In diesem Artikel
In Microsoft 365 schützt Microsoft Rechenzentren, Server, das physische Netzwerk und das Betriebssystem des Dienstes; das Unternehmen bleibt verantwortlich für die Daten, die Konten, die Zugriffe und die Geräte der Nutzer. Das sagt Microsoft selbst in der offiziellen Dokumentation. Deshalb trifft der Satz „Die Daten liegen in Microsoft 365, also sind sie sicher“ – den wir in Diagnosen am häufigsten hören – beim Gebäude zu und verfehlt die Schlüssel. Dieser Artikel zeigt die Aufteilung der Verantwortung und die zehn Kontrollen, die Ihrer Organisation obliegen.
Zusammenfassung für die Geschäftsleitung
- Vier Verantwortungsbereiche liegen bei Ihnen Daten, Konten, Zugriffe und Geräte.
- Das Risiko liegt in der Konfiguration Die meisten Vorfälle entstehen durch Konten ohne MFA, offene Freigaben oder ehemalige Mitarbeitende mit Zugriff, nicht durch Fehler von Microsoft.
- 99,9 % Laut Microsoft stoppen MFA und das Blockieren veralteter Authentifizierung mehr als 99,9 % der gängigen Angriffe auf Konten.
- Vierteljährliche Überprüfung Eine Checkliste mit 10 Punkten deckt das Wesentliche ab.
Wer für welche Ebene verantwortlich ist
Microsoft unterscheidet drei Arten von Cloud-Diensten. Bei Software as a Service (SaaS) – Exchange Online, OneDrive, SharePoint und Teams – übernimmt Microsoft fast den gesamten technischen Stack. Doch in allen Modellen gehören dem Kunden seine Daten und seine Identitäten.
| Ebene | Verantwortlich | In der Praxis |
|---|---|---|
| Rechenzentren, Server und physisches Netzwerk | Microsoft | Energie, Kühlung, Defekte, physische Sicherheit |
| Betriebssystem und Netzwerkkontrollen des Dienstes | Microsoft | Aktualisierung der Server und Schutz der Plattform |
| Konfiguration der Anwendungen | Geteilt | Microsoft pflegt die Software; das Unternehmen legt die Konfiguration fest |
| Geräte der Nutzer | Geteilt, Schutz beim Unternehmen | Laptops und Smartphones aktuell, verschlüsselt und geschützt |
| Konten und Zugriffe | Unternehmen | Anlegen und Entfernen von Konten, MFA, Berechtigungen, bedingter Zugriff |
| Daten | Unternehmen | Klassifizierung, Verschlüsselung, Aufbewahrung und Compliance |
Ein Bild hilft: Microsoft ist der Vermieter eines sehr gut bewachten Gebäudes, mit Pförtner, Kameras und massiven Wänden. Der Schlüssel zu Ihrem Büro, die Liste derer, die ihn benutzen dürfen, und was auf dem Schreibtisch liegt, sind Ihre Entscheidungen. Wenn Sie Kopien des Schlüssels verteilen, kann der Pförtner das nicht wissen.
Kontrolle 1: Die Identität ist der neue Perimeter
Früher musste man ins Büronetz, um an die Dateien zu kommen. In Microsoft 365 genügen eine E-Mail-Adresse und ein Passwort – von jedem Computer der Welt aus.
Die Sicherheitsstandards von Microsoft, ohne Zusatzkosten, verpflichten alle Nutzer zur Registrierung von MFA (meist eine Bestätigung auf dem Smartphone), verlangen von Administratoren bei jeder Anmeldung MFA und blockieren veraltete Authentifizierungsprotokolle. Sie sind bei vielen seit dem 22. Oktober 2019 erstellten Konten standardmäßig aktiv, aber nicht bei allen – und manche Organisationen haben sie abgeschaltet, „weil sie störten“. Die Alternativen erklärt der Leitfaden zur Multi-Faktor-Authentifizierung im Unternehmen.
Drei Fragen, die sich in Minuten beantworten lassen sollten:
- Globale Administratoren – wie viele gibt es? Es sollten zwei oder drei sein, nicht zehn.
- MFA-Abdeckung – haben alle Konten, auch geteilte und Dienstkonten, MFA oder sind sie für die Anmeldung gesperrt?
- Austritte – sind die Konten aller, die in den letzten 12 Monaten ausgeschieden sind, deaktiviert?
Kontrolle 2: Externe Freigaben bewusst entschieden, nicht geerbt
Laut Microsoft ist die externe Freigabe in SharePoint und OneDrive standardmäßig für die gesamte Organisation aktiviert. Die Zusammenarbeit mit Kunden und Partnern ist nützlich, sollte aber eine bewusste Entscheidung sein.
Der kritische Punkt sind Links vom Typ „Jeder“: Wer den Link erhält, öffnet die Datei ohne Anmeldung, und eine Weiterleitung nimmt die Datei mit.
- Anonyme Links Deaktivieren oder ein Ablaufdatum erzwingen.
- Gäste Nur mit Personen teilen, die sich authentifizieren.
- Sensible Sites Externe Freigabe in Finanzen, Personal und Verwaltung schließen.
- Überprüfung Die Liste externer Gäste jedes Quartal bereinigen.
E-Mail verdient eigene Aufmerksamkeit: automatische Weiterleitungen nach außen, von Angreifern angelegte Regeln und leicht zu imitierende Domains. Siehe was bei der E-Mail-Sicherheit in Microsoft 365 schiefläuft.
Kontrolle 3: Geräte und Daten
Ein unverschlüsselter Laptop, im Taxi vergessen, mit synchronisiertem Outlook und OneDrive, ist ein Datenleck auf Rädern. Microsoft verwaltet ihn nicht: Die Dokumentation weist dem Kunden den Schutz der Geräte zu, die auf die Dienste zugreifen. Das bedeutet verschlüsselte Festplatte, aktuelles System, verwalteten Virenschutz und idealerweise Regeln, die nicht konforme Geräte blockieren.
Bei den Daten trifft das Unternehmen zwei Entscheidungen: was vertraulich ist und wer es sieht, und wie lange es aufbewahrt wird. Das Backup gehört zur zweiten und ist nicht, wie viele denken, inbegriffen – warum, erklären wir unter Backup von Microsoft 365 für Unternehmen. Einige Schutzfunktionen hängen vom Lizenzplan ab, wie unter Microsoft-365-Lizenzen und Sicherheit in KMU zu sehen ist.
DataRoad IT Unlimited
Sprechen Sie mit DataRoad. Wir analysieren Ihren Betrieb und schlagen das passende Paket vor.
Die 10 vierteljährlichen Kontrollen
| # | Kontrolle | Häufigkeit |
|---|---|---|
| 1 | MFA in allen Konten aktiv, ohne vergessene Ausnahmen | Monatlich |
| 2 | Veraltete Authentifizierung blockiert | Einmalig; vierteljährlich bestätigen |
| 3 | Globale Administratoren auf ein Minimum beschränkt, mit vom Alltag getrennten Konten | Vierteljährlich |
| 4 | Konten ehemaliger Mitarbeitender am Tag des Austritts deaktiviert | Bei jedem Austritt |
| 5 | Links vom Typ „Jeder“ deaktiviert oder mit Ablaufdatum | Einmalig; vierteljährlich prüfen |
| 6 | Externe Gäste überprüft | Vierteljährlich |
| 7 | Automatische E-Mail-Weiterleitung nach außen blockiert | Einmalig |
| 8 | Laptops und Smartphones verschlüsselt, aktuell und verwaltet | Monatlich |
| 9 | Unabhängiges Backup mit Wiederherstellungstest | Vierteljährlich |
| 10 | Audit-Protokolle aktiv und Alarme bei verdächtigen Anmeldungen | Kontinuierlich |
Praxisbeispiel: Massamá und Monte Abraão
In der União das Freguesias de Massamá e Monte Abraão migrierte DataRoad rund 50 Postfächer nach Exchange Online, mit Verlauf und Ordnerstruktur. Nach der Migration wurden Arbeitsplätze und Mobilgeräte neu konfiguriert und geprüft, sodass E-Mail, Kalender und Kontakte fehlerfrei synchronisieren. Für eine öffentliche Einrichtung brachte die Cloud zudem mehr Kontrolle, Aufbewahrung und Auditierbarkeit der E-Mail. Das Projekt ist unter Migration zu Microsoft 365 in Massamá und Monte Abraão beschrieben.
Wie DataRoad diesen Teil übernimmt
Die Administration von Microsoft 365 für Unternehmen – Konten, MFA, Freigaben und Geräte – ist in den IT-Unlimited-Plänen enthalten. Im IT Unlimited Essential, ab 10 Arbeitsplätzen, erfolgt der Support per Fernwartung und telefonisch, was fast alle diese Aufgaben abdeckt; Vor-Ort-Einsätze sind nicht enthalten.
Häufige Fragen
Haftet Microsoft, wenn ein Unternehmenskonto angegriffen wird?
In der Regel nicht. Im Modell der geteilten Verantwortung liegen Konten, Zugriffe und MFA beim Kunden. Microsoft schützt die Plattform; wer mit einem gestohlenen Passwort hineinkommt, nutzt die Tür, die das Unternehmen kontrolliert.
Reichen die Sicherheitsstandards aus?
Für viele KMU sind sie ein guter Anfang und verursachen keine Zusatzkosten. Mit Lizenzen, die bedingten Zugriff enthalten, lässt sich weiter gehen, etwa durch die Pflicht zu verwalteten Geräten oder das Blockieren von Anmeldungen aus bestimmten Ländern.
Behindert die Einschränkung externer Freigaben die Arbeit mit Kunden?
Nicht, wenn sie gut kalibriert ist: Freigabe an authentifizierte Gäste, anonyme Links blockiert oder begrenzt und externe Freigabe nur bei sensiblen Sites geschlossen.
Wie oft sollte die Konfiguration überprüft werden?
Eine vollständige Überprüfung pro Quartal und eine kurze Kontrolle bei jedem Ein- oder Austritt. Die Konfiguration ändert sich ohne Vorwarnung: neue Funktionen, neue Gäste, neue Ausnahmen.
Nächster Schritt: Sicherheitsüberprüfung von Microsoft 365 in 5 Werktagen
Wir prüfen Konten, MFA, Administratoren, externe Freigaben, Weiterleitungen, Geräte und Backup und liefern die Korrekturen nach Risiko sortiert. Unverbindliches Angebot. Ab 10 Arbeitsplätzen · Wartungsvertrag · Support per Fernwartung, vor Ort und telefonisch.
