Viele Microsoft-365-Umgebungen laufen mit den Voreinstellungen, die auf Bequemlichkeit ausgelegt sind. Diese Checkliste nennt zwölf Einstellungen, die den größten Unterschied machen, und sagt dazu, was sie kosten und welche Lizenz sie voraussetzen.
Hinweis: Stand: Oktober 2026. Microsoft ändert Funktionen und Lizenzzuordnungen regelmäßig. Prüfen Sie die Zuordnung für Ihren Plan im Lizenz-Check.
Anmeldung und Konten
Die meisten Angriffe auf Microsoft 365 beginnen bei einem gestohlenen Passwort. Wer Konten absichert, schließt die häufigste Einfallstür.
| Einstellung | Warum | Lizenzhinweis |
|---|---|---|
| Mehrfaktor-Anmeldung für alle Konten | Stoppt viele Angriffe mit gestohlenen Passwörtern. Administratoren zuerst. | In allen Plänen möglich, über Sicherheitsstandards oder bedingten Zugriff |
| Veraltete Anmeldeverfahren sperren | Alte Protokolle kennen keine Mehrfaktor-Anmeldung und sind ein Hintertürchen. | Über bedingten Zugriff (Business Premium) |
| Administratorkonten trennen | Ein erbeutetes Alltagskonto soll keine Administratorrechte haben. | Alle Pläne |
| Zwei Notfallkonten | Zugang, falls eine Regel versehentlich alle aussperrt. Stark geschützt, nicht im Alltag genutzt. | Alle Pläne |
Zugriff und Geräte
| Einstellung | Warum | Lizenzhinweis |
|---|---|---|
| Bedingter Zugriff mit Basisregeln | Anmeldungen nach Gerät, Standort und Risiko prüfen statt nur nach Passwort. | Business Premium |
| Zugriff von verwalteten Geräten | Firmendaten bleiben auf geprüften Geräten. | Business Premium (Intune) |
| Zustimmung zu Apps einschränken | Mitarbeitende sollen nicht jeder App Zugriff auf Postfach und Dateien geben dürfen. | Alle Pläne |
E-Mail und Freigaben
| Einstellung | Warum | Lizenzhinweis |
|---|---|---|
| SPF, DKIM und DMARC einrichten | Erschwert gefälschte Absender in Ihrem Namen und verbessert die Zustellung. | Alle Pläne, Einstellung im DNS |
| Schutz vor Phishing und Schadanhängen | Filter vor dem Postfach, zum Beispiel Safe Links und Safe Attachments. | Business Premium (Defender für Office 365) |
| Automatische Weiterleitung nach außen sperren | Angreifer richten oft heimlich Weiterleitungen ein. | Alle Pläne |
| Externe Freigaben begrenzen | Dateien in SharePoint und Teams nicht öffentlich oder an jeden extern teilen. | Alle Pläne |
Überwachung und Sicherung
| Einstellung | Warum | Lizenzhinweis |
|---|---|---|
| Anmeldeprotokolle regelmäßig prüfen | Auffällige Anmeldungen früh bemerken. | Alle Pläne |
| Backup der Microsoft-365-Daten | Kein Plan enthält ein echtes Backup. Es braucht eine separate, unveränderbare Sicherung. | Zusatzbaustein |
Gerade der letzte Punkt wird oft vergessen: Die eingebauten Aufbewahrungsfunktionen sind kein Backup im eigentlichen Sinn. Mehr dazu unter Backup und Notfall-Wiederanlauf.
In welcher Reihenfolge Sie vorgehen
- Mehrfaktor-Anmeldung für alle, Administratoren zuerst. Das bringt am meisten für am wenigsten Aufwand.
- Notfallkonten und getrennte Administratorkonten einrichten, bevor Regeln greifen, die jemanden aussperren könnten.
- Veraltete Anmeldeverfahren sperren und bedingten Zugriff mit Basisregeln einführen, zuerst im Berichtsmodus.
- E-Mail absichern: SPF, DKIM, DMARC, Phishing-Schutz, Weiterleitungen.
- Freigaben und Backup prüfen und einrichten, dann die Anmeldeprotokolle in den regelmäßigen Betrieb aufnehmen.
Häufige Fragen
Reichen die Sicherheitsstandards von Microsoft?
Sie sind ein guter Grundschutz, vor allem für Betriebe ohne Business Premium. Mit bedingtem Zugriff lassen sich Regeln feiner an Ihren Betrieb anpassen.
Sperren wir uns mit diesen Regeln selbst aus?
Nicht, wenn die Einführung geplant ist: Notfallkonten einrichten, Regeln zuerst im Berichtsmodus prüfen und mit einer Testgruppe starten.
Welche Lizenz brauchen wir mindestens?
Mehrfaktor-Anmeldung und viele Grundeinstellungen gehen in allen Plänen. Bedingter Zugriff, Geräteverwaltung und erweiterter E-Mail-Schutz setzen Business Premium voraus. Mehr im Lizenz-Guide.
Wie oft sollte man das prüfen?
Mindestens einmal im Jahr und nach größeren Änderungen, etwa nach einer Migration oder bei neuen Diensten.
Gehört das zu NIS2?
Zugriffskontrolle, Mehrfaktor-Anmeldung und Backup gehören zu den geforderten Maßnahmen. Die Technik allein genügt aber nicht. Mehr in der NIS2-Beratung.
Dieser Beitrag ist eine Orientierung und keine Konfigurationsanleitung für Ihren konkreten Mandanten. Funktionen und Lizenzzuordnungen können sich ändern.
Wie sicher ist Ihr Mandant wirklich?
Der Security-Check zeigt in kurzer Zeit, wo Ihre größten Risiken liegen, mit einem klaren Plan, was zuerst zu tun ist.
Security-Check starten