TOOLBOX · DOWNLOAD
Microsoft 365sichereingestellt.
Diese Checkliste fasst die wichtigsten Sicherheitseinstellungen für Microsoft 365 je Dienst zusammen: Entra ID, Exchange Online, Schutz vor Schadsoftware und Phishing, SharePoint und OneDrive, Teams sowie Protokolle. Grundlage sind die Baselines der US-Behörde CISA aus dem Projekt SCuBA (ScubaGear v2.0.0 vom 22.10.2026) und die Dokumentation von Microsoft. Jeder Punkt nennt die Kennung der Baseline, damit Sie ihn nachlesen und mit dem kostenlosen Werkzeug ScubaGear prüfen können.
Kostenloses PDF · Checkliste
Microsoft 365 absichern: Checkliste für Entra ID, Exchange, SharePoint und Teams
- Format
- PDF, A4
- Umfang
- 10 Seiten
- Größe
- 131 KB
- Stand
- 25.10.2026
- Quellen
- 19
- Nutzung
- Weitergabe in unveränderter Form erlaubt
FÜR WEN
Für wen
das gedacht ist.
Wichtige Einstellungen für Entra ID, Exchange Online, Defender, SharePoint, OneDrive und Teams, mit Kennungen der CISA-Baselines und Lizenzhinweisen.
- Administration von Microsoft 365 in kleinen und mittleren Unternehmen
- IT-Dienstleister, die Microsoft-365-Mandanten für Kunden betreuen
- Informationssicherheitsbeauftragte, die den Stand eines Mandanten prüfen
9 ABSCHNITTE
Was drin
steht.
Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.
- 01
So nutzen Sie die Checkliste
Woher die Punkte stammen, was „muss“ und „sollte“ heißt und wie Sie messen
- 02
Microsoft Entra ID: Anmeldung und Konten
Ältere Protokolle sperren, starke Anmeldung, Notfallzugang
- 03
Microsoft Entra ID: Rollen, Apps und Gäste
Wenige globale Administratoren, eingeschränkte App-Einwilligung, kontrollierte Gäste
- 04
Exchange Online: E-Mail und Postfächer
Weiterleitung, Absenderschutz, SMTP AUTH, Freigaben und Überwachung
- 05
Schutz vor Schadsoftware und Phishing
Voreingestellte Richtlinien, Anlagen, Links, Identitätswechsel und Ausnahmen
- 06
SharePoint und OneDrive: Freigaben
Externe Freigabe begrenzen, sichere Standardlinks, Ablauf für „Jeder“-Links
- 07
Microsoft Teams: Besprechungen und externe Kontakte
Wer Besprechungen starten, beitreten und Kontakt aufnehmen darf
- 08
Protokolle, Warnungen und Messung
Audit einschalten, Warnungen weiterleiten, Fortschritt messen
- 09
Lizenzhinweise
Welche Punkte laut CISA mehr als Microsoft 365 E3 brauchen
AUSZUG
Microsoft Entra ID: Anmeldung und Konten
Microsoft empfiehlt, Anmeldungen mit älteren Protokollen zu blockieren, weil sie keine Multi-Faktor-Authentifizierung unterstützen. Laut Microsofts Analyse nutzen mehr als 97 Prozent der Credential-Stuffing-Angriffe und mehr als 99 Prozent der Passwort-Spray-Angriffe solche Protokolle.
- Ältere Authentifizierung blockiert (MS.AAD.1.1, muss).
- Phishingresistente MFA für alle Benutzer (MS.AAD.3.1, muss), etwa gerätegebundene Passkeys, FIDO2-Schlüssel, Windows Hello for Business oder zertifikatbasierte Authentifizierung; als Untergrenze MFA für alle Benutzer, etwa solange phishingresistente Verfahren noch nicht möglich sind (MS.AAD.3.2, muss); für hochprivilegierte Rollen immer phishingresistent (MS.AAD.3.6, muss).
- SMS, Sprachanruf und Einmalcode per E-Mail als Methoden deaktiviert (MS.AAD.3.5, muss); im Microsoft Authenticator Anmeldekontext angezeigt (MS.AAD.3.3, muss).
- Gerätecode-Anmeldung blockiert (MS.AAD.3.9, sollte).
- Benutzer mit hohem Risiko und Anmeldungen mit hohem Risiko blockiert (MS.AAD.2.1 und 2.3, muss; erfordert Entra ID P2).
- Kennwörter laufen nicht ab (MS.AAD.6.1, muss); Details in der Passwortrichtlinie.
- Mindestens zwei Notfallzugriffskonten, rein in der Cloud mit einer Domäne *.onmicrosoft.com, nicht synchronisiert, mit Passkey (FIDO2) oder Zertifikat geschützt (Microsoft Learn).
- Ohne Lizenz für bedingten Zugriff: Sicherheitsstandards aktiviert (Microsoft Learn).
QUELLEN
Belegt,
nicht behauptet.
- CISA SCuBA-Baseline Microsoft Entra ID (ScubaGear v2.0.0, 22.10.2026) (öffnet in neuem Tab)MS.AAD.1 bis 9, Liste hochprivilegierter Rollen, Lizenzanforderungen, gelesen am 25.10.2026
- CISA SCuBA-Baseline Exchange Online (v2.0.0) (öffnet in neuem Tab)MS.EXO.1 bis 7 und 13, gelesen am 25.10.2026
- CISA SCuBA-Baseline Security Suite (v2.0.0) (öffnet in neuem Tab)MS.SECURITYSUITE.1 bis 8, Lizenzanforderungen, gelesen am 25.10.2026
- CISA SCuBA-Baseline SharePoint und OneDrive (v2.0.0) (öffnet in neuem Tab)MS.SHAREPOINT.1 bis 3, gelesen am 25.10.2026
- CISA SCuBA-Baseline Microsoft Teams (v2.0.0) (öffnet in neuem Tab)MS.TEAMS.1, 2, 4, 5, gelesen am 25.10.2026
- CISA: Secure Cloud Business Applications (SCuBA) Project (öffnet in neuem Tab)Projekt, ScubaGear als kostenloses Prüfwerkzeug, gelesen am 25.10.2026
- Microsoft Learn: Microsoft-Sicherheitsbewertung (Secure Score) (öffnet in neuem Tab)Einleitung, gelesen am 25.10.2026
- Microsoft Learn: Sicherheitsstandards in Microsoft Entra ID (öffnet in neuem Tab)Inhalt, Zielgruppe, bedingter Zugriff bei P1/P2, gelesen am 25.10.2026
- Microsoft Learn: Legacy-Authentifizierung blockieren (öffnet in neuem Tab)Übersicht, gelesen am 25.10.2026
- Microsoft Learn: Konten für den Notfallzugriff (öffnet in neuem Tab)Anzahl, Cloudkonten, Authentifizierung, gelesen am 25.10.2026
- Microsoft Learn: Automatische externe E-Mail-Weiterleitung (öffnet in neuem Tab)Drei Einstellungen und ihre Wirkung, gelesen am 25.10.2026
- Microsoft Learn: Überwachung aktivieren (Microsoft Purview) (öffnet in neuem Tab)Standardstatus, Ausnahme Business-Tarife, gelesen am 25.10.2026
- Microsoft Learn: Bewährte Methoden für Microsoft Entra-Rollen (öffnet in neuem Tab)Nr. 5, weniger als fünf globale Administratoren, gelesen am 25.10.2026
- Microsoft Learn: Benutzereinwilligung für Anwendungen (öffnet in neuem Tab)Empfehlung verifizierte Herausgeber, gelesen am 25.10.2026
- Microsoft Learn: Voreingestellte Sicherheitsrichtlinien (öffnet in neuem Tab)Standard, Streng, Integrierter Schutz, gelesen am 25.10.2026
- Microsoft Learn: SMTP AUTH aktivieren oder deaktivieren (öffnet in neuem Tab)Organisations- und Postfacheinstellung, gelesen am 25.10.2026
- Microsoft Learn: Postfachüberwachung (öffnet in neuem Tab)Standardmäßig aktiviert, gelesen am 25.10.2026
- Microsoft Learn: Externe Freigabe in SharePoint und OneDrive (öffnet in neuem Tab)Freigabestufen, gelesen am 25.10.2026
- Microsoft Learn: Externer Zugriff in Microsoft Teams (öffnet in neuem Tab)Standard: alle externen Domänen, Zulassungsliste, gelesen am 25.10.2026
Diese Checkliste ist eine Empfehlung von TOMORIS auf Grundlage der CISA-Baselines, die nur für US-Bundesbehörden verbindlich sind. Bezeichnungen, Standardwerte und Lizenzbedingungen von Microsoft ändern sich laufend; maßgeblich sind die aktuelle Dokumentation von Microsoft und die jeweils gültige Fassung der Baselines. Testen Sie Änderungen vor der Umsetzung, etwa mit Notfallzugang und Pilotgruppe.
TOOLBOX
Passend
dazu.
- Kostenlos
Microsoft-365-Domain-Check
Ist Ihre Domain in Microsoft 365 sauber eingerichtet? Prüft Entra-Tenant, Exchange Online, SPF, DKIM, DMARC und Autodiscover. Ohne Microsoft 365 gibt es keine Note, nur eine Auskunft.
Jetzt prüfen - Kostenlos
E-Mail-Sicherheits-Check
Kann jemand E-Mails in Ihrem Namen fälschen? Prüft SPF, DKIM, DMARC, MTA-STS und TLS-RPT Ihrer Domain. Mit Note von A+ bis F und fertigen DNS-Einträgen.
Jetzt prüfen - Kostenlos
DMARC-Generator
Stufe wählen, Berichtsadressen eintragen, Eintrag kopieren: von p=none bis p=reject, mit Erklärung jedes Tags und Hinweisen zu typischen Fehlern. Läuft nur in Ihrem Browser.
Jetzt prüfen MFA in Microsoft 365 einführen
Checkliste von den Sicherheitsstandards über bedingten Zugriff bis zu Passkeys, ohne sich auszusperren.
Mehr erfahren
E-MAIL & MICROSOFT 365
Mehr zum
Thema.
Weitere kostenlose PDFs aus dem Bereich E-Mail & Microsoft 365.
- PDF
SPF, DKIM und DMARC
Von der Bestandsaufnahme aller Absender bis zur Richtlinie p=reject: Einführungsplan mit DNS-Beispielen nach den aktuellen Standards, inklusive DMARC-RFC 9989.
Ansehen - PDF
MFA in Microsoft 365
Sicherheitsstandards oder Conditional Access, Notfallkonten, Methodenwahl, Rollout im Modus „Nur Bericht“ und die Pflicht-MFA von Microsoft: MFA einführen, ohne sich auszusperren.
Ansehen - PDF
Exchange Online absichern
Was Exchange Online immer schützt, was Defender for Office 365 Plan 1 und 2 ergänzen, welche Werte Microsoft empfiehlt und welche Ausnahmen den Schutz aushebeln.
Ansehen
IHR NÄCHSTER SCHRITT
Vom Papier
in die Praxis.
Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.