Microsoft 365 Hardening - impunix ag – Datenschutz Full-Service

Microsoft 365 Hardening umgesetzt: Warum die Standardkonfiguration nicht reicht

Microsoft 365 ist heute in vielen Unternehmen das zentrale Nervensystem der Zusammenarbeit. E-Mail, Teams, SharePoint, OneDrive, Identitäten, Kalender, Dokumente und externe Freigaben laufen über dieselbe Plattform. Genau deshalb ist Microsoft 365 auch ein bevorzugtes Ziel für Angriffe.

Ein kompromittiertes Konto reicht oft aus, um E-Mails mitzulesen, interne Kommunikation zu missbrauchen, Daten abzuziehen oder weitere Angriffe auf Kunden, Partner und Mitarbeitende zu starten. Die gute Nachricht: Viele dieser Risiken lassen sich deutlich reduzieren, wenn Microsoft 365 konsequent gehärtet wird.

Microsoft 365 Hardening bedeutet nicht, einzelne Sicherheitsschalter zu aktivieren. Es bedeutet, Identitäten, E-Mail-Sicherheit, Administratorrechte, Protokollierung, Warnmeldungen und Incident-Prozesse sauber aufeinander abzustimmen.

Checkliste

Wer Microsoft 365 produktiv nutzt, sollte regelmässig prüfen, ob mindestens folgende Punkte umgesetzt sind:

19. Benutzer-Meldeprozess für Phishing etabliert

1. Identitäten konsequent schützen

Der wichtigste Einstiegspunkt in Microsoft 365 ist die Identität. Jedes Hardening startet daher bei der Anmeldung.

Setzen Sie die Multifaktor-Authentifizierung flächendeckend um. Nicht nur für Administratoren, nicht nur für einzelne Abteilungen, sondern für alle Benutzerkonten. Ausnahmen im produktiven Alltag sind ein Risiko, weil Angreifer genau solche Lücken suchen. Dokumentieren, schützen und überwachen Sie separat geführte Notfallkonten besonders streng.

Deaktivieren Sie Legacy Authentication. Alte Protokolle unterstützen moderne Schutzmechanismen wie MFA oft nicht zuverlässig und werden deshalb gerne für Passwortspray- und Brute-Force-Angriffe missbraucht. Wer Legacy Authentication weiterhin zulässt, öffnet eine Tür, die moderne Sicherheitsrichtlinien teilweise umgehen kann.

Conditional Access ist der nächste zentrale Baustein. Richtlinien sollten klar definieren, wer von welchem Gerät, aus welchem Land, mit welchem Risiko und unter welchen Bedingungen auf Microsoft 365 zugreifen darf. Besonders wichtig sind Regeln für Administratoren, externe Zugriffe, riskante Anmeldungen und nicht verwaltete Geräte.

Auch der Zugriff aus dem Ausland sollte bewusst geregelt werden. Für viele KMU ist ein grosser Teil der weltweiten Anmeldeversuche nicht geschäftsrelevant. Eine Einschränkung oder Blockierung nach Ländern kann Angriffsfläche reduzieren, sofern Sie legitime Reisetätigkeiten und Ausnahmen sauber berücksichtigen.

2. E-Mail als Hauptrisiko behandeln

E-Mail bleibt einer der häufigsten Angriffswege. Phishing, Business E-Mail Compromise, schädliche Anhänge, gefälschte Absender und betrügerische Weiterleitungen sind Alltag. Deshalb müssen Sie Exchange Online gezielt härten.

Konfigurieren Sie Microsoft Defender for Office 365 korrekt. Safe Links schützt vor gefährlichen Links, da die Funktion jede URL automatisch prüft. Safe Attachments bietet eine zusätzliche Schutzschicht gegen schädliche Dateien in E-Mails. Beide Funktionen sind besonders wertvoll, weil viele Angriffe erst beim Klick oder beim Öffnen eines Anhangs wirksam werden.

SPF, DKIM und DMARC müssen korrekt eingerichtet sein. Diese Mechanismen helfen dabei, legitime Absender zu bestätigen und gefälschte E-Mails im Namen der eigenen Domain zu erschweren. Wichtig ist dabei nicht nur, dass DNS-Einträge vorhanden sind, sondern dass sie technisch korrekt greifen und regelmässig überprüft werden.

Kennzeichnen Sie externe E-Mails klar und deutlich. Eine sichtbare Kennzeichnung hilft Mitarbeitenden, Nachrichten von ausserhalb der Organisation bewusster zu prüfen. Das ersetzt keine Schulung, schafft aber einen wichtigen zusätzlichen Kontext im Arbeitsalltag.

Anti-Phishing, Anti-Spoofing und Impersonation Protection müssen aktiv sein. Besonders kritische Rollen wie Geschäftsleitung, Finanzen, HR oder IT sollten zusätzlich geschützt werden, weil sie häufig für gezielte Täuschungsversuche missbraucht werden.

3. Administratorrechte nach dem Least-Privilege-Prinzip absichern

Administratorenkonten sind besonders attraktiv für Angreifer. Deshalb dürfen administrative Tätigkeiten nicht mit normalen Benutzerkonten durchgeführt werden. Admin-Konten gehören getrennt, besonders geschützt und streng überwacht.

Privileged Identity Management beziehungsweise Just-in-Time-Rechte sollten geprüft und wo möglich eingeführt werden. Das Ziel: Administratorrechte sind nicht dauerhaft aktiv, sondern werden nur bei Bedarf, zeitlich begrenzt und nachvollziehbar aktiviert. Idealerweise mit MFA, Begründung, Genehmigung und Protokollierung.

Regelmässige Reviews sind entscheidend. Wer hat welche Rolle? Wird diese Rolle noch benötigt? Gibt es alte Administratorrechte von ehemaligen Mitarbeitenden, Dienstleistern oder Projektkonten? Genau solche Altlasten werden in vielen Umgebungen übersehen.

4. Weiterleitungen, Inbox Rules und OAuth-Apps überwachen

Ein häufiges Muster nach einer Kontoübernahme ist die Einrichtung einer versteckten Weiterleitung. Angreifer leiten E-Mails an externe Adressen weiter, beobachten Kommunikation und greifen später gezielt ein.

Externe Mailbox-Weiterleitungen sollten deshalb standardmässig blockiert sein. Ebenso wichtig ist die Überwachung von Inbox Rules, insbesondere Regeln, die Nachrichten weiterleiten, löschen, verschieben oder bestimmte Absender ausblenden.

Auch OAuth-App-Zustimmungen verdienen Aufmerksamkeit. Wenn Benutzer beliebigen Apps Zugriff auf Unternehmensdaten geben können, entsteht ein Risiko ausserhalb klassischer Passwort- und MFA-Szenarien. App-Zustimmungen sollten eingeschränkt, überwacht und über einen geregelten Admin-Consent-Prozess freigegeben werden.

5. Protokollierung und Alerting aktiv nutzen

Sicherheit ohne Sichtbarkeit funktioniert nicht. Deshalb muss Mailbox Auditing aktiviert sein. Nur wenn relevante Aktionen protokolliert werden, können Vorfälle nachvollzogen und untersucht werden.

Zusätzlich braucht es Alerting für verdächtige Anmeldungen, riskante Benutzer, Massenversand, ungewöhnliche Weiterleitungen und potenziell kompromittierte Konten. Besonders wertvoll sind risk-based Sign-in und User Risk Policies, weil sie verdächtiges Verhalten kontextbasiert erkennen und automatische Schutzmassnahmen auslösen können.

Wichtig ist: Warnmeldungen allein genügen nicht. Es muss klar sein, wer sie prüft, wie schnell reagiert wird und welche Schritte bei einem Verdacht ausgelöst werden.

6. Incident-Prozess und Phishing-Meldeweg definieren

Ein gutes Microsoft 365 Hardening endet nicht bei technischen Einstellungen. Unternehmen brauchen einen definierten Incident-Prozess für kompromittierte Konten.

Dazu gehören klare Schritte: Konto sperren, Sessions widerrufen, Passwort zurücksetzen, MFA prüfen, Inbox Rules kontrollieren, Weiterleitungen entfernen, Audit Logs auswerten, betroffene Daten und Kontakte identifizieren und gegebenenfalls weitere Massnahmen einleiten.

Ebenso wichtig ist ein einfacher Meldeprozess für Phishing. Mitarbeitende müssen verdächtige E-Mails schnell und unkompliziert melden können. Nur so erhält die IT oder der Security-Dienstleister frühzeitig Hinweise auf laufende Angriffskampagnen.

Fazit: Microsoft 365 Hardening ist keine Option, sondern Grundschutz

Microsoft 365 ist sicherheitsfähig, aber nicht automatisch sicher konfiguriert. Der Unterschied liegt in der konsequenten Umsetzung.

Ein gehärteter Tenant reduziert die Wahrscheinlichkeit erfolgreicher Kontoübernahmen, erschwert Phishing-Angriffe, schützt Administratorrechte und verbessert die Reaktionsfähigkeit im Ernstfall. Entscheidend ist dabei die Kombination aus technischen Massnahmen, Überwachung und klaren Prozessen.