Microsoft 365 Security Baseline: 5 Schritte für einen sicheren Start
Microsoft 365 ist nach dem Einrichten nicht unsicher, aber auch nicht so abgesichert, wie viele denken. Wenn ich einen Tenant übernehme, arbeite ich fünf Punkte in einer festen Reihenfolge ab. Die Reihenfolge ist Absicht: Wer mit dem dritten Schritt anfängt, sperrt sich gern selbst aus.
1. Notfallzugang anlegen
Zwei reine Cloud-Konten mit Global-Admin-Rolle, langem Kennwort und am besten einem FIDO2-Schlüssel. Sie werden von keiner Conditional-Access-Richtlinie erfasst und nur im Notfall benutzt. Wo die Zugangsdaten liegen, wer sie holen darf und wann sie zuletzt getestet wurden, steht bei mir in der Kundendokumentation.
Das klingt nach Bürokratie. Ohne diese Konten reicht aber eine einzige falsch gesetzte Richtlinie, und niemand kommt mehr in den Tenant. Den Fall will man nicht über den Microsoft-Support lösen müssen.
2. Conditional Access, erst im Berichtsmodus
MFA für alle, Legacy-Authentifizierung blockieren, strengere Regeln für Admins. Jede Richtlinie läuft zuerst ein paar Tage im Modus Nur Bericht, dann prüfe ich die Anmeldeprotokolle und das What-If-Tool und schalte sie erst danach scharf. Die genauen Einstellungen stehen in Conditional Access Basisrichtlinien in Microsoft Entra ID einrichten.
Ohne Entra ID P1 (also zum Beispiel mit Business Standard) gibt es kein Conditional Access. Dann schalte ich wenigstens die Sicherheitsstandards ein.
3. Schwache Kennwörter verhindern
Microsofts globale Sperrliste ist immer aktiv. Mit P1 kommt eine eigene Liste dazu: Firmenname, Ort, Produktnamen. Das verhindert Kennwörter wie „Firmenname2024!“, die formal jede Richtlinie erfüllen. Wie das geht: Microsoft Entra Password Protection.
4. Lokale Admin-Kennwörter mit LAPS
Wenn der lokale Administrator auf allen PCs dasselbe Kennwort hat, reicht ein kompromittiertes Gerät für alle. Windows LAPS gibt jedem Gerät ein eigenes, wechselndes Kennwort und legt es in Entra ID ab. Vorher muss LAPS im Mandanten eingeschaltet werden, und alte GPO-Einstellungen sollten weg sein. Anleitung: Intune LAPS einrichten.
5. Regelmäßig nachsehen
Eine Richtlinie, die keiner anschaut, verliert mit der Zeit ihren Sinn. Ausnahmen bleiben ewig drin, Gastkonten sammeln sich, ein Admin hat doch kein MFA. Ich schaue einmal im Monat auf:
- Anmeldungen der Notfallkonten (sollte es keine geben)
- Ausnahmen in den Conditional-Access-Richtlinien
- Benutzer ohne MFA-Methode und Gäste ohne Anmeldung seit langer Zeit (dafür gibt es diese PowerShell-Snippets)
- LAPS-Fehler in Intune
Einmal im Quartal melde ich mich testweise mit einem Notfallkonto an.
Wie lange dauert das?
Bei einer kleinen Firma rechne ich mit etwa vier Wochen, weil die Berichtsphasen Zeit brauchen und nicht weil es so viel Arbeit wäre:
- Woche 1: Notfallkonten, Bestandsaufnahme der Admins und Dienstkonten
- Woche 2: Conditional Access im Berichtsmodus
- Woche 3: Richtlinien scharf schalten, Kennwortschutz einrichten
- Woche 4: LAPS erst auf ein paar Testgeräten, dann für alle
