Microsoft 365 absichern: die wichtigsten Einstellungen für kleine Unternehmen

Microsoft 365 absichern heißt vor allem: wenige Einstellungen bewusst setzen, in der richtigen Reihenfolge. Viele davon kosten keine Zusatzlizenz. Dieser Überblick zeigt Geschäftsführern und internen Verantwortlichen, was zuerst an die Reihe kommt und welche Lizenz dafür nötig ist. Eine Klick-Anleitung ist er nicht.

Microsoft 365 absichern: Was kommt zuerst?

Microsoft 365 absichern, in dieser Reihenfolge

Empfehlung, angelehnt an die Sicherheitsempfehlungen von Microsoft.

1. AnmeldungMehrstufige Anmeldung für alle, veraltete Anmeldeverfahren blockiertZuerst
2. Administratorkontenwenige, getrennt vom Alltag, zwei Notfallkonten
3. E-MailSicherheitsrichtlinien, SPF, DKIM, DMARC, keine automatische Weiterleitung nach außen
4. Geräteverwaltet, verschlüsselt, mit Endpoint-Schutz
5. Freigaben und Appsklare Regeln für Links nach außen und für App-Zustimmungen
6. Protokoll und SicherungNachvollziehen, was passiert ist, und Daten zurückholen

Die ersten vier Stufen entsprechen den ersten vier Punkten in den Sicherheitsempfehlungen von Microsoft für Unternehmen bis 300 Nutzer. Die Anmeldung steht vorn, weil ein übernommenes Konto viele der übrigen Schutzmaßnahmen ins Leere laufen lässt.

Anmeldung: mehrstufig für alle

Laut Microsoft kann die Mehrstufige Anmeldung mehr als 99,2 Prozent der Angriffe auf Konten blockieren. Veraltete Anmeldeverfahren gehören mit abgeschaltet, denn über sie lässt sich der zweite Faktor umgehen.

Ohne Business Premium erledigen das die Sicherheitsstandards von Microsoft. Sie sind in Tenants seit Oktober 2019 standardmäßig aktiv, lassen sich aber abschalten. Prüfen Sie deshalb, ob sie bei Ihnen laufen. Mit Business Premium ersetze ich sie früh durch den bedingten ZugriffConditional Access: Regeln, die festlegen, wer sich von welchem Gerät, Ort und mit welcher Anmeldemethode anmelden darf.. Warum, steht im Artikel zu den Sicherheitsfunktionen von Business Premium.

Planen Sie auch den Alltag danach ein. In meiner Betreuung kommt es vor, dass jemand sein Handy tauscht und die Anmeldung zurückgesetzt werden muss. Klären Sie vorher, wer das übernimmt.

Administratorkonten: wenige und getrennt

• Wenige: Microsoft empfiehlt weniger als fünf globale Administratoren.
• Getrennt: Administratoren arbeiten im Alltag mit einem normalen Konto und nutzen das Admin-Konto nur für die Verwaltung.
• Notfallkonten: Zwei Konten nur in der Cloud sichern den Weg zurück in den Tenant.

Diese Punkte brauchen keine Zusatzlizenz. Wie Rollen nur noch auf Zeit aktiv sind und welche Lizenz das kostet, beschreibe ich im Artikel zu Privileged Identity Management.

Mein Grundsatz: Globaler Administrator sind dauerhaft nur die Notfallkonten. Interne und externe IT holen sich ihre Rollen per PIM, sobald sie sie brauchen, und haben sie nicht dauerhaft. PIM braucht Entra ID P2 oder ID Governance, das in Business Premium nicht enthalten ist.

E-Mail: Richtlinien, SPF, DKIM und DMARC

• Voreingestellte Sicherheitsrichtlinien: Microsoft bietet die Stufen Standard und Strict an. Sie setzen empfohlene Werte, ohne dass jemand jede Einstellung einzeln pflegen muss. Basic und Standard enthalten den Grundschutz gegen Spam, Schadsoftware und Phishing. Safe Links und Safe Attachments gibt es nur mit Defender for Office 365, also in Business Premium oder als Zusatz.
• SPF, DKIM und DMARC: Diese DNS-Einträge erschweren es, in Ihrem Namen gefälschte Mails zu versenden. Sie gehören zu jeder eigenen Domain, auch zu ungenutzten. Bei DMARC rät Microsoft zu einer schrittweisen Einführung: erst beobachten, dann in Quarantäne schicken, am Ende abweisen.
• Automatische Weiterleitung nach außen: Auch ein übernommenes Konto kann darüber Mails nach außen weiterleiten. Der Standardwert verhält sich je nach Tenant unterschiedlich. Microsoft empfiehlt deshalb, die Weiterleitung ausdrücklich abzuschalten und nötige Ausnahmen bewusst zu regeln.

Geräte: verwaltet statt nur angemeldet

Basic und Standard enthalten mit Basic Mobility and Security eine einfache Verwaltung für mobile Geräte. Intune und Defender for Business kommen erst mit Business Premium dazu. Damit lassen sich Verschlüsselung und Updates zentral steuern und Zugriffe zusammen mit Conditional Access an den Zustand des Geräts knüpfen. Mehr dazu im Artikel zur Geräteverwaltung im Unternehmen.

Bei privaten Geräten empfehle ich eine klare Regel: entweder nur Firmengeräte oder privat nur Mail und Teams mit App-Schutz.

Freigaben und Apps: was nach außen darf

Externes Teilen ist in SharePoint und OneDrive standardmäßig erlaubt, und Microsoft rät dazu, es eingeschaltet zu lassen. Das ist meist besser als Dateien in Mails oder privaten Cloud-Diensten. Links ohne Anmeldung sind das eigentliche Thema: Ein weitergeleiteter Link funktioniert auch außerhalb des Unternehmens, und niemand sieht, wer die Datei geöffnet hat. Microsoft empfiehlt, diese Links nicht zu erlauben oder sie zumindest zu befristen und auf Lesen zu beschränken. Ich richte es so ein: Gäste mit Anmeldung, anonyme Links aus.

Ähnlich ist es bei Apps. Standardmäßig können Mitarbeitende einer App Zugriff auf ihre eigenen Daten geben, etwa auf ihr Postfach. Microsoft empfiehlt, das auf Apps verifizierter Herausgeber zu begrenzen.

Überwachungsprotokoll und Sicherung

Bei Business Basic, Standard und Premium ist das Überwachungsprotokoll laut Microsoft nicht von Anfang an eingeschaltet. Es erfasst viele wichtige Aktivitäten von Benutzern und Administratoren und bewahrt die Einträge im Standard-Audit in der Regel 180 Tage auf. Nach einem Vorfall lässt sich damit nachvollziehen, was passiert ist. Das Protokoll steht in der Reihenfolge hinten, das Einschalten sollten Sie aber nicht aufschieben.

Keine dieser Einstellungen holt gelöschte oder verschlüsselte Daten zurück. Dafür braucht es eine eigene Sicherung, siehe Sichert Microsoft meine Daten?

Was geht mit welcher Lizenz?

Maßnahme	Basic	Standard	Premium
Sicherheitsstandards	✓	✓	✓
Conditional Access (Entra ID P1)	–	–	✓
Grundschutz für E-Mail	✓	✓	✓
Safe Links und Safe Attachments (Defender for Office 365 Plan 1)	–	–	✓
Einfache Verwaltung mobiler Geräte (Basic Mobility and Security)	✓	✓	✓
Intune Plan 1	–	–	✓
Defender for Business	–	–	✓

Ohne Zusatzlizenz möglich: SPF, DKIM, DMARC, Weiterleitungen, Freigaben, App-Zustimmungen und Überwachungsprotokoll. PIM ist in keiner der drei Lizenzen enthalten. Quelle: Microsoft Learn, Stand Oktober 2026.

Wie gut ist Ihr Microsoft 365 abgesichert?

Fünf Fragen an Ihre IT

Eine erste Einordnung, ohne Anmeldung.

Gilt die Mehrstufige Anmeldung für alle Konten?

Ja Nein Weiß nicht

Gibt es weniger als fünf globale Administratoren und zwei Notfallkonten?

Ja Nein Weiß nicht

Sind SPF, DKIM und DMARC für alle Domains eingerichtet?

Ja Nein Weiß nicht

Ist die automatische Weiterleitung nach außen ausdrücklich abgeschaltet?

Ja Nein Weiß nicht

Ist das Überwachungsprotokoll eingeschaltet?

Ja Nein Weiß nicht

Beantworten Sie alle Fragen, dann erscheint die Einordnung.

Hier besteht Handlungsbedarf

Beginnen Sie bei der Anmeldung und den Administratorkonten. Der kostenlose Check zeigt, wo Ihr Tenant steht. Kostenlosen Microsoft-365-Check ansehen

Gute Grundlage, mit Lücken

Schließen Sie die offenen Punkte in der Reihenfolge von oben. Der kostenlose Check zeigt, ob noch mehr offen ist. Kostenlosen Microsoft-365-Check ansehen

Die Grundlagen stehen

Der nächste Schritt sind Geräte, Freigaben, Apps und die Sicherung. Diese fünf Fragen ersetzen aber keine Prüfung des Tenants.

So gehe ich vor

1. Bestandsaufnahme: Ich lese die Einstellungen aus und prüfe sie. Was dabei herauskommt, beschreibe ich im Artikel zum Microsoft-365-Audit.
2. Einführung: Spürbare Änderungen kündige ich vorher an und begleite die Umstellung, wenn nötig vor Ort. Rückfragen erhalte ich danach kaum. Eher zeige ich selten Genutztes noch einmal, zum Beispiel ein Mailarchiv.
3. Betrieb: Auf Wunsch übernehme ich den laufenden Betrieb im Rahmen der IT-Betreuung.

Einen pauschalen Aufwand nenne ich nicht, dafür sind Umgebungen und Anforderungen zu unterschiedlich.

Häufige Fragen

Microsoft verlangt doch schon die Mehrstufige Anmeldung. Reicht das nicht?

Nein. Die Pflicht von Microsoft gilt für die Anmeldung an Verwaltungsportalen wie dem Microsoft 365 Admin Center. Für den normalen Zugriff auf Postfach und Dateien müssen Sie die Mehrstufige Anmeldung selbst durchsetzen.

Reichen die Sicherheitsstandards für ein kleines Unternehmen?

Als Grundschutz ja, Microsoft hält sie für die meisten Organisationen für geeignet. Sie lassen sich aber nur ein- oder ausschalten und nicht anpassen. Wer Regeln nach Gerät oder Standort braucht, braucht Conditional Access und damit mindestens Entra ID P1.

Kann ich Microsoft 365 absichern, ohne auf Business Premium zu wechseln?

Zum Teil. Viele Punkte aus diesem Artikel sind auch mit Basic und Standard möglich, die Tabelle oben zeigt die Grenzen. Wer Geräte zentral verwalten oder Zugriffe an Bedingungen knüpfen will, kommt um Zusatzlizenzen nicht herum. Mein Standard ist deshalb Business Premium.

Was lohnt sich für kleine Unternehmen nicht oder erst später?

Sentinel und Security Operations, E5, aufwendige Compliance-Pakete und Datenklassifizierung im großen Stil. Erst kommen die Grundlagen aus diesem Artikel.

Quellen

• Empfehlungen und Lizenzen: Microsoft Learn – Microsoft 365 for business security best practices, Microsoft Learn – Microsoft 365 for business security overview (Stand: Oktober 2026)
• Anmeldung: Microsoft Learn – Security defaults in Microsoft Entra ID, Microsoft Learn – Set up multifactor authentication for Microsoft 365, Microsoft Learn – Mandatory multifactor authentication (Stand: Oktober 2026)
• Administratorkonten: Microsoft Learn – Best practices for Microsoft Entra roles, Microsoft Learn – Manage emergency access accounts (Stand: Oktober 2026)
• E-Mail: Microsoft Learn – Preset security policies, Microsoft Learn – Get started with Microsoft Defender for Office 365, Microsoft Learn – Set up DMARC, Microsoft Learn – Control automatic external email forwarding (Stand: Oktober 2026)
• Freigaben: Microsoft Learn – Plan sharing and collaboration options, Microsoft Learn – Manage sharing settings, Microsoft Learn – Secure external access to Teams, SharePoint and OneDrive (Stand: Oktober 2026)
• App-Zustimmungen: Microsoft Learn – Configure how users consent to applications (Stand: Oktober 2026)
• Überwachungsprotokoll: Microsoft Learn – Turn auditing on or off, Microsoft Learn – Search the audit log (Stand: Oktober 2026)