Microsoft 365 absichern: 5 wichtige Einstellungen

Microsoft 365 ist in vielen Betrieben das digitale Rückgrat: E-Mail, Kalender, Dateiablage und Teams laufen über ein einziges Benutzerkonto. Gerät dieses Konto in falsche Hände, haben Angreifer Zugriff auf Kommunikation, Kundendaten und Dokumente. Microsoft bringt bereits viele Schutzfunktionen mit, doch nicht alle sind automatisch aktiv, und manche hängen von der gebuchten Lizenz ab.

In diesem Ratgeber stellen wir fünf Einstellungen vor, die Sie unabhängig von der Unternehmensgröße prüfen sollten. Wir geben jeweils an, welche Lizenz dafür nötig ist. Grundlage sind die Angaben in der offiziellen Microsoft-Dokumentation (Stand Oktober 2026). Da Microsoft Lizenzpakete gelegentlich ändert, lohnt sich vor der Umsetzung ein Blick in die aktuellen Bedingungen Ihres Vertrags.

Vorab: Welche Lizenz bringt was mit?

Für kleine und mittlere Unternehmen sind vor allem drei Pakete relevant. Microsoft 365 Business Basic und Business Standard enthalten die kostenlose Stufe von Microsoft Entra ID, dem Verzeichnisdienst hinter allen Benutzerkonten, sowie den grundlegenden E-Mail-Schutz für alle Cloud-Postfächer. Microsoft 365 Business Premium enthält zusätzlich Entra ID P1, Microsoft Defender for Office 365 Plan 1, Intune zur Geräteverwaltung und Defender for Business zum Schutz der Endgeräte. Die folgenden Einstellungen sind so ausgewählt, dass sich die meisten bereits mit Basic oder Standard umsetzen lassen.

1. Mehrfaktor-Authentifizierung für alle Benutzer

Ein gestohlenes Passwort allein soll nicht reichen, um sich anzumelden. Das ist der Zweck der Mehrfaktor-Authentifizierung (MFA): Neben dem Passwort bestätigen Sie die Anmeldung zum Beispiel in der App Microsoft Authenticator. Microsoft gibt an, dass MFA zusammen mit dem Blockieren veralteter Anmeldeverfahren mehr als 99,9 Prozent der gängigen Angriffe auf Benutzerkonten abwehrt.

Für alle Lizenzen verfügbar sind die sogenannten Sicherheitsstandards (Security Defaults). Sie sind kostenlos und verlangen von allen Benutzern die Einrichtung von MFA, von Administratoren bei jeder Anmeldung. Außerdem blockieren sie veraltete Anmeldeverfahren wie POP3, IMAP oder SMTP mit einfacher Passwort-Anmeldung, die keine MFA unterstützen. Bei neu angelegten Microsoft-365-Umgebungen sind die Sicherheitsstandards in der Regel bereits eingeschaltet. Bei älteren Umgebungen sollten Sie prüfen, ob das auch bei Ihnen der Fall ist.

Mit Business Premium oder einer separaten Entra-ID-P1-Lizenz steht der bedingte Zugriff (Conditional Access) zur Verfügung. Damit lassen sich feinere Regeln festlegen, etwa abhängig von Standort, Gerät oder Benutzergruppe. Microsoft empfiehlt, mit P1-Lizenz auf den bedingten Zugriff umzustellen, weil sich die Sicherheitsstandards nicht anpassen lassen. Beides gleichzeitig ist nicht möglich. Von der älteren MFA-Einstellung pro Benutzer rät Microsoft ab.

2. Administratorkonten besonders schützen

Ein Konto mit globalen Administratorrechten kann die gesamte Umgebung verändern, Benutzer anlegen und Sicherheitsfunktionen abschalten. Microsoft empfiehlt deshalb:

Getrennte Konten verwenden: Für E-Mail und tägliche Arbeit ein normales Benutzerkonto, für Verwaltungsaufgaben ein eigenes Administratorkonto. Reine Administratorkonten benötigen laut Microsoft keine eigene Microsoft-365-Lizenz.
Rechte sparsam vergeben: Wer nur Benutzer anlegt, braucht keine globalen Administratorrechte, sondern eine passende eingeschränkte Rolle.
Mindestens zwei Notfallzugriffskonten anlegen: Sie sichern den Zugang, falls reguläre Administratoren sich nicht mehr anmelden können. Microsoft empfiehlt dafür eine phishingresistente Anmeldemethode wie einen Passkey (FIDO2-Sicherheitsschlüssel) und eine sichere, getrennte Aufbewahrung der Zugangsdaten.

Für Administratoren empfiehlt Microsoft zudem phishingresistente Anmeldeverfahren wie Passkeys oder Windows Hello for Business. Mit Business Premium lassen sich solche Verfahren über den bedingten Zugriff verbindlich vorschreiben.

3. Voreingestellte Sicherheitsrichtlinien für E-Mail aktivieren

Jedes Microsoft-365-Postfach ist durch einen grundlegenden Schutz gegen Spam, Schadsoftware und gefälschte Absender abgesichert. Wie streng dieser Schutz arbeitet, hängt aber von der Konfiguration ab. Statt jede Einstellung einzeln zu setzen, bietet Microsoft im Defender-Portal voreingestellte Sicherheitsrichtlinien in den Stufen „Standard“ und „Streng“ an. Microsoft beschreibt die Stufe Standard als Grundprofil, das für die meisten Benutzer geeignet ist. Die strengere Stufe eignet sich für besonders gefährdete Personen, etwa in der Geschäftsführung oder Buchhaltung.

Mit Business Basic und Standard umfassen diese Richtlinien den Schutz vor Spam, Schadsoftware und Absenderfälschung. Mit Business Premium kommen über Defender for Office 365 weitere Funktionen hinzu: Sichere Links prüfen Links beim Anklicken, Sichere Anlagen untersuchen Dateianhänge, und ein Identitätsschutz erkennt Mails, die sich als Geschäftsführung oder bekannte Partner ausgeben. Microsoft empfiehlt die voreingestellten Richtlinien für alle Lizenzstufen.

4. Automatische Weiterleitung nach außen abschalten

Übernehmen Angreifer ein Postfach, richten sie häufig unbemerkt eine Regel ein, die alle eingehenden Mails an eine externe Adresse weiterleitet. So lesen sie auch dann noch mit, wenn das Passwort längst geändert wurde. Solche Informationen nutzen Täter zum Beispiel für Betrug mit gefälschten Bankverbindungen.

In Microsoft 365 steuert die Richtlinie für ausgehenden Spam, ob automatische Weiterleitungen an externe Empfänger erlaubt sind. Die Voreinstellung heißt „Automatisch – vom System gesteuert“. Wie sie sich auswirkt, hängt laut Microsoft davon ab, wann und wie Ihre Umgebung eingerichtet wurde. Microsoft empfiehlt deshalb, die Einstellung ausdrücklich auf „Ein“ oder „Aus“ zu setzen. Wenn Sie keine externe Weiterleitung benötigen, wählen Sie „Aus“. Interne Weiterleitungen zwischen Kollegen bleiben davon unberührt. Werden einzelne Weiterleitungen nach außen geschäftlich benötigt, lassen sich gezielte Ausnahmen einrichten. Die Einstellung ist in allen Lizenzstufen verfügbar.

5. Zustimmung zu Drittanbieter-Apps einschränken

Viele Anwendungen bitten Benutzer, ihnen Zugriff auf ihr Microsoft-365-Konto zu gewähren, etwa auf Postfach oder Kalender. Das ist praktisch, wird aber auch missbraucht: Schädliche Apps können versuchen, Benutzer zu einer Freigabe zu verleiten und so an Unternehmensdaten zu gelangen. Anders als ein gestohlenes Passwort bleibt ein solcher App-Zugriff auch nach einer Passwortänderung bestehen, bis die Freigabe widerrufen wird.

Microsoft empfiehlt, Benutzern die Zustimmung nur noch für Apps von verifizierten Herausgebern zu erlauben. Benötigt jemand eine andere App, kann er über einen Genehmigungsworkflow eine Freigabe durch den Administrator beantragen. Beachten Sie: Eine Änderung dieser Einstellung wirkt nur für künftige Freigaben. Bereits erteilte Berechtigungen sollten Sie im Entra Admin Center gesondert prüfen und nicht benötigte Freigaben entfernen.

Fazit

Mit diesen fünf Einstellungen schließen Sie typische Einfallstore in Microsoft 365, und die meisten davon lassen sich ohne zusätzliche Lizenzkosten umsetzen. Business Premium bietet mit bedingtem Zugriff, erweitertem E-Mail-Schutz und Geräteverwaltung deutlich mehr Möglichkeiten, ersetzt aber nicht die sorgfältige Konfiguration. Wichtig ist, Änderungen geplant umzusetzen und vorher zu prüfen, ob ältere Geräte oder Programme betroffen sind, etwa ein Scanner, der noch über ein veraltetes Verfahren Mails versendet.

Wie Secundo IT unterstützt

Secundo IT überprüft Ihre Microsoft-365-Umgebung anhand dieser und weiterer Punkte und setzt die Einstellungen passend zu Ihren Lizenzen um. Dabei achten wir darauf, dass Ihr Team weiterhin reibungslos arbeiten kann, und dokumentieren die Konfiguration nachvollziehbar.

Sie möchten wissen, wie gut Ihr Microsoft 365 abgesichert ist? Nehmen Sie Kontakt mit uns auf. Zur Kontaktseite

Microsoft 365 absichern: Fünf Einstellungen, die jedes Unternehmen braucht