Microsoft 365: Die Sicherheitsrisiken, die kein KMU ignoriert

Dein Unternehmen läuft auf Microsoft 365? Dann lies das.

Du hast dich für Microsoft 365 entschieden. Eine gute Wahl, denn die Werkzeuge sind leistungsstark. E-Mail, Kalender, Teams, SharePoint – alles läuft zentral über die Cloud. Du gehst davon aus, dass ein Konzern wie Microsoft für die Sicherheit sorgt.

Dieser Gedanke ist verständlich, aber gefährlich. Er ist der Grund, warum so viele kleine und mittlere Unternehmen in Niederösterreich unwissentlich ein enormes Risiko eingehen. Die Wahrheit ist: Microsoft stellt die Infrastruktur bereit, aber für die sichere Konfiguration und Nutzung deiner Daten bist du selbst verantwortlich.

Eine ungesicherte Microsoft 365-Umgebung ist wie ein modernes Bürogebäude, bei dem der Haupteingang zwar bewacht ist, aber alle Bürotüren und Fenster weit offen stehen. In diesem Beitrag zeige ich dir konkret, wo die Gefahren lauern und was du sofort tun kannst, um deine Firma zu schützen.

Das Problem: Falsche Sicherheit und die wirtschaftlichen Folgen

Das größte Sicherheitsrisiko bei Microsoft 365 ist nicht ein Hacker, der die Microsoft-Server knackt. Das Risiko bist du und deine Standardkonfiguration. Die Plattform ist extrem komplex, und die Werkseinstellungen sind auf Benutzerfreundlichkeit, nicht auf maximale Sicherheit ausgelegt.

Das führt zu konkreten Schwachstellen:

• Fehlende Multi-Faktor-Authentifizierung (MFA): Standardmäßig ist MFA nicht für alle Benutzer zwingend aktiviert. Ein einziges gestohlenes Passwort (z. B. durch einen Phishing-Angriff) genügt, und der Angreifer hat vollen Zugriff auf E-Mails, Kontakte und sensible Dokumente.
• Ungeschützte SharePoint- und OneDrive-Freigaben: Mitarbeiter erstellen „anonyme“ Freigabelinks für „jeden, der den Link hat“. Diese Links können weitergeleitet werden und machen deine internen Dokumente öffentlich zugänglich, oft ohne dass du es merkst. Eine Google-Suche kann solche Links aufspüren.
• Übermächtige Admin-Rechte: Oft haben zu viele Mitarbeiter globale Administratorrechte, „weil es einfacher ist“. Wenn nur einer dieser Accounts kompromittiert wird, hat der Angreifer die Kontrolle über deine gesamte digitale Infrastruktur.

Die wirtschaftlichen Auswirkungen sind nicht theoretisch. Sie sind real und können für ein KMU existenzbedrohend sein:

• Betriebsstillstand: Ein Angreifer verschlüsselt deine E-Mails oder sperrt dich aus deinem eigenen System aus. Jeder Tag, an dem deine Mitarbeiter nicht arbeiten können, kostet dich bares Geld – vom Umsatzverlust bis zu den Gehältern, die du weiterzahlst.
• Datenabfluss: Sensible Kundendaten, Finanzpläne oder Entwicklungsunterlagen werden gestohlen und im Darknet verkauft oder von der Konkurrenz genutzt. Der Imageschaden und mögliche DSGVO-Strafen sind enorm.
• CEO-Fraud (Chef-Betrug): Ein Angreifer mit Zugriff auf das Postfach des Geschäftsführers weist die Buchhaltung an, eine „dringende, geheime“ Überweisung zu tätigen. Das Geld ist unwiederbringlich verloren.

Der Schaden geht über den reinen Finanzverlust hinaus. Er zerstört das Vertrauen deiner Kunden und Partner.

Der typische Denkfehler: „Microsoft kümmert sich doch darum!“

Viele Unternehmer glauben, mit dem Abschluss eines Microsoft 365-Abos die Verantwortung für Sicherheit an Microsoft abzugeben. Das ist ein fundamentaler Denkfehler. Das Konzept dahinter nennt sich „Shared Responsibility Model“ (Modell der geteilten Verantwortung).

Stell es dir so vor:

• Microsoft ist verantwortlich für die Sicherheit DER Cloud: Sie sorgen dafür, dass die Rechenzentren sicher sind, die Server laufen und die grundlegende Infrastruktur vor Angriffen geschützt ist.
• Du bist verantwortlich für die Sicherheit IN DER Cloud: Du entscheidest, wer auf deine Daten zugreifen darf, wie diese Daten geteilt werden und wie du deine Benutzerkonten schützt.

Microsoft stellt dir ein sicheres Haus hin. Aber ob du die Türen abschließt, wer einen Schlüssel bekommt und ob du die Alarmanlage einschaltest – das ist deine Aufgabe. Sich blind auf die Standardeinstellungen zu verlassen, ist grob fahrlässig.

Die Lösung: Aktives Management statt blindes Vertrauen

Die gute Nachricht ist: Du kannst Microsoft 365 sehr sicher machen. Die Lösung liegt nicht darin, das System zu wechseln, sondern es aktiv und korrekt zu verwalten. Es geht darum, eine bewusste Sicherheitsstrategie zu implementieren, die über die Standardeinstellungen hinausgeht.

Das Ziel ist, eine solide Sicherheits-Grundlinie zu etablieren. Das bedeutet:

1. Die Konfiguration an deine spezifischen Unternehmensbedürfnisse anpassen.
2. Zugriffsrechte nach dem „Prinzip der geringsten Rechte“ vergeben.
3. Sicherheitsfunktionen, die in deinem Abo enthalten sind, auch wirklich nutzen.
4. Regelmäßig überprüfen, ob die Konfiguration noch sicher ist.

Für viele KMU ist das eine Überforderung. Dir fehlt die Zeit und das spezifische Fachwissen, um dich durch die hunderten von Einstellungsmenüs im Microsoft Admin Center zu kämpfen. Genau hier kommen wir als dein regionaler Partner ins Spiel. Wir übersetzen die technischen Anforderungen in verständliche, unternehmerische Entscheidungen.

Handlungsempfehlungen, die du sofort umsetzen kannst

Du musst nicht auf uns warten. Hier sind fünf Schritte, die du oder dein IT-Verantwortlicher sofort prüfen und umsetzen sollten, um die größten Lücken zu schließen:

• 1. Multi-Faktor-Authentifizierung (MFA) für ALLE erzwingen: Das ist die mit Abstand wichtigste Maßnahme. Ein zweiter Faktor (z. B. eine App am Handy) macht gestohlene Passwörter praktisch nutzlos. Schalte MFA nicht nur für Admins, sondern für jeden einzelnen Benutzer verpflichtend ein.

• 2. Globale Admin-Rollen minimieren: Überprüfe, wer „Globaler Administrator“ ist. In den meisten KMU sollten das maximal zwei Personen sein. Alle anderen Mitarbeiter, die erweiterte Rechte benötigen, sollten spezifische Rollen erhalten (z. B. „Exchange-Administrator“).

• 3. Externe Dateifreigaben einschränken: Gehe in die SharePoint-Admin-Einstellungen und deaktiviere die Möglichkeit, anonyme „Jeder“-Links zu erstellen oder schränke deren Gültigkeit auf wenige Tage ein. Setze stattdessen auf Freigaben für bestimmte Personen.

• 4. Grundlegenden Phishing-Schutz aktivieren: Wenn dein Plan es beinhaltet (z. B. Microsoft 365 Business Premium), aktiviere „Safe Links“ und „Safe Attachments“. Diese Funktionen prüfen Links und Anhänge in E-Mails auf schädliche Inhalte, bevor der Benutzer darauf klicken kann.

• 5. Audit-Protokolle im Auge behalten: Schau dir regelmäßig (mindestens monatlich) die Audit-Logs im Microsoft Purview Compliance Portal an. Achte auf verdächtige Aktivitäten wie unerwartete Anmeldungen aus dem Ausland, Massenlöschungen von Dateien oder die Erstellung neuer Admin-Konten.

Fazit: Microsoft-365-Sicherheit ist ein Prozess, kein Produkt

Microsoft 365 ist ein starkes Werkzeug für dein Unternehmen – aber die Sicherheit ist kein Selbstläufer. Standardeinstellungen sind bequem, aber selten sicher. Wer heute mit Microsoft 365 arbeitet, sollte bewusst konfigurieren: MFA für alle Konten, saubere Admin-Rollen, kontrollierte Freigaben, aktiver Phishing-Schutz und ein Backup für die eigenen Daten.

Die gute Nachricht: Diese Punkte lassen sich Schritt für Schritt umsetzen. Wir helfen dir dabei – von der Bestandsaufnahme bis zur laufenden Microsoft-365-Betreuung.

Nächster Schritt: Starte unseren kostenlosen Microsoft-365-Sicherheitscheck. In wenigen Minuten siehst du, wo dein Tenant besonders gefährdet ist und welche Maßnahmen wirklich Priorität haben.