Checkliste zur Absicherung eines M365-Tenants: Identität, E-Mail, Geräte, Daten, Monitoring.
Der wichtigste Bereich — die meisten Angriffe zielen auf Konten, nicht auf Technik.
MFA überall — für alle Nutzer, phishing-resistent bevorzugt (Authenticator/FIDO2 statt SMS).
MFA für Admins zwingend und ohne Ausnahme (außer Break-Glass).
Legacy-Authentifizierung deaktivieren (POP, IMAP, SMTP AUTH, ältere Clients) — umgeht MFA.
Security Defaults oder Conditional Access aktiv — nie ganz ohne Basisschutz.
Privilegierte Rollen minimieren — weniger als 5 dauerhafte Global Admins, Least Privilege.
PIM (Privileged Identity Management) für Just-in-Time-Aktivierung von Admin-Rollen (P2).
Break-Glass-Konten eingerichtet, aus CA ausgenommen, überwacht.
Self-Service Password Reset (SSPR) aktiviert; Passwort-Rückschreiben bei Hybrid.
Gäste-/B2B-Zugriff geprüft und eingeschränkt (Berechtigungen für Einladungen begrenzen).
Exchange Online & Defender for Office 365 — die Haupteinfallstür Phishing schließen.
Anti-Phishing-Richtlinien aktiv (Impersonation-/Spoof-Schutz, Mailbox Intelligence).
Safe Links — URL-Umschreibung und Zeit-des-Klicks-Prüfung für Mail, Teams, Office-Apps.
Safe Attachments — Anhänge in Sandbox detonieren, bevor sie zugestellt werden.
Voreingestellte Sicherheitsrichtlinien („Standard"/„Strict") aktivieren, falls keine eigenen Policies gepflegt werden.
Automatische Weiterleitung nach extern blockieren (Outbound-Spam-Richtlinie) — häufiger Datenabfluss nach Kompromittierung.
SPF-Record für alle sendenden Domänen gesetzt und korrekt (-all oder ~all).
DKIM pro Domäne in Exchange Online aktiviert (Signatur mit Selektoren, DNS-CNAMEs veröffentlicht).
DMARC-Record veröffentlicht, gestartet mit p=none, dann Richtung quarantine/reject gehärtet — inkl. rua-Report-Adresse.
Endpunkte verwalten und verschlüsseln — der Zugriff darf nur von gesunden Geräten kommen.
Intune-Compliance-Richtlinien definiert und über Conditional Access erzwungen.
BitLocker auf allen Windows-Geräten aktiv, Wiederherstellungsschlüssel in Entra hinterlegt.
Microsoft Defender (Antivirus/EDR) aktiv, Echtzeitschutz und Cloud-Schutz an.
Angriffsflächenregeln (ASR) zumindest im Audit-, besser im Block-Modus.
Mindest-OS-Versionen erzwungen; veraltete Geräte werden nicht-konform.
Firewall per Richtlinie aktiviert.
App Protection Policies (MAM) für BYOD/Mobilgeräte — Firmendaten selektiv löschbar.
SharePoint, OneDrive, Teams — Freigaben und Aufbewahrung im Griff behalten.
Externes Sharing in SharePoint/OneDrive auf das nötige Maß beschränken (z. B. „nur bestehende Gäste" oder Ablaufdatum für Links).
Anonyme Freigabelinks deaktivieren oder mit Ablauf und Nur-Ansicht versehen.
Aufbewahrungsrichtlinien (Retention) für Mail, SharePoint, OneDrive, Teams gesetzt.
Papierkorb/Versionierung geprüft — schützt gegen versehentliches/böswilliges Löschen (Ransomware).
DLP-Richtlinien für sensible Daten (Kreditkarten, Ausweise, IBAN) zumindest im Testmodus.
Vertraulichkeitsbezeichnungen (Sensitivity Labels) für Klassifizierung/Verschlüsselung, wo nötig.
Sichtbarkeit herstellen — was man nicht sieht, kann man nicht abwehren.
Einheitliches Überwachungsprotokoll (Unified Audit Log) aktiviert (in neueren Tenants standardmäßig an — prüfen!).
Warnungsrichtlinien (Alert Policies) aktiv, z. B. bei Massen-Downloads, verdächtiger Weiterleitung, Rollenänderungen.
Anmeldeprotokolle regelmäßig prüfen; bei P2 Identity Protection für Risiko-Signale nutzen.
Secure Score regelmäßig verfolgen und Empfehlungen abarbeiten.
SIEM-Anbindung (z. B. Microsoft Sentinel) für längere Aufbewahrung und Korrelation — je nach Größe.
Benachrichtigungen an Admins (Service Health, Message Center) auf eine überwachte Adresse.
security.microsoft.com → Secure Score) fasst den Sicherheitszustand des Tenants als Prozentwert mit konkreten, priorisierten Handlungsempfehlungen zusammen. Nutzen Sie ihn als Fortschrittsmesser: Ausgangswert festhalten, Maßnahmen dieser Checkliste umsetzen, Verbesserung über die Zeit dokumentieren. Ein steigender Secure Score ist der einfachste Nachweis, dass die Baseline greift.