Woran Sie erkennen, ob Ihr IT-Dienstleister Microsoft 365 sicher betreibt
Das Wichtigste in Kürze
- Ob Microsoft 365 sicher betrieben wird, lässt sich an zehn konkreten Nachweisen prüfen. Fast alle stammen direkt aus den Microsoft-Portalen und lassen sich innerhalb eines Tages zusammenstellen.
- Die Nachfrage gehört zu Ihrer Verantwortung als Geschäftsführung. Die Nachweise brauchen Sie ohnehin für Prüfer, Versicherer und Kunden.
- Eine gute Antwort ist konkret: ein Bericht, ein Datum, eine Zahl, ein Name. Eine schwache Antwort lautet „Das ist alles eingerichtet“.
- Wenn Sie eine unabhängige Zweitmeinung möchten, bietet sich ein Gap Assessment zum Festpreis an, ohne den bestehenden Dienstleister abzulösen.
Viele Geschäftsführungen haben ein ungutes Gefühl, ohne es genau benennen zu können. Es kommen weiterhin Phishing-Mails durch, die Cyberversicherung stellt neue Fragen, und auf die Frage „Sind wir sicher?“ kommt ein freundliches „Ja“. Das muss nicht heißen, dass etwas falsch läuft. Es heißt nur, dass Sie es nicht überprüfen können. Dieser Beitrag gibt Ihnen eine sachliche Liste an die Hand, mit der Sie das Gespräch mit Ihrem IT-Dienstleister oder Ihrer internen IT führen können.
Woran erkennt man, ob Microsoft 365 sicher betrieben wird?
An Nachweisen, nicht an Zusicherungen. Ein Dienstleister, der Microsoft 365 sorgfältig betreut, kann die folgenden zehn Punkte innerhalb eines Tages belegen, weil die Daten in Microsoft Entra ID, Microsoft Defender und Microsoft Intune ohnehin vorliegen. Bitten Sie um Exporte und Bildschirmfotos mit Datum. Für eine gut geführte IT ist das Routine.
Welche zehn Nachweise sollte Ihr IT-Dienstleister vorlegen können?
1. MFA-Abdeckung aller Benutzer
Worum bitten: den Bericht „Benutzerregistrierungsdetails“ aus Entra ID, der zeigt, wer welche Anmeldemethode registriert hat.
Gute Antwort: Alle Benutzer haben MFA registriert, Ausnahmen sind namentlich bekannt und begründet. Es gibt einen Plan für den Umstieg von SMS auf Passkeys, weil Microsoft die SMS-Zustellung einstellt. Details dazu im Beitrag Conditional Access und Passkeys.
2. Conditional-Access-Richtlinien, die wirklich durchgesetzt werden
Worum bitten: eine Liste der Conditional-Access-Richtlinien mit Status.
Gute Antwort: Es gibt Richtlinien für MFA, gegen Legacy-Authentifizierung und für Administratoren, und sie stehen auf „Ein“. Richtlinien, die seit Monaten im Report-only-Modus laufen, schützen nicht. Wie eine Einführung ohne Aussperren gelingt, beschreiben wir in Conditional Access einführen, ohne Mitarbeitende auszusperren.
3. Wenige Global Administrators, Notfallkonten und PIM
Worum bitten: die Anzahl der Konten mit der Rolle Global Administrator, die Beschreibung der Notfallkonten und den Nachweis, wann diese zuletzt getestet wurden.
Gute Antwort: Weniger als fünf Personen haben die Rolle. Administratoren arbeiten mit getrennten Admin-Konten, idealerweise über Privileged Identity Management (PIM), bei dem Rechte nur auf Zeit aktiviert werden. Es gibt zwei Notfallkonten, die von Richtlinien ausgenommen sind und bei jeder Anmeldung einen Alarm auslösen.
4. Postfach-Überwachung und Alarm bei Weiterleitungsregeln
Worum bitten: die Bestätigung, dass die Postfachüberwachung aktiv ist, und die Liste der Warnungsrichtlinien für neue Weiterleitungs- und Posteingangsregeln.
Gute Antwort: Die Überwachung ist eingeschaltet, Warnungen bei neuen Weiterleitungsregeln gehen an eine benannte Person, und die automatische Weiterleitung an externe Adressen ist in der Richtlinie für ausgehenden Spam abgeschaltet. Eine heimlich eingerichtete Weiterleitung ist ein typisches Zeichen eines übernommenen Postfachs.
5. SPF, DKIM und DMARC mit „reject“
Worum bitten: die DNS-Einträge für SPF, DKIM und DMARC aller Domains, auch der nicht genutzten.
Gute Antwort: Alle drei sind gesetzt, DMARC steht nach einer Beobachtungsphase auf p=reject, und die DMARC-Berichte werden ausgewertet. Die Grundlagen erklären wir in unserem Beitrag zu SPF, DKIM und DMARC in Microsoft 365.
6. Richtlinien in Microsoft Defender for Office 365
Worum bitten: einen Überblick über die aktiven Richtlinien für Safe Links, Safe Attachments und Anti-Phishing.
Gute Antwort: Die voreingestellten Sicherheitsrichtlinien „Standard“ oder „Strict“ sind allen Benutzern zugewiesen, und der Schutz vor Identitätsvortäuschung ist für Geschäftsführung, Buchhaltung und die eigenen Domains konfiguriert. Diese Profile wirken erst, wenn sie Benutzern zugewiesen sind.
7. Gerätekonformität und Update-Stand aus Intune
Worum bitten: den Konformitätsbericht aus Microsoft Intune und den Stand der Betriebssystem-Updates.
Gute Antwort: Alle Geräte mit Zugriff auf Unternehmensdaten sind in Intune verwaltet, nicht konforme Geräte sind benannt und haben einen Termin zur Behebung. Für Administratoren verlangt eine Conditional-Access-Richtlinie ein konformes Gerät.
8. Getestete Wiederherstellung
Worum bitten: das Datum des letzten Wiederherstellungstests für Postfächer, OneDrive und SharePoint und das Ergebnis.
Gute Antwort: Es gibt eine Sicherung, etwa mit Microsoft 365 Backup, und ein dokumentierter Test zeigt, dass eine Wiederherstellung funktioniert und wie lange sie dauert. Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme, kein Nachweis.
9. Schriftlicher Notfallprozess mit Kontaktkette
Worum bitten: das Dokument, das beschreibt, was bei einem Verdacht auf Kompromittierung passiert.
Gute Antwort: Es gibt einen schriftlichen Ablauf mit Namen und Telefonnummern, wer wen wann informiert, wer Konten sperren darf und wer über Meldungen an Behörden, Versicherer und Kunden entscheidet. Die Geschäftsführung kennt ihre Rolle darin.
10. Monatlicher Bericht mit Verlauf des Secure Score
Worum bitten: die letzten drei Monatsberichte.
Gute Antwort: Der Bericht zeigt den Verlauf des Microsoft Secure Score, umgesetzte und offene Maßnahmen sowie bewusst akzeptierte Risiken. Der Wert ist kein absolutes Maß für die Sicherheit. Entscheidend sind daher die Entwicklung und die Begründung für offene Punkte.
Wie spricht man das Thema an, ohne das Verhältnis zu belasten?
Indem Sie es als das darstellen, was es ist: Ihre Pflicht als Geschäftsführung, Risiken zu kennen und Nachweise vorzuhalten. Ein guter Dienstleister wird das begrüßen, weil es seine Arbeit sichtbar macht. Fehlen einzelne Punkte, folgt daraus zunächst eine Liste mit Prioritäten und Terminen. Häufig fehlen Zeit, Lizenzen oder ein klarer Auftrag.
Häufig gestellte Fragen
Wie lange sollte es dauern, diese Nachweise zusammenzustellen?
Wenn die Umgebung gepflegt wird, ist das in der Regel an einem Arbeitstag möglich, weil die meisten Daten direkt aus den Microsoft-Portalen exportiert werden. Dauert es deutlich länger, ist das selbst ein Hinweis darauf, dass Dokumentation oder Überwachung fehlen.
Brauche ich für alle Punkte zusätzliche Lizenzen?
Nicht für alle. Conditional Access setzt Microsoft Entra ID P1 voraus, PIM setzt Entra ID P2 oder Entra ID Governance voraus, Safe Links und Safe Attachments setzen Microsoft Defender for Office 365 voraus. Viele dieser Funktionen sind in Microsoft 365 Business Premium oder E5 bereits enthalten. Prüfen Sie zuerst, was Sie schon bezahlen.
Was tun, wenn trotz allem weiter Phishing ankommt?
Kein Filter hält jede Nachricht ab. Entscheidend ist, dass ein durchgekommener Link nicht zur Übernahme eines Kontos führt. Deshalb sind phishing-resistente Anmeldung und Conditional Access wichtiger als jede weitere Filterregel.
Der nächste Schritt
Wenn Sie eine unabhängige Zweitmeinung möchten, prüfen wir diese zehn Punkte und mehr im Gap Assessment zum Festpreis, ohne den bestehenden Dienstleister abzulösen. Sie erhalten einen Bericht mit priorisierten Maßnahmen, den Ihr Dienstleister direkt umsetzen kann. Wer die laufende Überwachung abgeben möchte, findet sie bei Managed Security.