Microsoft 365 härten: 12 Einstellungen für Schweizer KMU

Die meisten Übernahmen von Microsoft-365-Konten brauchen keinen Zero-Day. Sie brauchen ein Passwort aus einem Leak, ein Protokoll ohne MFA oder eine Weiterleitungsregel, die niemand bemerkt. Die gute Nachricht: Die Einstellungen, die das verhindern, sind bekannt, meist im Business-Premium-Abo enthalten und an einem Nachmittag gesetzt. Hier sind die zwölf, die ich zuerst umsetzen würde.

Kurz gesagt: Härtung von Microsoft 365 heisst vor allem Identitäten schützen (MFA für alle, keine Legacy-Protokolle, wenige Admins), Post absichern (keine externen Weiterleitungen, DMARC, Anhang- und Link-Prüfung), Freigaben begrenzen und Logs einschalten. Zwölf Einstellungen decken den Grossteil der Angriffe ab, die in Schweizer KMU tatsächlich vorkommen.

Was du brauchst, bevor du anfängst

• Lizenz: Microsoft 365 Business Premium (oder E3) bringt Entra ID P1 für Conditional Access, Defender for Office 365 P1 für Safe Links und Safe Attachments sowie Intune mit. Mit Business Standard bleibt nur der Grundschutz über Security Defaults — auch das ist besser als nichts.
• Ein Testfenster: Conditional-Access-Regeln lassen sich im Modus Nur Bericht ausrollen. Erst beobachten, dann erzwingen — so sperrt man sich nicht selbst aus.
• Die Break-Glass-Konten (Punkt 4) vor der ersten erzwungenen Regel. Das ist die eine Reihenfolge, die nicht verhandelbar ist.
• Kommunikation. Die meisten Rückfragen nach einer Härtung sind keine technischen: «Warum fragt mein Handy plötzlich nach einem Code?» Eine kurze Mail an alle vor dem Stichtag, mit Anleitung und Ansprechperson, spart mehr Zeit als jede Einstellung.

Identität: die ersten vier

1. MFA für alle Benutzer per Conditional Access

Nicht per Benutzer-Einstellung, sondern als Regel: alle Benutzer, alle Cloud-Apps, Zugriff gewähren nur mit Multi-Faktor. Microsoft selbst beziffert seit Jahren, dass MFA über 99 Prozent der automatisierten Kontoangriffe stoppt. Ausnahmen nur für die Break-Glass-Konten. Pfad: Entra Admin Center → Schutz → Bedingter Zugriff → Neue Richtlinie. Fallstrick: Service-Konten, die «keine MFA können» — die gehören auf Zertifikate oder Managed Identities, nicht in die Ausnahmeliste.

2. Phishing-resistente MFA für Admins

Eine SMS oder eine Push-Benachrichtigung lässt sich mit einem Proxy-Phishing-Kit abfangen; ein FIDO2-Schlüssel oder ein Passkey nicht. Für alle Konten mit Admin-Rollen eine Regel mit Authentifizierungsstärke: Phishing-resistente MFA erzwingen. Kosten: zwei Hardware-Schlüssel pro Admin, je rund 30 bis 60 Franken.

3. Legacy-Authentifizierung blockieren

IMAP, POP, SMTP-Auth und alte Office-Clients umgehen MFA vollständig. Eine Conditional-Access-Regel mit der Bedingung Client-Apps: Exchange ActiveSync und andere Clients → Blockieren. Vorher im Anmeldeprotokoll prüfen, wer noch darüber anmeldet: meist ein Multifunktionsdrucker oder ein Scanner, der auf SMTP-Relay oder auf eine moderne Auth umgestellt werden kann.

4. Zwei Break-Glass-Konten

Zwei Cloud-only-Konten mit Global-Admin-Rolle, langen zufälligen Passphrasen (im Safe, nicht im Passwortmanager der IT), von allen Conditional-Access-Regeln ausgenommen und mit einer Alarmregel auf jede Anmeldung. Sie werden nie im Alltag benutzt — sie sind der Schlüssel unter der Fussmatte für den Tag, an dem eine Regel alles aussperrt.

Zugriff und Rechte: fünf bis sieben

5. Global Admins auf ein Minimum

Zwei bis vier Personen, jede mit einem separaten Admin-Konto ohne Postfach und ohne Lizenz für Office-Apps. Alle anderen Aufgaben über die spezifischen Rollen (Exchange-Administrator, Benutzeradministrator). Mit Entra ID P2 zusätzlich Privileged Identity Management: Rechte nur auf Zeit, mit Begründung. Ohne P2 wenigstens ein vierteljährlicher Blick in die Rollenliste.

6. App-Zustimmung durch Benutzer einschränken

Standardmässig darf jeder Benutzer einer beliebigen App Zugriff auf Mail und Dateien erteilen — OAuth-Phishing braucht dann kein Passwort. Entra Admin Center → Unternehmensanwendungen → Zustimmung und Berechtigungen: Benutzerzustimmung nur für verifizierte Herausgeber und geringe Berechtigungen, alles andere über den Admin-Zustimmungsworkflow.

7. Externe Freigaben und Gäste begrenzen

SharePoint Admin Center → Richtlinien → Freigabe: Für die Organisation Neue und vorhandene Gäste statt Jeder; anonyme Links nur, wenn es einen Grund gibt, dann mit Ablaufdatum. Gastkonten in Entra ID mindestens jährlich prüfen — mit P2 automatisiert per Access Review, sonst per Liste.

E-Mail: acht bis zehn

8. Automatische Weiterleitungen nach extern blockieren

Nach einer Kontoübernahme ist eine stille Weiterleitung an eine externe Adresse der häufigste Weg, um mitzulesen. Exchange Admin Center → Schutz → Ausgehende Spamrichtlinie → Automatische Weiterleitung: Aus. Wer eine Ausnahme braucht, bekommt sie namentlich.

9. SPF, DKIM und DMARC für jede eigene Domain

SPF sagt, wer im Namen der Domain senden darf, DKIM signiert, DMARC sagt den Empfängern, was mit Fälschungen passieren soll. Mit p=none beginnen und die Berichte lesen, dann auf p=quarantine und schliesslich p=reject gehen. Ohne DMARC lässt sich die eigene Domain für CEO-Fraud gegen die eigenen Kunden nutzen.

10. Voreingestellte Sicherheitsrichtlinien einschalten

Defender-Portal → E-Mail und Zusammenarbeit → Richtlinien → Voreingestellte Sicherheitsrichtlinien: Standard für alle, Streng für Geschäftsleitung und Finanzen. Das aktiviert Safe Links, Safe Attachments und den Schutz vor Identitätsimitation in einem Schritt — inklusive der Namen der Geschäftsleitung als geschützte Absender.

Sichtbarkeit: elf und zwölf

11. Audit-Protokoll einschalten und Aufbewahrung kennen

Microsoft Purview → Überwachung: Das einheitliche Überwachungsprotokoll muss aktiv sein, sonst gibt es nach einem Vorfall nichts zu untersuchen. Die Standard-Aufbewahrung liegt je nach Lizenz bei rund einem halben Jahr; wer länger braucht, exportiert regelmässig oder nutzt ein SIEM. Anmeldeprotokolle aus Entra ID ebenfalls sichern — sie sind kürzer aufbewahrt als man denkt.

12. Alarme für die drei kritischen Ereignisse

Mindestens drei Alarmregeln, die per Mail an mehr als eine Person gehen: eine Anmeldung eines Break-Glass-Kontos, eine neue Zuweisung der Global-Admin-Rolle und eine neu erstellte Weiterleitungsregel. Mit Entra ID P2 dazu die risikobasierten Richtlinien: Block bei hohem Anmelderisiko, Passwortwechsel bei hohem Benutzerrisiko.

Was die zwölf nicht abdecken

Die Liste ist bewusst auf den Tenant beschränkt. Vier Themen gehören in den nächsten Schritt:

• Geräte. Ein gültiges Token auf einem ungepatchten Laptop ist ein Problem, das keine Conditional-Access-Regel sieht — ausser sie verlangt ein konformes Gerät. Das braucht Intune und eine Compliance-Richtlinie, ist aber in Business Premium enthalten.
• Endpoint-Schutz. Defender for Business gehört zur Lizenz, muss aber ausgerollt und die automatische Untersuchung eingeschaltet werden.
• Daten. Purview-Vertraulichkeitsbezeichnungen und DLP-Richtlinien verhindern, dass sensible Dateien das Haus verlassen — sinnvoll, sobald die Identitäten sauber sind, nicht vorher.
• Backup. Microsoft sichert die Plattform, nicht die Inhalte gegen Löschung oder Verschlüsselung. Ein Backup von Exchange, SharePoint und OneDrive ist eine eigene Entscheidung — und eine der wichtigsten.

Auch Teams-Gastzugriff, Copilot-Berechtigungen und die Überwachung von Drittanbieter-Apps verdienen einen Blick, sobald die zwölf Punkte stehen.

Die Reihenfolge, die funktioniert

1. Break-Glass-Konten anlegen und testen (4).
2. Audit-Log prüfen (11), damit die nächsten Schritte belegt sind.
3. Legacy-Auth und MFA im Modus Nur Bericht (1, 3) — eine Woche beobachten, Ausnahmen bereinigen, dann erzwingen.
4. Admin-Rollen und phishing-resistente MFA (2, 5).
5. Mail-Schutz (8, 9, 10) — DMARC ist ein mehrwöchiger Prozess, früh starten.
6. Freigaben, App-Zustimmung, Alarme (6, 7, 12).

Alles zusammen ist für ein KMU mit 50 Konten ein Aufwand von zwei bis drei Arbeitstagen, verteilt über einige Wochen — der grösste Teil ist Kommunikation, nicht Klicken. Wer die Schritte auf zwei Wochen verteilt, hat pro Tag selten mehr als eine Stunde Arbeit — und nie einen Moment, in dem das ganze Unternehmen gleichzeitig betroffen ist.

Danach: prüfen, nicht glauben

Ob die zwölf Punkte wirklich greifen, zeigt kein Gefühl, sondern ein Test. Maester prüft genau diese Einstellungen automatisiert und lässt sich wöchentlich laufen — wie ein Assessment insgesamt aufgebaut ist, steht in M365-Assessment: Wo Tenants wirklich verwundbar sind. Die Mitarbeitenden bleiben trotzdem die letzte Verteidigungslinie: Ob sie einen Betrug erkennen, lässt sich mit der Phishing-Simulation ausprobieren. Und wie viel Budget neben den Lizenzen für den Rest bleibt, zeigt der Security-Budget-Check.