Microsoft 365 absichern: Checkliste für Entra ID, Exchange, SharePoint und Teams

Die CISA veröffentlicht im Projekt SCuBA sichere Grundkonfigurationen für Microsoft 365. Für US-Bundesbehörden sind die Muss-Vorgaben (SHALL) über BOD 25-01 verbindlich; anderen Organisationen stellt die CISA die Baselines als Referenz zur Verfügung. Die Baselines setzen mindestens eine Lizenz Microsoft 365 E3 voraus und nennen nur Lizenzen, die darüber hinausgehen. Mit ScubaGear stellt die CISA ein kostenloses Werkzeug bereit, das einen Mandanten gegen die Baselines prüft. Bei Punkten aus den Baselines steht die Kennung, etwa MS.AAD.1.1, und ob die Baseline den Punkt verlangt (muss) oder empfiehlt (sollte); Punkte ohne Kennung stammen aus Microsoft Learn oder sind Empfehlungen von TOMORIS.

Die Checkliste ist eine Empfehlung von TOMORIS auf Grundlage der CISA-Baselines; nicht jeder Punkt passt zu jedem Unternehmen. Prüfen Sie Änderungen vorab, damit Sie niemanden aussperren. Multi-Faktor-Authentifizierung und bedingten Zugriff behandelt die eigene Checkliste „MFA in Microsoft 365 einführen“ ausführlich, SPF, DKIM und DMARC der Leitfaden zur E-Mail-Sicherheit.

Microsoft empfiehlt, Anmeldungen mit älteren Protokollen zu blockieren, weil sie keine Multi-Faktor-Authentifizierung unterstützen. Laut Microsofts Analyse nutzen mehr als 97 Prozent der Credential-Stuffing-Angriffe und mehr als 99 Prozent der Passwort-Spray-Angriffe solche Protokolle.

• Ältere Authentifizierung blockiert (MS.AAD.1.1, muss).
• Phishingresistente MFA für alle Benutzer (MS.AAD.3.1, muss), etwa gerätegebundene Passkeys, FIDO2-Schlüssel, Windows Hello for Business oder zertifikatbasierte Authentifizierung; als Untergrenze MFA für alle Benutzer, etwa solange phishingresistente Verfahren noch nicht möglich sind (MS.AAD.3.2, muss); für hochprivilegierte Rollen immer phishingresistent (MS.AAD.3.6, muss).
• SMS, Sprachanruf und Einmalcode per E-Mail als Methoden deaktiviert (MS.AAD.3.5, muss); im Microsoft Authenticator Anmeldekontext angezeigt (MS.AAD.3.3, muss).
• Gerätecode-Anmeldung blockiert (MS.AAD.3.9, sollte).
• Benutzer mit hohem Risiko und Anmeldungen mit hohem Risiko blockiert (MS.AAD.2.1 und 2.3, muss; erfordert Entra ID P2).
• Kennwörter laufen nicht ab (MS.AAD.6.1, muss); Details in der Passwortrichtlinie.
• Mindestens zwei Notfallzugriffskonten, rein in der Cloud mit einer Domäne *.onmicrosoft.com, nicht synchronisiert, mit Passkey (FIDO2) oder Zertifikat geschützt (Microsoft Learn).
• Ohne Lizenz für bedingten Zugriff: Sicherheitsstandards aktiviert (Microsoft Learn).

• Zwei bis acht Personen mit der Rolle Globaler Administrator (MS.AAD.7.1, muss); Microsoft empfiehlt weniger als fünf, die CISA lässt weitere Konten etwa für den Notfallzugriff zu.
• Für Verwaltungsaufgaben feinere Rollen statt Globaler Administrator (MS.AAD.7.2, muss).
• Privilegierte Konten nur in der Cloud, getrennt vom lokalen Active Directory (MS.AAD.7.3, muss).
• Keine dauerhaft aktiven Zuweisungen hochprivilegierter Rollen, Aktivierung des Globalen Administrators nur mit Genehmigung, Warnungen bei Zuweisung und Aktivierung (MS.AAD.7.4 bis 7.8, muss; Warnung bei anderen hochprivilegierten Rollen 7.9, sollte; Entra ID P2 oder eine andere PAM-Lösung).
• Nur Administratoren registrieren Anwendungen (MS.AAD.5.1, muss).
• Benutzereinwilligung für Anwendungen eingeschränkt (MS.AAD.5.2, muss); Microsoft empfiehlt, sie höchstens für Apps verifizierter Herausgeber zuzulassen.
• Workflow für die Einwilligung durch Administratoren eingerichtet (MS.AAD.5.3, muss).
• Gäste mit eingeschränktem Zugriff auf Verzeichnisobjekte (MS.AAD.8.1, sollte); einladen dürfen nur Personen mit der Rolle Gasteinladender (MS.AAD.8.2, sollte), nur an freigegebene Domänen (MS.AAD.8.3, sollte).
• Neu in v2.0.0: riskante KI-Agenten blockiert (MS.AAD.9.1, muss; laut CISA mit Entra ID P2 und Microsoft Agent 365 oder Microsoft 365 E7).

Als hochprivilegiert nennt die CISA als Grundliste, die bei Bedarf um weitere Rollen zu ergänzen ist: Globaler Administrator, Administrator für privilegierte Rollen, Benutzeradministrator, SharePoint-Administrator, Exchange-Administrator, Administrator für Hybrididentität, Anwendungsadministrator und Cloudanwendungsadministrator.

• Automatische Weiterleitung an externe Domänen deaktiviert (MS.EXO.1.1, muss): Die CISA setzt das über die Remotedomäne „Default“ um, deren automatische Weiterleitung nicht zugelassen wird. Zusätzlich in der Richtlinie für ausgehenden Spam „Aus – Weiterleitung ist deaktiviert“ wählen: Der Standardwert „Automatisch – Systemgesteuert“ verhält sich je nach Mandant unterschiedlich.
• SPF mit Ablehnung nicht freigegebener Absender, DKIM für alle Domänen, DMARC mit p=reject (MS.EXO.2.2, 4.1, 4.2, muss; DKIM MS.EXO.3.1, sollte).
• SMTP AUTH organisationsweit deaktiviert (MS.EXO.5.1, muss); nur für einzelne Postfächer, die es nachweislich brauchen, ausnahmsweise erlaubt. Sind die Sicherheitsstandards aktiv, ist SMTP AUTH bereits deaktiviert.
• Kontakt- und Kalenderdetails nicht mit allen Domänen geteilt (MS.EXO.6.1 und 6.2, muss).
• Hinweis für Nachrichten externer Absender aktiviert (MS.EXO.7.1, muss).
• Postfachüberwachung aktiv (MS.EXO.13.1, muss); laut Microsoft in allen Organisationen standardmäßig eingeschaltet, trotzdem prüfen.

Wird die automatische Weiterleitung deaktiviert, wirken auch Posteingangsregeln von Benutzern und Weiterleitungen durch Administratoren nicht mehr, die Nachrichten an externe Adressen umleiten; der Absender erhält einen Unzustellbarkeitsbericht (Microsoft Learn).

Mit den voreingestellten Sicherheitsrichtlinien Standard und Streng wendet Microsoft empfohlene Einstellungen für den E-Mail-Schutz an; sie sind praktisch nicht konfigurierbar. Die voreingestellte Richtlinie Integrierter Schutz gibt Benutzern ohne andere Zuweisung einen Grundschutz durch Sichere Anlagen und Sichere Links aus Defender for Office 365.

• Voreingestellte Sicherheitsrichtlinie Standard für die meisten Benutzer zugewiesen, Streng für ausgewählte, besonders gefährdete Konten (Microsoft Learn).
• Anhänge, die sich per Klick ausführen lassen, blockiert, mindestens .exe, .cmd und .vbe (MS.SECURITYSUITE.1.1, muss).
• E-Mails auch nach der Zustellung geprüft, Schadsoftware in Quarantäne oder verworfen (MS.SECURITYSUITE.1.2 und 1.3, muss).
• Anhänge in SharePoint, OneDrive und Teams auf Schadsoftware geprüft (MS.SECURITYSUITE.1.4, sollte).
• Schutz vor Identitätswechsel für besonders gefährdete Konten, eigene Domänen sowie wichtige Lieferanten und Partner (MS.SECURITYSUITE.2.1 bis 2.3, sollte; Defender for Office 365).
• Spam und Phishing nicht im Posteingang zugestellt, keine zugelassenen Domänen im Anti-Spam-Schutz (MS.SECURITYSUITE.6.1 und 6.2, muss).
• Links in E-Mails, Teams und Office-Dokumenten gegen Sperrlisten geprüft, Klicks protokolliert (MS.SECURITYSUITE.7.1 und 7.3, sollte; Defender for Office 365).
• Keine IP-Zulassungslisten und keine sicheren Listen (MS.SECURITYSUITE.8.1 und 8.2, sollte).
• Richtlinie zur Verhinderung von Datenverlust für Ihre sensiblen Datenarten eingerichtet (MS.SECURITYSUITE.3.1, muss; 3.2 bis 3.5, sollte).

• Externe Freigabe für SharePoint und OneDrive auf „Vorhandene Gäste“ oder „Nur Personen in Ihrer Organisation“ begrenzt (MS.SHAREPOINT.1.1 und 1.2, muss) oder bewusst und dokumentiert offener eingestellt.
• Externe Freigabe auf freigegebene Domänen oder Sicherheitsgruppen beschränkt (MS.SHAREPOINT.1.3, muss).
• Standardlink „Bestimmte Personen“ mit Leserechten (MS.SHAREPOINT.2.1 und 2.2, muss).
• Wo „Jeder“-Links erlaubt sind: Ablauf nach höchstens 30 Tagen, nur Leserechte (MS.SHAREPOINT.3.1 und 3.2, muss).
• Gäste mit Bestätigungscode melden sich spätestens nach 30 Tagen erneut an (MS.SHAREPOINT.3.3, muss).

Für den externen Zugriff sind in Teams laut Microsoft standardmäßig alle externen Domänen zulässig. Mit einer Zulassungsliste beschränken Sie Chats und Besprechungen auf die Organisationen, mit denen Sie tatsächlich zusammenarbeiten; alle anderen Domänen sind dann gesperrt.

• Externer Zugriff nur für freigegebene Domänen (MS.TEAMS.2.1, muss).
• Nicht verwaltete Teams-Konten können keinen Kontakt zu internen Benutzern aufnehmen (MS.TEAMS.2.2, muss); interne Benutzer kontaktieren sie nicht von sich aus (MS.TEAMS.2.3, sollte).
• Anonyme Benutzer können keine Besprechungen starten (MS.TEAMS.1.2, muss); anonyme Teilnehmende und Einwahl landen im Wartebereich (MS.TEAMS.1.3 und 1.5, sollte).
• Externe Teilnehmende können keine Steuerung geteilter Bildschirme anfordern (MS.TEAMS.1.1, sollte).
• Aufzeichnung von Besprechungen nach eigener Regel; die CISA empfiehlt, sie zu deaktivieren (MS.TEAMS.1.6, sollte).
• E-Mail-Integration von Teams deaktiviert (MS.TEAMS.4.1, muss).
• Nur freigegebene Microsoft-, Dritt- und eigene Apps installierbar (MS.TEAMS.5.1 bis 5.3, sollte).

Achtung bei Business-Tarifen: Laut Microsoft ist die Überwachungsprotokollierung für Microsoft 365 Business Basic, Business Standard und Business Premium nicht standardmäßig aktiviert und muss manuell eingeschaltet werden.

• Einheitliches Überwachungsprotokoll aktiviert (MS.SECURITYSUITE.5.1, muss) und der Status im Microsoft Purview-Portal geprüft.
• Protokolle mindestens 3 Monate durchsuchbar und 12 Monate abrufbar (MS.SECURITYSUITE.5.2, muss); länger als 180 Tage in Microsoft 365 erfordert laut CISA E5, Microsoft Purview Suite oder den Zusatz E5 eDiscovery and Audit.
• Sicherheitswarnungen aktiviert und an ein überwachtes Postfach oder ein SIEM gesendet (MS.SECURITYSUITE.4.1, muss; 4.2, sollte).
• Anmelde- und Überwachungsprotokolle von Entra ID an die Stelle weitergeleitet, die Sicherheitsereignisse auswertet (MS.AAD.4.1, muss).
• Microsoft Secure Score als Ausgangswert festgehalten und regelmäßig überprüft.
• ScubaGear-Prüfung durchgeführt und Abweichungen begründet dokumentiert.

Welche dieser Funktionen in Ihrem Tarif enthalten sind, etwa in Microsoft 365 Business Premium, steht in den Dienstbeschreibungen von Microsoft; prüfen Sie das vor der Umsetzung. Preise und Lizenzzuschnitte ändern sich laufend und sind nicht Teil dieser Checkliste.