Die meisten erfolgreichen Angriffe auf Microsoft-365-Konten beginnen mit einem gestohlenen Kennwort. Eine Mehrfaktor-Anmeldung (englisch MFA) verlangt zusätzlich eine Bestätigung auf einem Gerät, das der Angreifer nicht hat, und macht das gestohlene Kennwort damit weitgehend wertlos. Microsoft verlangt inzwischen für die Verwaltungsportale ohnehin eine zweite Bestätigung. Für alle anderen Konten müssen Sie es selbst einrichten.
Technisch ist das an einem Nachmittag erledigt. Die eigentliche Arbeit liegt in der Vorbereitung: Konten ohne Besitzer, Scanner, die E-Mails versenden, Mitarbeitende ohne Diensthandy. Diese Anleitung geht die Schritte in der Reihenfolge durch, in der sie im Projekt anfallen. Sie richtet sich an IT-Verantwortliche in Betrieben mit 20 bis 500 Mitarbeitenden. Die Bezeichnungen folgen dem Microsoft Entra Admin Center in deutscher Sprache.
| Auf einen Blick | |
|---|---|
| Dauer | zwei bis vier Wochen von der Bestandsaufnahme bis zur letzten Welle |
| Beteiligt | IT oder Dienstleister, Geschäftsführung, Datenschutzbeauftragter, gegebenenfalls Betriebsrat |
| Aufwand je Person | etwa zehn Minuten für die Registrierung |
| Voraussetzung | Rolle als globaler Administrator, Übersicht über Lizenzen, Geräte und Dienste, die sich bei Microsoft 365 anmelden |
Schritt 1: Verschaffen Sie sich einen Überblick
Prüfen Sie im Entra Admin Center, welche Konten es gibt, wer welche Lizenz hat und welche Konten sich in den letzten 90 Tagen angemeldet haben. Konten ohne Anmeldung gehören häufig ausgeschiedenen Mitarbeitenden und werden gelöscht oder gesperrt, bevor Sie weitermachen.
Sehen Sie sich dann den aktuellen Stand der Absicherung an. Drei Fragen sind wichtig:
- Sind die Sicherheitsstandards eingeschaltet, oder gibt es schon Richtlinien für den bedingten Zugriff?
- Ist bei einzelnen Konten noch die ältere MFA je Benutzer aktiv? Microsoft empfiehlt, diese durch Richtlinien zu ersetzen.
- Welche Lizenz haben Sie? Für den bedingten Zugriff brauchen Sie Microsoft Entra ID P1, zum Beispiel über Microsoft 365 Business Premium.
Werten Sie zuletzt die Anmeldeprotokolle nach Anmeldungen mit Legacy-Authentifizierung aus. Das sind ältere Protokolle wie POP, IMAP oder SMTP mit einfachem Kennwort, die keine zweite Bestätigung kennen. Dahinter stecken meist Multifunktionsgeräte, alte Mailprogramme oder Schnittstellen zu Fachanwendungen. Schreiben Sie jedes dieser Geräte und Programme mit einem Zuständigen auf, denn sie werden in Schritt 7 gebraucht.
Schritt 2: Wählen Sie die Methoden
Entscheiden Sie, welche Methoden erlaubt sind. Die Einstellungen finden Sie unter Authentifizierungsmethoden.
| Methode | Sicherheit | Einsatz |
|---|---|---|
| Microsoft Authenticator mit Nummernabgleich | gut | Standard für alle Mitarbeitenden |
| Passkey im Authenticator | sehr gut, phishing-resistent | Administratoren, Buchhaltung, Geschäftsführung |
| Sicherheitsschlüssel (FIDO2) | sehr gut, phishing-resistent | Administratoren, Notfallkonten, Mitarbeitende ohne Smartphone |
| Windows Hello for Business | sehr gut, phishing-resistent | verwaltete Windows-Geräte |
| SMS oder Anruf | schwach | nur als begründete Ausnahme |
Beim Nummernabgleich zeigt der Bildschirm eine Zahl, die in der App eingegeben werden muss. Das verhindert, dass jemand eine Anfrage einfach bestätigt, die er gar nicht ausgelöst hat. Angreifer nutzen genau das, indem sie so lange Anfragen schicken, bis jemand aus Versehen zustimmt.
Schritt 3: Legen Sie zwei Notfallkonten an
Bevor Sie etwas erzwingen, brauchen Sie einen Weg zurück ins System, falls eine Regel falsch ist oder die Methode der Administratoren ausfällt. Legen Sie zwei Notfallkonten an, die nur in der Cloud existieren (mit der Endung onmicrosoft.com), die Rolle globaler Administrator haben und niemandem persönlich zugeordnet sind.
Sichern Sie beide mit einem FIDO2-Schlüssel ab und hinterlegen Sie Schlüssel und Kennwort getrennt an zwei sicheren Orten, etwa im Tresor der Geschäftsführung und bei einer zweiten Vertrauensperson. Nehmen Sie die Notfallkonten von Regeln aus, die Sie aussperren könnten, und richten Sie eine Benachrichtigung ein, die bei jeder Anmeldung mit einem dieser Konten auslöst. Testen Sie die Anmeldung einmal und dann jedes Quartal.
Schritt 4: Entscheiden Sie zwischen Sicherheitsstandards und bedingtem Zugriff
Microsoft bietet zwei Wege an, die sich gegenseitig ausschließen. Wer den bedingten Zugriff nutzen will, muss die Sicherheitsstandards abschalten.
| Sicherheitsstandards | Bedingter Zugriff | |
|---|---|---|
| Lizenz | in allen Tarifen enthalten | Entra ID P1 erforderlich |
| Einrichtung | ein Schalter | eigene Richtlinien |
| Ausnahmen | kaum möglich | je Gruppe, Gerät, Standort, Anwendung |
| Legacy-Authentifizierung | wird blockiert | Blockade per Richtlinie |
| Passt für | kleine Betriebe mit einheitlicher Ausstattung | Betriebe mit Sonderfällen und verwalteten Geräten |
Für Betriebe bis etwa 30 Mitarbeitende ohne Sonderfälle reichen die Sicherheitsstandards oft aus. Sobald Sie Ausnahmen für ein Gerät, einen Standort oder eine Gruppe brauchen, ist der bedingte Zugriff der bessere Weg. Ein bewährter Grundstock sind vier Richtlinien: Mehrfaktor-Anmeldung für alle Konten, phishing-resistente Methoden für Administratoren, Blockade der Legacy-Authentifizierung und eine zweite Bestätigung beim Registrieren neuer Methoden.
Schritt 5: Bereiten Sie die Mitarbeitenden vor
Die meisten Probleme bei der Einführung entstehen, wenn Mitarbeitende am Montagmorgen ohne Ankündigung eine Aufforderung sehen, die sie nicht einordnen können. Kündigen Sie die Umstellung eine Woche vorher an: was sich ändert, warum, wann und wo es Hilfe gibt.
Schreiben Sie eine Anleitung auf einer Seite mit Bildschirmfotos. Die Registrierung läuft über die Seite Sicherheitsinformationen im eigenen Microsoft-Konto (aka.ms/mysecurityinfo). Bieten Sie feste Termine an, in denen die IT bei der Einrichtung hilft, vor allem für Mitarbeitende, die selten am Rechner arbeiten.
Klären Sie vorab die Frage der privaten Telefone. Wer die App nicht auf dem eigenen Gerät installieren will, bekommt einen Sicherheitsschlüssel. Wo es einen Betriebsrat gibt, sprechen Sie das Thema früh an, weil die Anmeldeprotokolle Rückschlüsse auf Arbeitszeiten und Aufenthaltsorte zulassen.
Schritt 6: Schalten Sie in Wellen ein
Beginnen Sie mit den Administratoren und der IT, dann folgt eine Pilotgruppe von zehn bis zwanzig Personen aus verschiedenen Abteilungen. Erst wenn dort nach einer Woche keine offenen Probleme mehr bestehen, kommen die übrigen Abteilungen dran, eine Abteilung nach der anderen.
Mit dem bedingten Zugriff legen Sie neue Richtlinien zuerst im Modus Nur Bericht an. Die Anmeldeprotokolle zeigen dann, wen die Regel getroffen hätte, ohne dass jemand ausgesperrt wird. Nach ein bis zwei Wochen ohne Überraschungen schalten Sie die Richtlinie ein. Steuern Sie die Wellen über Gruppen, die Sie nach und nach in die Richtlinie aufnehmen.
Mit den Sicherheitsstandards gibt es keine Wellen. Nach dem Einschalten haben Mitarbeitende 14 Tage Zeit, eine Methode zu registrieren. Sorgen Sie dafür, dass die Vorbereitung aus Schritt 5 vorher abgeschlossen ist.
Schritt 7: Lösen Sie die Sonderfälle
Für die Liste aus Schritt 1 gibt es bewährte Lösungen.
Multifunktionsgeräte und Scanner, die per E-Mail versenden, nutzen oft SMTP mit einfachem Kennwort. Richten Sie stattdessen einen Connector in Exchange Online ein, der E-Mails von der festen IP-Adresse Ihres Standorts annimmt, oder ersetzen Sie das Gerät, wenn es keine moderne Anmeldung kennt.
Sammelpostfächer wie info@ oder rechnung@ brauchen keine eigene Anmeldung. Richten Sie sie als freigegebene Postfächer ein, sperren Sie die direkte Anmeldung und geben Sie den zuständigen Mitarbeitenden Zugriff über deren eigene Konten.
Dienstkonten für Schnittstellen, etwa für einen Workflow-Server, sollten nicht mit Benutzername und Kennwort arbeiten. Nutzen Sie eine App-Registrierung mit genau den Rechten, die die Schnittstelle braucht. Wie das bei n8n aussieht, beschreibt die Anleitung n8n im Unternehmen einrichten.
Mitarbeitende in Fertigung und Lager ohne eigenen Arbeitsplatz melden sich oft an geteilten Geräten an. Hier sind Sicherheitsschlüssel meist praktischer als eine App.
Schritt 8: Regeln Sie den laufenden Betrieb
Nach der Einführung kommen drei Abläufe regelmäßig vor. Beim Eintritt registriert die neue Person ihre Methode am ersten Tag mit einem befristeten Zugriffspass, den die IT ausstellt. Bei Verlust oder Wechsel des Telefons entfernt die IT die alte Methode und stellt nach einer Identitätsprüfung einen neuen Pass aus. Beim Austritt wird das Konto gesperrt und die registrierten Methoden werden gelöscht.
Prüfen Sie einmal im Monat die Anmeldeprotokolle auf Auffälligkeiten, etwa Anmeldungen aus ungewöhnlichen Ländern oder viele abgelehnte Anfragen bei einem Konto. Bitten Sie die Mitarbeitenden, unerwartete Anfragen zur Bestätigung nicht abzulehnen und zu vergessen, sondern der IT zu melden. Eine solche Anfrage heißt fast immer, dass jemand das Kennwort kennt. Das Kennwort wird dann sofort geändert.
Woran es in der Praxis hakt
Am häufigsten verzögert sich die Einführung wegen Geräten, an die niemand gedacht hat: der Scanner im Lager, die Zeiterfassung, ein altes Programm in der Buchhaltung, das E-Mails versendet. Die Auswertung der Anmeldeprotokolle in Schritt 1 findet die meisten davon. Danach folgen Administratoren, die sich mit ihrem Alltagskonto verwalten. Trennen Sie Administrator- und Arbeitskonto, auch in kleinen Betrieben.
Denken Sie außerdem an die Rücksicherung: Wenn das einzige Administratorkonto an einem Telefon hängt, das bei einem Ausfall nicht greifbar ist, kommt niemand an die Backup-Konsole. Wie Sie das testen, steht in der Anleitung Backup-Rücksicherung testen.
Die Mehrfaktor-Anmeldung ist eine von zehn Grundschutz-Maßnahmen, die auf der Seite IT-Sicherheit beschrieben sind. Wer die Einrichtung und den laufenden Betrieb von Microsoft 365 abgeben möchte, findet unter Microsoft 365 und Arbeitsplatz die passende Leistung.