Microsoft 365 datenschutzkonform betreiben: was IT und Datenschutzbeauftragter in Hamburg gratis selbst prüfen

Für Sicherheit und Datenschutz in Microsoft 365 sind in vielen Betrieben zwei verschiedene Leute zuständig. Die IT kümmert sich um Konten, Regeln und Lizenzen. Der Datenschutzbeauftragte fragt nach Verträgen, Unterauftragnehmern und Nachweisen. Nach einem Vorfall wollen beide wissen, wer was gelesen hat. Für die Meldung an die Aufsicht bleiben 72 Stunden.

Wir haben im Oktober 2026 kostenlose Prüfwerkzeuge durchgesehen, die beiden Seiten etwas nützen. Zehn sind geblieben. Nur eines davon braucht Zugang zu Ihrer Microsoft-365-Umgebung, dem Mandanten. Die übrigen kommen ohne Zugangsdaten aus. Weil dieser Blog aus Hamburg schreibt, kommt die Hamburger Datenschutzaufsicht mehrfach vor.

Im Mandanten selbst

1. Eine App will ins Postfach · Microsoft-365-Härtungs-Check

Eine Kollegin aus dem Einkauf öffnet ein geteiltes Dokument. Nach einem Kennwort fragt die Seite gar nicht. Sie will nur wissen, ob eine App namens „Dokumentenvorschau“ Postfach und Dateien lesen darf. Die Kollegin klickt auf Akzeptieren.

Eine der Einstellungen, die solchen Zustimmungsfallen die Tür öffnen, prüft der Härtungs-Check für Microsoft 365 aus Hamburg. Das PowerShell-Skript von hagel IT schaut nach, ob jeder im Haus Anwendungen registrieren darf. Laut Werkzeugseite reicht dafür eine gefälschte Zustimmungsseite, gestohlen werden muss kein Kennwort. Für den Datenschutz heißt das, dass Kundenmails bei einem Dienst landen, mit dem es keinen Vertrag zur Auftragsverarbeitung gibt.

Zwei weitere Prüfungen betreffen die Meldepflicht. Das einheitliche Prüfprotokoll zeichnet erst ab dem Tag auf, an dem es eingeschaltet wird. Die Postfach-Protokollierung entscheidet, ob Sie der Aufsicht später sagen können, ob wirklich mitgelesen wurde. Wer beides erst nach dem Vorfall einschaltet, hat für die entscheidenden Tage keine Daten. Dass es insgesamt nur zwölf Prüfungen sind, begründet die Seite so: „Ein Bericht mit 180 Zeilen wird ausgedruckt und abgeheftet, einer mit zwölf wird abgearbeitet.“

Den Bericht schreibt das Skript auf dem eigenen Rechner, Aufrufe gehen laut FAQ nur an Microsoft. Für die meisten Prüfungen genügt die Rolle „Globaler Leser“. Ob die App aus dem Einkauf schon Mails abgezogen hat, beantwortet der Check allerdings nicht. Er prüft Einstellungen, für die Spurensuche verweist die Seite auf die Auswertung des Prüfprotokolls. Ein Zertifikat ist er auch nicht, die Seite selbst spricht von einem Erstbefund in dreißig Minuten.

Verträge, Unterauftragnehmer und Copilot

2. Teams intern, Zoom beim Kunden · Subprozessor-Monitor

Interne Besprechungen laufen über Teams, viele Kunden wollen trotzdem Zoom. Art. 28 DSGVO gibt Ihnen bei beiden Anbietern das Recht, einem neuen Unterauftragnehmer zu widersprechen. Genutzt hat es im Haus noch niemand, weil von den Änderungen niemand etwas mitbekam.

Der Abgleich der Unterauftragnehmer-Listen von Microsoft, Zoom und 15 weiteren Cloud-Anbietern bei frag.hugo läuft täglich, bei unserem Durchgang zuletzt um 5:30 Uhr. Bei Zoom liest er die Namen einzeln aus. Für den Mail-Alarm genügt eine Adresse, der Vorname ist freiwillig.

Microsoft 365 behandelt der Monitor anders. Dort vergleicht er nur den Wortlaut der Seite und schlägt erst an, wenn die Abweichung am nächsten Tag noch besteht. Welche Firma dazugekommen ist, schlagen Sie danach selbst bei Microsoft nach und tragen sie in die Akte ein.

3. Copilot im Probelauf · Schatten-KI-Check

Für den Vertrieb sind fünf Copilot-Lizenzen zum Ausprobieren bestellt. In der Einführungsrunde fragt jemand, ob die Leute dafür geschult sein müssen.

Seit dem 2. Februar 2025 verlangt Art. 4 der KI-Verordnung von Unternehmen, die KI einsetzen, ausreichende KI-Kompetenz ihrer Leute. Der Schatten-KI-Check, der auch nach Copilot fragt, nimmt Schulung als eines seiner Themen auf und erkundigt sich beim Bestand ausdrücklich nach Microsoft 365 Copilot. Als beste Antwort auf die Schulungsfrage gilt im Check „Ja, alle — mit dokumentiertem Nachweis je Person“. Nach acht Fragen stehen drei Maßnahmen da, die zu Ihren Antworten passen.

Wer bei einer Frage „Weiß ich nicht“ ankreuzt, wird fast wie mit der schlechtesten Antwort gewertet. Das Ergebnis ist also nur so gut wie Ihr Wissen über den eigenen Bestand.

4. Copilot für alle · PIA-Software der CNIL

Bevor Copilot an alle geht, verlangt der Datenschutzbeauftragte eine Datenschutz-Folgenabschätzung. Gemeint ist eine schriftliche Prüfung, welche Risiken der Start für die Beschäftigten bringt. Ihn treibt um, dass Copilot alles findet, worauf ein Nutzer Zugriff hat – so beschreibt es auch die Fallstudie einer Hamburger Beratung, die nach einem Phishing-Vorfall aufräumte. Dazu gehört auch die Gehaltsliste, die vor Jahren jemand per Link geteilt hat.

Das PIA-Werkzeug der französischen Aufsicht CNIL gibt der Folgenabschätzung eine Gliederung nach Art. 35 DSGVO und blendet bei jedem Schritt passende Auszüge aus der DSGVO und dem Sicherheitsleitfaden der CNIL ein. Praktisch für einen gestaffelten Start ist, dass sich eine Abschätzung als Modell anlegen und kopieren lässt. Was Sie für die fünf Pilotnutzer erarbeitet haben, dient dann als Vorlage für die nächsten Abteilungen.

Was in Ihrem SharePoint offen herumliegt, weiß die Software nicht. Diese Lücke deckt eher die Prüfung der Freigabe-Voreinstellung im Härtungs-Check. Laut CNIL richtet sich das Werkzeug zudem an Leute, die das Vorgehen einer Folgenabschätzung schon ein wenig kennen.

Die Mail-Domain im Hamburger Vergleich

5. DMARC beim Umzug gesetzt · Hamburger IT-Sicherheits-Index

Beim Umzug auf Exchange Online hat der Dienstleister einen DMARC-Eintrag angelegt, so steht es im Protokoll von damals. Was dieser Eintrag Empfängern anweist, hat seitdem niemand nachgesehen. DMARC regelt, was mit Mails passiert, die Ihre Domain nur vortäuschen.

hagel IT hat am 1. Oktober 2026 die Domains von 812 Hamburger Betrieben gemessen und das Ergebnis als Hamburger IT-Sicherheits-Index mit Selbsttest für die eigene Domain veröffentlicht. Von den Betrieben mit Mailempfang haben 71,4 Prozent einen DMARC-Eintrag. Gefälschte Absender weisen aber nur 40,5 Prozent tatsächlich ab, 232 Betriebe stehen auf „none“. Bei dieser Einstellung kommen Berichte, die Fälschung geht trotzdem durch. Für den Datenschutz zählt das, weil solche Fälschungen etwa als Rechnung mit neuer Bankverbindung bei Ihren Kunden landen. Der Selbsttest speichert laut Seite weder Domain noch Ergebnis.

Die Stichprobe stammt aus Wikidata und keiner Zufallsauswahl. Erfasst sind eher größere und bekannte Betriebe. Die Seite schreibt selbst, dass die Werte über alle Hamburger Betriebe eher schlechter ausfallen dürften.

6. Der Satz in der TOM-Liste · internet.nl

In der Übersicht der technischen und organisatorischen Maßnahmen steht seit Jahren „E-Mails werden verschlüsselt übertragen“. Belegt hat das nie jemand.

Der Mailtest auf internet.nl prüft für eine Domain unter anderem STARTTLS und DANE, also ob andere Mailserver eine verschlüsselte Verbindung zu Ihnen aufbauen und das Zertifikat überprüfen können. Den Ausdruck können Sie zur Dokumentation legen. Einen Webtest gibt es gleich dazu, und volle Punktzahl ist dort selten. Von 909.150 getesteten Web-Domains kamen 41.557 auf 100 Prozent (Stand Oktober 2026).

Geprüft wird der Weg zwischen den Servern. Im Postfach des Empfängers liegt die Mail wieder lesbar, für besonders schutzwürdige Inhalte braucht es Verschlüsselung des Inhalts selbst.

Wenn die Aufsicht fragt

7. Auskunft aus allen Postfächern · Steckbrief des HmbBfDI

Ein früherer Kunde will wissen, welche Daten über ihn gespeichert sind. Ob in irgendeinem Postfach oder Teams-Chat noch etwas liegt, weiß niemand, und die Anfrage wartet zwei Wochen im Sammelpostfach.

Wie ernst die Hamburger Aufsicht solche Fristen nimmt, steht im Steckbrief der Hamburger Datenschutzaufsicht, der seine Schwerpunkte mit Seitenzahl aus dem 34. Tätigkeitsbericht belegt. Gegen ein Handelsunternehmen gab es ein Bußgeld im niedrigen sechsstelligen Bereich, weil Anträge auf Auskunft, Löschung und Werbewiderspruch nicht fristgerecht beantwortet wurden. Eine Antwort binnen eines Monats ist auch dann Pflicht, wenn über die Person gar nichts gespeichert ist. Für die Suche über alle Postfächer bringt Microsoft 365 die Inhaltssuche im Microsoft-Purview-Portal mit, die IT sollte sie vor dem ersten Antrag einmal ausprobiert haben.

Wie die Behörde Ihren Einzelfall bewerten würde, steht im Steckbrief nicht. Die Seite nennt ihre Auswertung selbst eine Einordnung aus dem Bericht und keine Rechtsberatung im Einzelfall.

8. Eine Regel, die Rechnungen versteckt · Meldefristen im Cyber-Lagebild

Am Dienstag fällt der Buchhaltung im Postfach des Geschäftsführers eine Regel auf. Seit Donnerstag verschiebt sie jede Mail mit „Rechnung“ im Betreff in einen Unterordner, den niemand angelegt haben will.

Ab jetzt läuft eine Uhr. Die Fristenübersicht im Ransomware-Lagebild von frag.hugo nennt drei Fristen nebeneinander. 72 Stunden gelten für die Meldung einer Datenpanne an die Aufsicht, und zwar für alle Unternehmen. Nur NIS2-Einrichtungen schicken zusätzlich binnen 24 Stunden eine Erstmeldung ans BSI. Bei ihnen folgt spätestens einen Monat nach der 72-Stunden-Meldung die Abschlussmeldung. Laut Hamburger Steckbrief waren Hackerangriffe 2025 mit rund 34 Prozent erstmals die häufigste Ursache gemeldeter Pannen. Phishing und Ransomware bearbeitet der HmbBfDI seit 2024 in einer beschleunigten „Fastlane“ seiner Technikabteilung.

Das Lagebild selbst zählt veröffentlichte Erpressungsfälle mit Sitz in Deutschland. Industrie und Produktion liegen mit 32 Fällen vorn, das ist ein Viertel der Fälle mit bekannter Branche (Stand Oktober 2026). Eine Hamburger Auswertung gibt es nicht, weil das Bundesland nicht erfasst wird. Und jeder Eintrag beruht auf dem, was die Erpresser selbst auf ihren Seiten veröffentlichen. Ob ein genanntes Unternehmen wirklich betroffen war, prüft dort niemand nach.

Betrieb und Belegschaft

9. Liegt es an Microsoft? · IT-Störungsmonitor

Teams-Besprechungen brechen ab, Outlook lädt nicht. Im Flur fragt jeder jeden, ob Microsoft gerade ausgefallen ist. Art. 32 DSGVO zählt die Verfügbarkeit der Systeme ausdrücklich zur Sicherheit der Verarbeitung.

Die Störungstafel für Microsoft 365 und 13 weitere Dienste von hagel IT fragt alle drei Minuten die offiziellen Statusquellen der Hersteller ab, bei Microsoft getrennt nach Microsoft 365, Teams und Exchange Online. Liegt für einen Dienst kein Messwert vor, steht dort „Keine Daten“ statt einer grünen Ampel.

Schneller als der Hersteller ist die Tafel nie. Bis Microsoft eine Störung einräumt, vergehen laut Seite oft zwanzig Minuten bis eine Stunde, regionale Ausfälle tauchen gar nicht auf. DATEV und die Telekom fehlen, weil sie keine maschinenlesbare Statusseite anbieten.

10. Fälle fürs Intranet · DSGVO-Bußgeld-Datenbank

Die Datenschutzkoordinatorin pflegt auf SharePoint eine Infoseite für die Belegschaft. Echte Fälle würden dort mehr bewirken als Paragrafen, für eine monatliche Recherche fehlt aber die Zeit.

Die Bußgeld-Datenbank mit Einbett-Widget bietet beides an, ein Widget ohne Cookies zum Einbinden und einen RSS-Feed, der neue Fälle meldet. Bei unserem Durchgang enthielt sie 101 Fälle seit 2018, 62 davon aus Deutschland, filterbar nach Bundesland, Branche und Betrag. Die Daten stehen unter CC BY 4.0, mit Quellenangabe dürfen Sie sie weiterverwenden.

Ein Filter auf Hamburg zeigt nur, was sich belegen ließ. Die 19 Geldbußen, die der HmbBfDI im Berichtsjahr 2025 verhängt hat, finden Sie dort nicht automatisch einzeln wieder. Die übrigen Selbsttests von frag.hugo, darunter der zum Lieferketten-Risiko, stehen in der Gesamtliste aller kostenlosen Prüfhilfen von frag.hugo.

Welche Pflicht welches Werkzeug belegt

DSGVO- und KI-Pflichten rund um Microsoft 365 und das Werkzeug, das dazu einen Beleg liefert (Stand Oktober 2026)

Pflicht	Was sie bei Microsoft 365 bedeutet	Werkzeug aus dieser Liste
Art. 28 Abs. 2 DSGVO	neuen Unterauftragnehmern rechtzeitig widersprechen können	Subprozessor-Monitor
Art. 32 DSGVO	Konten, Freigaben und App-Zugriffe absichern, Verfügbarkeit im Blick behalten, Mailtransport verschlüsseln	Härtungs-Check, Störungsmonitor, internet.nl, IT-Sicherheits-Index
Art. 33 DSGVO	binnen 72 Stunden sagen können, ob Postfächer gelesen wurden	Protokoll-Prüfungen im Härtungs-Check, Fristen im Cyber-Lagebild
Art. 15 DSGVO	Auskunft aus Postfächern und Chats binnen eines Monats	Hamburg-Steckbrief im Aufsichtsbehörden-Vergleich
Art. 35 DSGVO	Folgenabschätzung vor einem breiten Copilot-Start	PIA-Software der CNIL
Art. 4 KI-Verordnung	KI-Kompetenz der Copilot-Nutzer	Schatten-KI-Check

Eine Stunde mit IT und Datenschutz am Tisch

Die meisten Punkte lassen sich in einer gemeinsamen Besprechung klären. So würden wir die Stunde aufteilen.

1. In den ersten 20 Minuten geht es um den Härtungs-Check, den die IT vorher laufen lässt. Besprochen werden zuerst App-Registrierung und die beiden Protokolle, weil sich dort Datenschutz und Sicherheit überschneiden. Was auf „Mängel“ steht, bekommt einen Namen und ein Datum.
2. Die nächsten 15 Minuten gehören der Domain. Der Selbsttest des Hamburger Index läuft während der Besprechung, der Mailtest von internet.nl gleich hinterher. Steht DMARC auf „none“, kommt die Umstellung auf die Liste.
3. Weitere 15 Minuten sind für Verträge und Copilot. Der Datenschutzbeauftragte abonniert den Monitor für Microsoft und Zoom, und gemeinsam wird entschieden, ob vor dem Copilot-Start eine Folgenabschätzung nötig ist.
4. Die letzten zehn Minuten sind für den Ernstfall. Wer nimmt eine Auskunftsanfrage an, wer zählt die 72 Stunden, wer hat die Inhaltssuche schon einmal benutzt? Steht für eine dieser Fragen kein Name im Protokoll, ist das die erste Aufgabe nach der Besprechung.