Inhalt in Kürze
- Eine kleine Hamburger Beratung hatte bereits einen Phishing-Vorfall erlebt. Im Strategiegespräch mit uns kam die ganze Microsoft-365-Umgebung auf den Tisch: elf Lizenzen in drei Sorten, Konten früherer freier Mitarbeiter, externe Freigaben.
- Entschieden wurde: Drei Altkonten werden freigegebene Postfächer ohne Lizenz, die drei festen Nutzer wechseln auf Business Premium als Monatslizenz.
- Ein Regelwerk für Anmeldungen aus dem Ausland ist vereinbart. Es wird vor dem Einschalten mit dem Kunden abgestimmt, inklusive einer Ausnahme für den Arbeitsort in Südeuropa.
- Ein Punkt ist bewusst offen: Sechs externe Freigabelinks bleiben vorerst bestehen, bis die Gesellschafter entschieden haben.
Ein Phishing-Vorfall ist ein unangenehmer Anlass, um Microsoft 365 aufzuräumen. Aber er stellt die richtigen Fragen: Wer hat eigentlich alles ein Konto? Wofür zahlen wir? Und wer kommt von außen an unsere Dateien?
Diese Fragen sind wir mit einem Bestandskunden durchgegangen. Hier steht, was wir gefunden haben, was entschieden ist und was noch offen ist.
| Steckbrief | Der Fall auf einen Blick |
|---|---|
| Branche | Inhabergeführte Beratungsgesellschaft |
| Größe | Kleines Kernteam (unter fünf Festangestellte) plus wechselnde freie Mitarbeiter |
| Standort | Hamburg, ein Teil des Teams arbeitet zeitweise aus Südeuropa |
| Ausgangslage | Phishing-Vorfall erlebt, gemischte Lizenzen, Konten früherer Freelancer, externe Freigaben |
| Leistung | Strategiegespräch in der laufenden Betreuung: Lizenzen, Konten, Anmelderegeln, Freigabe-Audit |
| Zeitraum | Gespräch im Spätsommer, Umstellung in Etappen |
Microsoft 365 aufräumen: was beim Durchgehen auf den Tisch kam
Der Kunde ist eine inhabergeführte Beratung mit zwei geschäftsführenden Gesellschaftern und einem kleinen festen Team. Früher arbeiteten viele freie Mitarbeiter mit, und jeder von ihnen bekam ein eigenes Microsoft-365-Konto. Inzwischen arbeitet die Beratung mit deutlich weniger Freelancern. Ein Grund dafür ist das Risiko der Scheinselbstständigkeit.
Die Konten blieben trotzdem. Ein Projekt endet, die Person geht, das Konto läuft weiter.
Beim gemeinsamen Durchgehen haben wir gezählt:
- elf kostenpflichtige Lizenzen in drei Sorten: drei Business Standard, fünf Business Basic und drei reine Exchange-Online-Lizenzen
- mehrere Konten früherer freier Mitarbeiter, die weiter eine bezahlte Lizenz belegten
- 15 Freigabelinks in SharePoint und Teams, davon sechs nach außen
Dazu kam etwas, das mit Technik wenig zu tun hat: Die Lizenzpositionen auf der Rechnung waren für den Kunden schwer nachvollziehbar, er musste nachfragen. Wir sind die Positionen deshalb gemeinsam Zeile für Zeile durchgegangen und haben vereinbart, sie an den tatsächlichen Bestand anzugleichen.
Phishing zielt auf Zugangsdaten. Jedes aktive Konto ist ein möglicher Zugang, auch das eines Freelancers, der seit Monaten nicht mehr mitarbeitet. Wer nach einem Vorfall nur das betroffene Postfach prüft, lässt die übrigen Türen offen. Die vollständige Liste der Konten ist deshalb der erste Schritt, nicht der letzte.
Befund, Risiko, Maßnahme
Aus der Bestandsaufnahme haben wir eine Tabelle gemacht, die der Kunde ohne IT-Kenntnisse lesen kann. Jede Zeile beantwortet drei Fragen: Was haben wir gefunden? Was kann daraus werden? Was ist entschieden?
| Befund | Risiko | Maßnahme (Stand) |
|---|---|---|
| Konten früherer freier Mitarbeiter mit bezahlter Lizenz | Zusätzliche Anmeldeziele, laufende Kosten ohne Nutzen | Drei Konten werden freigegebene Postfächer, die Lizenzen entfallen (entschieden) |
| Business Standard bei den festen Nutzern | Kein bedingter Zugriff, keine Linkprüfung beim Klick | Wechsel auf Business Premium als Monatslizenz (entschieden) |
| Teile des Teams arbeiten zeitweise aus Südeuropa | Eine pauschale Ländersperre würde die eigene Arbeit blockieren | Regelwerk mit Ausnahme für den Arbeitsort, Abstimmung vor dem Einschalten (vereinbart) |
| Sechs externe Freigabelinks aus alten Projekten | Zugriff von außen besteht, bis jemand ihn entfernt | Bericht dokumentiert, Freigaben vorerst belassen (offen) |
| Lizenzpositionen auf der Rechnung schwer lesbar | Unklar, welche Position zu welchem Konto gehört | Zeile für Zeile durchgegangen, Korrektur auf den tatsächlichen Bestand vereinbart (entschieden) |
Die Spalte „Stand“ ist uns wichtig. Ein Fallbericht, in dem alles „umgesetzt“ ist, wäre bequemer zu lesen. Er wäre aber nicht wahr.
Altkonten: freigegebenes Postfach statt bezahlter Lizenz
Für die drei Konten ehemaliger freier Mitarbeiter gab es zwei naheliegende Wege: löschen oder weiterzahlen. Beides passte nicht. Löschen hätte alte Projektkorrespondenz gekostet und eingehende Mails ins Leere laufen lassen. Weiterzahlen hätte Lizenzen für Konten bedeutet, mit denen niemand mehr arbeitet.
Der dritte Weg ist das freigegebene Postfach. Laut Microsoft-Dokumentation zu freigegebenen Postfächern speichert ein freigegebenes Postfach bis zu 50 GB, ohne dass ihm eine Lizenz zugewiesen werden muss. Beim Umwandeln eines Benutzerpostfachs bleiben alle E-Mails und Kalendereinträge erhalten, Posteingangsregeln ebenfalls.
Für den Kunden heißt das konkret:
- Mails an die alten Adressen kommen weiter an.
- Die bestehenden Weiterleitungen laufen bis zum Jahresende weiter.
- Die Lizenz kann jederzeit wieder gebucht werden, falls ein Konto doch wieder ein volles Postfach braucht.
Erstens: Ohne Lizenz ist bei 50 GB Schluss. Ein erweitertes Archiv oder eine Beweissicherung für Rechtsstreitigkeiten verlangt laut Microsoft eine Exchange-Online-Plan-2-Lizenz oder Plan 1 mit Archivierungs-Add-on. Zweitens: Wird beim Umwandeln das Kennwort nicht zurückgesetzt, funktionieren Benutzername und Kennwort weiter. Microsoft empfiehlt, die Anmeldung für das Konto eines freigegebenen Postfachs immer zu blockieren. Das Benutzerkonto selbst darf nicht gelöscht werden, weil das Postfach es als Anker braucht.
Ein Detail haben wir mit dem Kunden gesondert geklärt: die Datensicherung dieser Konten. Auf seinen Wunsch läuft die Sicherung bis zum Jahresende weiter. Danach wird sie beendet, und wir bestätigen die Löschung. So hat der Kunde ein paar Monate Puffer, falls doch noch eine alte Projektmail gebraucht wird.
Wer das Thema grundsätzlich angehen will, findet die Schritte für ausscheidende Personen in unserer IT-Offboarding-Checkliste. Sie gilt für Freelancer genauso wie für Angestellte.
Das Zielbild: drei Lizenzen weniger, drei Konten besser geschützt
Das Schaubild zeigt den Bestand vor dem Gespräch und das vereinbarte Zielbild. Die Zahlen stammen aus der gemeinsamen Zählung.
Business Premium: was die drei festen Nutzer dazubekommen
Die drei festen Nutzer arbeiteten mit Business Standard. Das Paket enthält Office, E-Mail und Teams. Was ihm fehlt: Linkprüfung beim Klick, Anhangsprüfung und Anmelderegeln. Wir haben die Unterschiede für den Kunden aus der Microsoft-Übersicht zur Sicherheit in Microsoft 365 Business zusammengestellt:
| Funktion | Business Standard | Business Premium |
|---|---|---|
| Kontoschutz | Entra ID Free mit Sicherheitsstandards (MFA standardmäßig an) | Entra ID P1 mit bedingtem Zugriff |
| Grundschutz für Postfächer (Schadsoftware, Spam, Spoofing) | enthalten | enthalten |
| Prüfung von Links beim Klick (Sichere Links) | nicht enthalten | enthalten über Defender for Office 365 Plan 1 |
| Prüfung von Anhängen (Sichere Anlagen), auch in SharePoint, OneDrive und Teams | nicht enthalten | enthalten über Defender for Office 365 Plan 1 |
| Geräteverwaltung | Basismobilität und Sicherheit | Intune Plan 1 |
| Endpunktschutz für Rechner | nicht enthalten | Defender for Business |
Entschieden ist der Wechsel für die drei festen Nutzer, als Monatslizenz und nicht mit Jahresbindung. Die übrigen Konten bleiben, wie sie sind.
Die Frage stellt sich in kleinen Teams zu Recht. Die Antwort hängt nicht an der Teamgröße, sondern daran, wer angegriffen werden kann. Die drei festen Nutzer sind die Konten, mit denen täglich gearbeitet wird. Diese Konten bekommen mit dem Wechsel Linkprüfung, Anhangsprüfung und Anmelderegeln. Die drei Altkonten brauchen das nicht, sie bekommen gar keine Lizenz mehr.
Mit dem Wechsel auf Premium bereiten wir die Standard-Sicherheitsrichtlinien vor: Sichere Links, Sichere Anlagen, die Basis des Spamfilters und den bedingten Zugriff. Wie wir solche Regeln grundsätzlich aufbauen, steht in unserem Beitrag zu Conditional Access in Microsoft 365. Die laufende Pflege übernimmt bei unseren Kunden das Microsoft-365-Management.
Das Lizenzmodell von Microsoft 365 ist so vielseitig und umfangreich, dass es wirklich für jeden einzelnen Benutzer die entsprechende Lizenz gibt.
Dennis KreftMicrosoft 365 & Cloud-Experte
Anmeldungen aus dem Ausland: sperren, aber nicht sich selbst aussperren
Mit bedingtem Zugriff lassen sich Länder als benannte Standorte anlegen. Microsoft nennt in der Dokumentation zu Netzwerksignalen ausdrücklich zwei Einsatzzwecke: mehrstufige Anmeldung außerhalb des Firmennetzes verlangen und den Zugriff aus Ländern sperren, in denen das Unternehmen nicht tätig ist. Ermittelt wird das Land über die öffentliche IP-Adresse oder die GPS-Daten der Authenticator-App.
Bei diesem Kunden gibt es eine Besonderheit: Ein Teil des Teams arbeitet zeitweise aus Südeuropa. Eine pauschale Sperre für alles außerhalb Deutschlands würde also die eigene Arbeit blockieren.
Vereinbart ist deshalb ein Regelwerk mit drei Bausteinen:
- Ausland sperren: Anmeldungen aus Ländern, in denen niemand arbeitet, werden abgewiesen.
- Ausnahme für den Arbeitsort: Der Arbeitsort in Südeuropa wird als benannter Standort ausgenommen, damit dort weiter gearbeitet werden kann.
- MFA im Ausland und Geräteregistrierung: Wo Anmeldungen von außerhalb erlaubt sind, gelten strengere Bedingungen.
Eingeschaltet ist davon noch nichts, und das ist Absicht. Microsoft schreibt selbst, dass eine Richtlinie, die über den Standort Zugriffe blockiert, als restriktiv gilt und erst nach gründlichen Tests eingesetzt werden sollte. Wir dokumentieren das Regelwerk deshalb, stimmen es mit dem Kunden ab und rollen es erst dann aus.
Dazu gehört eine Information vor und nach der Umstellung. Ein paar Kleinigkeiten werden die Nutzer bemerken. Sichere Links prüft laut Microsoft-Dokumentation zu Sicheren Links eine Adresse beim Klick, bevor die Seite öffnet.
Das Freigabe-Audit: 15 Links, sechs davon nach außen
Parallel haben wir einen Bericht über alle Freigaben in SharePoint und Teams gezogen. Das Ergebnis:
| Freigabe | Anzahl | Einordnung |
|---|---|---|
| Freigabelinks insgesamt | 15 | vollständig im Bericht dokumentiert |
| davon intern | 9 | Zugriff innerhalb des Unternehmens |
| davon extern | 6 | Zugriff von außen möglich |
| extern geteilte Ordner | 4 | alle aus abgeschlossenen Projekten mit freien Mitarbeitern |
Der Kunde hat die Ergebnisse im Gespräch durchgesehen und die Freigaben als unkritisch eingestuft. Sie bleiben vorerst bestehen. Ob externes Teilen grundsätzlich abgeschaltet wird, entscheidet die Geschäftsführung erst, wenn sich beide Gesellschafter abgestimmt haben.
Wir haben dazu offen gesagt, was wir davon halten. Eine Freigabe aus einem abgeschlossenen Projekt bleibt bestehen, bis jemand sie entfernt. Und mit KI-Assistenten bekommt das Thema eine zweite Seite. Microsoft schreibt in der Dokumentation zu Daten und Datenschutz bei Copilot, dass Copilot nur Daten anzeigt, für die ein Benutzer mindestens Leserechte hat. Microsoft rät dort, die Berechtigungsmodelle in SharePoint so zu nutzen, dass die richtigen Personen den richtigen Zugriff haben. Das schließt Berechtigungen für Personen außerhalb der eigenen Organisation ein.
Umgekehrt gelesen: Alles, worauf jemand Zugriff hat, kann ein Assistent für ihn finden und zusammenfassen. Wer überlegt, ob sich Microsoft Copilot lohnt, sollte vorher die Berechtigungen kennen.
Die sechs externen Freigaben sind dokumentiert, bewertet und bewusst noch nicht entfernt. Das ist keine Nachlässigkeit, sondern eine Entscheidung der Geschäftsführung, die zwei Gesellschafter gemeinsam treffen wollen. Unsere Aufgabe ist, dass die Entscheidung auf einer vollständigen Liste beruht. Die stellen wir ihnen zusammen.
Was sonst noch vereinbart wurde
Zwei Punkte aus dem Gespräch haben mit Lizenzen nichts zu tun und waren dem Kunden trotzdem wichtig:
- Ein fester technischer Ansprechpartner ist für Eskalationen benannt. Wenn etwas brennt, weiß der Kunde, wen er anruft.
- Termine und Tickets selbst buchen: Wir haben gezeigt, wie der Kunde ohne Umweg einen Termin oder ein Ticket anlegt.
Was wir daraus gelernt haben
Für Geschäftsführer ohne IT-Hintergrund lässt sich der Fall auf vier Sätze bringen.
Ein Konto ist kein Archiv. Wer alte Mails aufheben will, braucht dafür kein bezahltes Benutzerkonto. Ein freigegebenes Postfach hebt sie auf, nimmt neue Mails an und kostet bis 50 GB keine Lizenz.
Schutz gehört zu den Personen mit Zugriff, nicht zu jedem Konto. Die drei festen Nutzer bekommen das stärkere Paket. Die drei Altkonten ohne aktiven Nutzer brauchen gar keins mehr.
Eine Sperre muss zur eigenen Arbeitsweise passen. Deshalb wird das Regelwerk für Anmeldungen aus dem Ausland erst abgestimmt und dann eingeschaltet.
Eine Rechnung, die man nicht versteht, ist ein Befund. Sie war hier der Anlass für eine Zeile-für-Zeile-Prüfung, nach der Bestand und Abrechnung wieder zusammenpassen sollen.
Alle drei Monate setzen wir uns zusammen, aktualisieren die Risikoanalyse und besprechen: Was hat sich verändert? Was können wir verbessern? So wird IT zur Chefsache — ohne dass Sie sich im Detail verlieren müssen.
Jens HagelGründer, hagel IT-Services GmbH
Ein Ansprechpartner, eine Rechnung, alles drin. Keine zehn verschiedenen Verträge, keine Überraschungen. Das ist alles, was wir wollen.
Wer wissen will, wie andere kleine Beratungen ihre IT aufstellen, findet einen weiteren Praxisbericht zum serverlosen Büro einer Hamburger Unternehmensberatung. Wie ein Lizenzbestand in einer anderen Umgebung aufgeräumt wurde, zeigt die Fallstudie Vom Lizenz-Chaos zur skalierbaren Cloud. Was wir für Beratungen und andere Dienstleister grundsätzlich anbieten, steht auf der Seite IT für Unternehmensdienstleister in Hamburg.
Prüfen Sie Ihre eigene Umgebung
Fünf Fragen, die Sie ohne IT-Wissen beantworten oder Ihrem Dienstleister stellen können:
- Wie viele Konten haben wir, und wie viele Menschen arbeiten hier? Jede Differenz braucht eine Erklärung.
- Welche Lizenzen zahlen wir für Personen, die nicht mehr mitarbeiten? Freigegebene Postfächer brauchen bis 50 GB keine Lizenz.
- Können sich Konten von freigegebenen Postfächern noch anmelden? Microsoft empfiehlt, die Anmeldung zu blockieren.
- Aus welchen Ländern melden wir uns tatsächlich an? Das ist die Grundlage für jede Ländersperre und ihre Ausnahmen.
- Welche Freigaben zeigen nach außen, und aus welchem Projekt stammen sie? Ein Freigabebericht beantwortet das in einer Liste.
Ob nach einem Vorfall oder vorher: Unsere Cybersecurity-Betreuung in Hamburg beginnt mit genau dieser Bestandsaufnahme. Danach wissen Sie, wofür Sie zahlen und wer an Ihre Daten kommt.
Wollen Sie wissen, wie Ihr Microsoft 365 aufgestellt ist?
15 Minuten Erstgespräch. Kostenlos. Danach wissen Sie, wo Sie anfangen.
Erstgespräch buchen →Weiterführende Quellen
- Informationen zu freigegebenen Postfächern in Microsoft 365 – Microsoft Learn
- Benutzerpostfach in ein freigegebenes Postfach konvertieren – Microsoft Learn
- Übersicht über die Sicherheit von Microsoft 365 Business – Microsoft Learn
- Bedingter Zugriff: Netzwerksignale und benannte Standorte – Microsoft Learn
- Sichere Links in Defender for Office 365 – Microsoft Learn
- Daten, Datenschutz und Sicherheit für Microsoft Copilot – Microsoft Learn
