Consulting, Beratung
Microsoft 365 Security im Kurzüberblick
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von Vimeo.
Mehr erfahren
Security-Funktionen in Microsoft 365 – ein praxisorientierter Überblick
Microsoft 365 bündelt Identitäts‑, Bedrohungs‑, Daten- und Compliance‑Schutz in einer Suite. Im Folgenden beschreibe ich die wichtigsten Bausteine, zeige konkrete Einsatz‑Beispiele, bewerte Einführungsaufwand versus Nutzen und ordne jeweils relevante behördliche / regulatorische Vorgaben zu.
1. Identitäts- und Zugriffsschutz
| Baustein | Beispiel aus der Praxis | Aufwand | Nutzen | Erfüllte Vorgaben |
|---|---|---|---|---|
| Azure AD Conditional Access (Entra ID) | Finanzabteilung darf nur aus Deutschland und über Geräte mit aktueller Defender‑Signatur auf Buchhaltungs‑SaaS zugreifen. | Mittel – Richtlinien modellieren, testen, Roll‑out in Wellen. | Hoch – reduziert Phishing‑ und Session‑Hijacking‑Risiko drastisch. | DSGVO Art. 32 («Stand der Technik»); BSI IT‑Grundschutz OPS.1.1 «Identitätsmanagement»; NIS2 Art. 21 Abs. 2 j (MFA) |
| Mehrfaktorauthentifizierung (MFA) | Außendienst meldet sich via Microsoft Authenticator + biometrischem Faktor an Teams an. | Gering – aktivieren, „per user“ oder „per policy“. | Sehr hoch – Microsoft meldet > 99 % weniger Account‑Takeovers bei aktivem MFA. | DSGVO Art. 32; NIS2; ISO 27001 A.9 |
| Privileged Identity Management (PIM) | Admin‑Rechte nur „Just‑in‑Time“ für 4 h, vollständig protokolliert. | Mittel–Hoch – Rollenkonzept & Genehmigungsworkflows. | Hoch – minimiert Risiko von Seitwärtsbewegungen. | ISO 27001 A.9.4, BSI C5 §8 |
2. Bedrohungsschutz
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Microsoft Defender for Office 365 (Safe Links & Safe Attachments) | CFO erhält PDF‑Rechnung. Anhang wird in Sandbox detoniert, Malware erkannt, Mail geblockt. | Gering–Mittel – Aktivierung & Tuning der Richtlinien. | Hoch – Zero‑Day‑Schutz ohne Gateway‑Appliance. | BSI IT‑Grundschutz APP.4; ISO 27001 A 12.2; MaRisk AT 7.2 |
| Microsoft Defender for Endpoint | Außendienst‑Laptop erkennt verdächtige PowerShell, isoliert Gerät automatisch, SOC erhält Alert. | Hoch – Agent‑Roll‑out, Netzfreigaben, Integration ins SIEM. | Sehr hoch – End‑to‑End‑Erkennung + Reaktion, Vulnerability‑Management. | BSI C5; ISO 27001 A 12.6; NIS2 Art. 21 Abs. 2 e |
3. Informationsschutz & Compliance
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Sensitivity Labels + Verschlüsselung | HR‑Dokument als „Vertraulich/Personal“ gekennzeichnet → Datei auto‑verschlüsselt; extern nur nach MFA zugreifbar. | Mittel – Klassifizierungsschema, User‑Schulung. | Hoch – Schutz bleibt an der Datei, auch außerhalb 365. | DSGVO Art. 9; ISO 27001 A.8 |
| Data Loss Prevention (DLP) | RegEx erkennt IBAN‑Liste in Teams‑Chat, Sendung wird blockiert, Admin erhält Incident. | Mittel – Regeln definieren, False Positives feinjustieren. | Hoch – verhindert versehentliche oder böswillige Datenabflüsse. | DSGVO Art. 32; GoBD „Unveränderbarkeit“ |
| eDiscovery (Premium) & Audit | Rechtsabteilung stellt in 48 h alle Mails einer Führungskraft für ein Gerichtsverfahren bereit. | Mittel – Berechtigungen, Workflows verstehen. | Hoch – Reaktionsfähigkeit, Dokumentationspflicht. | DSGVO Art. 15; ISO 27001 A 12.7; § 257 HGB |
4. Security‑Governance & ‑Monitoring
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Microsoft Secure Score | IT‑Team steigert Score von 37 % auf 68 % durch 15 empfohlene Maßnahmen; Fortschritt im Report ans Management. | Gering – Dashboard sofort nutzbar. | Mittel–Hoch – priorisiert „Quick Wins“, fördert kontinuierliche Verbesserung. | ISO 27001 PDCA‑Zyklus; BSI IS‑Management |
| Defender for Cloud Apps (CASB) | CASB entdeckt, dass Entwickler Quellcode in private Dropbox lädt; Upload blockiert, User geschult. | Mittel–Hoch – Discovery, Shadow‑IT‑Katalog, Richtlinien definieren. | Hoch – Sichtbarkeit & Kontrolle über Cloud‑Schatten‑IT. | DSGVO Art. 25; ISO 27017 |
5. Einführungsstrategie – Aufwand und Nutzen in Relation
- Sofort umsetzbar: MFA + Secure Score. Geringer Aufwand, maximaler Risiko‑Drop.
- Phase 2 (30–90 Tage): Conditional Access, Defender for Office 365, erste Sensitivity Labels. Bringt bereits > 80 % der häufigsten Compliance‑Anforderungen.
- Phase 3 (ab 90 Tage): Defender for Endpoint, DLP, CASB, PIM. Höherer Roll‑out‑ und Change‑Management‑Aufwand, aber essenziell für KRITIS‑ oder Finanzsektor.
- Phase 4: eDiscovery‑Workflows automatisieren, Insider‑Risk‑Management, kontinuierliche Verbesserungsschleifen über Secure Score und Audit‑Berichte.
6. Fazit
Die Microsoft‑365‑Security‑Suite deckt fast das komplette AnforderungsSpektrum moderner Regulierungen – von DSGVO über BSI C5 bis NIS2 – „out‑of‑the‑box“ ab. Schon frühe Maßnahmen wie MFA und Secure Score liefern ein sehr hohes Sicherheits‑/Compliance‑Niveau bei überschaubarem Aufwand. Komplexere Module wie Defender for Endpoint oder tiefgehende DLP‑Regeln erfordern sorgfältige Planung, zahlen sich aber spätestens bei einem Security‑Incident oder Audit mehrfach aus – technisch, finanziell und regulatorisch.
Weitere Beiträge zum Thema Security und Compliance
Kompromittiertes M365-Konto erkennen und aufräumen
Kompromittiertes Konto erkennen und aufräumen: das Playbook für den Tag, an dem es passiert ist Es beginnt fast nie mit einem Alarm. Es beginnt damit, dass eine Kollegin sagt: „Du, komisch, der Kunde behauptet, ich hätte ihm gestern eine neue...
Microsoft Sentinel anbinden – wann es sich lohnt
Microsoft Sentinel anbinden: wann es sich lohnt Es gibt in Microsoft-365-Projekten einen Moment, der sich mit erstaunlicher Zuverlässigkeit wiederholt. Jemand aus der Geschäftsführung war auf einer Veranstaltung, hat dort das Wort SIEM gehört, und...
Microsoft 365 Alert Policies aufsetzen
Alert Policies und Benachrichtigungen richtig aufsetzen Es gibt eine Sorte Sicherheitsvorfall, die im Nachhinein besonders weh tut: die, bei der alles funktioniert hat. Die Erkennung hat angeschlagen. Die Richtlinie hat ausgelöst. Der Alarm wurde erzeugt, sauber...
SPF, DKIM und DMARC für Exchange Online
SPF, DKIM, DMARC für Exchange Online Es gibt zwei Sorten von Organisationen: die einen haben SPF, DKIM und DMARC sauber eingerichtet, die anderen haben es noch nicht gemerkt. Der Unterschied fällt lange nicht auf, denn E-Mail ist ein erstaunlich...
App-Registrierungen und Consent-Governance in M365
App-Registrierungen und Consent-Governance Es gibt einen Angriff auf deinen Microsoft-365-Tenant, bei dem dein Passwort keine Rolle spielt. MFA auch nicht. Conditional Access nur am Rande. Der Angreifer bekommt Zugriff auf Postfächer, Dateien und Kontakte, und...
Gastzugriff und externe Freigaben härten
Gastzugriff und externe Freigaben härten Es gibt zwei Sorten von Tenants. In der einen weiß jemand, wie viele Gastkonten existieren. In der anderen erfährt man es zum ersten Mal, wenn ein Auditor danach fragt – und die Zahl ist dann vierstellig, obwohl...
Microsoft 365 Security Schulung
SCHULUNG · MICROSOFT 365 SECURITY Microsoft 365 Security Schulung: Drei Tage im eigenen Tenant statt drei Tage Folien Ein bis drei Tage für Admin-Teams in Verwaltung und Mittelstand, gehalten im eigenen Tenant oder in einer Übungsumgebung, vom...
Microsoft 365 Security Beratung
BERATUNG · MICROSOFT 365 SECURITY Microsoft 365 Security Beratung: Erst prüfen, dann härten, dann sehen Ich prüfe deinen Microsoft-365-Tenant in zwei bis drei Tagen read-only, sage dir in einer Befundliste nach Schwere, wo Angreifer heute...
TerminalFix und der Berlin-Hack
MICROSOFT 365 SECURITY · DOSSIER TerminalFix und der Berlin-Hack: Was ein gepasteter Befehl über deinen Microsoft-365-Tenant verrät Im August 2026 verschwanden 5,8 Terabyte aus zwei Berliner Senatsverwaltungen, und niemand hat dafür eine Sicherheitslücke gebraucht....
Microsoft 365 Security
KOMPETENZBEREICH Microsoft 365 Security: Den Tenant so einstellen, dass Angreifer woanders hingehen Microsoft 365 ist ab Werk erstaunlich bequem konfiguriert. Bequem für dich, bequem für Angreifer. Dieser Kompetenzbereich sammelt alles, was ich in rund 30...
