Consulting, Beratung
Microsoft 365 Security im Kurzüberblick
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von Vimeo.
Mehr erfahren
Security-Funktionen in Microsoft 365 – ein praxisorientierter Überblick
Microsoft 365 bündelt Identitäts‑, Bedrohungs‑, Daten- und Compliance‑Schutz in einer Suite. Im Folgenden beschreibe ich die wichtigsten Bausteine, zeige konkrete Einsatz‑Beispiele, bewerte Einführungsaufwand versus Nutzen und ordne jeweils relevante behördliche / regulatorische Vorgaben zu.
1. Identitäts- und Zugriffsschutz
| Baustein | Beispiel aus der Praxis | Aufwand | Nutzen | Erfüllte Vorgaben |
|---|---|---|---|---|
| Azure AD Conditional Access (Entra ID) | Finanzabteilung darf nur aus Deutschland und über Geräte mit aktueller Defender‑Signatur auf Buchhaltungs‑SaaS zugreifen. | Mittel – Richtlinien modellieren, testen, Roll‑out in Wellen. | Hoch – reduziert Phishing‑ und Session‑Hijacking‑Risiko drastisch. | DSGVO Art. 32 («Stand der Technik»); BSI IT‑Grundschutz OPS.1.1 «Identitätsmanagement»; NIS2 Art. 21 Abs. 2 j (MFA) |
| Mehrfaktorauthentifizierung (MFA) | Außendienst meldet sich via Microsoft Authenticator + biometrischem Faktor an Teams an. | Gering – aktivieren, „per user“ oder „per policy“. | Sehr hoch – Microsoft meldet > 99 % weniger Account‑Takeovers bei aktivem MFA. | DSGVO Art. 32; NIS2; ISO 27001 A.9 |
| Privileged Identity Management (PIM) | Admin‑Rechte nur „Just‑in‑Time“ für 4 h, vollständig protokolliert. | Mittel–Hoch – Rollenkonzept & Genehmigungsworkflows. | Hoch – minimiert Risiko von Seitwärtsbewegungen. | ISO 27001 A.9.4, BSI C5 §8 |
2. Bedrohungsschutz
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Microsoft Defender for Office 365 (Safe Links & Safe Attachments) | CFO erhält PDF‑Rechnung. Anhang wird in Sandbox detoniert, Malware erkannt, Mail geblockt. | Gering–Mittel – Aktivierung & Tuning der Richtlinien. | Hoch – Zero‑Day‑Schutz ohne Gateway‑Appliance. | BSI IT‑Grundschutz APP.4; ISO 27001 A 12.2; MaRisk AT 7.2 |
| Microsoft Defender for Endpoint | Außendienst‑Laptop erkennt verdächtige PowerShell, isoliert Gerät automatisch, SOC erhält Alert. | Hoch – Agent‑Roll‑out, Netzfreigaben, Integration ins SIEM. | Sehr hoch – End‑to‑End‑Erkennung + Reaktion, Vulnerability‑Management. | BSI C5; ISO 27001 A 12.6; NIS2 Art. 21 Abs. 2 e |
3. Informationsschutz & Compliance
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Sensitivity Labels + Verschlüsselung | HR‑Dokument als „Vertraulich/Personal“ gekennzeichnet → Datei auto‑verschlüsselt; extern nur nach MFA zugreifbar. | Mittel – Klassifizierungsschema, User‑Schulung. | Hoch – Schutz bleibt an der Datei, auch außerhalb 365. | DSGVO Art. 9; ISO 27001 A.8 |
| Data Loss Prevention (DLP) | RegEx erkennt IBAN‑Liste in Teams‑Chat, Sendung wird blockiert, Admin erhält Incident. | Mittel – Regeln definieren, False Positives feinjustieren. | Hoch – verhindert versehentliche oder böswillige Datenabflüsse. | DSGVO Art. 32; GoBD „Unveränderbarkeit“ |
| eDiscovery (Premium) & Audit | Rechtsabteilung stellt in 48 h alle Mails einer Führungskraft für ein Gerichtsverfahren bereit. | Mittel – Berechtigungen, Workflows verstehen. | Hoch – Reaktionsfähigkeit, Dokumentationspflicht. | DSGVO Art. 15; ISO 27001 A 12.7; § 257 HGB |
4. Security‑Governance & ‑Monitoring
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Microsoft Secure Score | IT‑Team steigert Score von 37 % auf 68 % durch 15 empfohlene Maßnahmen; Fortschritt im Report ans Management. | Gering – Dashboard sofort nutzbar. | Mittel–Hoch – priorisiert „Quick Wins“, fördert kontinuierliche Verbesserung. | ISO 27001 PDCA‑Zyklus; BSI IS‑Management |
| Defender for Cloud Apps (CASB) | CASB entdeckt, dass Entwickler Quellcode in private Dropbox lädt; Upload blockiert, User geschult. | Mittel–Hoch – Discovery, Shadow‑IT‑Katalog, Richtlinien definieren. | Hoch – Sichtbarkeit & Kontrolle über Cloud‑Schatten‑IT. | DSGVO Art. 25; ISO 27017 |
5. Einführungsstrategie – Aufwand und Nutzen in Relation
- Sofort umsetzbar: MFA + Secure Score. Geringer Aufwand, maximaler Risiko‑Drop.
- Phase 2 (30–90 Tage): Conditional Access, Defender for Office 365, erste Sensitivity Labels. Bringt bereits > 80 % der häufigsten Compliance‑Anforderungen.
- Phase 3 (ab 90 Tage): Defender for Endpoint, DLP, CASB, PIM. Höherer Roll‑out‑ und Change‑Management‑Aufwand, aber essenziell für KRITIS‑ oder Finanzsektor.
- Phase 4: eDiscovery‑Workflows automatisieren, Insider‑Risk‑Management, kontinuierliche Verbesserungsschleifen über Secure Score und Audit‑Berichte.
6. Fazit
Die Microsoft‑365‑Security‑Suite deckt fast das komplette AnforderungsSpektrum moderner Regulierungen – von DSGVO über BSI C5 bis NIS2 – „out‑of‑the‑box“ ab. Schon frühe Maßnahmen wie MFA und Secure Score liefern ein sehr hohes Sicherheits‑/Compliance‑Niveau bei überschaubarem Aufwand. Komplexere Module wie Defender for Endpoint oder tiefgehende DLP‑Regeln erfordern sorgfältige Planung, zahlen sich aber spätestens bei einem Security‑Incident oder Audit mehrfach aus – technisch, finanziell und regulatorisch.
Weitere Beiträge zum Thema Security und Compliance
freigabeworkflow-verfahrensanweisung-sharepoint
Verfahrensanweisungen und Standards freigeben: Prüf- und Freigabeworkflow in SharePoint WissenDer Überblick zur ganzen Serie: Recht, Technik und Organisation in der Klinik.› Microsoft 365 im Krankenhaus BeratungFreigabematrix, Workflow-Bauweise und...
qm-handbuch-sharepoint-krankenhaus
QM-Handbuch mit SharePoint: Dokumentenlenkung im Krankenhaus, die im Audit hält WissenDer Überblick zur ganzen Serie: Recht, Technik und Organisation in der Klinik.› Microsoft 365 im Krankenhaus BeratungKonzept QM-Dokumentenlenkung: Dokumentenpyramide,...
microsoft-365-einfuehrung-krankenhaus-konzept
Microsoft-365-Einführung im Krankenhaus: Konzeptionsphase in 4,5 Tagen und die Vorlage für die Geschäftsführung WissenDer Überblick zur ganzen Serie: Recht, Technik und Organisation in der Klinik.› Microsoft 365 im Krankenhaus BeratungDas...
Tenant-Strategie für den Klinikverbund
Klinikverbund und Tenant-Strategie: Ein Mandant, mehrere Häuser, gewachsene Domänen WissenDer Überblick zur ganzen Serie: Recht, Technik und Organisation in der Klinik.› Microsoft 365 im Krankenhaus BeratungTenant-Strategie für Ihren Verbund – mit...
Microsoft 365 im kirchlichen Krankenhaus
Microsoft 365 im kirchlichen Krankenhaus: KDG, DSG-EKD und die MAV am Tisch WissenDer Überblick zur ganzen Serie: Recht, Technik und Organisation in der Klinik.› Microsoft 365 im Krankenhaus BeratungKonzept, Mandantenzuschnitt und Vorlage für...
NIS2 und B3S: Microsoft 365 im Krankenhaus
NIS2, § 391 SGB V und B3S: Was die Sicherheitspflichten für Microsoft 365 bedeuten NIS2, § 391 SGB V und B3S: drei Regelwerke, ein Tenant. WissenAlle Beiträge der Serie im Überblick: › Microsoft 365 im Krankenhaus BeratungPflichten einordnen,...
Schweigepflicht und Cloud im Krankenhaus
Schweigepflicht und Cloud: § 203 StGB, Landeskrankenhausgesetze und Auftragsverarbeitung Die Cloud ist nicht das Problem. Die fehlende Unterschrift ist es. WissenAlle Beiträge der Serie im Überblick:› Microsoft 365 im Krankenhaus BeratungVerträge,...
§ 393 SGB V und C5-Testat im Krankenhaus
§ 393 SGB V und C5-Testat: Was Krankenhäuser beim Cloud-Einsatz nachweisen müssen Das Testat liefert der Anbieter. Die Aufgabenliste darunter liefert er gleich mit – an Sie. WissenAlle Beiträge der Serie im Überblick:› Microsoft 365 im...
Prompt-Injection-Schutz in Microsoft Defender for Office 365
DIGITALE PRIVATSPHÄRE & DATENSCHUTZ · Security · AI/Copilot Prompt-Injection-Schutz in Defender schützt vor unerwünschter Datenexfiltration Wenn der Phishing-Angriff nicht mehr dich meint, sondern deinen Copilot. Executive Summary...
M365 Security Warnquellen im Überblick
Wo informieren sich die Profis der IT-Gefahrenabwehr? Die Warnquellen, die einen Blick wert sind Wenn du in einer Firma oder Behörde für die Abwehr von IT-Gefahren zuständig bist, hast du ein Problem, das nichts mit Technik zu tun hat: Du erfährst...
