Sicher ab Werk? Leider nein.
Microsoft 365 ist für viele KMU das Rückgrat der täglichen Arbeit – Mail, Dateien, Teams. Entsprechend beliebt ist es bei Angreifern. Die Standardeinstellungen sind ein Kompromiss, keine Sicherheitsstrategie. Diese fünf Punkte machen den Unterschied:
1. MFA für alle – ohne Ausnahme
Mehrfaktor-Authentifizierung verhindert den Grossteil aller Kontoübernahmen. «Alle» heisst alle: auch der Chef, auch die Buchhaltung, gerade die Admin-Konten. Ausnahmen sind die Löcher, durch die Angreifer kommen – am besten gleich phishing-resistente Verfahren wie Passkeys verwenden.
2. Legacy-Authentifizierung abschalten
Alte Protokolle wie IMAP- oder SMTP-Basic-Auth umgehen MFA komplett – ein Passwort genügt. Sie sind das Lieblings-Einfallstor für Passwort-Spraying. Prüfen, wer sie noch nutzt, migrieren, abschalten.
3. Externe Weiterleitungen blockieren
Der Klassiker nach einer Kontoübernahme: eine unauffällige Regel, die alle Mails still an eine fremde Adresse weiterleitet. Monatelanger Datenabfluss, den niemand bemerkt. Automatische externe Weiterleitung gehört zentral deaktiviert – Ausnahmen nur bewusst und dokumentiert.
4. Geräte im Griff mit Intune
Firmendaten auf unverwalteten Privatgeräten sind ein Blindflug. Schon der Intune-Grundschutz wirkt: Verschlüsselung erzwingen, Bildschirmsperre, aktuelle Updates, und Firmendaten von Privat-Apps trennen. Verlorenes Gerät? Firmendaten aus der Ferne löschen, fertig.
5. Admin-Konten trennen
Wer mit dem Global-Admin-Konto Mails liest, riskiert bei jedem Klick das ganze Unternehmen. Administration gehört in separate Konten, die nur dafür genutzt werden – plus ein dokumentiertes Notfallkonto im Safe, falls mal alles klemmt.
Fazit: Ein Nachmittag Konfigurationsarbeit, der mehr bringt als jede teure Sicherheits-Software. Wer Unterstützung dabei will: Melden Sie sich.
Sicherheits-Tipps für KMU – direkt ins Postfach
Praxisnahe Hinweise zu E-Mail-Schutz, Phishing und sicherer IT. Kein Spam, jederzeit abbestellbar.
Mit der Anmeldung erhältst du eine Bestätigungs-Mail (Double-Opt-In). Wir geben deine Adresse nicht weiter.