Praktischer Leitfaden: 21 bewährte Sicherheitspraktiken für Microsoft 365

Erfahren Sie, wie Sie Microsoft 365 Sicherheits-Best-Practices anwenden, um Kollaborationstools wie SharePoint, Teams und OneDrive besser zu verstehen und zu nutzen und die Daten Ihrer Organisation zu sichern.

Unabhängig von der Organisation, unabhängig von der Plattform: Informationssicherheit steht ganz oben auf der Liste der erforderlichen Fähigkeiten für jeden IT-Profi. Das kommt nicht überraschend, wenn Sie an all die Cyberkriminellen denken, die in jeder Ecke des Internets lauern – oder auch nur an die Menge der Dateifreigabe und Zusammenarbeit mit externen Stakeholdern in den heutigen Remote-Arbeitsplätzen.

Glücklicherweise macht Microsoft 365 für diejenigen, die es nutzen, Informationssicherheit zu einer viel einfacheren Aufgabe für die IT. Microsoft 365 ist eine cloudbasierte Suite von Produktivitäts-Apps und -Services, die zahlreiche Kollaborationstools wie SharePoint, Teams und OneDrive umfasst. Sie bietet auch erweiterte Sicherheitsfunktionen auf Unternehmensebene, die globale Standards erfüllen.

Dieser praktische Leitfaden zeigt Ihnen, wie Sie Microsoft 365 Sicherheits-Best-Practices anwenden, um diese Funktionen besser zu verstehen und zu nutzen und die Daten Ihrer Organisation bestmöglich zu sichern. Lassen Sie uns beginnen!

Die Sicherheitsinfrastruktur von Microsoft 365 verstehen

Sicherheitsbedrohungen für den modernen digitalen Arbeitsplatz sind konstant und entwickeln sich kontinuierlich weiter. Einerseits sind die vernetzten cloudbasierten Systeme, die zur Unterstützung der Remote-Arbeit erforderlich sind, ein natürliches Ziel für Cyberangriffe. Andererseits birgt die Online-Kommunikation, -Zusammenarbeit und -Datenfreigabe auch Risiken, wenn die IT nicht die entsprechenden Schutzmaßnahmen einrichtet.

Microsoft 365 bietet einen robusten Satz von Services, Funktionen und Lösungen, um Organisationen dabei zu helfen, einen sicheren digitalen Arbeitsplatz zu schaffen:

• Exchange Online Protection zum Schutz vor E-Mail-Bedrohungen
• Microsoft Defender, das als primäres Sicherheitszentrum für Microsoft 365 dient
• Microsoft Purview, wo Compliance verwaltet wird

Glücklicherweise können Sie Datenschutzverletzungen und Compliance-Herausforderungen mit dem Microsoft Compliance Center – einem zentralen Hub, der zur Sicherung der sensiblen Informationen Ihrer Organisation ausgestattet ist – zuvorkommen

​​​​​​​​​​​​​​Ein ganzheitlicher Ansatz für Cybersicherheit

Microsoft verfolgt einen ganzheitlichen Ansatz für Cybersicherheit und behandelt vier Schlüsselsäulen der Cybersicherheit:

• Sicherheit und Risikomanagement – Echtzeitberichte zu Benutzern, Geräten, Apps und Infrastruktur, die über das Microsoft 365 Security Center Dashboard bereitgestellt werden, zusammen mit der Möglichkeit, Geräte- und Datenrichtlinien gemäß der Governance-Strategie Ihrer Organisation zu konfigurieren
• Informationsschutz – Integrierte Lösungen, die darauf ausgelegt sind, Sie beim Schutz und der Verwaltung sensibler Informationen und Daten während ihres gesamten Lebenszyklus und über alle Apps, Geräte und Cloud-Services hinweg zu unterstützen.
• Bedrohungsschutz – Eine Kombination spezialisierter Services und automatisierter Sicherheitsfunktionen, die vor Bedrohungen für Endbenutzer-Identitäten, mobile Geräte, Endbenutzerdaten einschließlich E-Mails und Dokumenten, Cloud-Anwendungen und deren Datenspeicher sowie die IT-Infrastruktur Ihrer Organisation schützen.
• Identitäts- und Zugangsmanagement – Mit Azure Active Directory und bedingten Zugriffskontrollen, Identitätsschutz-Tools und sicheren Authentifizierungsoptionen, die Sie dabei unterstützen, Benutzerkonten zu verwalten, um die Identitäten Ihrer Endbenutzer zu schützen und sicherzustellen, dass nur Personen mit entsprechenden Anmeldedaten auf Ihr System und Dateien zugreifen können, für die sie Berechtigung haben.

Microsoft 365s Compliance mit globalen Industriestandards

Zusätzlich zu diesen vier Bereichen entspricht Microsoft 365 auch dem globalen Industriestandard ISO/IEC 27001 für Informationssicherheits-Managementsysteme.

Der ISO/IEC 27001 bietet eine Reihe von Richtlinien und Verfahren, die Teil der Informationsrisikomanagement-Prozesse von Microsoft 365 sein müssen, um zertifiziert zu werden. Dieser jährliche Zertifizierungsprozess hilft Microsoft dabei, seinen Kunden zu demonstrieren, dass seine Infrastruktur widerstandsfähig und sicher ist durch ein Management, das international anerkannte Prozesse und Best Practices befolgt.

Sich entwickelnde und kostspielige Bedrohungen machen Sicherheits-Best-Practices unverzichtbar

Es liegt in Ihrer Verantwortung als IT-Administrator, das Beste aus den starken Informationssicherheitsfunktionen von Microsoft 365 zu machen, um Ihren Tenant zu sichern. Hier sind zwei Statistiken, die zeigen, wie entscheidend Ihre Rolle ist:

1. Cybersicherheitsbedrohungen werden immer ausgefeilter, mit kostspieligen Folgen. Laut dem 2023 Cyberthreat Defense Report erlebten 85% der Organisationen im Jahr 2022 einen erfolgreichen Cyberangriff, wobei 73% Opfer von Ransomware wurden.
2. Laut IBMs 2022 Bericht finden 45% der Datenschutzverletzungen in der Cloud statt, mit durchschnittlichen Kosten von 3,8-5,2 Millionen Dollar. Diese Zahl umfasst nicht indirekte Verluste wie Reputationsschäden.

Ihre Kunden und Auftraggeber erwarten und vertrauen darauf, dass Sie ihre Daten sicher aufbewahren. Daher ist es selbst mit dem robusten Sicherheitsframework, das Microsoft 365 bietet, unverzichtbar, aktuelle Sicherheits-Best-Practices im Auge zu behalten und sie in Ihrer Organisation zu implementieren, um die Daten Ihres Unternehmens und Benutzerinformationen zu schützen.

​​​​​​​​​21 Best Practices für die Sicherung von Microsoft 365

☑️ Sicherheitsstandards: eine Grundlage zur Verbesserung Ihrer Sicherheit

Sicherheitsstandards bieten eine grundlegende Sicherheitsebene innerhalb von Microsoft 365 und werden unter bestimmten Umständen automatisch aktiviert. So helfen sie Ihnen dabei, Ihre Umgebung zu sichern:

• Alle Benutzer zur Registrierung für Azure Active Directory Multi-Faktor-Authentifizierung (MFA) verpflichten – Diese Art der Authentifizierung erfordert entweder die Microsoft Authenticator App oder jede App, die Open Authentication zeitbasierte Einmalpasswörter (OATH TOTP) unterstützt.
• MFA für alle erforderlich machen, einschließlich Endbenutzer und Administratoren – Für Administratoren bietet MFA zusätzlichen Schutz für hochprivilegierte Konten mit umfassendem Zugang zu sensiblen Informationen und der Fähigkeit, systemweite Änderungen vorzunehmen. Und da viele Angriffe auf Endbenutzer abzielen, bietet die Anforderung von MFA auch für sie zusätzlichen Schutz.
• Legacy-Authentifizierung blockieren – Diese Anfragen verwenden Legacy-Authentifizierungsprotokolle von Microsoft-Clients, die keine moderne Authentifizierung verwenden, oder Clients, die ältere E-Mail-Protokolle wie IMAP, SMTP und POP3 nutzen.

Die Sicherheitsstandards in Microsoft 365 bieten ein hohes Maß an Sicherheit direkt nach der Installation, was für kleinere Organisationen mit grundlegenden Sicherheitsanforderungen ausreichend sein kann. Das Beste daran? Sie können sie mit einem einzigen Klick aktivieren.

Aber wenn Ihre Organisation komplexer ist, sollten Sie dort nicht aufhören. Sie müssen über Sicherheitsstandards hinausgehen und erweiterte Konfigurationen einrichten, wenn Sie beispielsweise eine große Remote-Belegschaft haben. In diesem Fall benötigen Sie möglicherweise ein strengeres Gerätemanagement und die Integration mit Drittanbieter-Lösungen.

☑️ Zero Trust und das Prinzip der geringsten Berechtigung

Zero Trust ist ein IT-Framework, das die Benutzer- und Geräteauthentifizierung und -autorisierung mit Mechanismen angeht, die genau identifizieren können, wer oder was versucht, Zugang zum System zu erhalten, und verdächtige Aktivitäten erkennen können. Da Authentifizierungs- und Autorisierungsprozesse bei jedem Versuch, auf das System zuzugreifen, erforderlich sind, gibt es im Wesentlichen "null" Vertrauen.

Das Prinzip der geringsten Berechtigung (POLP) führt diese Idee weiter. POLP ist die Praxis, den Zugang zu Anwendungen und Ressourcen zu beschränken, bis sich der Endbenutzer erfolgreich beim Netzwerk authentifiziert hat. Die Idee dabei ist, dass durch die Begrenzung des Zugangs auf nur das, was Endbenutzer benötigen, die potentielle Auswirkung eines kompromittierten Kontos oder Sabotage durch einen abtrünnigen Endbenutzer erheblich reduziert wird, als wenn sie vollen Zugang zum System hätten.

In Microsoft 365 erfordert die Implementierung von Zero Trust und POLP die Einrichtung von Benutzerberechtigungen und -beschränkungen sowie die Zuweisung rollenbasierter Zugriffskontrollen.

☑️ Multi-Faktor-Authentifizierung (MFA) aktivieren

Multi-Faktor-Authentifizierung (MFA) ist ein entscheidender Cloud-Sicherheits-Leitplanke in Microsoft 365. MFA ist eine Authentifizierungsmethode, die von Endbenutzern verlangt, sich mit einer oder mehreren Verifizierungsformen zusätzlich zu ihren Benutzernamen und Passwörtern zu authentifizieren.

Die meisten MFA-Methoden basieren auf einem von drei Arten von Verifizierungsmethoden:

• Etwas, was Sie wissen – Passwörter, Sicherheitsfragen oder eine PIN
• Etwas, was Sie haben – Physische Gegenstände, die Sie bei sich tragen könnten, wie ein mobiles Gerät
• Etwas, was Sie sind – Biometrie wie ein Fingerabdruck oder Ihre Stimme

Andere gängige Methoden umfassen ein Einmalpasswort (OTP), einen 4-8-stelligen Code, den Sie per SMS oder E-Mail erhalten können, und dynamisch generierte Verifizierungscodes, die Sie mit einer Authentifizierungs-App oder per SMS erhalten können.

Wenn Sie die Multi-Faktor-Authentifizierung in Microsoft 365 aktivieren, fügen Sie eine zusätzliche solide Schutzschicht für Ihre Organisation hinzu, beispielsweise wenn das Passwort eines einzelnen Endbenutzers kompromittiert wird oder im Falle eines Brute-Force-Angriffs auf Ihr System, der zum Diebstahl mehrerer Passwörter führt.

Microsoft 365 bietet mehrere MFA-Methoden, und die Einrichtung für Ihre Organisation ist ziemlich unkompliziert.

☑️ Sichere Passwort-Richtlinien verwenden

Wir wissen, dass es schmerzhaft ist, Ihr Passwort alle 60-90 Tage zu ändern, sogar für IT-Typen. Aber Sie wissen, wie wichtig Passwort-Richtlinien für den Schutz Ihres Systems und sensibler Daten sind. Und soweit Sie Ihren Endbenutzern helfen können zu verstehen, warum sie notwendig sind, werden die Richtlinien, die Sie festlegen, einfacher bei Benutzerkonten durchzusetzen sein.