Microsoft 365 absichern: Die wichtigsten Einstellungen für kleine Unternehmen

Das ist die erste Frage, denn Anleitungen setzen oft mehr voraus, als gekauft wurde. Die Übersicht folgt Microsoft Learn, Stand 5. November 2026. Pakete ändern sich, prüfen Sie deshalb Ihren eigenen Vertrag.

Laut Microsoft kann die Mehr-Faktor-Anmeldung mehr als 99,2 Prozent der Angriffe auf Konten blockieren. Das ist eine Angabe des Herstellers. Verlassen Sie sich nicht auf die Pflicht, die Microsoft schrittweise durchsetzt: Sie gilt für Verwaltungsportale wie das Microsoft 365 Admin Center und für Azure-Werkzeuge. Outlook und Teams stehen nicht auf der Liste.

Ohne P1 nutzen Sie die Sicherheitsstandards. Sie kosten nichts extra, lassen sich aber nur als Ganzes ein- und ausschalten. Sie verlangen von allen Benutzern die Registrierung, von Administratoren den zweiten Faktor bei jeder Anmeldung und sperren veraltete Protokolle. Für neue Mandanten sind sie aktiv. In Mandanten, die seit dem 22. Oktober 2019 entstanden sind, laut Microsoft möglicherweise, also sehen Sie nach. Mit P1 oder P2 sind sie laut Microsoft wahrscheinlich nicht die richtige Wahl. Ersetzen Richtlinien für bedingten Zugriff sie, müssen sie ausgeschaltet werden.

Ein Globaler Administrator kann fast alles im Mandanten lesen und ändern. Microsoft empfiehlt deshalb:

Veraltete Verfahren unterstützen keinen zweiten Faktor. Laut Microsoft nutzen mehr als 97 Prozent der Angriffe mit gestohlenen Kennwortlisten und mehr als 99 Prozent der Kennwort-Spray-Angriffe solche Verfahren. Die Sicherheitsstandards sperren sie. Mit P1 erledigt das eine Richtlinie, die Sie zuerst im Berichtsmodus laufen lassen. Vorher sehen Sie in den Anmeldeprotokollen nach, wer sie noch nutzt.

In Exchange Online ist die Standardauthentifizierung für die meisten Protokolle bereits abgeschaltet. Offen ist noch SMTP AUTH, das Geräte und Anwendungen zum Senden nutzen können, etwa Drucker. Microsoft schaltet die Standardauthentifizierung dafür Ende Dezember 2026 für bestehende Mandanten standardmäßig ab, Administratoren können sie vorerst wieder einschalten. Das endgültige Datum will Microsoft in der zweiten Jahreshälfte 2027 nennen. Prüfen Sie jetzt, welche Geräte davon abhängen.

Microsoft empfiehlt die voreingestellten Sicherheitsrichtlinien Standard oder Streng, deren Werte Microsoft selbst festlegt. Sie gelten für den Grundschutz jedes Cloudpostfachs und, mit passender Lizenz, für Defender for Office 365. Dazu gehören SPF, DKIM und DMARC für Ihre Domain. Für eigene Domains müssen Sie die DKIM-Signatur selbst einrichten. Wie das geht, steht in meinem Artikel zu DMARC.

Weiterleitungen können absichtlich entstehen oder als Folge eines übernommenen Kontos, und sie legen Informationen offen. In der Richtlinie für ausgehenden Spam stehen dafür die Werte Automatisch, Ein und Aus. Der Standard Automatisch verhält sich laut Microsoft je nach Organisation unterschiedlich, deshalb sollten Sie einen Wert ausdrücklich setzen. Ich empfehle Aus mit begründeten Ausnahmen. Sehen Sie sich vorher den Bericht zu automatisch weitergeleiteten Nachrichten an, damit nichts Gewolltes ausfällt.

Die Einstellungen liegen im SharePoint Admin Center und gelten für SharePoint und OneDrive. OneDrive darf strenger eingestellt sein als SharePoint, aber nicht lockerer. Diese Werte empfehle ich als Ausgangspunkt und passe sie an die Zusammenarbeit im Betrieb an. Beachten Sie: Dateianforderungen in OneDrive setzen die Stufe Jeder voraus.

Standardmäßig dürfen alle Benutzer Anwendungen Berechtigungen erteilen, die keine Administratorzustimmung brauchen, etwa den Zugriff auf das eigene Postfach. Microsoft empfiehlt, das auf Anwendungen verifizierter Herausgeber zu beschränken. Über einen Genehmigungsablauf können Benutzer weitere Anwendungen beantragen.

Hier liegt eine Falle für kleine Betriebe: Laut Microsoft ist das Audit-Protokoll bei Business Basic, Standard und Premium nicht standardmäßig aktiv und muss von Hand eingeschaltet werden. Ob es läuft, zeigt in Exchange Online PowerShell der Befehl Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled. Audit Standard bewahrt 180 Tage auf, Audit Premium bis zu einem Jahr. Legen Sie außerdem fest, wer Warnungen liest und wer ihn vertritt.

Diese Reihenfolge schlage ich vor. Sie senkt das Risiko, sich auszusperren oder den Betrieb zu stören:

Sie machen Angriffe schwerer und schließen sie nicht aus. Geräte, Datensicherung und lokale Systeme stehen außerhalb dieser Liste. Eine Liste ersetzt auch nicht die Prüfung, welche Ausnahmen in Ihrem Mandanten über die Jahre entstanden sind.