Microsoft 365 absichern: 10 Einstellungen aus dem CIS-Benchmark, die jedes KMU prüfen sollte

Anmeldung und Konten

1. MFA für alle. Ohne zweiten Faktor genügt ein abgefischtes Passwort. Für Administratoren besser eine phishing-resistente Methode wie einen Sicherheitsschlüssel oder Windows Hello.
2. Legacy-Anmeldung blockieren. Alte Protokolle umgehen die Mehrfaktor-Anmeldung. Eine Richtlinie für bedingten Zugriff schließt diese Tür.
3. Getrennte Admin-Konten. Wer mit dem Admin-Konto Mails liest, macht aus einem Phishing-Klick einen Totalschaden. Admin-Konten nur für die Verwaltung, ohne Postfach.
4. Zwei bis vier globale Administratoren. Einer ist zu wenig (Urlaub, Ausfall), zehn sind zu viele.
5. Keine App-Freigaben durch normale Nutzer. Sonst kann jeder einer fremden App Zugriff auf seine Mails geben – ein beliebter Angriffsweg.

Mail

6. Automatische Weiterleitung nach extern sperren. Angreifer richten sie ein, um Mails unbemerkt mitzulesen.
7. SPF, DKIM und DMARC für jede Domain. Damit niemand in Ihrem Namen Mails verschicken kann – und Ihre echten Mails nicht im Spam landen.

Daten und Protokolle

8. Externe Freigaben begrenzen. Links für „Jeder mit dem Link“ abschalten oder befristen, Gastkonten regelmäßig überprüfen.
9. Überwachungsprotokoll einschalten. Nach einem Vorfall ist die erste Frage: Wer hat wann was getan? Ohne Protokoll gibt es keine Antwort.
10. Anonyme Teams-Teilnehmer in die Lobby. Damit niemand ungefragt in Besprechungen sitzt.

Wie Sie anfangen

Ein Blick in den Microsoft Secure Score gibt einen ersten Überblick. Für eine vollständige Prüfung gegen den CIS-Benchmark braucht es nur Lesezugriff – die Rolle „Globaler Leser“ genügt. Mehr dazu auf unserer Seite zum IT-Audit.