Ist MFA in Microsoft 365 kostenlos?

Ja. Die mehrstufige Authentifizierung ist in allen aktuellen Microsoft-365-Lizenzen enthalten und lässt sich zentral aktivieren. Entscheidend ist die Erzwingung: Erst wenn MFA für alle Nutzer verpflichtend ist, schützt sie zuverlässig. Der Aufwand liegt in der Einführung, nicht in der Lizenz.

Reicht MFA allein, um Microsoft 365 abzusichern?

Nein. MFA verhindert die Übernahme von Konten, aber keine Phishing-Mails und keine Fehlkonfiguration. Erst die Kombination aus MFA, Defender, gesteuerten Freigaben, Exportschutz und Protokollierung schließt die üblichen Angriffswege. Jede Einstellung schließt eine eigene Lücke.

Wie lange dauert die Härtung eines Tenants?

Die Grundeinstellungen lassen sich meist an einem Tag setzen. Aufwendiger sind die Bereinigung alter Freigaben und die Auswahl der Aufbewahrungszeiten. Ein geprüfter Plan mit Zuständigkeiten macht den Fortschritt sichtbar. Wir begleiten die Umsetzung mit fester SLA und garantierter Reaktionszeit.

Was unterscheidet Defender for Office 365 von Defender for Business?

Defender for Office 365 schützt E-Mails, Teams-Dateien und Links im Dienst. Defender for Business ergänzt den verhaltensbasierten Schutz auf den Endgeräten. Beides zusammen bildet den vollständigen Schutz der Arbeitsplätze. Je nach Lizenz ist nur ein Teil enthalten.

Was passiert, wenn ein Mitarbeiter sein Handy verliert?

MFA schützt das Konto nicht, wenn das Gerät selbst kompromittiert ist. Deshalb sollten Sie die Anmeldung auf vertrauenswürdige Geräte beschränken und den bedingten Zugriff nutzen. Für verlorene Geräte lassen sich Sitzungen widerrufen und ein Ersatzgerät hinterlegen.

Brauchen wir für die Protokollierung eine Zusatzlizenz?

Das hängt von Aufbewahrungszeit und Umfang ab. Das Unified Audit Log steht Basis-Lizenzen zur Verfügung. Für längere Aufbewahrung und detaillierte Auswertungen sind zusätzliche Funktionen nötig. Wir prüfen den Bedarf anhand Ihrer Anforderungen und beziffern die Folgekosten.

Microsoft 365 absichern: 5 Einstellungen für KMU

Microsoft 365 absichern beginnt mit fünf Einstellungen: MFA, Defender, Freigaben, Exportschutz und Protokolle. So setzen Sie sie um.

Microsoft 365 absichern heißt mehr als ein starkes Passwort vergeben. Ein neu angelegter Tenant läuft funktional, aber selten gehärtet. Fünf gezielte Einstellungen senken das Risiko deutlich und lassen sich meist an einem Tag umsetzen.

Der Grund ist einfach: Angreifer nutzen fast immer gestohlene Zugangsdaten. Sie melden sich damit bei Outlook oder SharePoint an, verschlüsseln Daten und legen die Beute im Teams-Ordner ab. Wer die fünf Einstellungen aus diesem Beitrag umsetzt, unterbindet genau diese Wege.

Der Einstieg läuft häufig über Menschen. Für 2025 beschreibt das BSI stark zunehmende Vishing-Angriffe, bei denen Täter sich als IT-Support ausgeben (BSI-Lagebericht 2025, Kapitel Cybercrime-Gruppen). Der zweite Faktor schützt genau diesen Weg.

Warum ein Standard-Tenant angreifbar bleibt

In vielen KMU fehlen die entscheidenden Regeln: MFA ist verfügbar, aber nicht erzwungen. Freigaben in SharePoint sind offen, und die Protokollierung wird nie geprüft. Das BSI zählte im Lagebericht 2025 rund 950 angezeigte Ransomware-Angriffe. Rund 80 Prozent davon richteten sich gegen kleine und mittelständische Unternehmen. Die Angriffe starten häufig über Konten und nicht über Schadsoftware.

Die 5 Einstellungen, die jedes KMU kennen sollte

Die Übersicht zeigt je Einstellung das Risiko ohne Absicherung, die Maßnahme und den Aufwand. Der Aufwand bezieht sich auf einen Tenant mit zehn bis fünfzig Nutzern. MFA und die Basisfunktionen von Defender sind in aktuellen Business-Lizenzen enthalten. Für den vollständigen Schutz der Endgeräte braucht es eine Zusatzlizenz.

Einstellung	Risiko ohne Einstellung	Maßnahme	Aufwand
MFA für alle Nutzer.	Kontomissbrauch mit einem gestohlenen Passwort.	Authentifizierungsmethoden erzwingen und Notfallzugänge definieren.	einmaliger Rollout, danach automatisch.
Microsoft Defender aktivieren.	Phishing, Makros und unbekannte Dateien laufen unbemerkt.	Defender for Office 365 prüfen, Safe Links und Safe Attachments einschalten.	Prüfung der Konfiguration.
Freigaben in SharePoint und OneDrive steuern.	Jeder kann Daten unkontrolliert extern teilen.	Gastzugriff einschränken, öffentliche Links deaktivieren, Ausnahmen protokollieren.	einmalige Bereinigung, danach Regeln.
Schutz gegen Datenexport.	Massenweise Exporte von Kunden- und Personaldaten.	DLP-Richtlinien und Warnungen für ungewöhnliche Datenmengen aktivieren.	Richtlinien definieren und testen.
Protokollierung aktivieren.	Angriffe bleiben ohne nachvollziehbare Spur.	Unified Audit Log prüfen und Aufbewahrungszeit festlegen.	einmalige Aktivierung.

Jede der fünf Einstellungen schließt eine eigene Angriffsroute.

Die fünf Einstellungen wirken zusammen: Erst im Verbund schützen sie den Tenant vor Angriffen über Konten, Links und Exporte.

Sonderfälle entscheiden über Erfolg oder Misserfolg: Notfallzugänge, die MFA umgehen, und alte Anwendungen mit einfacher Authentifizierung. Beides gehört dokumentiert und befristet freigegeben. Prüfen Sie regelmäßig, wer solche Zugänge nutzt.

MFA und bedingter Zugriff: der Zugriffsschutz

Die mehrstufige Authentifizierung ist der wirksamste Einzelgriff. Sie stoppt die meisten Kontomissbräuche, weil ein Angreifer neben dem Passwort einen zweiten Faktor braucht. Für KMU reicht eine Authenticator-App auf dem Diensthandy. Wichtiger als die Technik ist die Rollout-Regel: Ohne Erzwingung bleibt MFA ein Feature, das nur wenige nutzen.

Der bedingte Zugriff ergänzt das. Er erlaubt die Anmeldung nur von verwalteten Geräten, aus vereinbarten Ländern und zu vereinbarten Zeiten. Eine Anmeldung aus einem ungewöhnlichen Ort wird abgewiesen. Für Notfälle legen Sie ein separates Break-Glass-Konto an.

Defender, Freigaben und Export: der Schutz der Daten

Microsoft Defender blockt Phishing, schädliche Anhänge und Makros. Das gilt für Outlook, Teams und SharePoint, sofern die Richtlinien aktiv sind. Der zweite Bereich ist die Freigabe: In SharePoint und OneDrive entscheiden Linkoptionen und Gastzugriff darüber, ob Daten das Unternehmen verlassen. Der dritte Bereich ist der Datenexport. Ungewöhnlich hohe Mengen abfließender Daten sind ein Frühwarnsignal.

1
MFA-Pflicht – für alle Nutzer, auch für Konten mit Rollen wie Buchhaltung oder Einkauf.
2
Gastzugriff – SharePoint und OneDrive: nur eingeladene Personen, öffentliche Links abgeschaltet.
3
Exportrichtlinie – ungewöhnliche Datenmengen werden gemeldet und nicht still verschoben.
4
Protokolle – Unified Audit Log aktiv, Aufbewahrungszeit schriftlich festgelegt.
5
Notfallzugänge – dokumentiert, befristet und nach jeder Nutzung geprüft.

Warum Protokolle den Unterschied machen

Die Protokollierung beantwortet die Frage nach dem Schaden. Ohne Unified Audit Log lässt sich nicht klären, wer eingeloggt war, wer Daten exportiert hat und wann eine Freigabe entfernt wurde. Für die Aufarbeitung eines Vorfalls und für Nachweise gegenüber Kunden ist das entscheidend. Wie lange Sie Protokolle aufbewahren, bestimmen Sie selbst. Längere Aufbewahrung bedeutet höhere Speicher- und Lizenzkosten.

Ob Ihr Unternehmen nach NIS2 oder BSIG betroffen ist, hängt von Branche, Größe und Standort ab. Klären Sie das mit Ihrer Rechtsabteilung. Wir liefern die technische Seite: aktuelle Protokolle, dokumentierte Regeln und getestete Wiederherstellung.

WeiterführendMicrosoft 365 Backup: Warum OneDrive kein Backup ist.WeiterführendRansomware-Schutz: drei Ebenen für KMU.