Inhalt in Kürze
- Zwölf statt zweihundert: Ein Bericht mit 180 Zeilen wird abgeheftet, einer mit zwölf wird abgearbeitet.
- Die wichtigste Einstellung ist die Mehr-Faktor-Anmeldung ohne Ausnahmen — alles andere ist nachrangig, solange dieser Punkt offen ist.
- Drei Punkte werden fast immer übersehen: die automatische Weiterleitung nach außen, die Selbstregistrierung von Anwendungen und Regeln, die nur im Berichtsmodus stehen.
- Prüfen dauert 30 Minuten — mit unserem kostenlosen, quelloffenen Skript, das nur liest.
Microsoft hat für Microsoft 365 mehrere hundert Sicherheitsempfehlungen im Angebot. Wer sie alle abarbeiten will, kommt nie an. Wer keine abarbeitet, steht bei der ersten Kontoübernahme ohne Schutz da.
Diese zwölf Punkte sind unsere Auswahl aus der täglichen Betreuung mittelständischer Betriebe in Hamburg. Sie entscheiden darüber, ob ein gestohlenes Kennwort folgenlos bleibt — oder einen Betrieb drei Tage kostet.
Die Reihenfolge: was zuerst, was danach
Wenn Sie nur einen Nachmittag haben, arbeiten Sie von oben nach unten. Die Reihenfolge ist nicht alphabetisch, sondern nach Wirkung sortiert.
- Mehr-Faktor-Anmeldung für alle. Ohne Ausnahmen, ohne „aber der Chef will das nicht". Ein gestohlenes Kennwort reicht sonst für den vollen Zugriff auf Postfach, Dateien und Chat.
- Administratorkonten prüfen. Wie viele gibt es, und hat jedes davon einen zweiten Faktor? Ein übernommenes Adminkonto ist nicht ein Arbeitsplatz, sondern der ganze Mandant.
- Alte Anmeldeverfahren blockieren. POP, IMAP und SMTP-Basisauthentifizierung kennen keine Mehr-Faktor-Anmeldung. Sie sind der bequemste Weg, eine ansonsten saubere Absicherung zu umgehen.
- Automatische Weiterleitung nach außen abschalten. Wer ein Postfach übernimmt, richtet als Erstes eine Weiterleitung ein und liest still mit.
Diese vier sind der Kern. Die restlichen acht sind wichtig, aber keiner davon hilft, solange die Mehr-Faktor-Anmeldung offen ist.
Die drei Punkte, die fast alle übersehen
In unseren Bestandsaufnahmen bei neuen Kunden tauchen dieselben drei Lücken immer wieder auf — auch bei Betrieben, die ihre IT sonst ordentlich führen.
Regeln im Berichtsmodus greifen nicht. Bedingte Zugriffsregeln lassen sich zunächst „nur zur Auswertung" einschalten — sinnvoll, um Nebenwirkungen zu sehen, und von Microsoft ausdrücklich als Zwischenschritt vorgesehen. Der Haken: Danach schaltet sie niemand scharf. Wir sehen regelmäßig Mandanten mit drei sauber gebauten Regeln, von denen keine einzige wirkt.
Der zweite blinde Fleck ist die Selbstregistrierung von Anwendungen. In der Voreinstellung darf jeder Benutzer eine Anwendung registrieren und ihr Rechte auf sein Postfach erteilen. Eine gefälschte Zustimmungsseite — die aussieht wie eine harmlose Terminplanungs-App — holt sich damit dauerhaften Zugriff. Ohne dass je ein Kennwort gestohlen wurde, und ohne dass ein Kennwortwechsel etwas daran ändert.
Der dritte ist die Freigabe-Voreinstellung in SharePoint und OneDrive. Steht sie auf „jeder mit dem Link”, erzeugt jede Freigabe eine Adresse, die ohne Anmeldung funktioniert und beliebig weitergeleitet werden kann. Zwei Klicks im SharePoint Admin Center schließen das.
Die vollständige Liste
- Mehr-Faktor-Anmeldung. Abdeckung in Prozent und die Konten ohne — namentlich.
- Administratorkonten. Anzahl und wie viele davon ohne zweiten Faktor.
- Veraltete Anmeldeverfahren. Blockiert oder nicht.
- Automatische Weiterleitung nach außen. Erlaubt oder blockiert.
- Gastzugriffe. Anzahl, Alter, wie viele seit über einem Jahr unbenutzt.
- Freigabe-Voreinstellung. „Jeder mit dem Link" oder Anmeldung erforderlich.
- Bedingte Zugriffsregeln. Wie viele aktiv — und wie viele nur im Berichtsmodus.
- Einheitliches Prüfprotokoll. Eingeschaltet oder nicht.
- Postfach-Prüfprotokollierung. Aktiv oder abgeschaltet.
- Selbstregistrierung von Anwendungen. Jeder oder nur Administratoren.
- Kennwortablauf. Erzwungener Wechsel gilt als überholt.
- Verwaiste Konten. Aktiv, aber seit 90 Tagen keine Anmeldung.
Die beiden letzten Punkte klingen nach Aufräumen und sind es auch. Aber ein aktives Konto, das niemand benutzt, wird auch von niemandem beobachtet — genau deshalb ist es das bevorzugte Ziel für Kennwortangriffe.
Dass der erzwungene Kennwortwechsel als überholt gilt, ist übrigens keine Meinung von uns: Microsoft rät in seinen Empfehlungen für Kennwortrichtlinien ausdrücklich davon ab. Ein Ablaufdatum führt in der Praxis zu Kennwörtern, die sich um eine hochgezählte Ziffer unterscheiden — und damit zu schlechteren, nicht besseren.
Aus der Praxis
Zwei-Faktor-Authentifizierung ist der Schutz Nummer eins vor Ransomware. Kostet nichts, dauert 5 Minuten pro Mitarbeiter — und macht 99 % der Angriffe wirkungslos.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Der häufigste Einwand gegen Punkt 1 ist nicht technisch, sondern menschlich: „Das nervt die Leute.” Unsere Erfahrung nach rund hundert Einführungen: Die Beschwerden kommen in der ersten Woche und hören danach auf. Was hilft, ist die Anmeldung per App statt per SMS und eine Regel, die vertraute Geräte im Büro nicht jedes Mal erneut fragt. Beides ist in bedingten Zugriffsregeln in einer Stunde eingerichtet.
Selbst prüfen — in 30 Minuten
Sie können diese zwölf Punkte von Hand durchgehen. Dafür brauchen Sie das Entra-Portal, das Defender-Portal, das SharePoint Admin Center und die Exchange-PowerShell. Realistisch dauert das etwa eine Stunde, wenn man weiß, wo man klicken muss.
Schneller geht es mit unserem kostenlosen Prüfskript. Es liest genau diese zwölf Punkte über Microsoft Graph aus, schreibt nichts, sendet nichts nach außen und erzeugt einen Bericht auf Deutsch — mit einer Fassung für die IT und einer für die Geschäftsführung.
Es steht unter MIT-Lizenz öffentlich auf GitHub. Kein Formular, keine E-Mail-Adresse, keine Anmeldung. Wer wissen will, was es tut, liest die rund 700 Zeilen Quelltext.
Was diese Liste nicht abdeckt
Ehrlichkeit gehört dazu: Diese zwölf Punkte betreffen ausschließlich die Konfiguration von Microsoft 365. Sie sagen nichts über die Endgeräte, nichts über das Netzwerk, nichts über Backups — auch nicht über die Sicherung von Microsoft 365 selbst, die Microsoft ausdrücklich nicht übernimmt. Warum das ein eigenes Thema ist, steht unter Microsoft 365 Backup: Pflicht statt Kür.
Und sie sagen nichts darüber, ob bereits etwas passiert ist. Für die Frage „wurden wir schon angegriffen” ist die Auswertung des Prüfprotokolls der richtige Weg — vorausgesetzt, Punkt 8 war eingeschaltet, bevor es passierte.
Ihr nächster Schritt
Nehmen Sie sich dreißig Minuten und prüfen Sie den Ist-Zustand. Nicht die Umsetzung — nur die Bestandsaufnahme. In neun von zehn Fällen liegen zwischen drei und sechs der zwölf Punkte offen, und meist ist einer davon in einer Viertelstunde erledigt.
Wenn Sie die Befunde nicht selbst abarbeiten wollen: Genau das machen wir für Hamburger Betriebe im Rahmen von Managed IT und Modern Workplace. Wie ein Angriff abläuft, wenn diese Punkte offen sind, beschreibt der Beitrag IT-Notfall — was jetzt zu tun ist.
