Microsoft 365 sicher konfigurieren: Welche Standard-Bausteine sind verbreitet?

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an die Härtung einer Microsoft-365-Umgebung ergeben sich aus mehreren parallelen Quellen:

• DSGVO Art. 32 verlangt geeignete technisch-organisatorische Maßnahmen, die Standard-Konfiguration eines neu bereitgestellten Tenants ist regelmäßig nicht ausreichend zur Erfüllung dieser Anforderung bei produktiver Nutzung.
• NIS2-Richtlinie (EU) 2022/2555 Art. 21 Abs. 2 verlangt eine breite Palette an Risikomanagement-Maßnahmen, die in einer M365-Umgebung über die Plattform-Konfiguration umzusetzen sind, sofern die Einrichtung in den Anwendungsbereich der nationalen Umsetzung fällt.

Detail

• BSI IT-Grundschutz Baustein OPS.2.2 (Cloud-Nutzung) ist die anerkannte Referenz im deutschen Raum für die Auslegung der Cloud-spezifischen Anforderungen.
• CIS Microsoft 365 Foundations Benchmark ist ein international etablierter Konfigurations-Benchmark mit nach Level (L1/L2) gestaffelten Empfehlungen.
• CISA Microsoft 365 Security Configuration Baselines sind Konfigurations-Empfehlungen für US-Bundesbehörden, die auch im privaten Sektor als Referenz dienen.
• Microsoft Secure Score ist ein Plattform-internes Bewertungs-Instrument, das eine Vergleichsbasis liefert, kein abschließender Compliance-Nachweis.
• Sektorspezifische Anforderungen (BAIT, VAIT, KAIT, B3S Krankenhaus, KRITIS-Verordnung) sehen regelmäßig erweiterte Vorgaben für Cloud-Konfigurationen vor.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Tiefe der Härtung richtet sich nach Schutzbedarf, Lizenzierung und Sektor:

• Normaler Schutzbedarf (Standard-Bürobetrieb, allgemeine Geschäftsdaten): Eine Standard-Härtungs-Checkliste mit den zentralen Identitäts-, Mail-Sicherheits-, Endpoint- und Sharing-Konfigurationen ist ein verbreiteter Ausgangspunkt; Microsoft 365 Business Premium ist die regelmäßig referenzierte Mindest-Lizenz für die Verfügbarkeit der relevanten Funktionen.

Detail

• Hoher Schutzbedarf (vertrauliche Geschäftsdaten, größere Kundendatenbestände, exponierte Funktionen): Erweiterte Conditional-Access-Policies (Risk-based, Session-Controls), Microsoft Purview Data Loss Prevention mit unternehmensindividuellen Regeln, Microsoft Defender for Endpoint mit Tuning und Privileged Identity Management sind in Erwägung zu ziehen, regelmäßig erfordert dies Microsoft 365 E3/E5 oder Add-ons.
• Sehr hoher Schutzbedarf (besondere Datenkategorien, KRITIS, regulierte Sektoren): Erweiterte Härtung mit Microsoft Sentinel oder externem SIEM, Customer Lockbox, Customer Key, Information-Rights-Management und tiefer organisationsspezifischer Konfiguration ist regelmäßig erforderlich.

Welcher Aufbau-Rahmen ist verbreitet?

Eine Standard-Härtungs-Checkliste, wie sie aus CIS Microsoft 365 Foundations Benchmark (Level 1), CISA Baselines und der BSI-Cloud-Empfehlung abgeleitet werden kann, gliedert sich nach Funktionsbereichen. Sie ist als Ausgangspunkt zu verstehen, eine Schutzbedarfs-spezifische Bewertung jedes Punktes ist im Anschluss erforderlich.

Identitäts- und Zugriffsmanagement

• Multi-Faktor-Authentifizierung für alle Konten als Mindest-Konfiguration; phishing-resistente Verfahren für administrative Rollen in Erwägung zu ziehen (vgl. NIST SP 800-63B).
• Sperrung von Legacy-Authentifizierungs-Protokollen (POP, IMAP, SMTP Auth ohne Modern Auth) über Conditional Access oder Authentication Policies, bekannt als verbreiteter Erstzugangsvektor.
• Conditional-Access-Policy-Set mit Mindest-Bedingungen (Geräte-Compliance, Geo-Restriktion, Risiko-basierte Verstärkung) je nach Lizenz-Verfügbarkeit (Microsoft 365 Business Premium oder Entra ID P1/P2).
• Privileged Identity Management für administrative Rollen mit Just-in-Time-Aktivierung bei vorhandener Entra-ID-P2-Lizenz.

E-Mail- und Kollaborations-Sicherheit

• Microsoft Defender for Office 365 mit Safe Links, Safe Attachments und Anti-Phishing-Policies, sofern lizenziert.
• Mailbox-Audit-Logging zur Sicherstellung der Forensik-Tauglichkeit im Vorfallsfall (Standardmäßig regelmäßig aktiviert, in Alt-Tenants jedoch zu prüfen).
• Eingeschränkte externe Sharing-Konfiguration in SharePoint und OneDrive (z. B. „nur authentifizierte Gäste"), die konkrete Einstellung hängt vom Kollaborations-Modell mit Externen ab.

Datenschutz und Datenklassifizierung

• Microsoft Purview Data Loss Prevention mit Regeln für die im Unternehmen verarbeiteten Datenkategorien, die Regeln sind unternehmensindividuell zu definieren, vorgefertigte Templates sind ein Ausgangspunkt.
• Sensitivity Labels für die Klassifizierung vertraulicher Inhalte in Erwägung zu ziehen, sofern die Datenstruktur dies sinnvoll macht.
• Retention Policies für die regulatorisch geforderten Aufbewahrungsfristen (DSGVO, HGB, AO), Microsoft-Standard-Aufbewahrung ist keine Aufbewahrung im Sinne von Backup.

Endpoint und Geräte

• Microsoft Defender for Endpoint mit zentralem Onboarding und Mindest-Policies (bei vorhandener Lizenz Microsoft 365 Business Premium oder höher).
• Intune-Geräte-Compliance mit Mindest-Anforderungen (Verschlüsselung, OS-Stand, Antivirus-Status) als Voraussetzung für Conditional-Access-Bedingungen.
• Application Control (Microsoft Defender Application Control oder AppLocker) bei höherem Schutzbedarf in Erwägung zu ziehen.

Backup und Datensicherung

• Ergänzende externe Backup-Lösung für Exchange Online, OneDrive, SharePoint und Teams. Marktbekannte Anbieter sind u. a. Veeam, Acronis, SkyKick, Hornetsecurity, Synology, die Auswahl hängt von Aufbewahrungsanforderungen, Datenvolumen und vorhandenen Verträgen ab. Microsoft-eigene Retention-Funktionen sind nach gängiger Audit-Praxis kein Backup im Sinne von BSI-Baustein CON.3.

Monitoring und Audit

• Microsoft Secure Score als Vergleichsbasis und Quelle priorisierter Verbesserungsempfehlungen (nicht als abschließender Compliance-Nachweis).
• Audit-Log-Aktivierung mit definierten Aufbewahrungsfristen, je nach Lizenz (Standard- oder Advanced-Audit-Aufbewahrung).
• Alert-Policies für sicherheitsrelevante Ereignisse (anomale Anmeldungen, externe Weiterleitungs-Regeln, Massen-Downloads).

Welche Anforderungen an die Wartung sind verbreitet?

Eine einmalige Härtung ist nicht tragfähig. Die kontinuierliche Pflege der Konfiguration umfasst typischerweise:

• Regelmäßiges Review des Microsoft Secure Score und der Conditional-Access-Policies, da Microsoft den Funktionsumfang fortlaufend erweitert.
• Reaktion auf Microsoft Security Advisories und auf Empfehlungen des Microsoft Security Response Centers.

Detail

• Berechtigungs-Reviews für administrative Rollen, externe Gäste und Sharing-Verbindungen.
• Lizenz-Audit, da neue Sicherheits-Funktionen häufig an höhere Lizenz-Stufen gekoppelt sind und die Schutzwirkung durch Down-grading verloren gehen kann.

Welche Frequenz angemessen ist, hängt von Schutzbedarf und Aufsichtsanforderungen ab.

Welche Konstellationen erfordern abweichendes Vorgehen?

Eine Standard-Härtung ist nicht für alle Unternehmensprofile ausreichend. In den folgenden Konstellationen sind erweiterte Konfigurationen und ggf. höhere Lizenz-Stufen erforderlich:

• NIS2-pflichtige wesentliche und wichtige Einrichtungen: Erforderlich ist ein dokumentiertes Cyber-Risikomanagement-Programm; eine reine Plattform-Härtung ohne organisatorische Einbettung ist nicht ausreichend.
• Finanzsektor (BAIT, VAIT, KAIT, MaRisk): Detaillierte Vorgaben zu Cloud-Auslagerung, Verschlüsselung, Auditfähigkeit und Notfallmanagement; Microsoft 365 E5 oder spezielle Microsoft-Cloud-Deutschland-Konfigurationen sind in Erwägung zu ziehen.

Detail

• Gesundheitssektor (B3S Krankenhaus, KHZG): Erweiterte Anforderungen an die Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO.
• KRITIS-Betreiber: Sektorspezifische Anforderungen aus der BSI-KritisV.
• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Erweiterte technische Maßnahmen (Customer Key, Customer Lockbox, Information-Rights-Management) sind in Erwägung zu ziehen.
• Internationale Datenflüsse mit Drittland-Bezug: Schrems-II-Compliance, Standard-Vertragsklauseln und Transfer-Impact-Assessment sind separat zu prüfen.

Bei Unsicherheit über die einschlägige Härtungs-Tiefe ist eine fachliche Beratung dem Verzicht auf Erweiterungen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der NIS2-Pflichtenlage einschließlich Cloud-Konfigurations-Anforderungen lässt sich über den NIS2-Check anlegen. Welche Konfigurations-Tiefe für das eigene Schutzbedarfsprofil tragfähig ist, ist im Anschluss durch eine Schutzbedarfsanalyse zu bestimmen.

Eine Einordnung in das Asset-Management findet sich in NIS2 Asset Management: Was erwartet das BSI?.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand 2026-05-16. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.