Microsoft 365 härten: 5 Quick-Wins fürs KMU

Die meisten erfolgreichen Angriffe auf KMU laufen nicht über exotische Lücken, sondern über ein schlecht abgesichertes Microsoft 365. Wer fünf Einstellungen richtig setzt — Mehr-Faktor-Authentifizierung erzwingen, Alt-Protokolle abschalten, Admin-Rechte trennen, Audit-Log aktivieren und externe Weiterleitungen blockieren — schließt den Großteil der typischen Einfallstore an einem Vormittag. Keine teure Zusatz-Lizenz nötig, die Bordmittel reichen.

1. MFA für alle erzwingen — nicht nur „empfehlen”

Ein gestohlenes Passwort ist nur dann ein Problem, wenn es allein zum Login reicht. Mehr-Faktor-Authentifizierung (MFA) hebelt fast alle Passwort-Diebstähle aus. Wichtig: MFA als verpflichtende Richtlinie ausrollen (Conditional Access bzw. Security Defaults), nicht als Bitte an die Belegschaft. Authenticator-App statt SMS, wo möglich.

2. Veraltete Authentifizierungs-Protokolle abschalten

Alte Protokolle wie POP, IMAP und SMTP-Basic-Auth umgehen MFA komplett — sie sind das Lieblings-Schlupfloch für automatisierte Angriffe. In einem aufgeräumten KMU-Betrieb braucht sie heute praktisch niemand mehr. Abschalten und nur dort gezielt freigeben, wo eine echte Anwendung es nachweislich benötigt.

3. Admin-Konten von Alltags-Konten trennen

Wer täglich mit einem Global-Admin-Konto Mails liest und im Web surft, verschenkt das ganze Sicherheitskonzept beim ersten Klick auf den falschen Link. Faustregel: ein separates Admin-Konto, das nur zum Administrieren dient, und so wenige Voll-Admins wie möglich. Tagesgeschäft läuft über ein normales Benutzerkonto.

4. Audit-Log aktivieren — bevor etwas passiert

Wenn ein Konto kompromittiert wird, entscheidet das Protokoll darüber, ob man den Schaden eingrenzen kann oder im Dunkeln tappt. Das einheitliche Audit-Log ist schnell aktiviert und kostet nichts — aber nur ab Aktivierung wird mitgeschrieben. Im Ernstfall ist es zu spät, es erst dann einschalten zu wollen.

5. Externe Auto-Weiterleitungen blockieren

Ein Klassiker bei übernommenen Konten: Der Angreifer legt eine stille Weiterleitung an und liest monatelang mit. Eine Transportregel, die automatische Weiterleitungen nach außen unterbindet (oder protokolliert), nimmt diesem Muster die Grundlage — und fällt im Alltag niemandem zur Last.

FAQ

Brauche ich dafür eine teure Lizenz? Nein. MFA, Protokoll-Abschaltung, getrennte Admin-Konten und das Audit-Log sind in den gängigen Business-Plänen enthalten. Einzelne Conditional-Access-Feinheiten brauchen höhere Pläne, die fünf Quick-Wins selbst nicht.

Wie lange dauert die Umsetzung? Für ein typisches KMU ein halber bis ganzer Tag — der Großteil ist Konfiguration, kein Rollout-Projekt. Den größten Aufwand macht erfahrungsgemäß die MFA-Einführung in der Belegschaft.

Stört MFA den Arbeitsalltag? Kaum. Mit „vertrauenswürdigen Geräten” wird selten erneut abgefragt. Der einmalige Einrichtungsaufwand pro Person liegt bei wenigen Minuten.

Was, wenn schon ein Konto kompromittiert wurde? Dann zuerst Passwort zurücksetzen, aktive Sitzungen beenden, MFA neu einrichten und nach fremden Weiterleitungs-/Postfachregeln suchen — danach die fünf Punkte als Grundabsicherung umsetzen.

Nächster Schritt

Unsicher, ob euer Microsoft 365 sauber konfiguriert ist? Wir prüfen die fünf Punkte in einem kompakten Erstgespräch durch und sagen euch ehrlich, wo Handlungsbedarf besteht — IT, Datenschutz und KI aus einer Hand, lokal in Österreich. IT. Weitergedacht.