Ein ehemaliger Mitarbeiter kann sich noch anmelden, die Multifaktor-Authentifizierung gilt nicht für alle Konten oder ein vertrauliches Postfach ist unbemerkt weitergeleitet: Solche Lücken entstehen in Microsoft 365 häufig nicht durch einen einzelnen groben Fehler, sondern durch viele kleine Ausnahmen. Ein Microsoft 365 Security Audit schafft Klarheit darüber, wie Ihre Umgebung tatsächlich konfiguriert ist, welche Risiken bestehen und welche Maßnahmen zuerst umgesetzt werden sollten.
Für kleine und mittelständische Unternehmen ist das besonders relevant. Microsoft 365 wird oft schnell eingeführt und laufend erweitert. Neue Mitarbeitende, externe Dienstleister, mobile Geräte und zusätzliche Anwendungen kommen hinzu. Ohne regelmäßige Kontrolle wächst die Umgebung mit, aber die Sicherheitsstruktur nicht immer im gleichen Maß.
Was ein Microsoft 365 Security Audit prüft
Ein Audit ist keine oberflächliche Lizenzprüfung und kein automatisierter Bericht ohne Einordnung. Es ist eine strukturierte Bestandsaufnahme Ihrer Microsoft-365-Umgebung mit dem Ziel, Risiken nachvollziehbar zu bewerten. Dabei geht es nicht darum, möglichst viele Einstellungen zu ändern. Entscheidend ist, welche Konfigurationen zu Ihrem Unternehmen, Ihren Arbeitsabläufen und Ihrem Schutzbedarf passen.
Im Mittelpunkt stehen Identitäten, Zugriffe, Geräte, Daten und die Überwachung sicherheitsrelevanter Ereignisse. Ein guter Prüfprozess betrachtet außerdem, wer Änderungen vornehmen darf, ob Verantwortlichkeiten dokumentiert sind und wie mit einem Sicherheitsvorfall umgegangen würde.
Identitäten und Administratorrechte
Die meisten Angriffe auf Microsoft 365 beginnen mit einem Benutzerkonto. Deshalb wird geprüft, ob Multifaktor-Authentifizierung für alle relevanten Konten aktiv ist, besonders für Administratoren. Auch Ausnahmen verdienen Aufmerksamkeit: Gibt es Konten, die aus technischen Gründen von Sicherheitsregeln ausgenommen wurden? Sind diese Ausnahmen dokumentiert und noch erforderlich?
Ein weiterer Punkt sind privilegierte Rollen in Microsoft Entra ID. Globale Administratoren sollten die Ausnahme bleiben. In vielen gewachsenen Umgebungen besitzen mehrere Personen weitreichende Rechte, weil dies früher einmal praktisch war. Jede zusätzliche Berechtigung erhöht jedoch die Folgen eines kompromittierten Kontos. Rechte sollten nach Aufgabe vergeben, regelmäßig überprüft und bei Bedarf zeitlich begrenzt werden.
Anmeldung, Zugriff und externe Zusammenarbeit
Microsoft 365 ermöglicht Arbeit von überall. Genau deshalb müssen Anmeldebedingungen klar geregelt sein. Conditional Access kann beispielsweise verlangen, dass sich Benutzer mit Multifaktor-Authentifizierung anmelden, dass besonders sensible Anwendungen nur von verwalteten Geräten nutzbar sind oder dass Zugriffe aus auffälligen Regionen blockiert werden.
Die richtige Einstellung hängt vom Betrieb ab. Ein Handwerksbetrieb mit mobilen Teams hat andere Anforderungen als eine Kanzlei mit besonders vertraulichen Mandantendaten. Pauschale Blockaden können die Arbeit unnötig erschweren. Zu großzügige Regeln schaffen dagegen Angriffsflächen. Das Audit sollte daher nicht nur Einstellungen bewerten, sondern ihre Auswirkungen auf den Arbeitsalltag berücksichtigen.
Ebenso wichtig ist die Zusammenarbeit mit Gästen. Externe können in Teams, SharePoint oder OneDrive wertvolle Unterstützung leisten. Ohne klare Regeln bleiben Gastkonten aber oft länger aktiv als geplant oder erhalten mehr Zugriff als nötig. Geprüft werden sollten Einladungsprozesse, Freigaberechte, Ablaufdaten und die regelmäßige Überprüfung bestehender Gastzugänge.
Geräte und mobile Arbeitsplätze
Ein sicheres Konto allein schützt keine Unternehmensdaten, wenn diese auf einem ungeschützten Notebook oder Smartphone liegen. Deshalb gehört die Geräteverwaltung in jedes Microsoft 365 Security Audit. Sind Windows-Geräte in Intune registriert? Werden Sicherheitsupdates, Datenträgerverschlüsselung und Bildschirmsperren kontrolliert? Können verlorene Mobilgeräte bei Bedarf aus der Ferne gesperrt oder geschäftliche Daten entfernt werden?
Bei privaten Geräten ist eine Abwägung nötig. Nicht jedes Unternehmen will private Smartphones vollständig verwalten. In vielen Fällen ist es sinnvoller, nur die Unternehmensanwendungen und Daten abzusichern. App-Schutzrichtlinien können verhindern, dass Inhalte aus Outlook oder Teams unkontrolliert in private Apps kopiert werden. Das schützt Daten, ohne unverhältnismäßig tief in die private Nutzung einzugreifen.
E-Mail, Phishing und Datenfreigaben
E-Mail bleibt ein bevorzugter Einstiegspunkt für Angreifer. Ein Audit prüft daher, ob Schutzmechanismen gegen Phishing, schädliche Anhänge und betrügerische Absender sinnvoll konfiguriert sind. Dazu gehören auch Regeln für externe Weiterleitungen. Werden Nachrichten automatisch an private oder fremde Postfächer weitergeleitet, kann das ein erhebliches Datenschutz- und Sicherheitsrisiko sein.
Bei SharePoint und OneDrive kommt es auf die Freigabeeinstellungen an. Dürfen Mitarbeitende Dateien anonym per Link teilen? Können Links unbegrenzt gültig bleiben? Ist klar geregelt, welche Teams oder Bereiche externe Freigaben benötigen? Komplett gesperrte Zusammenarbeit ist selten die beste Lösung. Besser sind definierte Freigabestufen, Ablaufdaten und eine nachvollziehbare Kontrolle.
Typische Schwachstellen in der Praxis
In mittelständischen Unternehmen sehen wir häufig ähnliche Ausgangslagen. Multifaktor-Authentifizierung ist zwar vorhanden, aber nicht konsequent für alle Konten durchgesetzt. Administratoren nutzen ihre normalen Benutzerkonten für administrative Aufgaben. Ehemalige Mitarbeitende wurden im lokalen System deaktiviert, verfügen aber noch über aktive Cloud-Zugänge oder weitergeleitete E-Mails.
Auch gemeinsam genutzte Konten sind problematisch. Ein allgemeines Konto für Empfang, Lager oder Buchhaltung mag im Alltag bequem wirken. Im Ernstfall lässt sich aber kaum nachvollziehen, wer sich angemeldet oder Daten verändert hat. Besser sind persönliche Konten mit gezielt vergebenen Berechtigungen und, wo erforderlich, gemeinsam genutzte Postfächer ohne gemeinsame Kennwörter.
Ein weiterer häufiger Punkt: Sicherheitsfunktionen sind lizenziert, aber nicht eingerichtet. Das ist verständlich, denn Microsoft 365 bietet viele Optionen, deren Zusammenspiel Zeit und Erfahrung erfordert. Ein Audit trennt hier sinnvoll zwischen vorhandenen Möglichkeiten, tatsächlich aktivem Schutz und Maßnahmen, die für Ihr Unternehmen wirtschaftlich angemessen sind.
So läuft ein Audit sinnvoll ab
Am Anfang steht ein klares Ziel. Geht es um eine allgemeine Sicherheitsbewertung, um die Vorbereitung auf Kundenanforderungen oder um konkrete Auffälligkeiten wie verdächtige Anmeldungen? Danach werden die technische Umgebung, Nutzergruppen, Gerätearten und kritischen Geschäftsprozesse aufgenommen.
In der Analysephase werden Konfigurationen, Rollen, Richtlinien, Protokolle und Freigaben geprüft. Gute Ergebnisse bestehen nicht aus einer langen Liste technischer Befunde. Sie ordnen jede Feststellung nach Risiko, Aufwand und betrieblicher Auswirkung ein. Eine fehlende Multifaktor-Authentifizierung für ein Administratorkonto hat in der Regel Vorrang vor einer kosmetischen Optimierung einer weniger kritischen Einstellung.
Anschließend folgt ein Maßnahmenplan. Darin sollte klar stehen, was kurzfristig geschlossen werden muss, was geplant verbessert werden sollte und welche Punkte regelmäßig kontrolliert werden. Typische Sofortmaßnahmen sind das Absichern administrativer Konten, das Entfernen nicht benötigter Rechte, das Schließen offener Weiterleitungen und die Durchsetzung einer geeigneten Multifaktor-Authentifizierung.
Die Umsetzung sollte kontrolliert erfolgen. Sicherheitsrichtlinien können Prozesse verändern, etwa wenn Mitarbeitende sich auf neuen Geräten anmelden oder externe Partner Dateien abrufen. Ein geplanter Rollout, klare Kommunikation und ein erreichbarer Ansprechpartner vermeiden unnötige Unterbrechungen.
Ein Audit ist kein einmaliger Termin
Eine Microsoft-365-Umgebung verändert sich laufend. Neue Mitarbeitende starten, Geräte werden ersetzt, Berechtigungen wachsen und Microsoft ergänzt Funktionen. Deshalb verliert ein Audit an Wert, wenn die Ergebnisse in einer Ablage verschwinden. Sinnvoll ist eine feste Routine: privilegierte Rollen und Gastzugänge regelmäßig prüfen, Sicherheitsmeldungen bewerten, Gerätebestand abgleichen und Richtlinien an neue Anforderungen anpassen.
Wie häufig das erforderlich ist, hängt von Größe, Veränderungstempo und Schutzbedarf ab. Für viele Unternehmen ist eine jährliche umfassende Prüfung mit laufenden Kontrollen der kritischen Punkte ein praktikabler Rahmen. Nach einem Sicherheitsvorfall, einem größeren Personalwechsel oder einer Umstellung der Arbeitsweise sollte zusätzlich geprüft werden.
PERFUSIONS betrachtet Microsoft 365 dabei nicht isoliert. Die Sicherheit von Konten, Endgeräten, Netzwerk, Backup und klaren Zuständigkeiten muss zusammenpassen. So wird aus einzelnen Einstellungen eine IT-Struktur, die im Alltag funktioniert und Geschäftsführung sowie Mitarbeitende spürbar entlastet.
Der beste Zeitpunkt für eine Prüfung ist nicht erst nach einem verdächtigen Login oder einer versehentlich extern freigegebenen Datei. Wer seine Microsoft-365-Sicherheit strukturiert überprüft, kann Risiken geordnet reduzieren und sich wieder stärker auf das eigene Unternehmen konzentrieren.
