Microsoft 365 vor Phishing schützen: Diese Einstellungen sollten kleine Unternehmen 2026 prüfen

Montagmorgen, kurz nach acht: Eine Mitarbeiterin meldet sich nicht im Microsoft-365-Postfach an, obwohl das Kennwort angeblich stimmt. Wenige Minuten später erhält der Geschäftsführer eine täuschend echte E-Mail mit einer angeblichen Freigabe aus OneDrive. Solche Vorfälle beginnen selten mit einem spektakulären Hackerangriff. Häufig reichen ein abgegriffenes Kennwort, eine unbemerkte Postfachregel oder eine zu großzügige Freigabe aus.

Microsoft 365 bringt bereits viele Sicherheitsfunktionen mit. In kleinen Teams bleiben sie jedoch oft bei den Standardwerten, weil niemand eindeutig für die Administration zuständig ist. Der folgende Praxis-Check konzentriert sich auf die Einstellungen, die in nahezu jedem kleinen Unternehmen sinnvoll sind. Er trennt diese Basis von Zusatzprodukten, die nur bei höherem Risiko oder komplexeren Anforderungen notwendig werden.

1. MFA für alle Benutzerkonten verbindlich machen

Mehrstufige Anmeldung, meist als MFA bezeichnet, ist die wichtigste Einzelmaßnahme gegen Kontoübernahmen. Ein gestohlenes Kennwort allein reicht dann nicht mehr für die Anmeldung aus.

Prüfen Sie zuerst nicht nur die Konten Ihrer Mitarbeitenden, sondern auch diese Zugänge:

• Globale Administratoren und weitere Administratorkonten
• Geschäftsführung und Buchhaltung
• Konten ehemaliger Mitarbeitender
• Konten externer Dienstleister
• Freigegebene Postfächer mit aktivierter Anmeldung

Freigegebene Postfächer benötigen in der Regel kein eigenes Kennwort und keine direkte Anmeldung. Wenn sich niemand direkt anmelden muss, sollte die Anmeldung für das zugehörige Benutzerkonto deaktiviert sein.

Für sehr kleine Teams ohne ausgefeilte Zugriffsregeln sind die Microsoft-Sicherheitsstandardwerte oft ein sinnvoller Einstieg. Sie erzwingen MFA und blockieren ältere Anmeldeverfahren, die moderne Schutzmechanismen umgehen können. Wenn Sie bereits bedingten Zugriff über Microsoft Entra ID einsetzen, sollten Sie MFA dort gezielt steuern. Beides parallel zu betreiben, ist nicht sinnvoll.

Bevorzugen Sie die Microsoft Authenticator App oder Passkeys beziehungsweise Sicherheitsschlüssel. SMS als zweiter Faktor ist besser als kein MFA, bietet aber weniger Schutz gegen Angriffe, bei denen Täter Telefonnummern übernehmen oder Anmeldecodes abfangen.

Wichtig ist auch der Notfallzugang: Wenn Sie bedingte Zugriffsrichtlinien einsetzen, brauchen Sie in der Regel zwei besonders geschützte Notfallkonten. Diese werden nur für echte Störungen genutzt, sicher dokumentiert und regelmäßig kontrolliert. Sie sind keine bequemen Ausweichkonten für den Alltag.

Passwörter bleiben trotz MFA relevant. Ein Passwort-Manager verhindert, dass Mitarbeitende Kennwörter wiederverwenden oder in Notizen speichern. Hinweise zur passenden Auswahl finden Sie im Beitrag Passwort-Manager für kleine Teams: sicher und DSGVO-konform.

2. Externe E-Mail-Weiterleitungen abschalten

Ein kompromittiertes Postfach wird häufig nicht sofort für sichtbaren Betrug genutzt. Angreifer richten stattdessen eine unauffällige Regel ein: Rechnungen, Anfragen oder Nachrichten bestimmter Personen werden automatisch an eine externe Adresse weitergeleitet. So können Täter Kommunikation mitlesen, Zahlungsdaten verändern oder auf einen günstigen Moment für einen Betrugsversuch warten.

Prüfen Sie in Exchange Online daher drei Ebenen:

• Automatische externe Weiterleitung auf Organisationsebene
• Weiterleitungen, die direkt an einzelnen Postfächern hinterlegt sind
• Postfachregeln, die Nachrichten weiterleiten, umleiten oder löschen

Die automatische externe Weiterleitung sollte standardmäßig deaktiviert sein. Falls einzelne Funktionspostfächer eine Weiterleitung benötigen, richten Sie eine eng begrenzte Ausnahme ein. Dokumentieren Sie, welches Postfach wohin weiterleitet, wer dies genehmigt hat und wann die Ausnahme überprüft wird.

Kontrollieren Sie außerdem regelmäßig die Postfachregeln von Geschäftsführung, Buchhaltung und Vertrieb. Besonders auffällig sind Regeln mit Begriffen wie „Rechnung“, „Zahlung“, „Bank“, „Angebot“ oder dem Namen wichtiger Kunden. Prüfen Sie auch Regeln, die Nachrichten als gelesen markieren, verschieben oder löschen. Sie können einen Angriff verschleiern, obwohl keine Weiterleitung eingerichtet wurde.

Für die tägliche Administration genügt meist eine feste vierteljährliche Prüfung. Nach einem Personalwechsel, einem vermuteten Phishing-Vorfall oder einer ungewöhnlichen Rechnung sollte diese Prüfung sofort erfolgen.

3. Phishing- und Spamrichtlinien sinnvoll einstellen

Exchange Online enthält grundlegenden Schutz gegen Spam und Schadsoftware. Für viele kleine Teams ist das eine brauchbare Basis, sofern die Richtlinien nicht großzügig gelockert wurden. Prüfen Sie im Microsoft Defender Portal beziehungsweise im Bereich für E-Mail-Sicherheitsrichtlinien insbesondere diese Punkte:

• Nachrichten mit Schadsoftware werden nicht einfach zugestellt
• Spam wird in den Junk-E-Mail-Ordner verschoben oder bei hohem Risiko strenger behandelt
• Der Schutz gegen Identitätsnachahmung berücksichtigt Geschäftsführung, Buchhaltung und wichtige externe Partner
• Warnungen bei verdächtigen Nachrichten sind für Mitarbeitende sichtbar
• Die Quarantäne wird von einer zuständigen Person regelmäßig geprüft

Ein häufiger Fehler ist das pauschale Freigeben ganzer Absenderdomains, weil einzelne legitime Nachrichten im Spam landen. Damit umgehen Sie Teile des Schutzes für alle künftigen Nachrichten dieser Domain. Besser ist es, den konkreten Fehlalarm zu prüfen und nur so eng wie möglich zu korrigieren.

Wenn Ihre Lizenz erweiterte Funktionen wie „Safe Links“, „Safe Attachments“ oder vorkonfigurierte Sicherheitsrichtlinien enthält, sollten Sie diese aktiv bewerten. Sie können schädliche Links beim Anklicken prüfen und verdächtige Anhänge kontrollierter behandeln. Der Funktionsumfang hängt vom gebuchten Microsoft-365-Plan ab. Prüfen Sie daher zuerst Ihre vorhandenen Lizenzen, bevor Sie neue Produkte kaufen.

Für Ihre eigene Domain sollten SPF, DKIM und DMARC korrekt eingerichtet sein. Diese Verfahren verhindern nicht jedes Phishing, erschweren aber den Missbrauch Ihrer Absenderdomain. Sie sind besonders wichtig, wenn Sie Angebote, Rechnungen oder Newsletter unter eigener Domain versenden. Für den Versand von Newslettern gelten zusätzliche Anforderungen, die im Beitrag Newsletter-Tool wählen: DSGVO-konform und günstig erläutert werden.

4. Freigaben in OneDrive, SharePoint und Teams einschränken

Phishing endet nicht beim Postfach. Viele Angriffe zielen auf Dateien in OneDrive oder SharePoint, etwa Angebotslisten, Kundenunterlagen oder Zahlungsfreigaben. Prüfen Sie deshalb im SharePoint Admin Center die externe Freigabe.

Für die meisten kleinen Unternehmen ist dieser Standard praktikabel:

• Externe Freigaben nur für neue und bestehende Gäste erlauben
• Anonyme Links ohne Anmeldung nicht als Standard verwenden
• Als Standardlink „Bestimmte Personen“ wählen
• Ablaufdaten für Gastzugriffe nutzen, soweit verfügbar
• Freigaben auf erlaubte Partnerdomains beschränken, wenn Sie regelmäßig mit denselben Kunden oder Dienstleistern arbeiten
• Sensible Bereiche wie Buchhaltung, Personal und Geschäftsführung gesondert absichern

Unterscheiden Sie dabei zwischen externem Zugriff und Gastzugriff in Teams. Externer Zugriff ermöglicht meist Kommunikation mit anderen Organisationen. Gastzugriff gibt Personen Zugang zu Teams, Kanälen und Dateien. Für Gastzugriffe braucht es klare Verantwortlichkeiten: Wer lädt Gäste ein, wer prüft sie regelmäßig und wann wird ein Zugang wieder entfernt?

Wenn Sie Microsoft 365 als zentrale Arbeitsumgebung nutzen, sollten Sie diese Einstellungen gemeinsam mit Ihrer Ablagestruktur prüfen. Der Vergleich Microsoft 365 vs. Google Workspace im Vergleich hilft bei der Einordnung der unterschiedlichen Arbeitsmodelle und Verwaltungsansätze.

5. Administrative Rechte reduzieren und Änderungen nachvollziehbar machen

Nicht jedes Konto benötigt Administratorrechte. Ein globaler Administrator kann Benutzer anlegen, Sicherheitsregeln ändern und auf zentrale Einstellungen zugreifen. Je mehr Personen diese Rolle haben, desto größer ist das Risiko.

Beschränken Sie globale Administratoren auf wenige Personen. Weitere Aufgaben vergeben Sie über passendere Rollen, etwa für Exchange, Benutzerverwaltung oder Teams. Externe IT-Dienstleister sollten eigene, namentliche Konten erhalten, keine gemeinsam genutzten Administratorzugänge.

Dokumentieren Sie außerdem die wichtigsten Änderungen:

• Wer hat MFA oder Zugriffsregeln geändert?
• Wer hat eine externe Weiterleitung erlaubt?
• Welche Personen haben Administratorrechte?
• Welche externen Gäste haben Zugriff auf Dateien und Teams?
• Wann wurden die Einstellungen zuletzt geprüft?

Diese Dokumentation muss nicht kompliziert sein. Eine geschützte Tabelle oder ein internes Handbuch reicht für viele kleine Teams aus. Sie hilft bei Vertretungen, bei IT-Dienstleisterwechseln und nach Sicherheitsvorfällen.

Wer die Administration nicht nur nebenbei, sondern strukturiert aufbauen möchte, findet passende Seminare bei cmt.de.

Welche Zusatzprodukte kleine Unternehmen nicht automatisch brauchen

Ein zusätzliches E-Mail-Sicherheitsgateway, ein Managed Detection Service oder eine umfassende Sicherheitsplattform kann sinnvoll sein. Es ist aber nicht die erste Maßnahme, wenn MFA fehlt, Weiterleitungen offen sind oder Administratorrechte ungeklärt bleiben.

Zusatzprodukte lohnen sich eher, wenn Ihr Unternehmen besonders häufig angegriffen wird, viele sensible Daten verarbeitet, hohe E-Mail-Volumina hat oder keine Person interne Sicherheitsaufgaben übernehmen kann. Auch bei komplexen Vorgaben von Kunden oder Versicherern kann ein erweitertes Sicherheitskonzept erforderlich sein.

Für die meisten kleinen Teams gilt jedoch: Erst die Microsoft-365-Basis sauber konfigurieren, Zuständigkeiten festlegen und die Einstellungen regelmäßig kontrollieren. Erst danach lässt sich beurteilen, ob ein zusätzliches Produkt eine echte Lücke schließt oder nur eine weitere Konsole schafft.