Microsoft 365 Sicherheit für KMU ohne eigene IT: die zehn Maßnahmen, die zählen

Die Frage „Wer kümmert sich um unsere Microsoft-365-Sicherheit, wenn wir keine eigene IT haben?" hat in den meisten Unternehmen eine unbequeme Antwort: niemand. Microsoft liefert die Werkzeuge, aber einschalten, einstellen und im Blick behalten muss sie jemand. Zehn Maßnahmen entscheiden dabei über das Ergebnis — hier stehen sie samt der Reihenfolge, in der sie wirken, und der Stelle, an der Eigenleistung realistisch endet.

Eine Mitarbeiterin hat vor drei Wochen gekündigt. Ihr Zugang funktioniert noch. Niemand hat ihn abgeschaltet, weil das Abschalten niemandes Aufgabe ist: Der IT-Dienstleister wartet auf einen Auftrag, im Haus fühlt sich niemand zuständig, und die Geschäftsführung erfährt davon, wenn überhaupt, durch Zufall.

Warum kleine Unternehmen überhaupt angegriffen werden

Angriffe laufen heute automatisiert und in der Breite. Mit KI-Unterstützung kostet ein überzeugendes Phishing-Schreiben Minuten statt Tage, und getroffen wird, wer erreichbar und schlecht geschützt ist — unabhängig von Umsatz oder Bekanntheit. Ein Unternehmen muss nicht perfekt geschützt sein. Es darf nur nicht das Haus mit der offenen Tür sein.

Die zehn Maßnahmen

1. Zweiter Sicherheitsschritt bei der Anmeldung (MFA)

Ein Passwort allein hält heute niemanden auf. Der zweite Schritt — eine Bestätigung auf dem Handy — stoppt den Großteil aller Kontoübernahmen. Wichtig ist das Wort „alle": Gilt der zweite Schritt nur für manche Konten, ist er wirkungslos, denn Angreifer finden das eine Konto ohne.

2. Zugangskontrolle: wer sich von wo anmelden darf (Conditional Access)

Legt fest, unter welchen Bedingungen eine Anmeldung überhaupt zugelassen wird — etwa nur von bekannten Geräten. Ein Anmeldeversuch nachts aus dem Ausland wird damit blockiert, bevor jemand reagieren muss.

3. Ausscheidende Mitarbeitende sofort aussperren

Der Fall vom Anfang. Ein fester Ablauf sorgt dafür, dass mit dem letzten Arbeitstag alle Zugänge enden — automatisch, nicht auf Zuruf. Das kostet nichts außer einer einmal getroffenen Regelung und schließt eine der häufigsten Lücken.

4. Admin-Rechte nur bei Bedarf (PIM)

Konten mit vollen Rechten sind das wertvollste Ziel im Unternehmen. Sie bekommen diese Rechte nur für die Stunden, in denen sie gebraucht werden, danach erlöschen sie von selbst. Ein gestohlenes Konto ist dann die meiste Zeit ein Konto ohne Macht.

5. Geräteschutz für Laptops und Handys (Intune)

Firmendaten liegen auf Geräten, und Geräte gehen verloren. Geräteschutz stellt sicher, dass nur verwaltete, verschlüsselte Geräte auf Firmendaten zugreifen — und dass ein verlorenes Gerät aus der Ferne geleert werden kann.

6. Bedrohungserkennung im Postfach (Defender)

Erkennt gefälschte Rechnungen, gefährliche Anhänge und Links, bevor Mitarbeitende sie öffnen. Die Werkzeuge dafür sind in vielen Microsoft-365-Verträgen bereits bezahlt — sie sind nur selten eingeschaltet und eingestellt.

7. Absender-Schutz für Ihre Domain

Verhindert, dass Fremde E-Mails verschicken, die aussehen, als kämen sie von Ihnen — an Ihre Kunden, mit Ihrer Absenderadresse, mit einer geänderten Bankverbindung. Für Audit und Versicherung läuft das unter den Kürzeln SPF, DKIM und DMARC.

8. Schutz vor Datenabfluss (DLP)

Regeln, die verhindern, dass sensible Inhalte — Kundenlisten, Gehälter, Verträge — das Unternehmen unbemerkt verlassen, ob aus Versehen oder mit Absicht.

9. Datensicherung, die Erpressung übersteht

Eine Sicherung, die am selben Ort liegt wie die Daten, verschlüsselt ein Erpresser gleich mit. Es braucht eine getrennte, regelmäßig geprüfte Sicherung — geprüft heißt: Die Wiederherstellung wurde tatsächlich schon einmal durchgespielt.

10. Laufende Überwachung mit monatlichem Bericht

Einstellungen bleiben nicht von allein richtig. Jede neue Software, jeder neue Mitarbeitende, jedes Microsoft-Update verändert die Lage. Eine 24/7-Überwachung meldet Abweichungen, und ein monatlicher Bericht zeigt schwarz auf weiß, wo Ihr Unternehmen steht — auch als Nachweis gegenüber Versicherung und Kunden.

Mitarbeiter-Sensibilisierung gehört ebenfalls dazu. Sie ergänzt die zehn Maßnahmen, ersetzt aber keine davon: Ein aufmerksamer Mensch mit offener Tür bleibt eine offene Tür.

Womit anfangen, wenn nichts davon existiert?

Nicht alles auf einmal. Die ersten drei Maßnahmen — zweiter Sicherheitsschritt, Zugangskontrolle, sauberes Aussperren — stoppen den größten Teil der realen Angriffe und sind in Wochen umgesetzt, nicht in Monaten. Danach folgen Geräte und Postfach, zum Schluss Feinschliff und Überwachung. Die umgekehrte Reihenfolge führt zu langen Projekten, während die großen Lücken offen bleiben.

Selbst machen oder machen lassen?

Ein technisch versierter Geschäftsführer kann den zweiten Sicherheitsschritt selbst aktivieren, und mancher IT-Dienstleister richtet die Grundlagen ordentlich ein. Die ehrliche Grenze liegt woanders: im Laufenden. Einstellungen veralten, Ausnahmen sammeln sich an, und ohne feste Zuständigkeit kehrt der Ausgangszustand schleichend zurück. Sicherheit hat kein Enddatum — sie ist ein Zustand, den jemand halten muss.

Zur Ehrlichkeit gehört auch, was Nexus.365 nicht abdeckt: Microsoft 365, Benutzerverwaltung und Endgeräte ja — Server im Keller, Drucker und Telefonanlagen nicht. Dafür bleibt Ihr bisheriger Dienstleister der richtige Partner. Beides schließt sich nicht aus, die Aufgaben sind sauber getrennt.

Was es kostet, wenn Sie nichts tun

Der Preis des Nichtstuns zeigt sich an drei Stellen: in Stillstandstagen, wenn ein verschlüsseltes System wiederhergestellt werden muss. In der Prämie der Cyber-Versicherung, die ohne Nachweise steigt — oder im Schadensfall in einer gekürzten Leistung. Und im Auftrag des Großkunden, dessen Fragebogen zur Informationssicherheit unbeantwortet bleibt. Keiner dieser Posten steht heute in Ihrer Buchhaltung. Jeder kann dort auftauchen.