Microsoft 365 sicher konfigurieren: Welche Standard-Bausteine sind verbreitet?

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an die Härtung einer Microsoft-365-Umgebung ergeben sich aus mehreren parallelen Quellen:

• DSGVO Art. 32 verlangt geeignete technische und organisatorische Maßnahmen nach dem Risiko der Verarbeitung. Neue Microsoft-365-for-Business-Tenants haben die Sicherheitsstandards (Security Defaults, u. a. MFA) laut Microsoft standardmäßig aktiviert; ob das für die konkrete Verarbeitung genügt, ergibt erst die Risikobewertung.
• NIS2-Richtlinie (EU) 2022/2555 Art. 21 Abs. 2 verlangt eine breite Palette technischer und organisatorischer Risikomanagement-Maßnahmen, in Deutschland umgesetzt in § 30 BSIG für besonders wichtige und wichtige Einrichtungen. Ein Teil davon (etwa MFA, Zugriffskontrolle, Protokollierung) lässt sich in der M365-Konfiguration abbilden, andere Maßnahmen sind organisatorisch.

• BSI IT-Grundschutz Baustein OPS.2.2 (Cloud-Nutzung) beschreibt Anforderungen an die Nutzung von Cloud-Diensten und kann als fachliche Orientierung dienen; rechtlich bindend ist er nur, wo ein Regelwerk oder Vertrag darauf verweist.
• CIS Microsoft 365 Foundations Benchmark ist ein international etablierter Konfigurations-Benchmark mit nach Level (L1/L2) gestaffelten Empfehlungen.
• CISA Microsoft 365 Security Configuration Baselines sind Konfigurations-Empfehlungen für US-Bundesbehörden, die auch im privaten Sektor als Referenz dienen.
• Microsoft Secure Score ist ein Plattform-internes Bewertungs-Instrument, das eine Vergleichsbasis liefert, kein abschließender Compliance-Nachweis.
• Sektorspezifische Anforderungen (für Finanzunternehmen DORA, Verordnung (EU) 2022/2554; für Betreiber kritischer Anlagen § 31 BSIG; branchenspezifische Sicherheitsstandards wie der B3S Krankenhaus) können erweiterte Vorgaben für Cloud-Konfigurationen mit sich bringen.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Tiefe der Härtung richtet sich nach Schutzbedarf, Lizenzierung und Sektor:

• Normaler Schutzbedarf (Standard-Bürobetrieb, allgemeine Geschäftsdaten): Eine Standard-Härtungs-Checkliste mit den zentralen Identitäts-, Mail-Sicherheits-, Endpoint- und Sharing-Konfigurationen ist ein verbreiteter Ausgangspunkt. Microsoft 365 Business Premium enthält laut Microsoft unter anderem Entra ID P1 (Conditional Access), Intune Plan 1, Defender for Business und Defender for Office 365 Plan 1.

• Hoher Schutzbedarf (vertrauliche Geschäftsdaten, größere Kundendatenbestände, exponierte Funktionen): Erweiterte Conditional-Access-Policies (Risk-based, Session-Controls), Microsoft Purview Data Loss Prevention mit unternehmensindividuellen Regeln, Microsoft Defender for Endpoint mit Tuning und Privileged Identity Management sind in Erwägung zu ziehen. Risikobasierte Richtlinien (Entra ID Protection) und Privileged Identity Management setzen Entra ID P2 bzw. Entra ID Governance voraus; P2 ist in Microsoft 365 E5 enthalten oder als Add-on erhältlich, für Business Premium etwa über die Microsoft Defender Suite for Business Premium.
• Sehr hoher Schutzbedarf (besondere Datenkategorien, KRITIS, regulierte Sektoren): Erweiterte Härtung mit Microsoft Sentinel oder externem SIEM, Customer Lockbox, Customer Key, Information-Rights-Management und tiefer organisationsspezifischer Konfiguration kommt in Betracht.

Welcher Aufbau-Rahmen ist verbreitet?

Eine Standard-Härtungs-Checkliste, wie sie aus CIS Microsoft 365 Foundations Benchmark (Level 1), CISA Baselines und der BSI-Cloud-Empfehlung abgeleitet werden kann, gliedert sich nach Funktionsbereichen. Sie ist als Ausgangspunkt zu verstehen, eine Schutzbedarfs-spezifische Bewertung jedes Punktes ist im Anschluss erforderlich.

Identitäts- und Zugriffsmanagement

• Multi-Faktor-Authentifizierung für alle Konten als Mindest-Konfiguration; phishing-resistente Verfahren für administrative Rollen in Erwägung zu ziehen (vgl. NIST SP 800-63B).
• Legacy-Authentifizierung blockieren: Basic Authentication für Exchange ActiveSync, POP, IMAP, EWS und weitere Protokolle hat Microsoft in Exchange Online ab 01.10.2022 abgeschaltet, SMTP AUTH nur in Tenants, die es nicht nutzten. Microsoft empfiehlt zusätzlich eine Conditional-Access-Richtlinie „Block legacy authentication“; zu prüfen bleibt, ob SMTP AUTH noch benötigt wird.
• Conditional-Access-Policy-Set mit Mindest-Bedingungen (Geräte-Compliance, Geo-Restriktion) ab Entra ID P1, z. B. über Microsoft 365 Business Premium; risikobasierte Bedingungen (Anmelde- und Benutzerrisiko) erfordern Entra ID P2.
• Privileged Identity Management für administrative Rollen mit Just-in-Time-Aktivierung bei vorhandener Entra-ID-P2-Lizenz.

E-Mail- und Kollaborations-Sicherheit

• Microsoft Defender for Office 365 mit Safe Links, Safe Attachments und Anti-Phishing-Policies, sofern lizenziert.
• Mailbox-Audit-Logging zur Sicherstellung der Forensik-Tauglichkeit im Vorfallsfall: laut Microsoft in allen Organisationen standardmäßig aktiviert; zu prüfen ist, dass es nicht organisationsweit abgeschaltet wurde (Get-OrganizationConfig, Wert AuditDisabled = False).
• Eingeschränkte externe Sharing-Konfiguration in SharePoint und OneDrive (z. B. „nur authentifizierte Gäste"), die konkrete Einstellung hängt vom Kollaborations-Modell mit Externen ab.

Datenschutz und Datenklassifizierung

• Microsoft Purview Data Loss Prevention mit Regeln für die im Unternehmen verarbeiteten Datenkategorien, die Regeln sind unternehmensindividuell zu definieren, vorgefertigte Templates sind ein Ausgangspunkt.
• Sensitivity Labels für die Klassifizierung vertraulicher Inhalte in Erwägung zu ziehen, sofern die Datenstruktur dies sinnvoll macht.
• Retention Policies für gesetzliche Aufbewahrungsfristen (etwa HGB, AO) und, umgekehrt, für Löschfristen nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO); Microsoft-Aufbewahrung ist keine Aufbewahrung im Sinne von Backup.

Endpoint und Geräte

• Endpoint-Schutz mit zentralem Onboarding und Mindest-Policies: Microsoft 365 Business Premium enthält Microsoft Defender for Business, das auf Defender for Endpoint aufbaut; Defender for Endpoint Plan 1/2 ist separat bzw. in Enterprise-Lizenzen erhältlich.
• Intune-Geräte-Compliance mit Mindest-Anforderungen (Verschlüsselung, OS-Stand, Antivirus-Status) als Voraussetzung für Conditional-Access-Bedingungen.
• Anwendungssteuerung (App Control for Business, früher Windows Defender Application Control, oder AppLocker) bei höherem Schutzbedarf in Erwägung zu ziehen.

Backup und Datensicherung

• Ergänzende externe Backup-Lösung für Exchange Online, OneDrive, SharePoint und Teams. Am Markt gibt es spezialisierte Backup-Dienste für Microsoft 365; die Auswahl hängt von Aufbewahrungsanforderungen, Datenvolumen und vorhandenen Verträgen ab. Microsoft-eigene Retention-Funktionen ersetzen kein Datensicherungskonzept im Sinne von BSI-Baustein CON.3.

Monitoring und Audit

• Microsoft Secure Score als Vergleichsbasis und Quelle priorisierter Verbesserungsempfehlungen (nicht als abschließender Compliance-Nachweis).
• Audit-Log: Audit (Standard) ist laut Microsoft standardmäßig aktiviert und bewahrt Einträge 180 Tage auf; längere Aufbewahrung bietet Audit (Premium) je nach Lizenz oder der Export in ein SIEM.
• Alert-Policies für sicherheitsrelevante Ereignisse (anomale Anmeldungen, externe Weiterleitungs-Regeln, Massen-Downloads).

Welche Anforderungen an die Wartung sind verbreitet?

Eine einmalige Härtung ist nicht tragfähig. Die kontinuierliche Pflege der Konfiguration umfasst typischerweise:

• Regelmäßiges Review des Microsoft Secure Score und der Conditional-Access-Policies, da Microsoft den Funktionsumfang fortlaufend erweitert.
• Reaktion auf Microsoft Security Advisories und auf Empfehlungen des Microsoft Security Response Centers.

• Berechtigungs-Reviews für administrative Rollen, externe Gäste und Sharing-Verbindungen.
• Lizenz-Audit, da neue Sicherheits-Funktionen häufig an höhere Lizenz-Stufen gekoppelt sind und die Schutzwirkung durch Down-grading verloren gehen kann.

Welche Frequenz angemessen ist, hängt von Schutzbedarf und Aufsichtsanforderungen ab.

Welche Konstellationen erfordern abweichendes Vorgehen?

Eine Standard-Härtung ist nicht für alle Unternehmensprofile ausreichend. In den folgenden Konstellationen sind erweiterte Konfigurationen und ggf. höhere Lizenz-Stufen erforderlich:

• NIS2-pflichtige besonders wichtige und wichtige Einrichtungen (§ 28 BSIG): Erforderlich sind die Risikomanagementmaßnahmen nach § 30 Abs. 2 BSIG, deren Einhaltung zu dokumentieren ist (§ 30 Abs. 1 Satz 3 BSIG) und deren Umsetzung die Geschäftsleitung sicherstellen und überwachen muss (§ 38 Abs. 1 BSIG); eine reine Plattform-Härtung deckt das nicht ab.
• Finanzsektor (DORA, Verordnung (EU) 2022/2554, seit 17.01.2025; VAIT, KAIT und ZAIT sind aufgehoben, die BAIT werden mit Ablauf des 31.12.2026 vollständig aufgehoben): Vorgaben zu IKT-Risikomanagement, IKT-Drittparteienrisiko, Verschlüsselung, Auditfähigkeit und Notfallmanagement; höhere Lizenzstufen wie Microsoft 365 E5 sind in Erwägung zu ziehen.

• Gesundheitssektor: Krankenhäuser müssen nach § 391 SGB V angemessene Vorkehrungen nach dem Stand der Technik treffen und können dafür den branchenspezifischen Sicherheitsstandard (B3S Krankenhaus) nutzen; für Gesundheitsdaten gelten zusätzlich die Anforderungen an besondere Kategorien nach Art. 9 DSGVO.
• Betreiber kritischer Anlagen: Die BSI-KritisV bestimmt nur, wer erfasst ist. Die Sicherheitsanforderungen folgen aus §§ 30 und 31 BSIG (u. a. Maßnahmen über das Standard-Niveau hinaus und Systeme zur Angriffserkennung) sowie aus branchenspezifischen Sicherheitsstandards. Für Energie- und TK-Betreiber gelten stattdessen EnWG bzw. TKG (§ 28 Abs. 5 BSIG).
• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Erweiterte technische Maßnahmen (Customer Key, Customer Lockbox, Information-Rights-Management) sind in Erwägung zu ziehen.
• Internationale Datenflüsse mit Drittland-Bezug: Für Übermittlungen an Empfänger in den USA, die nach dem EU-US Data Privacy Framework zertifiziert sind, gilt der Angemessenheitsbeschluss der EU-Kommission; für andere Drittland-Übermittlungen sind Standardvertragsklauseln und ein Transfer Impact Assessment separat zu prüfen.

Bei Unsicherheit über die einschlägige Härtungs-Tiefe ist eine fachliche Beratung dem Verzicht auf Erweiterungen vorzuziehen.

Nächster Schritt

Ob das Unternehmen überhaupt in den NIS2-Anwendungsbereich fällt, lässt sich mit dem NIS2-Check vorläufig einordnen; er liefert ein Scope-Signal und priorisierte Maßnahmen, aber keine M365-Konfigurationsvorgaben. Welche Konfigurations-Tiefe für das eigene Schutzbedarfsprofil tragfähig ist, ist im Anschluss durch eine Schutzbedarfsanalyse zu bestimmen.

Eine Einordnung in das Asset-Management findet sich in NIS2 Asset Management: Was erwartet das BSI?.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand: 18.09.2026. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.