Wissen · Microsoft 365
Microsoft 365 sicher einrichten: Empfehlungen für KMU
MFA, E-Mail-Schutz, Geräte und Freigaben: Sicherheitseinstellungen für KMU nach Lizenz einordnen. Mit Checkliste und Unterstützung aus Zell am Harmersbach.
Die kurze Antwort
Geschützte Anmeldungen, getrennte Verwaltungszugänge und kontrollierte Dateifreigaben gehören an den Anfang. Danach folgen E-Mail-Schutz, gepflegte Geräte und ein geprüfter Wiederherstellungsweg. Welche Einstellungen möglich sind, hängt von den tatsächlich gebuchten Lizenzen und Zusatzdiensten ab.
Was Basic, Standard und Premium ermöglichen
Business Basic und Business Standard unterscheiden sich unter anderem bei den Office-Anwendungen. Für individuelle Zugriffsregeln und zentrale Geräteverwaltung ist besonders relevant, welche Sicherheitslizenzen enthalten sind. Business Premium ergänzt diese Funktionen. Bereits gebuchte Zusatzlizenzen müssen dabei mit betrachtet werden.
| Maßnahme | Business Basic / Standard | Business Premium |
|---|---|---|
| Zusätzliche Anmeldebestätigung (MFA) | Über Sicherheitsstandards mit Entra ID Free möglich. | Gezielte Regeln über Conditional Access mit Entra ID P1 möglich. |
| Eigene Zugriffsregeln nach Gerät oder Situation | Entra ID P1 ist im jeweiligen Basispaket nicht enthalten. Zusatzlizenz prüfen. | Entra ID P1 enthalten; Regeln müssen passend geplant werden. |
| Schutz vor Spam und Schadsoftware im Postfach | Grundschutz bei enthaltenem Exchange Online. | Zusätzlich Defender for Office 365 Plan 1, unter anderem Safe Links und Safe Attachments. |
| Zentrale Geräteverwaltung und Geräteschutz | Intune Plan 1 und Defender for Business nicht im Basispaket enthalten. | Intune Plan 1 und Defender for Business enthalten. |
| Risikobasierte Anmelderegeln mit Entra ID Protection | Entra ID P2 beziehungsweise passende Zusatzlizenz erforderlich. | Entra ID P2 ist im reinen Business-Premium-Paket nicht enthalten. |
| Zusätzliches Backup nach vereinbartem Sicherungsumfang | Separat auswählen und lizenzieren. | Separat auswählen und lizenzieren. |
Die Tabelle beschreibt die genannten Basispakete. Entscheidend sind die tatsächlich gebuchten Produkte und die Lizenzen der betroffenen Benutzer. Ein sichtbarer Schalter im Verwaltungsportal belegt noch kein Nutzungsrecht.
Microsoft-Dokumentation: Sicherheitsstandards und MFA, Lizenzen für Entra ID und Conditional Access, Schutzfunktionen in Business Premium.
Anmeldungen und Verwaltungszugänge zuerst absichern
MFA verbindlich einrichten
Mehrfaktor-Authentifizierung ergänzt das Kennwort um eine weitere Bestätigung. Sicherheitsstandards bieten dafür eine Grundlage ohne Entra-Premium-Lizenz und blockieren ältere Anmeldeverfahren. Prüfen Sie den tatsächlichen Zustand Ihrer Umgebung und welche Anmeldemethoden bereits eingerichtet sind.
Wir empfehlen, die Registrierung mit den Mitarbeitern vorzubereiten und den Zugang nach der Umstellung zu testen. Das verhindert, dass eine notwendige Schutzmaßnahme erst beim nächsten Kundentermin auffällt.
Administratorrechte gezielt vergeben
Nutzen Sie für Verwaltungsarbeiten getrennte Konten und vergeben Sie nur die benötigten Rollen. Ein gewöhnliches Benutzerkonto braucht keine dauerhaften globalen Administratorrechte. Für einen möglichen Zugriffsverlust sollten Notfallzugänge nach Microsofts Vorgaben eingerichtet, geschützt und überwacht werden.
Conditional Access passend zur Umgebung planen
Mit Entra ID P1 lassen sich eigene Zugriffsbedingungen festlegen. Das kann sinnvoll sein, wenn Sie die Anmeldung an bestimmte Voraussetzungen knüpfen möchten. Business Premium enthält P1. Regeln anhand des von Entra erkannten Benutzer- oder Anmelderisikos benötigen weitergehende Rechte, insbesondere Entra ID P2 für Identity Protection.
Sicherheitsstandards und Conditional Access werden als alternative Verfahren geplant. Beim Wechsel muss der bestehende Schutz erhalten bleiben. Neue Regeln sollten zunächst mit Testbenutzern und, soweit möglich, im Berichtsmodus geprüft werden. Notfallzugänge und Ausnahmen gehören in die Planung.
Microsoft-Dokumentation: Sicherheitsstandards und MFA, Lizenzen für Entra ID und Conditional Access, Conditional Access planen und testen.
E-Mails und die eigene Absenderdomain schützen
Bei Exchange Online sind grundlegende Schutzfunktionen für eingehende E-Mails vorhanden. Defender for Office 365 Plan 1 ergänzt unter anderem die Prüfung von Links und Anhängen. Dieser Plan ist in Business Premium enthalten. Welche Richtlinien tatsächlich greifen, muss zusätzlich kontrolliert werden.
Microsofts voreingestellte Sicherheitsrichtlinien sind eine mögliche Grundlage. Die Defender-Funktionen setzen die passende Lizenz voraus. Strengere Einstellungen können auch mehr legitime Nachrichten in Quarantäne verschieben. Deshalb gehören Testnachrichten und ein verständlicher Freigabeprozess zur Einrichtung.
Microsoft-Dokumentation: Schutzfunktionen in Business Premium, Voreingestellte E-Mail-Schutzrichtlinien.
SPF, DKIM und DMARC aufeinander abstimmen
Diese Verfahren helfen Empfängern, Nachrichten mit Ihrer Absenderdomain zu überprüfen. Dazu müssen alle berechtigten Versanddienste berücksichtigt werden, beispielsweise Microsoft 365, ein Rechnungsprogramm oder ein Newsletterdienst. Eine strengere DMARC-Richtlinie sollte erst nach Prüfung dieser Quellen eingeführt werden.
Gerade bei mehreren Versanddiensten lohnt sich ein vollständiger Überblick: Welche Anwendung versendet mit welcher Adresse, und kommen ihre Nachrichten beim Empfänger korrekt authentifiziert an?
Microsoft-Dokumentation: SPF, DKIM und DMARC.
Dateifreigaben nach Arbeitsbedarf begrenzen
SharePoint und OneDrive können den Zugriff auf bestimmte Personen beschränken. Ein anonymer Link kann dagegen von anderen Personen genutzt werden, wenn er weitergegeben wird. Für vertrauliche Geschäftsunterlagen empfehlen wir nachvollziehbare Zugriffe mit überprüfter Identität.
Legen Sie fest, wer extern teilen darf und welche Bereiche dafür vorgesehen sind. Projektunterlagen für Kunden und die interne Personalablage benötigen unterschiedliche Regeln. Bestehende Freigaben und Gastzugänge sollten bei Projektende oder einem Mitarbeiterwechsel erneut geprüft werden.
Microsoft-Dokumentation: Externe Freigaben in SharePoint und OneDrive.
Geräte und Wiederherstellung mit einplanen
Ein geschütztes Cloud-Konto ersetzt keine gepflegten Geräte. Updates, Bildschirmsperren und ein passender Geräteschutz gehören zum Betrieb. Business Premium enthält Intune Plan 1 für zentrale Verwaltung und Defender for Business für den Geräteschutz. Die Geräte müssen eingebunden und die vereinbarten Richtlinien zugewiesen werden.
Wenn bereits ein anderer Virenschutz oder eine Geräteverwaltung eingesetzt wird, prüfen wir vor einer Änderung das Zusammenspiel. Parallel aktive Schutzsysteme können zusätzliche Abstimmung erfordern.
Microsoft-Dokumentation: Schutzfunktionen in Business Premium.
Wiederherstellung konkret festlegen
Klären Sie, welche Postfächer und Dateien nach einem Fehler wiederhergestellt werden müssen und welcher Datenstand benötigt wird. Aufbewahrung, Papierkorb und Versionsstände sollten dabei ebenso erfasst werden wie ein zusätzlich eingesetzter Sicherungsdienst.
Ein zusätzlicher Backup-Dienst wird separat ausgewählt und lizenziert. Microsoft bietet dafür Microsoft 365 Backup an; daneben kommen andere Anbieter infrage. Welche Lösung nexora einrichtet, richtet sich nach dem vereinbarten Sicherungsumfang. Ein nachvollziehbarer Wiederherstellungstest sollte Teil der vereinbarten Einrichtung sein.
Microsoft-Dokumentation: Microsoft 365 Backup.
Welche Reihenfolge ist für Ihren Betrieb sinnvoll?
Wir beginnen mit einer Bestandsaufnahme und einem normalen Benutzerkonto als Testfall. Welche Anmeldung funktioniert? Welche Rechte hat das Konto? Welche Daten und Geräte werden tatsächlich genutzt? Erst daraus entsteht die Reihenfolge für Änderungen.
Für jede Maßnahme werden betroffene Benutzer, benötigte Lizenzen und ein Prüfpunkt festgehalten. Eine strengere Zugriffsregel kann den Arbeitsalltag beeinflussen. Deshalb gehören ein abgestimmter Test und ein erreichbarer Verwaltungszugang zur Vorbereitung.
Der Microsoft-365-Sicherheitscheck liefert eine priorisierte Übersicht. Die Umsetzung wird anschließend gesondert abgestimmt. Bei einem Mitarbeiteraustritt ist zusätzlich ein geordneter Übergabe- und Sperrprozess nötig.
Checkliste für Ihren Betrieb
- Lizenzen, Benutzer, Geräte und zusätzliche Schutzdienste erfassen.
- MFA, Administratorrollen und Notfallzugänge prüfen.
- Versanddienste, externe Freigaben und Gastzugriffe abgleichen.
- Richtlinien zunächst mit einem begrenzten Testkreis prüfen.
- Wiederherstellung und Zuständigkeiten dokumentieren.
Häufige Fragen
Kann ich mit Business Standard MFA nutzen?
Ja. Sicherheitsstandards sind über Entra ID Free verfügbar. Individuelle Conditional-Access-Regeln erfordern passende Lizenzen, mindestens Entra ID P1 für die betroffenen Benutzer.
Ist Business Premium nach dem Kauf vollständig eingerichtet?
Die Lizenz stellt Funktionen bereit. Geräte müssen eingebunden, Richtlinien zugewiesen und Auswirkungen geprüft werden. Der konkrete Zustand Ihrer Umgebung ist entscheidend.
Muss jeder Betrieb auf Business Premium wechseln?
Das hängt von Geräten, Arbeitsweise und benötigten Funktionen ab. Bereits eingesetzte Schutzlösungen und Zusatzlizenzen gehören in den Vergleich.
Quellen und Einordnung
Fachliche Grundlagen: die unten verlinkten Originalquellen, geprüft am 8. November 2026. Die Empfehlungen zur Planung sind unsere Einordnung für kleine Unternehmen. Funktionen und Lizenzbedingungen werden vor einer Umsetzung erneut abgeglichen.