Inhalt in Kürze
- Zehn kostenlose IT-Sicherheit Tools, mit denen ein Betrieb die Sicherheit von Microsoft 365 und dem Umfeld selbst prüfen kann. Zwei stammen von hagel IT, fünf von unserem Schwester-Unternehmen frag.hugo, drei von unabhängigen Stellen.
- Vorne steht der Microsoft-365-Härtungs-Check: ein quelloffenes PowerShell-Skript unter MIT-Lizenz, das zwölf Einstellungen im Mandanten nur lesend prüft.
- Jeder Eintrag nennt, wofür das Werkzeug nicht taugt. Keines ersetzt einen IT-Notfallplan oder eine Prüfung Ihrer gesamten Umgebung.
- Nur der Härtungs-Check schaut in den Mandanten hinein, die übrigen neun prüfen von außen oder fragen ab.
Wer die Sicherheit von Microsoft 365 prüfen will, braucht dafür nicht gleich einen Auftrag an einen Dienstleister. In einem Betrieb mit Microsoft 365 (früher Office 365) liegen Postfächer in Exchange Online, Dateien in SharePoint und Teams und die Anmeldungen in Entra ID an einem Ort. Dort entscheidet sich, ob ein gestohlenes Kennwort reicht. Eines der zehn Werkzeuge in dieser Liste prüft den Mandanten selbst. Die anderen schauen auf die Mail-Domain, auf Dienstleister, auf die Lage und auf den Ernstfall.
Wie wir ausgewählt haben
In die Liste kam nur, was kein Kundenkonto beim Anbieter verlangt, bevor es ein Ergebnis zeigt, und eine konkrete Frage beantwortet, die in Betrieben mit 20 bis 200 Leuten auftaucht. Allgemeine Reifegrad-Fragebögen haben wir bis auf einen weggelassen, den Selbsttest des BSI (Nummer 8).
Zwei Werkzeuge haben wir selbst gebaut. Sie stammen von hagel IT, dem IT-Dienstleister aus Hamburg: der Härtungs-Check und die IT-Notfallkarte unserer Marke kjello. Fünf stammen von frag.hugo Informationssicherheit, dem Schwester-Unternehmen von hagel IT, das unser Gründer Jens Hagel mitgegründet hat. Drei kommen von unabhängigen Stellen.
Die Datenschutz-Werkzeuge von frag.hugo stellt der Artikel Kostenlose Datenschutz-Tools vor. Drei Gratis-Werkzeuge für Website-Scan, Schulung und Unterweisung finden Sie in unserem Beitrag 3 kostenlose Tools für Ihre IT-Sicherheit. Hier geht es um Microsoft 365 und das, was drumherum liegt.
Microsoft 365 Sicherheit prüfen: Tenant und Mail-Domain
1. Microsoft-365-Härtungs-Check (hagel IT)
Der Cyber-Versicherer schickt den Fragebogen zur Verlängerung und will wissen, ob alle Konten mit einem zweiten Faktor geschützt sind. Ehrlich ankreuzen kann das nur, wer nachgesehen hat.
Dafür haben wir den Microsoft-365-Härtungs-Check gebaut. Das PowerShell-Skript prüft zwölf Einstellungen. Darunter sind Administratorkonten ohne zweiten Faktor, veraltete Anmeldeverfahren wie POP und IMAP, die Freigabe-Voreinstellung in SharePoint und OneDrive und Konten, an denen sich seit 90 Tagen niemand angemeldet hat. Jede Prüfung bekommt ein Urteil: Bestanden, Hinweis, Mängel oder Nicht geprüft. Den Befund gibt es auf Deutsch in zwei Fassungen, eine für die IT und eine für die Geschäftsführung.
Beim Bau haben wir zwei Dinge festgelegt. Das Skript fordert sieben Berechtigungen an, alle nur zum Lesen, und eine automatische Prüfung durchsucht den Code nach schreibenden Aufrufen. Und was es nicht prüfen kann, erscheint als „nicht geprüft“, nie als „in Ordnung“. Ein grüner Haken, der nur heißt „nicht nachgesehen“, wäre schlimmer als gar keiner. Der Code liegt offen im GitHub-Repo m365-haertungs-check unter MIT-Lizenz.
- PowerShell 7 installieren. Läuft unter Windows, macOS und Linux.
- Module laden. Microsoft.Graph.Authentication für neun der zwölf Prüfungen. Für die übrigen drei (Weiterleitung, Prüfprotokoll, Postfach-Protokollierung) zusätzlich ExchangeOnlineManagement.
- Mit einem Lesekonto starten. Das Skript meldet sich an Ihrem Tenant an und schreibt den Bericht. Die Anleitung steht auf der Werkzeugseite.
Microsoft bringt mit dem Secure Score im Microsoft-Defender-Portal eine eigene Bewertung mit. Der Härtungs-Check ersetzt ihn nicht. Er liefert zu zwölf ausgewählten Einstellungen einen kurzen Bericht auf Deutsch, den auch die Geschäftsführung lesen kann.
Endgeräte, Netzwerk und Backups sieht das Skript nicht, und nach Spuren eines Vorfalls sucht es auch nicht. Es ändert nichts selbst. Wer PowerShell nicht kennt, lässt es von seiner IT ausführen. Welche Regeln nach dem Befund auf die Liste gehören, beschreiben wir im Beitrag zu Conditional Access in Microsoft 365.
2. E-Mail-Sicherheitscheck (frag.hugo)
Ein Kunde meldet eine Rechnung mit Ihrem Absender, die Sie nie verschickt haben. Kann das jeder?
Der E-Mail-Sicherheitscheck von frag.hugo prüft zehn Punkte einer Domain über öffentliche DNS-Einträge, darunter SPF, DKIM, DMARC und MTA-STS. Für Microsoft-365-Kunden wichtig ist, dass unter den 20 DKIM-Selektoren, die er durchprobiert, selector1 und selector2 sind, die Microsoft verwendet. Statt nur einer Ampel bekommen Sie fertige DNS-Einträge zum Kopieren. Empfohlen wird, DMARC erst mit p=none und Berichtsadresse zu starten, vier bis sechs Wochen mitzulesen und dann zu verschärfen. Wie DMARC funktioniert, steht in unserem Beitrag DMARC erklärt.
Seine Sicht endet am öffentlichen DNS. Ob Postfächer einen zweiten Faktor haben oder jemand still nach außen weiterleitet, gehört in den Härtungs-Check oben.
3. internet.nl
Die Agentur, die Ihre Website betreut, versichert, Mail und Web seien sauber eingerichtet. Eine zweite Meinung von jemandem, der nichts verkaufen will, liefert internet.nl, ein öffentlich betriebener Test aus den Niederlanden. Er prüft Mail-Domains auf DMARC, STARTTLS und DANE und Websites auf HTTPS, IPv6 und DNSSEC. Bei unserem Besuch im Oktober 2026 zählte die Startseite 461.215 getestete Mail-Domains. Bewertet wird, ob Standards eingehalten sind. Ein Abzug bei DANE oder IPv6 bedeutet noch keine offene Tür für gefälschte Absender.
4. Have I Been Pwned
Eine Mitarbeiterin bekommt eine Erpresser-Mail mit einem alten Kennwort von ihr im Betreff. Have I Been Pwned zeigt, ob eine E-Mail-Adresse in bekannten Datenlecks auftaucht. Im Oktober 2026 waren dort 1.047 Websites mit zusammen 17.846.550.965 Konten erfasst. Erfasst ist nur, was bekannt geworden ist, und ein Treffer sagt nichts darüber, ob das heutige Kennwort betroffen ist. Für das Firmenkonto zählt deshalb der zweite Faktor, nicht das Suchergebnis.
Es gibt im Darknet verschiedene Plattformen, auf denen solche geleakten Daten dann gehandelt werden.
Dennis KreftMicrosoft 365 & Cloud-Experte
Bei Dienstleistern und im Team: Microsoft-Unterauftragnehmer und Schatten-KI
5. Subprozessor-Monitor (frag.hugo)
Die Datenschutzbeauftragte will bis Monatsende wissen, welche Firmen Microsoft neu als Unterauftragsverarbeiter eingebunden hat. Von Hand heißt das, eine lange Liste regelmäßig mit der alten Fassung zu vergleichen.
Der Subprozessor-Monitor gleicht täglich die öffentlichen Listen von 17 Cloud-Anbietern ab, darunter Microsoft 365 und Azure. Microsoft veröffentlicht seine Liste nicht maschinenlesbar. Der Monitor erkennt dort deshalb, dass sich etwas geändert hat (zuletzt am 9. Oktober 2026), aber nicht automatisch die neuen Namen. Gemeldet wird erst, wenn sich die Änderung am Folgetag bestätigt, per RSS-Feed ohne Adressangabe oder per E-Mail. Die neuen Namen bei Microsoft lesen Sie in der Liste des Anbieters selbst nach, und Ihr Verzeichnis pflegt der Monitor nicht.
6. Schatten-KI-Check (frag.hugo)
In der Personalabteilung fasst ein KI-Dienst Bewerbungsgespräche zusammen, den niemand freigegeben hat. Der Schatten-KI-Check fragt in acht Fragen und rund drei Minuten ab, wie gut Sie das überblicken, ausdrücklich auch Microsoft 365 Copilot und Besprechungs-Notizdienste. Am Ende steht eine von drei Stufen, von „Sie sehen den KI-Einsatz derzeit nicht“ bis „Sie haben den Überblick“. Ein einziger blinder Fleck deckelt die oberste Stufe, auch wenn alle anderen Antworten gut sind.
Gemessen wird dabei nichts, auf Ihren Mandanten greift der Test nicht zu. Er spiegelt Ihre eigene Einschätzung. Was bei Schatten-KI konkret schiefgehen kann, steht in Schatten-KI und Datenlecks.
Stimmt, und dafür sind die Werkzeuge gedacht. Der Härtungs-Check spart der eigenen IT das Zusammensuchen der zwölf Einstellungen in mehreren Admin-Oberflächen. Wer keine eigene IT hat, lässt das Skript von seinem Dienstleister laufen und bespricht den Bericht für die Geschäftsführung gemeinsam.
Lage, Ernstfall und Fristen
7. Cyber-Lagebild Deutschland (frag.hugo)
Die Geschäftsführung eines Zulieferers will wissen, ob Betriebe aus der Industrie überhaupt im Visier von Erpressergruppen stehen. Das Cyber-Lagebild zählt täglich, wie viele Organisationen aus Deutschland auf Leak-Seiten veröffentlicht wurden. Stand Oktober 2026 waren es 196 Fälle seit Jahresbeginn, 37 % mehr als im gleichen Zeitraum 2025. In den letzten zwölf Monaten lag Industrie und Produktion mit 32 Fällen vorn, das ist ein Viertel der Fälle mit bestimmbarer Branche.
Tatzeitpunkt und Bundesland erfasst das Lagebild nicht. Einen Teil des Anstiegs gegenüber 2025 führt die Methodik selbst auf ausführlichere Quelldaten zurück.
8. BSI-Selbsttest EPIC
Die Hausbank legt zur Kreditverlängerung einen Fragebogen zur Informationssicherheit vor. Wer vorher wissen will, wo der Betrieb steht, findet beim BSI den ExPress Informationssicherheits Check (EPIC). Das sind 32 Fragen in sechs Themenfeldern, laut BSI in zehn bis 15 Minuten erledigt, mit einer Auswertung je Themenfeld. Es bleibt eine Selbstauskunft, und die Fragen sind allgemein gehalten, nicht auf Ihren Mandanten zugeschnitten. Den bekannteren CyberRisikoCheck nach DIN SPEC 27076 gibt das BSI nicht zum Selbermachen heraus, er läuft als Interview mit einem IT-Dienstleister.
9. IT-Notfallkarte (kjello)
Eine neue Auszubildende fängt im Lager an. Wen sie anruft, wenn auf ihrem Rechner plötzlich Dateien unlesbar werden, sollte sie nicht erst suchen müssen.
Die IT-Notfallkarte von kjello ist ein A4-Blatt zum Aushängen. Eingetragen werden interne IT, IT-Dienstleister, Geschäftsführung, Datenschutzbeauftragter und Cyber-Versicherung, die Polizei mit 110 ist vorgedruckt. Leere Felder werden im Ausdruck zu Linien zum Ausfüllen. Dazu kommen Sofort-Handgriffe, Verbote und fünf gesetzliche Fristen, von 24 Stunden für die Erstmeldung an das BSI (nur für NIS2-pflichtige Betriebe) bis zu einem Monat für die Abschlussmeldung. Geprüft sind die Fristen laut Werkzeugseite am 4. September 2026.
Einen IT-Notfallplan ersetzt die Karte nicht, auch nicht die Abstimmung mit dem Datenschutzbeauftragten. Ihre Eingaben stehen nur in der Adresszeile. Wer den Link mit eingetragenen Telefonnummern weiterschickt, schickt die Nummern deshalb mit.
10. Fristenkalender (frag.hugo)
Im Jahresgespräch fragt der Versicherungsmakler, ob NIS2 Ihren Betrieb betrifft und ab wann welche Pflicht gilt. Der Fristenkalender legt 45 Fristen aus 18 Gesetzen auf einen Zeitstrahl, jedes Datum mit einem wörtlichen Beleg aus der Primärquelle (Stand Oktober 2026). Die eigene Rolle lässt sich auswählen und steht danach in der Adresse, sodass Sie die gefilterte Ansicht weitergeben können. Änderungen gibt es als RSS-Feed. Ob Ihr Betrieb unter NIS2 fällt, beantwortet der Kalender nicht. Er zeigt, was ab wann gilt.
Was jedes Werkzeug voraussetzt und was es nicht sieht
| Werkzeug | Was Sie mitbringen | Was es nicht sieht |
|---|---|---|
| Microsoft-365-Härtungs-Check | PowerShell 7, Leserechte im Mandanten | Endgeräte, Netzwerk, Backups |
| E-Mail-Sicherheitscheck | Ihre Domain | Postfächer, Weiterleitungsregeln |
| internet.nl | Domain oder Website-Adresse | alles hinter dem DNS |
| Have I Been Pwned | eine E-Mail-Adresse | nicht bekannt gewordene Lecks |
| Subprozessor-Monitor | nichts, für den Alarm eine E-Mail-Adresse | Microsoft-Namen automatisch |
| Schatten-KI-Check | acht Antworten | tatsächlich genutzte Dienste |
| Cyber-Lagebild | nichts | Tatzeitpunkt, Bundesland |
| BSI EPIC | 32 Antworten | Ihre konkrete Konfiguration |
| IT-Notfallkarte | Ihre Notfallnummern (freiwillig) | den Notfallplan dahinter |
| Fristenkalender | nichts, optional eine Rolle | ob eine Frist Sie rechtlich trifft |
Aus der Praxis
Der Härtungs-Check steht vorne, weil er als einziges der zehn Werkzeuge in den Mandanten hineinschaut. Was dort eingestellt ist, sieht man von außen nicht. Jens Hagel hat es in Gesprächen mit Neukunden so zusammengefasst:
Die meisten haben Microsoft 365 schon, aber die wenigsten nutzen das wirklich angepasst und eingestellt.
Jens HagelGründer, hagel IT-Services GmbH
Mit dem Bericht des Checks lässt sich das ändern. Die Fassung für die Geschäftsführung kommt ohne Fachbegriffe aus und nennt je Einstellung, warum sie zählt.
Die zweite Hälfte der Vorbereitung ist der Ernstfall. Dann zählen die ersten Stunden und die Frage, ob es eine Sicherung gibt, die der Angreifer nicht erreicht hat.
Ein Geschäftsführer aus dem Maschinenbau hat uns im Erstgespräch erzählt:
Über Weihnachten alles verschlüsselt. Nur weil ich immer eine externe Festplatte rausgeschleppt habe — auf der letzten war noch eine brauchbare Sicherung. Sehr knapp.
Wenn Sie den Befund des Härtungs-Checks nicht allein abarbeiten wollen: Als IT-Systemhaus in Hamburg übernehmen wir die laufende Pflege mit hagel one m365 und die übrigen Bausteine über Cybersecurity aus Hamburg. Wer die IT ganz abgeben will, findet das unter Managed IT-Services.
Empfehlung nach Lage
- Sie haben eine Kaffeepause. Füllen Sie die IT-Notfallkarte aus, drucken Sie sie und hängen Sie sie dort auf, wo auch Kollegen ohne IT-Wissen sie sehen.
- Sie haben eine eigene IT oder einen Admin. Lassen Sie den Microsoft-365-Härtungs-Check laufen und legen Sie sich die Fassung für die Geschäftsführung auf den Tisch. Punkte mit „Mängel“ bei Mehr-Faktor-Anmeldung und Administratorkonten zuerst.
- Ein Kunde hat eine gefälschte Rechnung in Ihrem Namen bekommen. Geben Sie Ihre Domain in den E-Mail-Sicherheitscheck ein. Steht bei DMARC „Nicht vorhanden“, ist das die erste Aufgabe für Ihre IT.
- Die Datenschutzbeauftragte fragt nach Microsofts Unterauftragnehmern. Abonnieren Sie den Subprozessor-Monitor und legen Sie den Fristenkalender als Kalender-Abo an.
- Die Hausbank oder der Versicherer schickt einen Fragebogen. Machen Sie vorher den EPIC-Selbsttest und gehen Sie die Antworten mit Ihrer IT durch.
Befund da, und jetzt?
Wir gehen den Bericht des Härtungs-Checks in einem kostenlosen Gespräch von 30 Minuten mit Ihnen durch, ohne Vertriebsdruck.
Termin buchen →
