerte regelmäßig, und neue Mitarbeiter, Gäste und Apps kommen laufend dazu.

*Stand: September 2026, wir aktualisieren diesen Artikel, wenn sich Rechtslage oder Technik ändern.*