Microsoft 365 absichern: Die Sicherheitsbasis, die vor Zusatzprodukten kommt

Fachlich geprüft von Robin Roeder, Geschäftsführer der SCREENUS GmbH · zuletzt geprüft am 26.08.2026.

Viele Angriffe auf Microsoft 365 beginnen nicht mit einer unbekannten Schwachstelle, sondern mit gestohlenen Zugangsdaten, zu breiten Rechten oder unbemerkten App-Zugriffen. Eine gute Basis reduziert diese Angriffsfläche, bevor weitere Werkzeuge hinzukommen.

Identitäten sind die neue Außengrenze

Microsoft beschreibt Conditional Access als Zero-Trust-Richtlinienengine. Signale wie Nutzer, Gerät, Anwendung, Standort und Risiko können gemeinsam darüber entscheiden, ob Zugriff erlaubt, blockiert oder zusätzlich bestätigt wird.

Für kleine Umgebungen bieten Security Defaults eine Grundabsicherung. Mit passenden Lizenzen ermöglicht Conditional Access feinere Regeln. Beide Ansätze sollten nicht unkoordiniert gemischt werden; beim Wechsel müssen die bisherigen Schutzwirkungen bewusst nachgebildet werden.

Administratoren benötigen eine eigene Schutzstufe

Privilegierte Konten sind besonders attraktive Ziele. Microsoft empfiehlt phishing-resistente MFA für administrative Zugriffe. Im Alltag sollten Administratoren getrennte Arbeits- und Verwaltungskonten verwenden und nur die benötigten Rollen erhalten.

Notfallkonten dürfen nicht einfach eine dauerhafte Hintertür sein. Sie werden stark geschützt, überwacht, dokumentiert und regelmäßig getestet. Änderungen an Zugriffsregeln benötigen eine Rückfallmöglichkeit, damit sich das Unternehmen nicht selbst aussperrt.

E-Mail, Apps und Protokolle mitprüfen

Legacy Authentication unterstützt moderne Schutzmechanismen häufig nicht und sollte blockiert werden, sobald technische Abhängigkeiten geklärt sind. Ebenso wichtig sind Weiterleitungsregeln, OAuth-App-Einwilligungen, Gastkonten und veraltete Anmeldemethoden.

Protokolle müssen lange genug verfügbar und tatsächlich ausgewertet werden. Nur dann lassen sich verdächtige Anmeldungen, Regeländerungen oder App-Zugriffe zeitlich einordnen. Aufbewahrung und verfügbare Ereignisse hängen von Lizenz und Dienst ab.

Konkrete nächste Schritte

1. Rollen und Konten inventarisieren. Entfernen Sie nicht mehr benötigte Konten und reduzieren Sie dauerhaft privilegierte Rollen.
2. MFA vollständig ausrollen. Berücksichtigen Sie Nutzer, Administratoren, Dienstkonten und realistische Ausnahmen.
3. Alte Authentisierung blockieren. Prüfen Sie vorher Anwendungen und Geräte, die noch von unsicheren Protokollen abhängen.
4. Conditional Access testen. Nutzen Sie Report-only, Pilotgruppen und einen geprüften Notfallzugang.
5. Apps und Weiterleitungen prüfen. Unbekannte Einwilligungen und externe Mailregeln sind häufige Persistenzwege.
6. Protokollierung und Alarmierung festlegen. Definieren Sie relevante Ereignisse, Aufbewahrung und konkrete Reaktion.

Fazit

Eine sichere Microsoft-365-Umgebung entsteht nicht durch eine einzelne Richtlinie. Entscheidend sind vollständige Identitäten, kontrollierte Änderungen, passende Lizenzen, klare Ausnahmen und ein Betrieb, der Warnungen auch bearbeitet.

Identity & Access Management ansehen