Microsoft 365 Sicherheitseinstellungen: Checkliste für KMU

Womit beginnen Sie bei den Microsoft 365 Sicherheitseinstellungen?

Beginnen Sie bei den Microsoft 365 Sicherheitseinstellungen mit Ihren Lizenzen, denn der Plan bestimmt, welche Kontrollen verfügbar sind. Business Basic, Standard und Premium (früher als Office 365 vermarktet) enthalten alle Schutz vor Spam, Schadsoftware und Phishing für E-Mails. Laut Microsoft 365 for business security best practices sind Conditional Access, Intune Plan 1, Defender for Business und Defender for Office 365 Plan 1 nur in Business Premium enthalten.

Microsoft richtet Business Premium an Unternehmen mit bis zu 300 Benutzern. Weitere Planunterschiede finden Sie in unserem Vergleich von Business Basic, Standard und Premium und auf unserer Produktseite zu Business Premium.

Auch ein KMU mit Basic oder Standard kann also die Schritte zu Identität, E-Mail, Freigabe und Überwachung umsetzen. Wenn Sie das gesamte Büro planen, zeigt unser Leitfaden zur IT-Infrastruktur für KMU-Büros, wo diese Checkliste hingehört.

Identität: Sicherheitsstandards oder Conditional Access?

Ohne Conditional-Access-Lizenz lassen Sie die Sicherheitsstandards aktiv; mit Business Premium oder Entra ID P1 wechseln Sie zu Conditional-Access-Richtlinien. Der Microsoft-Learn-Artikel zu den Sicherheitsstandards beschreibt, dass sich alle Benutzer für MFA registrieren müssen, Administratoren bei jeder Anmeldung MFA durchführen und Legacy-Authentifizierung blockiert wird. Laut demselben Artikel kann MFA über 99,2 % der identitätsbasierten Angriffe abwehren.

Beide Verfahren lassen sich nicht kombinieren: Wer Conditional Access einführt, deaktiviert die Sicherheitsstandards. Erstellen Sie Richtlinien zuerst im Modus „Nur Bericht“ (report-only); sie werden ausgewertet, aber nicht erzwungen, und das Ergebnis steht im Anmeldeprotokoll. Auch von Microsoft verwaltete Richtlinien kommen in diesem Modus und werden, sofern Sie sie nicht abschalten, nach Vorankündigung in der Regel frühestens nach 30 Tagen aktiviert.

1. Zwei Notfallzugriffskonten (Break-Glass) anlegen: reine Cloud-Konten (*.onmicrosoft.com) mit der Rolle Global Administrator, ausgenommen von Richtlinien, die Anmeldungen blockieren, mit FIDO2-Sicherheitsschlüssel geschützt und mindestens alle 90 Tage getestet.
2. Global Administrators reduzieren: Microsoft empfiehlt weniger als fünf; die CISA-SCuBA-Baselines verlangen zwei bis acht. Für den Alltag dienen engere Rollen und getrennte Administratorkonten.
3. Phishing-resistente MFA für Administratoren: Die integrierte Authentifizierungsstärke „Phishing-resistant MFA strength“ akzeptiert unter anderem FIDO2-Schlüssel und Windows Hello for Business.
4. MFA für alle Benutzer erzwingen: Microsoft Authenticator verlangt bei der Bestätigung die Eingabe einer Zahl und erschwert so MFA-Fatigue-Angriffe.
5. App-Einwilligung einschränken: Microsoft empfiehlt, Benutzereinwilligungen nur für Apps verifizierter Herausgeber zuzulassen.
6. Kennwortablauf abschalten: Microsoft empfiehlt für reine Cloud-Konten Kennwörter ohne Ablauf und mindestens 14 Zeichen.

Exchange Online hat die Standardauthentifizierung für POP, IMAP, EWS und ActiveSync bereits dauerhaft abgeschaltet; SMTP AUTH ist die Ausnahme. Laut der Ankündigung des Exchange-Teams vom Januar 2026 wird sie in bestehenden Mandanten Ende Dezember 2026 standardmäßig deaktiviert; Administratoren können sie wieder aktivieren. Erfassen Sie Drucker und Anwendungen, die so E-Mails senden. Wenn Sie von lokalem Exchange migrieren, nehmen Sie die Liste in Ihren Migrationsplan auf; die Optionen vergleicht unser Beitrag zum Supportende von Exchange Server.

Der Baseline security mode im Microsoft 365 Admin Center (Settings > Org Settings > Security and Privacy) bündelt solche Einstellungen auf einer Seite. Microsoft rät, für jede Einstellung zuerst den Auswirkungsbericht auszuführen und nur Einstellungen ohne Auswirkungen zu aktivieren.

Wie schützen Intune und Defender for Business die Geräte?

Registrieren Sie jedes Gerät mit Zugriff auf Firmendaten in Intune, binden Sie es an Defender for Business an und lassen Sie in Conditional Access nur konforme Geräte zu. Microsoft beschreibt Defender for Business als Endpoint-Schutz auf Basis von Defender for Endpoint für Unternehmen mit bis zu 300 Benutzern.

• Konformitätsrichtlinie: Legen Sie Regeln wie Mindestversion des Betriebssystems, kein Jailbreak oder Root und eine Bedrohungsstufe fest. Die Einstellung „Geräte ohne zugewiesene Konformitätsrichtlinie markieren als“ steht standardmäßig auf „Konform“; Microsoft empfiehlt „Nicht konform“, wenn Sie sie mit Conditional Access nutzen.
• Private Geräte: Intune Plan 1 enthält auch die Verwaltung mobiler Anwendungen (MAM); private Smartphones lassen sich so auf App-Ebene schützen.
• Defender for Business: Der Einrichtungsassistent vergibt Portalzugriff, richtet E-Mail-Benachrichtigungen ein, nimmt Windows-Geräte auf und wendet Standardrichtlinien für Virenschutz der nächsten Generation und Firewall an. Server benötigen zusätzliche Lizenzen.

Setzen Sie ein Produkt eines anderen Herstellers wie Bitdefender GravityZone ein, legen Sie die Rolle jedes Produkts vorab fest: Microsoft Defender Antivirus läuft dann im aktiven, passiven oder deaktivierten Modus, je nachdem, ob das Gerät in Defender for Endpoint aufgenommen ist. Siehe unseren Vergleich der GravityZone-Pakete und den Leitfaden zur Reduzierung der Angriffsfläche.

Welche E-Mail-Sicherheitseinstellungen sollten aktiv sein?

Aktivieren Sie eine voreingestellte Sicherheitsrichtlinie, vervollständigen Sie SPF, DKIM und DMARC und deaktivieren Sie die automatische Weiterleitung an externe Adressen. Die voreingestellten Richtlinien Standard und Strict wenden Spam-, Schadsoftware- und Phishing-Schutz mit den von Microsoft empfohlenen Werten in einem Schritt an; mit Business Premium kommen Safe Links, Safe Attachments und Identitätswechselschutz hinzu.

Prüfen Sie Ihre Domäne danach mit unserem E-Mail-Sicherheitscheck; das stufenweise Vorgehen beschreibt Microsofts DMARC-Anleitung. Stellen Sie in der Richtlinie für ausgehenden Spam die automatische Weiterleitung auf „Aus“ statt „Automatisch – systemgesteuert“: Laut Microsoft verhält sich dieser Standard je nach Organisation unterschiedlich, und Weiterleitungsregeln können auch von kompromittierten Konten angelegt werden. Mehr dazu in unserem Beitrag zu Defender for Office 365 und auf der Produktseite.

Wie wird die Dateifreigabe eingeschränkt?

Stellen Sie die externe Freigabe in SharePoint und OneDrive auf die engste Stufe, die Sie tatsächlich brauchen, und machen Sie „Bestimmte Personen“ zum Standardlinktyp. Laut Microsofts Dokumentation zur Freigabe darf OneDrive strenger, aber nicht großzügiger als SharePoint sein, und Websites können die Organisationseinstellung nicht überschreiten.

Die CISA-SCuBA-Baseline für SharePoint ist strenger: höchstens „Vorhandene Gäste“, standardmäßig nur Lesezugriff und „Jeder“-Links mit maximal 30 Tagen Gültigkeit. Sie wurde für US-Bundesbehörden geschrieben und dient KMU als Vergleichsmaßstab, nicht als Pflicht. Business Premium ergänzt Vertraulichkeitsbezeichnungen und DLP. Freigabeeinstellungen stellen gelöschte oder verschlüsselte Daten nicht wieder her; dazu unser Beitrag zur Microsoft 365 Datensicherung.

Wie unterstützen Überwachungsprotokoll und Secure Score die Kontrolle?

Prüfen Sie zuerst, ob das Überwachungsprotokoll aktiv ist, und sehen Sie sich dann monatlich die Secure-Score-Empfehlungen an. Laut Microsoft Learn ist die Überwachung bei KMU-Lizenzen wie Business Basic, Standard und Premium standardmäßig nicht aktiviert. Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled in Exchange Online PowerShell sollte True liefern; Audit (Standard) bewahrt Einträge 180 Tage auf.

In Microsoft Secure Score bringt jede Empfehlung höchstens 10 Punkte, manche auch Teilpunkte: Sind 50 von 100 Benutzern per MFA geschützt, gibt es die Hälfte. Die Sicherheitsstandards bringen volle Punkte für drei Empfehlungen: MFA für alle Benutzer (9), MFA für Administratorrollen (10) und blockierte Legacy-Authentifizierung (7). Nutzen Sie den Wert als Aufgabenliste und prüfen Sie monatlich auch Anmeldungen der Notfallkonten.

Microsoft 365 Sicherheits-Checkliste: in welcher Reihenfolge?

Setzen Sie zuerst breit wirkende, leicht umkehrbare Einstellungen um und testen Sie alles, was Benutzer blockieren könnte, im Modus „Nur Bericht“. Die letzte Spalte zeigt, wie Sie jeden Punkt nachprüfen.

1. Vorbereitung: Lizenzen, Administratorrollen und Geräte mit Legacy-Protokollen erfassen; Notfallkonten anlegen; Überwachung aktivieren.
2. Identität: Sicherheitsstandards aktivieren oder Conditional Access im Modus „Nur Bericht“ aufbauen und nach Auswertung einschalten.
3. E-Mail und Freigabe: voreingestellte Richtlinien, DKIM, DMARC mit p=none, Weiterleitung aus, engere Freigabe.
4. Geräte und Härtung: Intune und Defender for Business, Bedingung „konformes Gerät“, DMARC auf p=reject.

Legen Sie Notfallkonten vor Conditional Access an und verlangen Sie konforme Geräte erst nach der Registrierung, sonst verlieren Benutzer den Zugriff.

Häufige Fragen

Können Sicherheitsstandards und Conditional Access gleichzeitig aktiv sein?

Nein. Laut Microsoft Learn müssen Organisationen, die Conditional-Access-Richtlinien einführen, die Sicherheitsstandards deaktivieren. Um keine Schutzlücke entstehen zu lassen, erstellen Sie die neuen Richtlinien zuerst im Modus „Nur Bericht“, werten das Anmeldeprotokoll aus, aktivieren dann die Richtlinien und schalten die Sicherheitsstandards ab. Von Microsoft verwaltete Richtlinien erleichtern den Übergang, weil sie MFA und das Blockieren der Legacy-Authentifizierung bereits abdecken.

Wir nutzen Business Standard. Brauchen wir für MFA Business Premium?

Nein. Die Sicherheitsstandards stehen in jedem Plan ohne Zusatzkosten zur Verfügung und erzwingen MFA für alle Benutzer. Business Premium oder Entra ID P1 lohnt sich, wenn Sie Regeln nach Standort, Gerätekonformität oder Benutzergruppe brauchen oder phishing-resistente MFA für Administratoren verlangen wollen. Um die Planoptionen gemeinsam abzuwägen: Kontaktieren Sie uns.

Was passiert mit Druckern und Anwendungen, die E-Mails senden?

Laut der Ankündigung des Exchange-Teams vom Januar 2026 wird die Standardauthentifizierung für SMTP AUTH in bestehenden Mandanten Ende Dezember 2026 standardmäßig deaktiviert; Administratoren können sie wieder einschalten. Danach erstellte Mandanten erhalten sie standardmäßig nicht. Das endgültige Abschaltdatum soll in der zweiten Jahreshälfte 2027 folgen. Erfassen Sie die Geräte, prüfen Sie die OAuth-Unterstützung des Herstellers und planen Sie Alternativen wie Microsoft Graph.

Brauchen wir mit Bitdefender zusätzlich Defender for Business?

Ein einziges primäres Endpoint-Schutzprodukt vereinfacht die Verwaltung. Microsoft Defender Antivirus läuft neben einem Virenschutz anderer Hersteller im aktiven, passiven oder deaktivierten Modus, je nachdem, ob das Gerät in Defender for Endpoint aufgenommen ist. Unabhängig von der Wahl müssen MFA, Conditional Access und die E-Mail-Einstellungen in Microsoft 365 separat konfiguriert werden.

Was ist ein Notfallzugriffskonto und wie wird es geschützt?

Es ist ein keiner Person zugeordnetes Global-Administrator-Konto für den Fall, dass normale Administratorkonten sich nicht anmelden können. Microsoft empfiehlt mindestens zwei reine Cloud-Konten (*.onmicrosoft.com). Sie werden von blockierenden Conditional-Access-Richtlinien ausgenommen, mit einer phishing-resistenten Methode wie einem FIDO2-Schlüssel geschützt, bei jeder Nutzung überwacht und mindestens alle 90 Tage getestet.

Fazit

• Die Lizenz bestimmt den Rahmen: Sicherheitsstandards in jedem Plan, Conditional Access mit Business Premium oder Entra ID P1.
• Notfallkonten, MFA, blockierte Legacy-Authentifizierung und weniger Global Administrators bringen den schnellsten Nutzen.
• Voreingestellte E-Mail-Richtlinien, DKIM, stufenweises DMARC und deaktivierte externe Weiterleitung ergänzen die Identitätsschritte.
• In KMU-Plänen muss das Überwachungsprotokoll manuell aktiviert und Secure Score monatlich geprüft werden.

Sora Yazılım Teknolojileri ist ein Technologieunternehmen mit Sitz in Istanbul (Ataşehir) und bietet für Microsoft 365 Lizenzauswahl, Beschaffung, Einrichtung und Support; der Leistungsumfang wird im Vertrag festgelegt. Die Pläne finden Sie unter Microsoft 365 Lösungen.

Kostenloses Gespräch · WhatsApp: WhatsApp Support · Telefon: +90 544 785 21 87 · E-Mail: talep@sorayazilim.com

Quellen

1. Security defaults in Microsoft Entra ID — Microsoft Learn, 16.10.2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
2. Conditional Access overview; Microsoft-managed policies — Microsoft Learn, 2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
3. Emergency access accounts; Best practices for Microsoft Entra roles — Microsoft Learn, Juni 2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
4. Microsoft 365 for business security best practices — Microsoft Learn, 28.05.2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
5. Baseline security mode settings — Microsoft Learn, 30.09.2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
6. What is Microsoft Defender for Business? — Microsoft Learn, 2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
7. Device compliance policies in Microsoft Intune — Microsoft Learn, 02.07.2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
8. Microsoft Defender Antivirus compatibility — Microsoft Learn, 21.08.2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
9. DKIM, DMARC und externe Weiterleitung (Defender for Office 365) — Microsoft Learn, 2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
10. Manage sharing settings for SharePoint and OneDrive — Microsoft Learn, 30.06.2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
11. Turn auditing on or off — Microsoft Learn, 19.06.2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
12. Microsoft Secure Score — Microsoft Learn, 07.03.2026. learn.microsoft.com (abgerufen am 19. Oktober 2026)
13. Updated Exchange Online SMTP AUTH Basic Authentication Deprecation Timeline — Microsoft Exchange Team, 27.01.2026. techcommunity.microsoft.com (abgerufen am 19. Oktober 2026)
14. CISA SCuBA M365 Secure Configuration Baselines — CISA, ScubaGear 2.0.0. github.com (abgerufen am 19. Oktober 2026)

Wie dieser Beitrag entstand

Erstellt von: Sora Yazılım Team. Dieser Beitrag wurde mit KI-Unterstützung erstellt; die technischen Angaben wurden am 19. Oktober 2026 mit den im Text verlinkten Hersteller- und offiziellen Quellen abgeglichen.

Verwandte Artikel

• IT-Infrastruktur für KMU-Büros — Netzwerk, Telefonie, E-Mail und Endpoint-Schutz in einem Plan.
• Microsoft 365 Business Basic, Standard und Premium im Vergleich — Welcher Plan zu Ihrem Team passt.
• Supportende für Exchange Server 2016/2019 — Exchange Online oder Exchange SE.
• Bitdefender GravityZone Pakete im Vergleich — Business Security, Premium und Enterprise.
• Angriffsfläche am Endpoint reduzieren — Härtung mit GravityZone.
• Ruijie Reyee oder RG Enterprise? — Die passende Produktfamilie für das Büronetz.
• Wann lohnt sich Wi-Fi 7 im Unternehmen? — Den richtigen Zeitpunkt für ein neues WLAN finden.
• 3CX Telefonanlage: Bereitstellungsoptionen — Cloud, lokal und SIP-Trunk.
• 3CX und Microsoft Teams Integration — Aus Teams über die IP-Telefonanlage telefonieren.