M365-Hardening: Sicher konfiguriert statt lückenhafte Standardeinstellung.
Microsoft 365 ist das Herzstück moderner Unternehmenskommunikation. E-Mails, Dateien, Meetings, Geräte: alles läuft über einen einzigen Tenant. Genau das macht ihn zum attraktiven Ziel. Die Standardkonfiguration von Microsoft ist auf Benutzerfreundlichkeit ausgelegt, nicht auf Sicherheit.
Wissen wir eigentlich, wer alles auf unsere M365-Umgebung zugreift?
M365-Hardening
Schritt 1 von 3 · Informationssicherheit
Die Bestandsaufnahme: Wo steht Ihr Tenant heute wirklich?
Zuerst klären wir, wo Ihr Tenant heute steht. Welche Einstellungen sind aktiv, welche fehlen, wo besteht unmittelbares Risiko? Daraus entstehen verbindliche Antworten auf vier Kernfragen:
Identitäten
Wer hat Zugriff auf den Tenant, mit welchen Rechten und über welche Konten?
Zugriffssteuerung
Welche Geräte und Standorte sind erlaubt, welche nicht?
Datenweitergabe
Was kann intern und extern geteilt werden, kontrolliert oder unkontrolliert?
Endgeräte
Welche Geräte greifen auf Unternehmensdaten zu, und erfüllen sie Mindestanforderungen?
Aus dieser Analyse entsteht kein Ampel-Bericht, sondern eine klare Priorisierung: was sofort geändert werden muss und was in welcher Reihenfolge folgt.
Schritt 2 von 3 · IT-Sicherheit
Die Härtung: Modul für Modul, abgestimmt auf den laufenden Betrieb.
Die Richtlinie wird technisch umgesetzt. Kein Big Bang, sondern ein Fahrplan, der zu Ihrem Betrieb passt.
Basishärtung
Konten sind klar getrennt, Zugriff ist geregelt. Nur wer berechtigt ist, kommt rein: von bekannten Geräten, aus vertrauenswürdigen Standorten, mit starker Authentifizierung.
E-Mail-Sicherheit
Phishing, Malware und CEO-Fraud haben keine Chance. Schädliche Anhänge und Links werden abgefangen, bevor sie beim Mitarbeitenden ankommen. Daten verlassen das Unternehmen nur kontrolliert.
SharePoint und Teams
Dateien und Inhalte bleiben dort, wo sie hingehören. Externe Freigaben sind möglich, aber nicht unkontrolliert. Kein anonymer Link, kein offenes Meeting, keine ungewollte Weitergabe.
Endgeräte
Jedes Gerät, das auf M365 zugreift, muss einen definierten Standard erfüllen. Wer die Anforderungen nicht erfüllt, wird automatisch ausgesperrt. Daten auf verlorenen oder gestohlenen Geräten bleiben verschlüsselt.
Bei Maßnahmen, die Auswirkungen auf Mitarbeitende haben, informieren wir vorab und sorgen für einen reibungslosen Rollout.
Schritt 3 von 3 · Nachweis und Dokumentation
Die Verifizierung: Was heute sauber ist, kann in drei Monaten Lücken haben.
Ein M365-Tenant ist kein statischer Zustand. Mitarbeitende kommen und gehen, Berechtigungen werden angepasst, neue Geräte kommen hinzu. Was heute sauber konfiguriert ist, kann in drei Monaten Lücken haben, die niemand absichtlich geöffnet hat.
"Seit dem letzten Mitarbeiterwechsel hat sich einiges verändert. Ob die Zugriffsrechte noch stimmen? Keine Ahnung."
Genau das ist das Problem. Deshalb ist die Verifizierung fester Bestandteil unserer Arbeit.
| Prüfpunkt | Was wir prüfen |
|---|---|
| Vollständigkeit | Sind alle Konten, Geräte und Dienste durch die Richtlinien abgedeckt? |
| Wirksamkeit | Greifen die konfigurierten Regeln tatsächlich im Betrieb? |
| Compliance-Abdeckung | Welche Anforderungen aus ISO 27001, NIS2 oder DORA sind damit erfüllt? |
| Dokumentation | Sind alle Maßnahmen für interne und externe Prüfer nachvollziehbar belegt? |
Wir dokumentieren alle Maßnahmen, erklären die Entscheidungen dahinter und stellen sicher, dass Ihr Team den Zustand versteht und eigenständig weiterführen kann. Genau das wollen ISO 27001-Auditoren und Behörden wie das BSI sehen.
Was Sie am Ende haben – und was Sie damit belegen können.
Kein Tenant, der zufällig sicher ist. Sondern eine M365-Umgebung, die dem Stand der Technik entspricht – und das Sie gegenüber Prüfern, Aufsichtsbehörden und Kunden belegen können.
Ein M365-Tenant, der dem Stand der IT-Sicherheit entspricht und prüfungsfest dokumentiert ist
Schutz vor den häufigsten Angriffsvektoren: Phishing, Kontoübernahme und Datenverlust
Nachweisbare Maßnahmen für ISO 27001, NIS2 und DORA
Volle Kontrolle darüber, wer auf was zugreift, von welchem Gerät und von wo