Consulting, Beratung
Microsoft 365 Security im Kurzüberblick
Mit dem Laden des Videos akzeptieren Sie die Datenschutzerklärung von Vimeo.
Mehr erfahren
Security-Funktionen in Microsoft 365 – ein praxisorientierter Überblick
Microsoft 365 bündelt Identitäts‑, Bedrohungs‑, Daten- und Compliance‑Schutz in einer Suite. Im Folgenden beschreibe ich die wichtigsten Bausteine, zeige konkrete Einsatz‑Beispiele, bewerte Einführungsaufwand versus Nutzen und ordne jeweils relevante behördliche / regulatorische Vorgaben zu.
1. Identitäts- und Zugriffsschutz
| Baustein | Beispiel aus der Praxis | Aufwand | Nutzen | Erfüllte Vorgaben |
|---|---|---|---|---|
| Azure AD Conditional Access (Entra ID) | Finanzabteilung darf nur aus Deutschland und über Geräte mit aktueller Defender‑Signatur auf Buchhaltungs‑SaaS zugreifen. | Mittel – Richtlinien modellieren, testen, Roll‑out in Wellen. | Hoch – reduziert Phishing‑ und Session‑Hijacking‑Risiko drastisch. | DSGVO Art. 32 («Stand der Technik»); BSI IT‑Grundschutz OPS.1.1 «Identitätsmanagement»; NIS2 Art. 21 Abs. 2 j (MFA) |
| Mehrfaktorauthentifizierung (MFA) | Außendienst meldet sich via Microsoft Authenticator + biometrischem Faktor an Teams an. | Gering – aktivieren, „per user“ oder „per policy“. | Sehr hoch – Microsoft meldet > 99 % weniger Account‑Takeovers bei aktivem MFA. | DSGVO Art. 32; NIS2; ISO 27001 A.9 |
| Privileged Identity Management (PIM) | Admin‑Rechte nur „Just‑in‑Time“ für 4 h, vollständig protokolliert. | Mittel–Hoch – Rollenkonzept & Genehmigungsworkflows. | Hoch – minimiert Risiko von Seitwärtsbewegungen. | ISO 27001 A.9.4, BSI C5 §8 |
2. Bedrohungsschutz
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Microsoft Defender for Office 365 (Safe Links & Safe Attachments) | CFO erhält PDF‑Rechnung. Anhang wird in Sandbox detoniert, Malware erkannt, Mail geblockt. | Gering–Mittel – Aktivierung & Tuning der Richtlinien. | Hoch – Zero‑Day‑Schutz ohne Gateway‑Appliance. | BSI IT‑Grundschutz APP.4; ISO 27001 A 12.2; MaRisk AT 7.2 |
| Microsoft Defender for Endpoint | Außendienst‑Laptop erkennt verdächtige PowerShell, isoliert Gerät automatisch, SOC erhält Alert. | Hoch – Agent‑Roll‑out, Netzfreigaben, Integration ins SIEM. | Sehr hoch – End‑to‑End‑Erkennung + Reaktion, Vulnerability‑Management. | BSI C5; ISO 27001 A 12.6; NIS2 Art. 21 Abs. 2 e |
3. Informationsschutz & Compliance
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Sensitivity Labels + Verschlüsselung | HR‑Dokument als „Vertraulich/Personal“ gekennzeichnet → Datei auto‑verschlüsselt; extern nur nach MFA zugreifbar. | Mittel – Klassifizierungsschema, User‑Schulung. | Hoch – Schutz bleibt an der Datei, auch außerhalb 365. | DSGVO Art. 9; ISO 27001 A.8 |
| Data Loss Prevention (DLP) | RegEx erkennt IBAN‑Liste in Teams‑Chat, Sendung wird blockiert, Admin erhält Incident. | Mittel – Regeln definieren, False Positives feinjustieren. | Hoch – verhindert versehentliche oder böswillige Datenabflüsse. | DSGVO Art. 32; GoBD „Unveränderbarkeit“ |
| eDiscovery (Premium) & Audit | Rechtsabteilung stellt in 48 h alle Mails einer Führungskraft für ein Gerichtsverfahren bereit. | Mittel – Berechtigungen, Workflows verstehen. | Hoch – Reaktionsfähigkeit, Dokumentationspflicht. | DSGVO Art. 15; ISO 27001 A 12.7; § 257 HGB |
4. Security‑Governance & ‑Monitoring
| Baustein | Beispiel | Aufwand | Nutzen | Vorgaben |
|---|---|---|---|---|
| Microsoft Secure Score | IT‑Team steigert Score von 37 % auf 68 % durch 15 empfohlene Maßnahmen; Fortschritt im Report ans Management. | Gering – Dashboard sofort nutzbar. | Mittel–Hoch – priorisiert „Quick Wins“, fördert kontinuierliche Verbesserung. | ISO 27001 PDCA‑Zyklus; BSI IS‑Management |
| Defender for Cloud Apps (CASB) | CASB entdeckt, dass Entwickler Quellcode in private Dropbox lädt; Upload blockiert, User geschult. | Mittel–Hoch – Discovery, Shadow‑IT‑Katalog, Richtlinien definieren. | Hoch – Sichtbarkeit & Kontrolle über Cloud‑Schatten‑IT. | DSGVO Art. 25; ISO 27017 |
5. Einführungsstrategie – Aufwand und Nutzen in Relation
- Sofort umsetzbar: MFA + Secure Score. Geringer Aufwand, maximaler Risiko‑Drop.
- Phase 2 (30–90 Tage): Conditional Access, Defender for Office 365, erste Sensitivity Labels. Bringt bereits > 80 % der häufigsten Compliance‑Anforderungen.
- Phase 3 (ab 90 Tage): Defender for Endpoint, DLP, CASB, PIM. Höherer Roll‑out‑ und Change‑Management‑Aufwand, aber essenziell für KRITIS‑ oder Finanzsektor.
- Phase 4: eDiscovery‑Workflows automatisieren, Insider‑Risk‑Management, kontinuierliche Verbesserungsschleifen über Secure Score und Audit‑Berichte.
6. Fazit
Die Microsoft‑365‑Security‑Suite deckt fast das komplette AnforderungsSpektrum moderner Regulierungen – von DSGVO über BSI C5 bis NIS2 – „out‑of‑the‑box“ ab. Schon frühe Maßnahmen wie MFA und Secure Score liefern ein sehr hohes Sicherheits‑/Compliance‑Niveau bei überschaubarem Aufwand. Komplexere Module wie Defender for Endpoint oder tiefgehende DLP‑Regeln erfordern sorgfältige Planung, zahlen sich aber spätestens bei einem Security‑Incident oder Audit mehrfach aus – technisch, finanziell und regulatorisch.
Weitere Beiträge zum Thema Security und Compliance
Legacy Authentication in Microsoft 365 abschalten
Legacy Authentication endgültig abschalten Es gibt in jedem Tenant diesen einen Gegenstand, über den niemand gern spricht. Er steht im Flur zwischen Teeküche und Kopierraum, hat vier Papierschächte, ein Display mit Touch-Verzögerung und eine...
M365 Tenant-Härtung: Checkliste
Tenant-Härtung: die 20 wichtigsten Schrauben Ein frisch bestellter Microsoft-365-Tenant ist wie eine Mietwohnung mit Schlüssel unter der Fußmatte: Man kann sofort einziehen, und genau das ist das Problem. Die Standardeinstellungen sind darauf optimiert,...
Security-Monitoring und Betriebsrat in Microsoft 365
Security-Monitoring und Betriebsrat: was mitbestimmungspflichtig ist Es gibt zwei Arten, ein Sicherheitsprojekt in Deutschland gegen die Wand zu fahren. Die erste ist technisch und dauert ein paar Wochen. Die zweite beginnt mit einem freundlichen Brief des...
MFA für SharePoint Server on-premises
MFA für SharePoint Server on-premises: drei Wege, die funktionieren — und einer, der nur so aussieht Es gibt diesen Moment in jedem Sicherheitsaudit, in dem jemand fragt: „Und der SharePoint? Da ist doch auch MFA drauf, oder?“ Dann wird es im Raum sehr still,...
MFA für SharePoint Online erzwingen
MFA für SharePoint Online erzwingen Es gibt diesen einen Moment in jedem Sicherheitsprojekt, in dem jemand aus der Geschäftsführung fragt: „Wir haben doch MFA, oder?“ Und dann antwortet die IT: „Ja, für die Administration.“ Kurze Pause. „Und...
Conditional Access Baselines für Microsoft 365
Conditional Access: Baselines, die nicht nerven Es gibt zwei Sorten von Conditional-Access-Installationen. Die eine besteht aus vier Richtlinien, die seit drei Jahren unverändert laufen, von denen niemand mehr weiß, wer sie angelegt hat, und die zusammen...
MFA in Microsoft 365 einführen
MFA in Microsoft 365 richtig einführen Es gibt zwei Sorten von Unternehmen: die, die MFA eingeführt haben, und die, die es nach dem ersten Vorfall in einer Nachtschicht einführen. Die zweite Variante ist technisch identisch, kostet aber deutlich mehr...
What’s new in Microsoft Security: August 2026
SECURITY & COMPLIANCE What's new in Microsoft Security: August 2026 Agenten-Sichtbarkeit, Runtime-Schutz und ein Marktanteil, den du deinem Vorstand zeigen darfst. Executive Summary Der August-Rundumschlag aus Redmond hat einen roten Faden, und der heißt...
Cross-Tenant Message Recall in Exchange Online
MICROSOFT 365 • EXCHANGE ONLINE • MC1423106 / ROADMAP 561330 Cross-Tenant Message Recall in Exchange Online startet Mitte August 2026 Fremde Leute dürfen demnächst Mails aus euren Postfächern löschen. Freiwillig. Auf Knopfdruck eures Admins....
Microsoft Defender for Endpoint: neue Zero-Trust-Features
SECURITY & COMPLIANCE Microsoft Defender for Endpoint: neue Zero-Trust-Features Warum dein Endpunkt jetzt beweisen muss, dass er sauber ist – und warum das dein NIS2-Aktenordner dankbar zur Kenntnis nimmt Executive Summary Kurzfassung für alle, die...
