Microsoft 365 ist sicher konfigurierbar – ab Werk ist es das nicht
Sicherheitsbewertung und Härtung nach CIS Benchmarks: erst wissen, wo Sie stehen, dann gezielt nachziehen.
Die Plattform sichert Microsoft, die Konfiguration Sie
Cloud-Dienste kommen mit Voreinstellungen, die auf Zusammenarbeit optimiert sind, nicht auf Abschottung. Das ist kein Versäumnis des Anbieters, sondern eine bewusste Entscheidung: Ein Werkzeug, das ab Werk alles verbietet, wird nicht benutzt. Die Absicherung ist deshalb kein Zustand, den Sie mitkaufen, sondern eine Aufgabe, die bei Ihnen bleibt.
In der Praxis heißt das: Rechte, die einmal vergeben und nie wieder geprüft wurden. Freigaben, die weiter reichen als gedacht. Protokolle, die niemand aufhebt. Anmeldeverfahren, die noch aus der Zeit vor der Cloud stammen. Nichts davon ist spektakulär – und genau darüber laufen die Vorfälle.
Welche Fehlkonfigurationen uns am häufigsten begegnen haben wir gesondert aufgeschrieben.
Was wir uns ansehen
Grundlage sind die CIS Benchmarks des Center for Internet Security – ein herstellerübergreifender Katalog konkreter Härtungsvorgaben, der auch für Microsoft 365 vorliegt. Statt nach Gefühl zu prüfen, vergleichen wir Ihren Tenant gegen einen anerkannten Sollzustand.
- Identitäten und Rechte: Wer darf was, wer ist globaler Administrator, welche Konten sind vergessen worden.
- Bedingter Zugriff und Mehrfaktor-Anmeldung: greifen die Regeln überall oder nur dort, wo sie niemanden stören.
- Externe Freigaben und Gastzugänge: was verlässt Ihre Organisation, absichtlich und unabsichtlich.
- Protokollierung und Aufbewahrung: reicht das, was mitgeschrieben wird, um einen Vorfall später zu rekonstruieren.
- Veraltete Anmeldeverfahren und Altlasten, die noch aus der Migration stammen.
Nicht nur ein Bericht, sondern die Umsetzung
Eine Fundliste allein hat noch nie eine Einstellung geändert. Wir priorisieren die Funde nach Wirkung und Aufwand und ziehen gemeinsam mit Ihrer IT nach – beginnend mit dem, was sich ohne spürbare Einschränkung des Betriebs umsetzen lässt.
Die CIS Benchmarks unterscheiden dafür zwei Stufen. Level 1 umfasst Maßnahmen mit vertretbarem Aufwand und geringem Risiko für den laufenden Betrieb – das ist der Startpunkt. Level 2 geht weiter und ist für Umgebungen mit erhöhtem Schutzbedarf gedacht; was davon sinnvoll ist, entscheiden wir gemeinsam und nicht pauschal.
Wie Systemhärtung mit CIS Benchmarks grundsätzlich funktioniert erklären wir im Knowledge Hub.
Was Sie danach in der Hand haben
- Eine priorisierte Fundliste mit Bezug zur jeweiligen CIS-Vorgabe – nachvollziehbar statt „das sollte man mal machen“.
- Die Einordnung, was davon für Ihren Schutzbedarf wirklich relevant ist und was Sie guten Gewissens lassen können.
- Einen Umsetzungsplan mit Reihenfolge, und auf Wunsch die Umsetzung selbst.
- Nachweise, die sich in ein ISMS nach ISO 27001 oder IT-Grundschutz einfügen, statt daneben zu liegen.
Einmal richtig aufsetzen reicht nicht
Konfigurationen driften. Neue Funktionen erscheinen mit eigenen Voreinstellungen, Updates verändern Einstellungen, und im Tagesgeschäft wird eine Ausnahme gesetzt, die niemand zurücknimmt. Ein halbes Jahr später sieht der Tenant anders aus als im Abschlussbericht.
Deshalb ist eine wiederkehrende Überprüfung sinnvoller als ein einmaliges Projekt. In welchem Abstand, hängt davon ab, wie viel sich bei Ihnen bewegt – das legen wir gemeinsam fest, statt es Ihnen vorzuschreiben.
Nicht nur Microsoft 365
Dieselbe Vorgehensweise wenden wir auf Azure und AWS an, und auf Wunsch auf Server und Arbeitsplatzrechner. Wo Ihr Schwerpunkt liegt, entscheidet Ihre Umgebung.
Feste Pakete bieten wir hier bewusst nicht an. Der Umfang hängt an der Größe Ihres Tenants, an der Zahl der angebundenen Dienste und daran, wie viel Sie selbst umsetzen wollen. Was wir Ihnen zusagen: Der Umfang steht vor dem Angebot fest, nicht danach.
Wir arbeiten remote oder vor Ort, wie mit Ihnen abgesprochen – eine Konfigurationsbewertung läuft in der Regel remote.
Häufige Fragen zur Absicherung von Microsoft 365
Brauchen wir dafür Zugriff auf unsere Umgebung zu geben?
Für die Bewertung genügt ein lesender Zugang mit den nötigen Leserechten. Änderungen nehmen wir nicht ohne Absprache vor, und was wir ändern, halten wir nachvollziehbar fest. Umfang und Rechte klären wir vorher schriftlich.
Was unterscheidet das von einem Secure Score?
Der Microsoft Secure Score ist ein nützlicher Indikator, aber er bewertet aus Herstellersicht und gewichtet nicht nach Ihrem Schutzbedarf. Die CIS Benchmarks sind herstellerunabhängig und deutlich konkreter. Wir nutzen beides, verlassen uns aber nicht auf eine einzelne Punktzahl.
Müssen wir alle Empfehlungen umsetzen?
Nein. Ein Härtungskatalog ist kein Pflichtenheft. Manche Vorgaben passen nicht zu Ihren Abläufen, und eine Maßnahme, die Arbeit unmöglich macht, wird ohnehin umgangen. Wir sagen Ihnen, was welche Maßnahme bringt und was sie kostet – die Entscheidung bleibt bei Ihnen.
Wie lange dauert eine Bewertung?
Das hängt an der Größe der Umgebung und daran, wie viele Dienste angebunden sind. Nach einem kurzen Vorgespräch können wir den Aufwand belastbar schätzen – vorher wäre jede Zahl geraten.
Hilft uns das bei NIS2 oder einer Zertifizierung?
Ja. Die Ergebnisse und die daraus abgeleiteten Maßnahmen lassen sich als Nachweise in ein ISMS einfügen. Wer ohnehin auf ISO 27001 oder IT-Grundschutz zusteuert, sollte die Cloud-Konfiguration nicht als getrenntes Thema behandeln.
Wissen Sie, wie Ihr Tenant heute eingestellt ist?
Ein kurzes Vorgespräch klärt, wie groß der Umfang bei Ihnen realistisch ist.
Erstgespräch vereinbaren