Cloud Security: Die häufigsten Fehlkonfigurationen in Microsoft 365

„In die Cloud gehen" klingt nach einem Sicherheitsgewinn – und kann einer sein. Der Haken: Der Anbieter sichert die Plattform, für die Konfiguration Ihrer Umgebung sind aber Sie verantwortlich. Dieses geteilte Modell wird regelmäßig missverstanden, und die Folge sind Lücken, die nichts mit der Cloud an sich zu tun haben, sondern mit ihren Einstellungen.

Was Microsoft absichert – und was nicht

| Microsoft | Sie | |---|---| | Rechenzentren, Hardware, Hypervisor | Wer welche Rechte hat | | Verfügbarkeit der Dienste | Welche Anmeldeverfahren gelten | | Patchen der Plattform | Freigaben und Datenabfluss | | Grundlegende Abwehr auf Plattformebene | Protokollierung, Auswertung, Reaktion | | | Sicherung Ihrer Daten |

Der letzte Punkt überrascht am häufigsten. Microsoft schützt Sie vor eigenem Datenverlust, nicht vor Ihrem: Ein Benutzer, der ein Postfach leert, oder ein Angreifer, der Dateien verschlüsselt, ist Ihr Problem. Die Aufbewahrungsfristen im Papierkorb sind kein Backup.

Der Klassiker: fehlende Multi-Faktor-Authentifizierung – jetzt mit Frist

Der häufigste Fund in unseren Cloud-Assessments ist banal und gefährlich zugleich: Konten, die sich allein mit Benutzername und Passwort anmelden lassen. Ein geleaktes Passwort genügt für den Zugriff.

Microsoft hat hier inzwischen selbst nachgeholfen und erzwingt MFA gestaffelt:

• Ab Oktober 2024 für Azure-Portal, Entra Admin Center und Intune Admin Center.
• Ab Februar 2025 für das Microsoft 365 Admin Center.
• Ab 1. Oktober 2025 für Azure CLI, Azure PowerShell, die Azure-App, IaC-Werkzeuge und REST-Schnittstellen – allerdings nur für schreibende Vorgänge, Lesen bleibt frei.

Wichtig für alle, die den Aufschub genutzt haben: Die Verschiebemöglichkeit für Phase 2 endete am 1. Juli 2026. Ein Opt-out gibt es nicht.

Die drei Stolperfallen dabei

Benutzerkonten als Dienstkonten. Echte Workload-Identitäten – Managed Identities und Dienstprinzipale – sind von der Pflicht nicht betroffen. Ein Benutzerkonto, das ein Skript nachts laufen lässt, sehr wohl. Genau diese Konten brechen als Erstes, und niemand weiß mehr, wozu sie gehören. Suchen Sie sie, bevor sie Sie finden.

Skripte mit Benutzername und Passwort. Der ROPC-Anmeldefluss ist mit MFA grundsätzlich unvereinbar. Automatisierungen, die so anmelden, laufen in Fehler – unabhängig davon, wie gut das Passwort ist.

Notfallkonten. Auch Break-Glass-Konten brauchen MFA. Microsoft empfiehlt dafür Passkeys nach FIDO2 oder zertifikatsbasierte Anmeldung; beides erfüllt die Anforderung, ohne von einem Telefon abzuhängen.

Zu viele Rechte, zu selten geprüft

Berechtigungen wachsen mit der Zeit. Rollen werden vergeben und selten wieder entzogen, und am Ende gibt es mehr globale Administratoren, als irgendjemand vermutet hätte.

Drei Fragen, die Sie diese Woche beantworten können:

1. Wie viele globale Administratoren gibt es? Mehr als eine Handvoll ist fast immer zu viel.
2. Sind diese Rechte dauerhaft vergeben oder werden sie bei Bedarf aktiviert?
3. Gibt es Konten mit hohen Rechten, die sich seit Monaten nicht angemeldet haben?

Freigaben, die weiter reichen als gedacht

Dokumente lassen sich in Microsoft 365 mit wenigen Klicks teilen – auch nach außen, auch anonym über einen Link, der beliebig weitergereicht werden kann. Praktisch, und schnell ein Datenschutzproblem.

Sinnvoll ist eine Standardeinstellung, die anonyme Links nicht als Voreinstellung anbietet, ein Ablaufdatum für externe Freigaben und ein regelmäßiger Bericht darüber, was gerade nach außen freigegeben ist. Letzteres ist meist der unangenehmste Teil des ersten Assessments.

Protokolle, die niemand aufhebt

Die meisten Umgebungen bringen deutlich mehr Schutz mit, als aktiviert ist: Protokollierung, Alarme bei verdächtigen Anmeldungen, Prüfung von Anhängen und Links. Vieles davon liegt brach.

Beim Protokollieren geht es nicht nur ums Einschalten, sondern um die Aufbewahrungsdauer. Wenn ein Vorfall nach der üblichen Verweildauer von rund zwei Wochen auffällt – und bei Spionagefällen dauert es deutlich länger –, brauchen Sie Protokolle, die weiter zurückreichen als die Standardeinstellung. Wer das erst im Ernstfall merkt, kann den Verlauf nicht mehr rekonstruieren.

Deshalb gehören die Anmeldeprotokolle von Entra ID und das Einheitliche Überwachungsprotokoll in eine zentrale Auswertung, etwa ein Managed SIEM.

Veraltete Anmeldeverfahren

Alte Protokolle ohne Unterstützung für einen zweiten Faktor sind der bequemste Weg, MFA zu umgehen. Prüfen Sie, ob solche Verfahren in Ihrem Mandanten noch zugelassen sind und ob sie noch benutzt werden – die Anmeldeprotokolle zeigen es. Meist hängt genau ein altes Multifunktionsgerät oder eine Fachanwendung daran.

Was Sie diese Woche tun können

• Anzahl der globalen Administratoren prüfen und reduzieren
• Nach Benutzerkonten suchen, die als Dienstkonten laufen
• Externe Freigaben auflisten lassen
• Aufbewahrungsdauer der Protokolle prüfen
• Den Secure Score des Mandanten ansehen – nicht als Ziel, aber als Landkarte

Einmal richtig aufsetzen reicht nicht

Konfigurationen driften, neue Funktionen kommen mit eigenen Voreinstellungen, Einstellungen ändern sich mit Updates. Ein Assessment schafft Klarheit über den Ist-Zustand; erst ein regelmäßiger Abgleich sorgt dafür, dass die Umgebung sicher bleibt, statt langsam abzurutschen. Die CIS Benchmarks gibt es auch für Microsoft 365 – sie liefern den prüfbaren Sollzustand dafür.

Stand: August 2026. Angaben zur MFA-Pflicht nach der Microsoft-Dokumentation „Plan for mandatory Microsoft Entra multifactor authentication".

Weiterführend: Systemhärtung mit CIS Benchmarks · GUARDIANVIEW – Managed SIEM · Zero Trust · Cyber-Risiko-Check