Checkliste: Microsoft 365 sicher grundkonfigurieren
Für: IT-Verantwortliche in KMU
Aktualisiert: 2026-11
Eine sichere Microsoft-365-Grundkonfiguration umfasst sieben Punkte: Mehrfaktor-Anmeldung für alle, wenige und besonders geschützte Administratoren, abgeschaltete alte Anmeldeprotokolle, eingeschränkte Zustimmung zu Drittanwendungen, aktive Protokollierung, SPF, DKIM und DMARC für die eigenen Domains sowie eine eigene Sicherung der Daten.
Microsoft 365 ist für viele KMU das wichtigste IT-System: E-Mail, Dateien, Teams, Kalender. Entsprechend häufig beginnen Angriffe hier, meist mit übernommenen Konten. Die meisten erfolgreichen Angriffe nutzen keine Lücke in Microsoft 365, sondern eine schwache Konfiguration.
Diese Checkliste beschreibt die Grundkonfiguration, die jede Umgebung haben sollte. Sie ergänzt die organisatorische Seite in der Checkliste zur Microsoft-365-Governance.
Die Checkliste
- 01
Mehrfaktor-Anmeldung für alle
MFA für alle Benutzer erzwingen, über Sicherheitsstandards oder Richtlinien für bedingten Zugriff, ohne dauerhafte Ausnahmen.
Erledigt, wenn: Ein Bericht zeigt, dass alle aktiven Benutzerkonten mit MFA angemeldet sind; Ausnahmen sind befristet und begründet.
- 02
Administratoren begrenzen und schützen
Wenige globale Administratoren, getrennte Administratorkonten ohne E-Mail-Nutzung im Alltag, phishing-resistente Anmeldung für diese Konten.
Erledigt, wenn: Es gibt weniger als fünf globale Administratoren, jeder mit separatem Konto und phishing-resistenter Anmeldung.
- 03
Alte Anmeldeprotokolle abschalten
Protokolle, die MFA umgehen, deaktivieren und Anmeldungen damit blockieren.
Erledigt, wenn: Die Anmeldeprotokolle zeigen keine erfolgreichen Anmeldungen über alte Protokolle mehr.
- 04
Zustimmung zu Drittanwendungen einschränken
Benutzer dürfen Anwendungen nicht mehr selbst weitreichende Rechte auf E-Mail und Dateien geben; Anfragen laufen über eine Freigabe.
Erledigt, wenn: Die Einstellung zur Benutzerzustimmung ist eingeschränkt, und bestehende App-Freigaben wurden einmal überprüft.
- 05
Protokollierung aktivieren
Einheitliche Überwachungsprotokolle und Postfachüberwachung aktivieren, damit Vorfälle nachvollzogen werden können.
Erledigt, wenn: Eine Testsuche im Überwachungsprotokoll liefert Einträge der letzten Tage.
- 06
E-Mail-Domain schützen
SPF, DKIM und DMARC für alle versendenden Domains einrichten und die DMARC-Richtlinie schrittweise verschärfen.
Erledigt, wenn: Für jede Domain sind SPF, DKIM und ein DMARC-Eintrag aktiv, und DMARC-Berichte werden ausgewertet.
- 07
Daten eigenständig sichern
Geschäftskritische Daten aus Exchange, SharePoint, OneDrive und Teams mit einer eigenen Lösung sichern und die Wiederherstellung testen.
Erledigt, wenn: Eine Wiederherstellung einer Mailbox und eines Ordners wurde durchgeführt und dokumentiert.
Häufige Fehler
- —MFA einführen, aber alte Protokolle offen lassen, über die sich Angreifer ohne zweiten Faktor anmelden.
- —Administratorrechte an persönliche Alltagskonten vergeben, die E-Mails und Links öffnen.
- —Benutzern erlauben, beliebigen Apps Zugriff auf Postfächer zu geben, ein häufiger Weg für Schatten-KI und Datenabfluss.
- —Annehmen, Microsoft sichere die eigenen Daten im Sinne eines Backups.
Was diese Checkliste nicht abdeckt
- —Die Checkliste beschreibt eine Grundkonfiguration, kein vollständiges Sicherheitskonzept; Lizenzen bestimmen, welche Funktionen verfügbar sind.
- —Gerätesicherheit, Endpunktschutz und Netzwerk sind nicht abgedeckt.
- —Konkrete Bezeichnungen von Einstellungen ändern sich mit der Weiterentwicklung von Microsoft 365.
Übergeordnete Leistung: Cyber-Readiness & IT-Sicherheit
Passende Angebote
Cyber-Readiness-Check
Der Cyber-Readiness-Check klärt, ob Ihr Unternehmen einen Angriff rechtzeitig erkennt, richtig reagiert und fristgerecht meldet: Prüfung der Meldepflichten nach ISG, DSG und gegebenenfalls NIS2, Inventar der Angriffsfläche, Durchsicht der Cloud- und Microsoft-365-Grundkonfiguration, Wiederherstellbarkeit der Backups, Incident-Response-Plan und eine Übung am Tisch.
Microsoft-365-Governance
Wir erarbeiten ein Governance-Konzept für Microsoft 365: wer Teams und Sites erstellen darf, wie sie benannt, klassifiziert und archiviert werden, wie Gastzugriffe geregelt sind, welche Aufbewahrungs- und Vertraulichkeitsregeln gelten und wie Power Automate und Power Apps kontrolliert wachsen. Mit Rollen, Richtlinien und einem Umsetzungsplan für Ihre IT.
Häufige Fragen
Reichen die Sicherheitsstandards von Microsoft?
Für kleine Umgebungen sind sie ein guter Start. Mit passenden Lizenzen erlauben Richtlinien für bedingten Zugriff eine feinere Steuerung.
Wie viele globale Administratoren sind sinnvoll?
So wenige wie möglich, aber mindestens zwei für die Stellvertretung. Microsoft empfiehlt weniger als fünf.
Wie oft sollte man das prüfen?
Nach jeder grösseren Änderung und mindestens jährlich, zusammen mit der Überprüfung von Gästen und App-Freigaben.
Weitere Checklisten
Checkliste: Angebot für eine öffentliche Ausschreibung einreichen
Vor der Einreichung prüft man sieben Punkte: Frist, Ort und Form, Vollständigkeit aller verlangten Unterlagen, Gültigkeit der Eignungsnachweise, ein Preisblatt exakt nach Vorlage ohne Vorbehalte, rechtsgültige Unterschriften, korrekt gekennzeichnete Varianten und eine Eingangsbestätigung.
Checkliste: Auskunftsbegehren nach DSG und DSGVO beantworten
Ein Auskunftsbegehren wird in sieben Schritten beantwortet: Eingang erfassen und Frist starten, die Identität angemessen prüfen, den Umfang klären, die Daten in allen Systemen suchen, Einschränkungen prüfen, die Antwort mit den gesetzlichen Inhalten zusammenstellen und sie sicher und fristgerecht zustellen, mit Dokumentation.
Checkliste: Microsoft 365 Copilot sicher einführen
Copilot wird in sieben Schritten sicher eingeführt: Freigaben und Berechtigungen bereinigen, vertrauliche Daten klassifizieren, Regeln gegen Datenverlust setzen, eine Nutzungsrichtlinie erlassen, mit einer Pilotgruppe und klaren Anwendungsfällen starten, Nutzer zum Prüfen von Ergebnissen schulen und den Nutzen messen, bevor ausgeweitet wird.