Microsoft 365 Business Premium absichern: Der Fahrplan in 7 Etappen

Microsoft 365 Business Premium ist für kleine und mittlere Unternehmen so etwas wie der Werkzeugkoffer, in dem fast alles schon drinliegt: Identitätsschutz, E-Mail-Sicherheit, Geräteverwaltung, Virenschutz und Datenschutz. Das Problem ist selten die Lizenz – sondern dass viele Funktionen nach dem Kauf einfach ausgeschaltet bleiben. Wir sehen in Projekten regelmäßig Tenants, die Business Premium seit Jahren bezahlen und trotzdem nur mit einem Kennwort geschützt sind.

Dieser Beitrag ist ein Fahrplan für alle, die ihren Tenant Schritt für Schritt absichern wollen. Ihr müsst nicht alles an einem Tag schaffen: Die Etappen bauen aufeinander auf, und schon nach den ersten drei ist euer Tenant deutlich besser geschützt als der Durchschnitt. Am Ende gibt es eine Checkliste zum Abhaken.

Warum gerade Business Premium?

Business Premium richtet sich an Unternehmen mit bis zu 300 Benutzern und enthält neben den Office-Apps, Exchange, SharePoint und Teams genau die Sicherheitsbausteine, die man sonst einzeln zukaufen müsste. Für den Preis eines Business-Standard-Plans plus wenige Euro bekommt ihr vier Schutzschichten:

• Microsoft Entra ID P1 für Conditional Access, Self-Service-Kennwortreset und Gruppenverwaltung
• Defender for Office 365 Plan 1 mit sicheren Links, sicheren Anlagen und Schutz vor Identitätswechsel
• Microsoft Intune für Firmen- und Privatgeräte sowie Defender for Business als Virenschutz mit Erkennung und automatischer Reaktion
• Microsoft Purview mit Vertraulichkeitsbezeichnungen, Data Loss Prevention und Aufbewahrungsrichtlinien

Gerade bei Unternehmen, die bisher einen separaten Virenschutz, ein eigenes MDM und einen Spamfilter eines Drittanbieters bezahlen, rechnet sich der Umstieg oft schon über die gekündigten Verträge.

Etappe 1: Vorbereitung

Bevor ihr den ersten Schalter umlegt, lohnt sich eine Stunde Planung. Sie verhindert, dass ihr später Richtlinien wieder umbauen müsst.

1. Ein Rahmenwerk wählen. Ihr müsst das Rad nicht neu erfinden. Die CIS Critical Security Controls (aktuell Version 8.1) sind für kleinere Unternehmen ein guter Leitfaden – die „Implementation Group 1“ deckt sich in weiten Teilen mit diesem Fahrplan.
2. Identitäten klären. Wo werden Benutzer gepflegt? Wenn es kein lokales Active Directory (mehr) gibt, ist Cloud Only die einfachste und sicherste Variante. Gibt es noch eins, plant die Synchronisierung mit Entra Connect bzw. Cloud Sync.
3. Admin-Strategie festlegen. Wer darf was? Dienstleister sollten nicht mit eigenen Konten im Kundentenant arbeiten, sondern über GDAP (granulare delegierte Administratorrechte), idealerweise gesteuert über Microsoft 365 Lighthouse.
4. Geräte-Strategie festlegen. Welche Geräte gehören der Firma, welche den Mitarbeitern? Davon hängt ab, ob ihr ein Gerät komplett verwaltet oder nur die Firmen-Apps schützt (mehr dazu in Etappe 4).
5. Lizenzen prüfen. Alle Benutzer, die mit Firmendaten arbeiten, brauchen Business Premium – nicht nur die Chefetage. Sicherheitsfunktionen wie Conditional Access greifen sonst nur lückenhaft.
6. Kontakte hinterlegen. Legt Verteilergruppen an, etwa für Benachrichtigungen aus dem Admin Center und für Sicherheitswarnungen, und tragt sie als technische Kontakte ein. So landet eine Warnung nicht im Postfach eines Kollegen, der gerade im Urlaub ist.

Etappe 2: Identitäten schützen

Die meisten erfolgreichen Angriffe auf Microsoft-365-Tenants beginnen mit einem gestohlenen Kennwort. Deshalb ist diese Etappe die wichtigste – und die mit dem größten Effekt pro Minute Arbeit.

Notfallkonten anlegen

Bevor ihr irgendeine Richtlinie aktiviert, die Anmeldungen einschränkt, braucht ihr mindestens zwei Notfallkonten („Break Glass“). Sie sind eure Lebensversicherung, falls eine Richtlinie falsch konfiguriert ist oder der MFA-Dienst ausfällt.

• reine Cloud-Konten mit der …onmicrosoft.com-Domain, keiner Person zugeordnet
• dauerhaft aktive Rolle Globaler Administrator
• Anmeldung per Passkey auf einem FIDO2-Sicherheitsschlüssel – nicht mit derselben Methode wie eure normalen Admin-Konten
• von allen Conditional-Access-Richtlinien ausgenommen, die Anmeldungen blockieren oder einschränken
• Schlüssel getrennt und sicher verwahren, jede Anmeldung per Warnung überwachen und die Konten mindestens alle 90 Tage testen

Minimale Rechte

Niemand arbeitet im Alltag mit einem Globalen Administrator. Wer Admin-Aufgaben erledigt, bekommt dafür ein separates Admin-Konto ohne Postfach und nur die Rolle, die er wirklich braucht – etwa Exchange-Administrator oder Helpdesk-Administrator. Mehr als zwei bis vier Globale Administratoren (inklusive Notfallkonten) braucht kaum ein Unternehmen.

Von den Sicherheitsstandards zu Conditional Access

Neue Tenants haben die Sicherheitsstandards (Security Defaults) aktiv: MFA für alle, keine veralteten Anmeldeprotokolle. Das ist ein guter Anfang, aber ein Schalter für alles. Mit Business Premium habt ihr Conditional Access und solltet umsteigen – dafür müssen die Sicherheitsstandards abgeschaltet werden. Wichtig: Legt die neuen Richtlinien vorher an, damit keine Lücke entsteht.

Diese vier Richtlinien bilden die Basis. Microsoft stellt sie inzwischen teilweise als von Microsoft verwaltete Richtlinien im Modus „Nur Bericht“ bereit – ihr könnt sie übernehmen oder als Vorlage nutzen:

Richtlinie	Wer	Wirkung
MFA für Administratoren	alle privilegierten Rollen	MFA bei jeder Anmeldung, besser phishing-resistent
MFA für alle Benutzer	alle Benutzer	MFA für alle Apps
MFA für die Azure-Verwaltung	alle Benutzer	MFA für Azure-Portal, PowerShell und CLI
Veraltete Authentifizierung blockieren	alle Benutzer	blockiert POP, IMAP, SMTP-AUTH und alte Clients ohne MFA-Unterstützung

Anmeldemethoden und Kennwortreset

• Microsoft Authenticator als Standardmethode für alle – die Zahlenabgleich-Abfrage samt App-Name und Standort ist heute Standard und macht MFA-Bombing praktisch wirkungslos.
• Passkeys (im Authenticator oder auf einem Sicherheitsschlüssel) für alle, die es mitmachen – mindestens aber für Admins.
• SMS und Sprachanruf nur noch als Notlösung, wenn überhaupt.
• Self-Service-Kennwortreset für alle Benutzer einschalten. Das entlastet den Helpdesk und nutzt dieselben Methoden wie MFA.

Etappe 3: E-Mail und Zusammenarbeit

E-Mail ist nach wie vor das Einfallstor Nummer eins. In dieser Etappe sorgt ihr dafür, dass niemand eure Domain fälschen kann, dass gefährliche Mails gar nicht erst ankommen – und dass ihr im Ernstfall nachvollziehen könnt, was passiert ist.

SPF, DKIM und DMARC

Richtet die drei Einträge in dieser Reihenfolge für jede eigene Domain ein. Der SPF-Eintrag für eine Domain, die ausschließlich über Microsoft 365 sendet, sieht so aus:

firma.de.    TXT    "v=spf1 include:spf.protection.outlook.com -all"

Versenden auch Newsletter-Tool, Shop oder Ticketsystem in eurem Namen, gehören deren Server mit in den Eintrag. DKIM aktiviert ihr im Defender-Portal unter E-Mail-Authentifizierungseinstellungen: Dort bekommt ihr zwei CNAME-Einträge, die ihr beim DNS-Anbieter hinterlegt, und schaltet anschließend die Signierung ein. Zum Schluss folgt DMARC – zunächst nur beobachtend:

_dmarc.firma.de.    TXT    "v=DMARC1; p=none; rua=mailto:dmarc@firma.de"

Über die Berichte an rua seht ihr, welche Systeme in eurem Namen Mails senden. Sind alle legitimen Absender sauber eingebunden, geht ihr auf p=quarantine und danach auf p=reject. Ein Dienst zur Auswertung der DMARC-Berichte erspart euch dabei das Lesen von XML-Dateien.

Überwachungsprotokoll einschalten

Am schnellsten geht das im Microsoft-Purview-Portal unter Überwachung: Steht dort ein Banner „Aktivitäten von Benutzern und Administratoren aufzeichnen“, einmal klicken. Oder per Exchange Online PowerShell:

Connect-ExchangeOnline
Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true

Die Einträge werden 180 Tage aufbewahrt. Lasst außerdem die eingebauten Warnungsrichtlinien aktiv und leitet sie an die Verteilergruppe aus Etappe 1 – etwa bei verdächtigen Weiterleitungsregeln oder ungewöhnlich vielen versendeten Mails.

Defender for Office 365 mit Voreinstellungen

Statt Anti-Phishing, sichere Links und sichere Anlagen einzeln zu konfigurieren, nutzt die voreingestellten Sicherheitsrichtlinien. Die Stufe Standard passt für fast alle Benutzer, Streng für besonders gefährdete Konten wie Geschäftsführung und Buchhaltung. Microsoft pflegt die Werte, ihr müsst sie nicht bei jeder neuen Funktion nachziehen. Danach:

• Sichere Anlagen für SharePoint, OneDrive und Teams in den globalen Einstellungen einschalten, damit auch geteilte Dateien geprüft werden.
• Automatische Weiterleitung nach extern in der Richtlinie für ausgehenden Spam ausdrücklich auf „Aus“ setzen. Die Standardeinstellung „Automatisch“ verhält sich je nach Alter des Tenants unterschiedlich.
• Den integrierten Melden-Button in Outlook für alle Benutzer verfügbar machen, damit verdächtige Mails beim Admin-Team landen.
• Mit dem Konfigurationsanalysetool regelmäßig prüfen, ob eure Richtlinien von den Empfehlungen abweichen.

Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off

Teams sicher öffnen

Teams lebt von der Zusammenarbeit mit Kunden und Partnern, also nicht alles zumachen: Gastzugriff und externe Chats bleiben aktiv, idealerweise auf bekannte Partnerdomains beschränkt. Cloudspeicher von Drittanbietern wie Dropbox oder Google Drive solltet ihr in Teams dagegen abschalten, damit Firmendaten in SharePoint und OneDrive bleiben, wo eure Schutzmechanismen greifen.

Etappe 4: Geräte registrieren

Jetzt geht es um die Geräte, mit denen auf Firmendaten zugegriffen wird. Die wichtigste Entscheidung habt ihr in Etappe 1 schon getroffen: Firmengeräte werden komplett verwaltet, Privatgeräte bekommen nur App-Schutz.

1. Voraussetzungen schaffen. Für Apple-Geräte braucht Intune ein Apple-MDM-Push-Zertifikat – legt es mit einer Firmen-Apple-ID an, nicht mit einer privaten, und notiert euch das Ablaufdatum: Es muss jährlich mit derselben Apple-ID erneuert werden. Für Windows schaltet ihr die automatische Registrierung für alle Benutzer ein.
2. Registrierungsbeschränkungen setzen. Plattformen, die ihr nicht nutzt, blockiert ihr komplett. Private Windows-Geräte dürfen sich nicht als verwaltete Geräte registrieren.
3. App-Schutzrichtlinien für Privatgeräte. Für iOS und Android eine Richtlinie für Outlook, Teams, OneDrive und die Office-Apps: PIN beim Öffnen, kein Kopieren in private Apps, Speichern nur in OneDrive und SharePoint.
4. Compliance-Richtlinien anlegen. Für Windows: BitLocker, sicherer Start, Codeintegrität, aktive Firewall, TPM und Defender mit Echtzeitschutz. Für Mobilgeräte und Macs: Gerätecode und Verschlüsselung. In den Grundeinstellungen sollten Geräte ohne zugewiesene Richtlinie als nicht konform gelten.
5. Geräte in Conditional Access einbinden. MFA für die Registrierung von Geräten, unbekannte Plattformen blockieren, auf Mobilgeräten genehmigte Apps bzw. App-Schutz verlangen und für den Zugriff von Windows und macOS ein konformes Gerät voraussetzen.
6. Apps und Einstellungen verteilen. Die Microsoft-365-Apps per Intune ausrollen. Für das Mitnehmen von Windows-Einstellungen zwischen Geräten nutzt ihr heute die Windows-Sicherung für Organisationen per Intune-Richtlinie – sie hat das frühere Enterprise State Roaming aus dem Entra-Portal abgelöst.
7. Alle Firmengeräte registrieren. Neue Windows-Geräte am besten direkt über Windows Autopilot, bestehende über die Anmeldung mit dem Firmenkonto.

Etappe 5: Endpunktschutz

Defender for Business ist der Virenschutz mit Erkennung und automatischer Reaktion, der in Business Premium steckt. Wenn eure Geräte in Intune registriert sind, ist das Onboarding nur noch eine Verbindung zwischen den beiden Portalen.

• Defender for Business einrichten und die Standardrichtlinien für Firewall und Virenschutz (Next-Generation Protection) übernehmen – inklusive Blockiermodus.
• E-Mail-Benachrichtigungen für Warnungen und Schwachstellen an die Sicherheits-Verteilergruppe schicken.
• Automatisierte Untersuchung und Behebung aktiv lassen. Defender räumt erkannte Bedrohungen dann selbst auf, statt nur zu melden.
• Geräterisiko in die Compliance aufnehmen: Geräte müssen höchstens ein niedriges Risiko haben, sonst verlieren sie über Conditional Access den Zugriff. Ein infizierter Laptop ist damit automatisch von Firmendaten getrennt.
• BitLocker für alle Windows-Geräte im stillen Modus aktivieren und die Wiederherstellungsschlüssel in Entra ID sichern lassen.

Regeln zur Verringerung der Angriffsfläche

Die ASR-Regeln blockieren typische Angriffstechniken, etwa Office-Makros, die Programme starten. Drei Regeln gelten als „Standardschutz“ und können ohne lange Testphase direkt blockieren:

• Diebstahl von Anmeldeinformationen aus dem Windows-Subsystem für die lokale Sicherheitsautorität (LSASS) blockieren
• Missbrauch von gefährdeten signierten Treibern blockieren
• Persistenz über WMI-Ereignisabonnements blockieren

Alle anderen Regeln setzt ihr zunächst auf Überwachen, wertet die Ereignisse ein paar Wochen aus und schaltet sie dann – mit Ausnahmen für eure Fachanwendungen – ebenfalls auf Blockieren.

Etappe 6: Daten schützen

Bis hierhin habt ihr Konten, Postfächer und Geräte abgesichert. In dieser Etappe geht es um die Dateien und Mails selbst – damit sie auch dann geschützt sind, wenn sie das Unternehmen verlassen.

• Vertraulichkeitsbezeichnungen anlegen und veröffentlichen. Die drei unteren Stufen markieren nur, Vertraulich verschlüsselt und erlaubt die Freigabe an bestimmte Personen, Streng vertraulich verschlüsselt und bleibt intern. Setzt Allgemein als Standard für neue Dokumente und Mails.
• Data Loss Prevention mit den Vorlagen starten, etwa für deutsche Finanzdaten oder personenbezogene Daten. Zunächst nur mit Hinweis an den Benutzer, später mit Blockieren.
• Aufbewahrungsrichtlinien für Exchange und bei Bedarf für SharePoint, OneDrive und Teams anlegen. Wie lange ihr aufbewahren müsst oder dürft, hängt von euren gesetzlichen Pflichten ab – stimmt das mit Steuerberatung und Datenschutz ab.

Etappe 7: Feinschliff

Mit den ersten sechs Etappen ist die Basis gelegt. Die folgenden Punkte machen aus einem gut abgesicherten einen sehr gut abgesicherten Tenant.

Identität

• Phishing-resistente MFA für alle Admins per Conditional Access mit der Authentifizierungsstärke „Phishing-resistente MFA“ – also Passkey oder Windows Hello for Business.
• Registrierung von MFA und Kennwortreset absichern: nur aus vertrauenswürdigen Netzwerken oder mit einem befristeten Zugriffspass, den der Helpdesk für neue Mitarbeiter ausstellt. So kann ein Angreifer mit gestohlenem Kennwort nicht seine eigene MFA-Methode hinterlegen.
• App-Zustimmungen einschränken: Benutzer dürfen nur Apps mit geringen Berechtigungen von verifizierten Herausgebern zustimmen, alles andere läuft über einen Genehmigungsworkflow für Admins.
• MFA für Gäste per Conditional Access verlangen.
• Single Sign-on für Cloud-Apps von Drittanbietern über Entra ID einrichten und interne Webanwendungen über den Entra-Anwendungsproxy veröffentlichen – dann gelten auch dort MFA und Conditional Access.

E-Mail und Teams

• MX-Einträge direkt auf Microsoft 365 zeigen lassen. Wenn ein vorgeschalteter Filter unbedingt bleiben muss, braucht ihr die erweiterte Filterung für Connectors, sonst sieht Microsoft nur die IP des Filters.
• Ausführbare Anhänge blockieren über den Filter für gängige Anlagen in der Antischadsoftware-Richtlinie.
• Quarantänerichtlinien anpassen: Schadsoftware und Phishing mit hoher Zuverlässigkeit kann nur der Admin freigeben, normales Phishing nur auf Anfrage, Spam und Massenmails dürfen Benutzer selbst freigeben.
• Schutz vor Identitätswechsel in der Anti-Phishing-Richtlinie für Schlüsselpersonen wie Geschäftsführung und Buchhaltung sowie für die Domains wichtiger Lieferanten und Partner.
• DMARC auch für Domains, die keine Mails senden. Wer etwa firma.com nur als Weiterleitung nutzt, sollte sie gegen Missbrauch sperren:

firma.com.           TXT    "v=spf1 -all"
_dmarc.firma.com.    TXT    "v=DMARC1; p=reject;"

• Verschlüsselung über die Vertraulichkeitsbezeichnungen aus Etappe 6 lösen – eine zusätzliche Lösung braucht es dann meist nicht.
• Teams-Apps von Drittanbietern und eigene Apps nur nach Freigabeliste zulassen, alle anderen blockieren.

Die Checkliste zum Abhaken

Alle Etappen auf einen Blick – druckt sie euch aus oder kopiert sie in euer Ticketsystem.

Etappe	Aufgabe	Empfehlung
1 Vorbereitung	Rahmenwerk	CIS Controls v8.1, Implementation Group 1
	Identitäten	Cloud Only, wo möglich
	Admin-Zugriff für Dienstleister	GDAP über Microsoft 365 Lighthouse
	Lizenzen	Business Premium für alle Benutzer mit Firmendaten
	Kontakte	Verteilergruppen für Admin-Infos und Sicherheitswarnungen
2 Identitäten	Notfallkonten	2 Cloud-Konten mit FIDO2-Passkey, von CA ausgenommen
	Minimale Rechte	separate Admin-Konten, höchstens 2–4 Globale Admins
	Conditional Access	MFA für Admins, alle Benutzer und Azure-Verwaltung; Legacy-Auth blockieren
	Anmeldemethoden	Authenticator, Passkeys; SMS nur als Notlösung
	Kennwortreset	Self-Service für alle Benutzer
3 E-Mail & Teams	SPF, DKIM, DMARC	für alle Domains, DMARC bis p=reject
	Überwachungsprotokoll	einschalten und prüfen
	Warnungsrichtlinien	eingebaute Richtlinien, an Verteilergruppe
	Defender for Office 365	voreingestellte Richtlinie „Standard“ für alle
	SharePoint, OneDrive, Teams	sichere Anlagen aktivieren
	Externe Weiterleitung	ausdrücklich „Aus“
	Teams	Gäste und externe Chats ja, fremde Cloudspeicher nein
4 Geräte	Verwaltung	MDM für Firmengeräte, MAM für Privatgeräte
	Registrierung	ungenutzte Plattformen und private Windows-Geräte blockieren
	App-Schutz	Basis-Datenschutz für die Microsoft-Apps
	Compliance	BitLocker, Secure Boot, Firewall, TPM, Defender; Code und Verschlüsselung mobil
	Gerätebasierter Zugriff	konformes Gerät bzw. App-Schutz per Conditional Access
5 Endpunktschutz	Defender for Business	Standardrichtlinien, Blockiermodus, automatische Behebung
	Geräterisiko	höchstens „niedrig“, über Compliance erzwungen
	ASR-Regeln	3 Standardregeln blockieren, Rest erst überwachen
	BitLocker	still aktivieren, Schlüssel in Entra ID
6 Daten	Vertraulichkeit	5 Stufen, „Allgemein“ als Standard
	DLP	Vorlagen, erst Hinweis, dann Blockieren
	Aufbewahrung	nach gesetzlichen Pflichten
7 Feinschliff	Admins	phishing-resistente MFA
	MFA-Registrierung	vertrauenswürdige Netze oder befristeter Zugriffspass
	App-Zustimmung	nur geringe Rechte, sonst Admin-Workflow
	Gäste	MFA verlangen
	Anhänge und Quarantäne	ausführbare Dateien blocken, Freigaben nach Risiko
	Identitätswechsel	Schutz für Schlüsselpersonen und Partnerdomains
	Teams-Apps	nur freigegebene Apps
	Baseline Security Mode	Auswirkungen prüfen, dann einschalten