Ratgeber: Microsoft 365 Schritt für Schritt absichern
Zu jedem Prüfpunkt aus unserem Katalog eine Anleitung: warum die Einstellung zählt, wie Sie sie selbst nachsehen und wie Sie sie ändern. Sortiert nach den sechs Prüfbereichen, die auch der Bericht verwendet.
Identität
Wer hat welche Rechte im Tenant?
- Reine Cloud-Konten für globale Administratoren anlegenAS-ID-001automatisch geprüft
- Zwei Notfallzugangs-Konten einrichten und sicher verwahrenAS-ID-002automatisch geprüft
- Globale Administratoren auf zwei bis vier Konten begrenzenAS-ID-003automatisch geprüft
- MFA für alle Administratorkonten registrieren und erzwingenAS-ID-004automatisch geprüft
- Getrennte Admin-Konten ohne Office-Lizenzen einrichtenAS-ID-005automatisch geprüft
- Anlegen von Sicherheitsgruppen auf Administratoren beschränkenAS-ID-006automatisch geprüft
- Gruppenverwaltung in „Meine Gruppen“ für Mitarbeitende sperrenAS-ID-007selbst prüfen
- Selbstregistrierung per E-Mail-Bestätigung abschaltenAS-ID-008automatisch geprüft
- Anlegen von Gruppen und Teams auf eine Sicherheitsgruppe beschränkenAS-ID-009automatisch geprüft
- Neue und geänderte Benutzerkonten wöchentlich sichtenAS-ID-010selbst prüfen
- Exchange-Rollengruppen wöchentlich auf Änderungen prüfenAS-ID-011selbst prüfen
- Anlegen neuer Tenants für Mitarbeitende sperrenAS-ID-012automatisch geprüft
- Entra Admin Center auf Administratoren beschränkenAS-ID-013selbst prüfen
- Dynamische Gruppe für alle Gastkonten anlegenAS-ID-014automatisch geprüft
- Gasteinladungen auf Partnerdomains beschränkenAS-ID-015selbst prüfen
- Verzeichniszugriff für Gäste auf „eingeschränkt“ setzenAS-ID-016automatisch geprüft
- Gasteinladungen auf Admins und Gasteinladende beschränkenAS-ID-017automatisch geprüft
- Adminrollen über Privileged Identity Management vergebenAS-ID-018automatisch geprüft
- Wiederkehrende Zugriffsüberprüfung für Gäste einrichtenAS-ID-019automatisch geprüft
- Wiederkehrende Zugriffsüberprüfung für Adminrollen einrichtenAS-ID-020automatisch geprüft
- Genehmigungspflicht für „Globaler Administrator“ einrichtenAS-ID-021automatisch geprüft
- Connect Health für Entra Connect einrichtenAS-ID-022selbst prüfen
- Rollenzuweisungen in PIM an eine feste Adresse melden lassenAS-ID-023automatisch geprüft
- Aktivierungen des Globalen Administrators melden lassenAS-ID-024automatisch geprüft
- Aktivierungen weiterer Administratorrollen melden lassenAS-ID-025automatisch geprüft
- Ungenutzte Mitarbeiterkonten deaktivierenAS-ID-026automatisch geprüft
- Ungenutzte Gastkonten entfernenAS-ID-027automatisch geprüft
- Administratorrollen von Gastkonten entfernenAS-ID-028automatisch geprüft
- Lizenzen deaktivierter Konten freigebenAS-ID-029automatisch geprüft
- Gefährdete Konten untersuchen und absichernAS-ID-030automatisch geprüft
Anmeldung
Wie sicher melden sich Ihre Leute an?
- Zwangsablauf von Kennwörtern abschalten und auf MFA setzenAS-AN-001automatisch geprüft
- Self-Service-Kennwortzurücksetzung für alle freischaltenAS-AN-002automatisch geprüft
- Microsoft Authenticator für alle Benutzer freigebenAS-AN-003automatisch geprüft
- Eigene Liste gesperrter Kennwörter anlegen (z. B. Firmenname)AS-AN-004automatisch geprüft
- Anmeldung an freigegebenen Postfächern sperrenAS-AN-005automatisch geprüft
- Veraltete Anmeldeprotokolle tenantweit blockierenAS-AN-006automatisch geprüft
- Leerlauf-Abmeldung für Webanwendungen auf höchstens 3 Stunden setzenAS-AN-007selbst prüfen
- Moderne Authentifizierung für Exchange Online aktivierenAS-AN-008automatisch geprüft
- MFA für alle Benutzer erzwingenAS-AN-009automatisch geprüft
- Pro-Benutzer-MFA durch zentrale MFA-Richtlinien ersetzenAS-AN-010automatisch geprüft
- Option „Angemeldet bleiben?“ ausblendenAS-AN-011selbst prüfen
- Kennwort-Hash-Synchronisierung in Entra Connect aktivierenAS-AN-012automatisch geprüft
- MFA-Registrierung für alle Benutzer durchsetzenAS-AN-013automatisch geprüft
- Richtlinie „MFA für alle Administratoren“ einrichtenAS-AN-014automatisch geprüft
- Richtlinie „MFA für alle Benutzer und Anwendungen“ einrichtenAS-AN-015automatisch geprüft
- App-Name und Standort im Authenticator anzeigen lassenAS-AN-016automatisch geprüft
- Regelmäßige Neuanmeldung für Administratoren erzwingenAS-AN-017automatisch geprüft
- Risikobasierte Richtlinie für Anmeldungen einrichtenAS-AN-018automatisch geprüft
- Kennwortwechsel bei hohem Benutzerrisiko erzwingenAS-AN-019automatisch geprüft
- Veraltete Authentifizierung per bedingtem Zugriff blockierenAS-AN-020automatisch geprüft
- Registrierung von MFA-Methoden per bedingtem Zugriff schützenAS-AN-021automatisch geprüft
- Geräte-Code-Anmeldung per bedingtem Zugriff blockierenAS-AN-022automatisch geprüft
- Phishing-resistente MFA für Administratoren verlangenAS-AN-023automatisch geprüft
- MFA für Gast- und externe Benutzer verlangenAS-AN-024automatisch geprüft
- MFA für Azure-Verwaltungsportale verlangenAS-AN-025automatisch geprüft
- Kennwortschutz für das lokale AD im Modus „Erzwungen“ aktivierenAS-AN-026automatisch geprüft
- Starke MFA-Methode für alle Mitarbeiterkonten sicherstellenAS-AN-027automatisch geprüft
- Sprachanruf und E-Mail-Einmalcode als Methode abschaltenAS-AN-028automatisch geprüft
- SMS als Anmeldemethode abschaltenAS-AN-029automatisch geprüft
- Passkeys (FIDO2) als Anmeldemethode freigebenAS-AN-030automatisch geprüft
- Registrierungskampagne für Authenticator oder Passkey startenAS-AN-031automatisch geprüft
- Microsoft Entra ID P1 lizenzieren (z. B. Business Premium)AS-AN-033automatisch geprüft
- Automatische Abmeldung bei Inaktivität einschaltenAS-AN-034automatisch geprüft
- Phishing-resistente MFA für alle Benutzer verlangenAS-AN-036automatisch geprüft
- SMTP AUTH organisationsweit abschaltenAS-AN-037automatisch geprüft
- Veraltete Protokolle abschalten und Anwendungen umstellenAS-AN-039automatisch geprüft
Daten und Freigaben
Wer kann Ihre Dateien sehen und weitergeben?
- Kunden-Lockbox aktivierenAS-DA-001automatisch geprüft
- Drittanbieter-Speicherdienste in Microsoft 365 im Web sperrenAS-DA-002automatisch geprüft
- Externe Freigabe von Sway-Präsentationen abschaltenAS-DA-003automatisch geprüft
- Anmelde- und Audit-Protokolle mindestens 90 Tage aufbewahrenAS-DA-005automatisch geprüft
- DLP-Richtlinie für E-Mail, SharePoint und OneDrive einrichtenAS-DA-006automatisch geprüft
- DLP-Richtlinien auf Teams-Chats und -Kanäle ausweitenAS-DA-007automatisch geprüft
- Vertraulichkeitsbezeichnungen anlegen und veröffentlichenAS-DA-008automatisch geprüft
- Externe Speicheranbieter in Outlook im Web sperrenAS-DA-009automatisch geprüft
- Überwachungsprotokoll für Exchange Online einschaltenAS-DA-010automatisch geprüft
- Anonyme Freigabelinks abschaltenAS-DA-011automatisch geprüft
- Weiterteilen durch Gäste untersagenAS-DA-012automatisch geprüft
- Ablauf anonymer Freigabelinks auf höchstens 30 Tage setzenAS-DA-013selbst prüfen
- Standardberechtigung für Freigabelinks auf „Anzeigen“ setzenAS-DA-014selbst prüfen
- Standard-Linktyp auf „Bestimmte Personen“ setzenAS-DA-015selbst prüfen
- Externe Freigaben auf Partnerdomains beschränkenAS-DA-016automatisch geprüft
- Externe Freigabe in OneDrive einschränkenAS-DA-018selbst prüfen
- Aufbewahrungsrichtlinie für SharePoint und OneDrive einrichtenAS-DA-019selbst prüfen
- Nicht freigegebene Cloud-Speicher in Teams abschaltenAS-DA-020selbst prüfen
- Externe Freigabe in SharePoint auf vorhandene Gäste beschränkenAS-DA-021automatisch geprüft
Zusammenarbeit
Wie geschützt sind E-Mail, Teams und Besprechungen?
- Öffentliche Gruppen und Teams auf „Privat“ umstellenAS-ZU-001automatisch geprüft
- Externe Kalenderfreigabe abschaltenAS-ZU-002automatisch geprüft
- Phishing-Schutz in Microsoft Forms einschaltenAS-ZU-003automatisch geprüft
- Sichere Links auch für Office-Anwendungen aktivierenAS-ZU-004automatisch geprüft
- Admin-Benachrichtigung bei interner Schadsoftware einschaltenAS-ZU-006automatisch geprüft
- Richtlinien für sichere Anlagen auf „Blockieren“ stellenAS-ZU-007automatisch geprüft
- Sichere Anlagen für SharePoint, OneDrive und Teams aktivierenAS-ZU-008automatisch geprüft
- Admin-Benachrichtigung für ausgehenden Spam einschaltenAS-ZU-009selbst prüfen
- Anti-Phishing-Richtlinie für alle Benutzer einrichtenAS-ZU-010automatisch geprüft
- SPF-Eintrag für jede E-Mail-Domain veröffentlichenAS-ZU-011automatisch geprüft
- DKIM-Signierung für alle E-Mail-Domains aktivierenAS-ZU-012automatisch geprüft
- Wirksamen DMARC-Eintrag für jede Domain veröffentlichenAS-ZU-013automatisch geprüft
- Bericht zu gefälschten Absendern wöchentlich sichtenAS-ZU-014selbst prüfen
- Bericht „Eingeschränkte Entitäten“ wöchentlich sichtenAS-ZU-015selbst prüfen
- Bedrohungsschutz-Statusbericht wöchentlich sichtenAS-ZU-016selbst prüfen
- Gefährdete Konten als Prioritätskonten markieren und schützenAS-ZU-017automatisch geprüft
- Strenge Schutzvorlage auf Prioritätskonten anwendenAS-ZU-018automatisch geprüft
- E-Mail-Infos mit Hinweis auf externe Empfänger aktivierenAS-ZU-019automatisch geprüft
- Transportregeln mit Spam-Ausnahme für ganze Domains entfernenAS-ZU-021automatisch geprüft
- Kennzeichnung externer Absender in Outlook aktivierenAS-ZU-022automatisch geprüft
- Anti-Malware-Richtlinie einrichtenAS-ZU-023automatisch geprüft
- Anti-Phishing-Richtlinie vollständig konfigurierenAS-ZU-024automatisch geprüft
- Gemeldete Nachrichten an ein überwachtes Postfach leitenAS-ZU-025automatisch geprüft
- Automatische Weiterleitung an externe Empfänger sperrenAS-ZU-026automatisch geprüft
- Eingangs-Spamfilter mit Quarantäne konfigurierenAS-ZU-027automatisch geprüft
- Versandlimits im Ausgangs-Spamfilter setzenAS-ZU-028automatisch geprüft
- Postfachüberwachung organisationsweit einschaltenAS-ZU-029automatisch geprüft
- Postfachüberwachung für alle Benutzerpostfächer aktivierenAS-ZU-030automatisch geprüft
- Ausnahmen von der Postfachüberwachung entfernenAS-ZU-031automatisch geprüft
- Weiterleitung nach außen sperren und bestehende entfernenAS-ZU-032automatisch geprüft
- Kennzeichnung externer Absender in Outlook einschaltenAS-ZU-033automatisch geprüft
- Weiterleitungen nach außen regelmäßig prüfenAS-ZU-034automatisch geprüft
- Externen Teams-Zugriff auf Partnerdomains beschränkenAS-ZU-035selbst prüfen
- Kommunikation mit nicht verwalteten Teams-Konten sperrenAS-ZU-036selbst prüfen
- Anonymen Beitritt zu Teams-Besprechungen abschaltenAS-ZU-038automatisch geprüft
- Besprechungsstart durch anonyme Teilnehmende abschaltenAS-ZU-039automatisch geprüft
- Präsentieren auf Organisatoren beschränkenAS-ZU-040automatisch geprüft
- Bildschirmsteuerung für Externe abschaltenAS-ZU-041automatisch geprüft
- Chat in Besprechungen fremder Organisationen abschaltenAS-ZU-042selbst prüfen
- Besprechungschat für anonyme Teilnehmende abschaltenAS-ZU-043selbst prüfen
- Cloudaufzeichnung nur für berechtigte Personen erlaubenAS-ZU-044selbst prüfen
- Meldefunktion für Sicherheitsbedenken in Teams aktivierenAS-ZU-045automatisch geprüft
- MTA-STS im Modus „enforce“ für jede E-Mail-Domain einrichtenAS-ZU-046automatisch geprüft
- TLS-Berichte (TLS-RPT) für jede E-Mail-Domain einrichtenAS-ZU-047automatisch geprüft
Geräte
Von welchen Geräten aus darf zugegriffen werden?
- Selbstabruf von BitLocker-Schlüsseln sperrenAS-GE-001automatisch geprüft
- Anmeldung nur von verwalteten Geräten zulassenAS-GE-002automatisch geprüft
- Admin-Arbeit auf gehärtete, verwaltete Geräte beschränkenAS-GE-003selbst prüfen
- Downloads auf nicht verwaltete Geräte sperrenAS-GE-004selbst prüfen
- OneDrive-Sync auf domänenverbundene Geräte beschränkenAS-GE-005automatisch geprüft
- Nicht konforme Geräte in Ordnung bringenAS-GE-006automatisch geprüft
- Laufwerksverschlüsselung auf allen Rechnern einschaltenAS-GE-007automatisch geprüft
- Veraltete Betriebssysteme aktualisieren oder Geräte ersetzenAS-GE-008automatisch geprüft
- Konformitätsrichtlinien für alle Gerätetypen anlegenAS-GE-009automatisch geprüft
Apps
Welche Anwendungen dürfen auf Ihre Daten zugreifen?
- Office Store und Testversionen für Mitarbeitende sperrenAS-AP-001automatisch geprüft
- Defender for Cloud Apps einrichten und mit Microsoft 365 verbindenAS-AP-002selbst prüfen
- App-Registrierungen auf Administratoren beschränkenAS-AP-003automatisch geprüft
- Verknüpfung von Firmenkonten mit LinkedIn abschaltenAS-AP-004automatisch geprüft
- App-Nutzung und App-Berechtigungen wöchentlich sichtenAS-AP-005selbst prüfen
- Benutzerzustimmung zu Apps abschaltenAS-AP-006automatisch geprüft
- Admin-Zustimmungs-Workflow mit Prüfern aktivierenAS-AP-007automatisch geprüft
- Selbstinstallation von Outlook-Add-ins sperrenAS-AP-008automatisch geprüft
- Benutzerdefinierte Skripte auf selbst erstellten Websites sperrenAS-AP-010selbst prüfen
- Teams-Store-Apps nur nach Freigabe zulassenAS-AP-011selbst prüfen
- Drittanbieter-Apps in Teams nur für Freigegebene erlaubenAS-AP-012selbst prüfen
- Weitreichende App-Rechte prüfen und entziehenAS-AP-013automatisch geprüft
- App-Geheimnisse und Zertifikate erneuern oder entfernenAS-AP-014automatisch geprüft