Wenn ein KMU einen Sicherheitsvorfall in Microsoft 365 erlebt, liegt die Ursache fast nie an einem Fehler der Plattform. Fast immer steckt eine falsche oder vergessene Einstellung dahinter. Dieser Unterschied ist wichtig: Es geht nicht darum, auf ein Microsoft-Update zu warten. Es geht darum, das, was bereits vorhanden ist, richtig zu konfigurieren.

Laut Daten aus M365-Tenant-Audits ist der Anteil von Cloud-Sicherheitsvorfällen, die auf Konfigurationsfehler zurückzuführen sind — zu weit gefasste Berechtigungen, fehlende MFA, offen gelassene öffentliche Freigaben — sehr hoch. Die Unternehmensgröße spielt dabei keine entscheidende Rolle: KMU sind sogar stärker gefährdet, weil ihnen die Ressourcen fehlen, um diese Einstellungen kontinuierlich zu überwachen.

Im Folgenden die fünf Fehler, die am häufigsten vorkommen.

1. MFA nicht aktiviert (oder nur teilweise aktiviert)

Die Multi-Faktor-Authentifizierung ist die wirkungsvollste Einzelmaßnahme gegen Kontomissbrauch. Microsoft schätzt, dass sie 99,9 % der automatisierten Angriffe blockiert. Trotzdem lassen viele KMU sie deaktiviert — oft um den Mitarbeitenden den Alltag nicht zu „erschweren".

Das Problem ist nicht nur eine vollständig fehlende MFA. Häufig wird sie nur für einen Teil der Benutzer aktiviert. Die übrigen Konten werden zum Einfallstor.

Ein konkreter Fall verschärft das Ganze zusätzlich: die Legacy-Authentifizierung. Dabei handelt es sich um veraltete Protokolle (wie einfaches SMTP oder IMAP ohne moderne Authentifizierung), die die MFA vollständig umgehen — selbst wenn diese aktiv ist. In Tenants, die vor 2023 migriert wurden, ist diese Art der Authentifizierung laut Daten aus nationalen KMU-Audits noch in einem relevanten Anteil der Installationen vorhanden.

Die Lösung ist technisch, aber nicht kompliziert: die Sicherheitsstandards in Microsoft Entra ID (ehemals Azure AD) aktivieren oder — bei entsprechendem Lizenzplan — Richtlinien für bedingten Zugriff konfigurieren.

2. Zu viele globale Administratoren

In vielen KMU wurde der M365-Tenant einmalig eingerichtet — oft vom Inhaber oder einem externen Berater — und seitdem hat niemand mehr überprüft, wer welche Berechtigungen hat.

Das typische Ergebnis: drei, vier, manchmal fünf Konten mit der Rolle Globaler Administrator. Jedes Konto mit dieser Rolle kann alles im Tenant tun: Benutzer löschen, Richtlinien ändern, auf alle Postfächer zugreifen. Wird eines dieser Konten kompromittiert, hat der Angreifer die vollständige Kontrolle.

Die Faustregel ist einfach:

  • Maximal zwei bis drei globale Administratoren, möglichst mit dedizierten Konten (nicht die täglich genutzten).
  • Für den laufenden Betrieb eingeschränkte Rollen verwenden: Exchange-Administrator, SharePoint-Administrator, Helpdesk-Administrator.
  • MFA für alle Administratorkonten verpflichtend aktivieren — ohne Ausnahmen.

Das gilt auch für Konten externer IT-Dienstleister. Wenn ein Partner Zugriff auf Ihren Tenant hat, prüfen Sie, ob er dedizierte Zugangsdaten verwendet und nicht sein persönliches Konto.

3. SharePoint und OneDrive mit offenen anonymen Freigaben

SharePoint und OneDrive ermöglichen drei Arten von Freigabelinks: nur interne Benutzer, bestimmte Benutzer mit Anmeldedaten oder jeder mit dem Link — ohne Authentifizierung.

Die Option „Jeder" ist praktisch, um einem Kunden schnell eine Datei zu schicken. Das Problem: Diese Links laufen standardmäßig nicht ab, werden nicht widerrufen, wenn ein Projekt endet, und oft weiß niemand mehr, wie viele davon im Umlauf sind.

Stellen Sie sich vor, Sie haben vor zwei Jahren ein vertrauliches Angebot oder ein Dokument mit Lieferantendaten über einen anonymen Link geteilt. Dieser Link könnte heute noch aktiv sein.

Die richtige Konfiguration sieht so aus:

  • Den Standard-Freigabetyp auf „Nur Personen in der Organisation" oder „Bestimmte Personen" setzen.
  • Anonyme Links auf Tenant-Ebene deaktivieren, außer in begründeten Ausnahmefällen.
  • Ein automatisches Ablaufdatum für externe Freigabelinks festlegen (z. B. 30 Tage).

4. Kein externes Backup der Daten

Dies ist wahrscheinlich der am meisten unterschätzte Fehler. Viele KMU glauben, dass Microsoft 365 automatisch alles sichert und die Daten dauerhaft geschützt sind. Das stimmt nicht.

Microsoft garantiert die Verfügbarkeit des Dienstes, nicht die Wiederherstellung Ihrer Daten. Die Verantwortung für die Datensicherung liegt bei Ihnen.

Microsoft 365 bietet Funktionen wie die Wiederherstellung gelöschter Elemente, gesetzliche Aufbewahrung und Archivierung. Das ist jedoch kein Backup. Die konkreten Einschränkungen:

  • Gelöschte Elemente verbleiben nur für eine begrenzte Zeit im Papierkorb (standardmäßig 30 Tage für Benutzer, 93 Tage für Postfächer).
  • Wird ein Konto versehentlich oder nach einem Austritt gelöscht, können Daten verloren gehen, wenn nicht rechtzeitig gehandelt wird.
  • E-Mails, die durch einen Ransomware-Angriff oder einen menschlichen Fehler gelöscht wurden, lassen sich ohne externes Backup möglicherweise nicht wiederherstellen.

Zu den verbreitetsten Drittanbieter-Backup-Lösungen für M365 zählen Veeam Backup for Microsoft 365, Acronis Cyber Protect, Druva und AvePoint. Sie sind nicht kostenlos, aber die Kosten sind gering im Vergleich zum Risiko, monatelange E-Mails oder Unternehmensdokumente zu verlieren.

5. Fehlender oder unvollständiger E-Mail-Schutz (SPF, DKIM, DMARC)

SPF, DKIM und DMARC sind drei DNS-Einträge, die bestätigen, dass E-Mails, die von Ihrer Domain gesendet werden, tatsächlich von Ihnen stammen. Ohne diese Einträge kann jeder E-Mails versenden, die scheinbar von Ihrem Unternehmen kommen — ein Angriff namens Spoofing.

In vielen KMU ist SPF konfiguriert (oft unvollständig), DKIM wurde in Microsoft 365 nie aktiviert, und DMARC existiert nicht. Das Ergebnis: Die Unternehmensdomain ist technisch gesehen offen für Spoofing, und legitime E-Mails landen im Spam-Ordner.

Die Konfiguration dieser drei Einträge erfordert Zugriff auf das DNS-Panel der Domain und einige Stunden technischer Arbeit. Danach ist die Domain geschützt und die E-Mail-Zustellbarkeit verbessert sich.

Es lohnt sich auch, die Anti-Phishing-Richtlinien in Microsoft Defender for Office 365 zu prüfen: Die Standardeinstellungen reichen nicht immer aus, und in vielen Tenants werden sie seit der Aktivierung nie angepasst.

Wie Sie verhindern, dass die Konfiguration mit der Zeit schlechter wird

Ein heute gut konfigurierter M365-Tenant kann in sechs Monaten angreifbar werden, ohne dass es jemand bemerkt. Benutzer wechseln, Apps kommen hinzu, Microsoft führt neue Funktionen ein (die nicht immer standardmäßig aktiv sind), Berechtigungen häufen sich an.

Dieses Phänomen nennt sich Configuration Drift: Die Konfiguration weicht nach und nach von der sicheren Ausgangslage ab, ohne dass ein konkretes Ereignis darauf hinweist.

Einige praktische Maßnahmen, um das im Griff zu behalten:

  • Den Tenant mindestens alle sechs Monate überprüfen.
  • Den Microsoft Secure Score in der Verwaltungsoberfläche nutzen: ein kostenloses Tool, das die riskantesten Einstellungen mit einem Punktestand und konkreten Empfehlungen anzeigt.
  • Ein Register der Administratorkonten führen und bei jedem Personal- oder Anbieterwechsel aktualisieren.
  • Die Zugriffsprotokolle regelmäßig prüfen, um ungewöhnliche Zugriffe oder Anmeldungen aus unbekannten Ländern zu erkennen.

Für all das braucht es kein internes IT-Team. Es braucht einen Berater, der M365 in der Tiefe kennt und diese Überprüfung regelmäßig durchführt — nicht nur bei der Ersteinrichtung.

Wenn Sie nicht wissen, wo Sie anfangen sollen: Der Microsoft Secure Score ist der erste Anlaufpunkt. Öffnen Sie die M365-Verwaltungsoberfläche, suchen Sie nach „Secure Score" und schauen Sie sich den aktuellen Wert an. Liegt er unter 50 %, gibt es Handlungsbedarf.