Ein kompromittiertes Microsoft-365-Konto beginnt selten mit einem technischen Großangriff. Häufig reicht eine überzeugend formulierte E-Mail, ein wiederverwendetes Passwort oder ein ehemaliger Mitarbeiter, dessen Zugang nie vollständig deaktiviert wurde. Für Microsoft 365 Sicherheit München bedeutet das: Nicht allein die Lizenz entscheidet über den Schutz, sondern die konsequente Konfiguration, Kontrolle und Betreuung im Alltag.

Gerade kleine und mittelständische Unternehmen arbeiten mit Outlook, Teams, OneDrive und SharePoint oft an zentralen Stellen ihres Betriebs. Dort liegen Angebote, Vertragsunterlagen, Personalinformationen, Mandantendaten oder interne Kalkulationen. Gleichzeitig nutzen Mitarbeitende diese Werkzeuge unterwegs, im Homeoffice und auf privaten oder mobilen Geräten. Das ist produktiv, erhöht aber die Anforderungen an klare Sicherheitsregeln.

Microsoft 365 Sicherheit in München ist mehr als MFA

Die Mehrfaktorauthentifizierung, kurz MFA, ist eine der wirksamsten Maßnahmen gegen Kontoübernahmen. Wer sich zusätzlich zum Passwort über eine App oder einen Sicherheitsschlüssel anmeldet, erschwert Angreifern den Zugriff erheblich. Dennoch ist MFA nur der Anfang.

Ein Unternehmen sollte wissen, welche Konten existieren, wer welche Berechtigungen besitzt und von welchen Geräten auf Unternehmensdaten zugegriffen wird. Ohne diese Übersicht bleibt Sicherheit reaktiv: Erst wenn eine verdächtige Anmeldung, eine falsch freigegebene Datei oder eine unerwartete Rechnung auffällt, wird gehandelt. Das ist unnötig riskant und verursacht im Ernstfall Zeitdruck für Geschäftsführung und Team.

Eine sauber betreute Microsoft-365-Umgebung verbindet daher Identitätsschutz, Gerätesicherheit, E-Mail-Schutz, Datenfreigaben und nachvollziehbare Prozesse. Welche Maßnahmen im Einzelnen sinnvoll sind, hängt von Branche, Größe und Arbeitsweise ab. Eine Kanzlei oder Praxis hat andere Schutzanforderungen als eine Agentur mit vielen externen Projektpartnern. Das Ziel bleibt gleich: Mitarbeitende sollen arbeitsfähig bleiben, während sensible Daten und Zugänge kontrolliert geschützt werden.

Der wichtigste Schutzbereich: Identitäten und Zugriffe

Das Microsoft-365-Konto ist heute für viele Mitarbeitende der Schlüssel zu E-Mail, Dateien, Besprechungen und Anwendungen. Wird dieses Konto übernommen, kann ein Angreifer nicht nur Nachrichten lesen. Er kann interne Kommunikation verfolgen, betrügerische E-Mails im Namen des Unternehmens versenden, Dateien kopieren oder Zahlungsprozesse manipulieren.

MFA sollte deshalb für alle Benutzerkonten verpflichtend sein. Besonders wichtig ist ein sicheres Verfahren über eine Authenticator-App oder einen Hardware-Sicherheitsschlüssel. SMS-Codes können in Ausnahmefällen eine Übergangslösung sein, bieten aber weniger Schutz. Ebenso sollten Notfallzugänge eingerichtet und streng überwacht werden. Sie sind notwendig, falls ein regulärer Administrator keinen Zugriff mehr hat, dürfen aber nicht unkontrolliert im Alltag verwendet werden.

Mit Microsoft Entra ID lassen sich zusätzlich Regeln festlegen, unter welchen Bedingungen sich ein Nutzer anmelden darf. So kann beispielsweise der Zugriff aus ungewöhnlichen Ländern eingeschränkt werden. Auch Anmeldungen von nicht verwalteten Geräten oder bei erkennbar erhöhtem Risiko lassen sich gezielt blockieren oder mit zusätzlichen Anforderungen versehen.

Dabei gilt: Zu strenge Regeln ohne Vorbereitung stören den Betrieb. Wenn Außendienst, Homeoffice oder internationale Reisen zur normalen Arbeit gehören, müssen Richtlinien diese Realität berücksichtigen. Gute Sicherheit entsteht nicht durch pauschale Sperren, sondern durch abgestimmte Regeln, die für das Unternehmen nachvollziehbar bleiben.

Administratorrechte klein halten

Ein häufiger Fehler sind zu viele globale Administratoren. Dieses Konto besitzt weitreichende Rechte in der gesamten Microsoft-365-Umgebung. Wird es kompromittiert, sind die Folgen deutlich größer als bei einem normalen Benutzerkonto.

Administrationsrechte sollten deshalb nach Aufgaben verteilt und nur so lange vergeben werden, wie sie erforderlich sind. Wer Benutzer anlegt, braucht nicht automatisch Zugriff auf alle Sicherheits- oder Abrechnungseinstellungen. Regelmäßige Prüfungen zeigen, ob frühere Dienstleister, ausgeschiedene Mitarbeitende oder nicht mehr benötigte Konten noch Berechtigungen besitzen.

Geräteverwaltung schützt Daten außerhalb des Büros

Ein sicheres Konto allein reicht nicht, wenn auf dem Laptop Schadsoftware läuft oder ein Smartphone ungesichert verloren geht. In vielen Unternehmen werden Microsoft-365-Daten auf Geräten synchronisiert und lokal gespeichert. Genau dort muss die Sicherheitsstrategie weitergehen.

Über zentrale Geräteverwaltung lassen sich Windows-PCs, Macs und mobile Geräte mit einheitlichen Vorgaben betreiben. Dazu gehören aktuelle Sicherheitsupdates, Festplattenverschlüsselung, Bildschirmsperren, Virenschutz und die Möglichkeit, Unternehmensdaten bei Verlust eines Geräts zu löschen. Bei privaten Smartphones muss nicht das gesamte Gerät kontrolliert werden. Je nach Szenario kann es sinnvoll sein, nur die Unternehmensanwendungen und deren Daten abzusichern.

Für die Praxis ist auch ein geregelter Ein- und Austritt von Mitarbeitenden entscheidend. Neue Kolleginnen und Kollegen benötigen vom ersten Arbeitstag an passende Konten, Gruppen und Geräte. Beim Austritt müssen Zugriffe zeitnah gesperrt, Daten übergeben und vorhandene Sitzungen beendet werden. Dieser Prozess sollte nicht von einer einzelnen Erinnerung im Office abhängen, sondern dokumentiert und verlässlich umgesetzt sein.

E-Mail und Freigaben: Die häufigsten Einfallstore

Phishing bleibt eines der größten Risiken für Unternehmen. Moderne Betrugsversuche sind oft sprachlich sauber formuliert und nehmen Bezug auf reale Lieferanten, interne Projekte oder Führungskräfte. Technische Filter reduzieren die Zahl gefährlicher E-Mails, ersetzen aber keine klaren Abläufe.

Microsoft 365 bietet Funktionen, um schädliche Anhänge, gefälschte Absender und betrügerische Links besser zu erkennen und zu blockieren. Diese Einstellungen müssen jedoch passend konfiguriert, überwacht und bei Bedarf nachjustiert werden. Wird ein Filter zu aggressiv eingestellt, können wichtige Nachrichten im Quarantänebereich landen. Ist er zu großzügig, steigt das Risiko für die Mitarbeitenden. Die richtige Einstellung ist deshalb keine einmalige Aufgabe.

Auch bei OneDrive, SharePoint und Teams braucht es Regeln. Externe Freigaben sind für die Zusammenarbeit mit Mandanten, Kunden oder Partnern oft sinnvoll. Problematisch wird es, wenn jeder Nutzer Dateien dauerhaft an beliebige Empfänger weitergeben kann, ohne dass Ablaufdaten, Berechtigungen oder Verantwortlichkeiten geregelt sind.

Sinnvoll sind klare Vorgaben: Welche Teams oder Abteilungen dürfen extern teilen? Wann werden Links mit Ablaufdatum verwendet? Dürfen Empfänger Dateien weitergeben? Und wie wird mit besonders vertraulichen Informationen umgegangen? Diese Fragen gehören nicht nur in eine IT-Richtlinie, sondern in den Arbeitsalltag.

Backup bleibt notwendig, auch mit Microsoft 365

Microsoft stellt die Verfügbarkeit seiner Plattform sicher. Das ist nicht dasselbe wie ein vollständiges, langfristig nutzbares Backup der eigenen Unternehmensdaten. Werden Dateien versehentlich gelöscht, durch Ransomware verschlüsselt oder falsch überschrieben, reichen die Standard-Aufbewahrungen je nach Fall möglicherweise nicht aus.

Ein separates Backup für Exchange Online, OneDrive, SharePoint und Teams schafft zusätzliche Handlungsfähigkeit. Entscheidend ist dabei nicht nur, dass Sicherungen erstellt werden. Sie müssen regelmäßig geprüft und testweise wiederhergestellt werden. Erst dann lässt sich einschätzen, ob einzelne E-Mails, ein ganzer Ordner oder eine Teamstruktur im Bedarfsfall tatsächlich zeitnah zurückgeholt werden können.

Die Aufbewahrungsdauer sollte zu den geschäftlichen und rechtlichen Anforderungen passen. Für manche Daten reichen wenige Monate, bei Vertrags- oder Projektdokumentationen kann ein längerer Zeitraum sinnvoll sein. Eine durchdachte Backup-Strategie berücksichtigt außerdem, wer im Notfall eine Wiederherstellung anstoßen darf und wie Mitarbeitende weiterarbeiten, wenn ein Vorfall größere Bereiche betrifft.

Sicherheit braucht laufende Kontrolle statt einmaliger Projekte

Viele Unternehmen starten mit einer Sicherheitsprüfung, setzen einige Empfehlungen um und betrachten das Thema damit als erledigt. In Microsoft 365 ändern sich jedoch Funktionen, Bedrohungen und Arbeitsweisen fortlaufend. Neue Mitarbeitende kommen hinzu, externe Partner benötigen Zugriff, Geräte werden ersetzt und Anwendungen werden angebunden.

Deshalb gehören regelmäßige Prüfungen fest in die Betreuung. Dazu zählen Anmeldeprotokolle, Administratorrechte, nicht genutzte Konten, der Status von MFA, Geräteupdates, externe Freigaben und die Warnmeldungen aus den Sicherheitsfunktionen. Nicht jede Meldung ist ein Notfall. Wichtig ist, dass sie bewertet wird und klar ist, wer Verantwortung übernimmt.

Für Geschäftsführer und Verantwortliche ist Transparenz wichtiger als technische Detailberichte. Sie sollten erkennen können, welche Risiken bestehen, welche Maßnahmen bereits umgesetzt sind und welche Entscheidungen noch anstehen. Ein kurzer, verständlicher Status ist oft wertvoller als eine lange Liste unpriorisierter Warnungen.

Wann externe Betreuung wirtschaftlich sinnvoll ist

Wer keine eigene IT-Abteilung mit Spezialisierung auf Microsoft 365, Endgeräte und Cybersicherheit beschäftigt, kann diese Aufgaben kaum nebenbei zuverlässig abdecken. Einzelne Supporteinsätze lösen akute Probleme, schaffen aber selten dauerhaft saubere Strukturen. Besonders kritisch wird es, wenn niemand für Benutzerwechsel, Rechteprüfungen, Sicherheitsmeldungen und Backup-Tests zuständig ist.

Eine externe IT-Betreuung kann hier klare Zuständigkeiten schaffen: Die Ausgangslage wird aufgenommen, Sicherheitsstandards werden vereinbart, Maßnahmen priorisiert und die Umgebung fortlaufend betreut. Bei PERFUSIONS verbinden wir Microsoft-365-Administration mit Geräteverwaltung, Backup und persönlichem IT-Support. So bleibt Sicherheit nicht bei einer Empfehlung stehen, sondern wird Teil eines planbaren Betriebs.

Der sinnvolle erste Schritt ist keine überstürzte Komplettumstellung. Prüfen Sie zunächst, ob MFA überall aktiv ist, wer Administratorrechte besitzt, welche Geräte auf Daten zugreifen und ob Ihre wichtigsten Informationen wiederherstellbar sind. Aus diesen Antworten entsteht ein konkreter Plan, mit dem Sie Ihr Unternehmen führen können, während Ihre IT verlässlich geschützt und betreut wird.