Microsoft 365 im Mittelstand: die Grundeinstellungen, die selten gemacht werden

Nach einer Migration nach Microsoft 365 sieht der Betrieb schnell fertig aus. Postfächer laufen, Teams funktioniert, Dateien liegen in SharePoint, der Kalender synchronisiert. Genau in diesem Moment endet in vielen mittelständischen Betrieben die Beschäftigung mit dem Mandanten — er wird als Produkt behandelt, das ausgeliefert wurde, nicht als Plattform, die konfiguriert werden muss.

Zwischen „funktionsfähig“ und „konfiguriert“ liegt jedoch eine ganze Reihe von Schaltern, die niemand umgelegt hat. Sie stehen nicht falsch, weil jemand geschlampt hätte. Sie stehen so, wie Microsoft sie ausliefert, und Microsoft liefert sie so aus, dass möglichst wenig kaputtgeht: Standardwerte sind auf Kompatibilität ausgelegt, nicht auf Sicherheit. Das ist eine bewusste Produktentscheidung, keine Nachlässigkeit — und sie verschiebt die Arbeit auf den Betreiber.

Warum die Standardwerte so stehen, wie sie stehen

Microsoft begründet die Zurückhaltung offen. Als der Konzern Anfang 2026 den Zeitplan für das Abschalten der Standardauthentifizierung bei SMTP AUTH erneut verschob, hieß es in der Ankündigung des Exchange-Teams, viele Kunden hätten mit der Modernisierung alter E-Mail-Abläufe reale Schwierigkeiten und brauchten mehr Zeit — man wolle zusätzlichen Vorlauf geben und zugleich den Weg zu stärkeren Standardeinstellungen offenhalten. Beides zusammen ist die eigentliche Aussage: Der Standard folgt dem langsamsten Kunden.

Dieselbe Logik zeigt sich bei den Sicherheitsstandards in Microsoft Entra ID. Sie sind laut Microsoft-Dokumentation für neue Mandanten seit dem 22. Oktober 2019 bei der Erstellung voreingestellt, greifen aber erst nach einer Nachfrist von 24 Stunden, damit die Ersteinrichtung nicht an einer MFA-Abfrage scheitert. Bei älteren Mandanten schaltet Microsoft sie nachträglich nur ein, wenn keine Richtlinien für bedingten Zugriff, keine Premium-Lizenzen und keine aktive Nutzung von Legacy-Clients vorliegen — also nur dort, wo nichts brechen kann.

Sicherheitsstandards oder bedingter Zugriff: die erste Weiche

Die Sicherheitsstandards sind ein Ein-Aus-Schalter ohne Feinjustierung. Aktiviert erzwingen sie die MFA-Registrierung aller Nutzenden, MFA für sechzehn Administratorrollen, MFA für Zugriffe auf Azure-Portal, Entra Admin Center, Azure PowerShell und Azure CLI, blockieren Legacy-Protokolle und seit dem 1. Juli 2026 bei allen neuen Mandanten auch den Gerätecodefluss. Kosten entstehen nicht; die Funktion ist im kostenlosen Entra-ID-Tarif enthalten.

Bedingter Zugriff kann dasselbe und mehr, verlangt aber mindestens eine Entra-ID-P1-Lizenz und eigene Richtlinienarbeit. Der teure Fehler liegt dazwischen: Wer die Sicherheitsstandards abschaltet, um Ausnahmen für ein Scan-to-Mail-Gerät oder ein Dienstkonto zu schaffen, und danach keine Richtlinien anlegt, hat den Mandanten schlechter gestellt als vorher. Microsoft weist in derselben Dokumentation darauf hin, dass Organisationen nach dem Deaktivieren sofort Richtlinien für bedingten Zugriff aktivieren sollten — und empfiehlt zwei reine Cloud-Notfallkonten mit der Rolle Globaler Administrator, die von diesen Richtlinien ausgenommen bleiben.

Legacy-Authentifizierung: fast erledigt, aber nicht ganz

An dieser Stelle veralten Ratgeber schnell. Die Standardauthentifizierung für Exchange ActiveSync, POP, IMAP, Remote PowerShell, Exchange-Webdienste, Offlineadressbuch, AutoErmittlung sowie Outlook für Windows und Mac ist in allen Mandanten abgeschaltet und lässt sich seit dem 31. Dezember 2022 auch durch den Microsoft-Support nicht mehr reaktivieren. Wer diese Punkte noch auf einer Checkliste führt, arbeitet an einem erledigten Thema.

Offen ist ausschließlich SMTP AUTH — der Weg, auf dem Multifunktionsgeräte, Warenwirtschaften und Monitoring-Skripte Mails einliefern. Nach dem im Januar 2026 aktualisierten Zeitplan des Exchange-Teams bleibt das Verhalten bis Dezember 2026 unverändert; zum Jahresende 2026 wird die Standardauthentifizierung für SMTP AUTH bei bestehenden Mandanten voreingestellt deaktiviert, bei danach angelegten Mandanten steht sie gar nicht mehr zur Verfügung. Ein endgültiges Abschaltdatum will Microsoft in der zweiten Jahreshälfte 2027 nennen. Für die Grundkonfiguration heißt das: SMTP AUTH gehört pro Postfach abgeschaltet, nicht mandantenweit vergessen.

Standardwert und Zielwert im Überblick

Die folgende Übersicht listet die Einstellungen, die in mittelständischen Mandanten am häufigsten unberührt bleiben. Alle Standardwerte stammen aus der Microsoft-Dokumentation, Stand September 2026.

Protokollierung: der blinde Fleck der Business-Lizenzen

Das einheitliche Überwachungsprotokoll in Microsoft Purview ist die einzige Stelle, an der sich nach einem Vorfall belegen lässt, wer wann welches Postfach geöffnet, welche Weiterleitungsregel angelegt oder welche Datei heruntergeladen hat. Für Microsoft-365-Organisationen ist es laut Dokumentation grundsätzlich voreingestellt aktiv — mit einer Ausnahme, die den Mittelstand vollständig trifft: Für die Lizenzen Business Basic, Business Standard und Business Premium ist die Überwachung nicht standardmäßig aktiviert und muss von Hand eingeschaltet werden.

Das ist die unangenehmste Lücke der ganzen Liste, weil sie erst auffällt, wenn sie gebraucht wird. Ob sie besteht, beantwortet ein einziger Befehl in der Exchange-Online-PowerShell, der die Eigenschaft UnifiedAuditLogIngestionEnabled ausliest. Nach dem Einschalten dauert es bis zu 60 Minuten, bis Ereignisse durchsuchbar sind — rückwirkend entsteht nichts. Die Standardaufbewahrung beträgt 180 Tage.

Externe Freigaben stehen offen

Die Microsoft-Dokumentation formuliert es unmissverständlich: Die externe Freigabe ist für die gesamte SharePoint- und OneDrive-Umgebung voreingestellt aktiviert, und Microsoft empfiehlt selbst, sie global abzuschalten, bevor Nutzende mit Websites zu arbeiten beginnen — oder zumindest, bis geklärt ist, wie das Feature verwendet werden soll. Diese Empfehlung steht in derselben Übersicht, die den Standardzustand beschreibt.

Vier Stufen stehen zur Wahl: „Jeder“ erlaubt Links, die ohne Anmeldung funktionieren; „Neue und vorhandene Gäste“ verlangt eine Anmeldung oder einen Prüfcode; „Vorhandene Gäste“ beschränkt auf bereits im Verzeichnis geführte Konten; „Nur Personen in Ihrer Organisation“ schaltet die externe Freigabe ab. Für den Mittelstand ist die zweite Stufe der übliche Kompromiss. Wichtig ist die zweite Schraube daneben — der voreingestellte Linktyp, den Nutzende beim Klick auf „Teilen“ bekommen. Steht er weit, entsteht Streubreite nicht durch Absicht, sondern durch Gewohnheit.

Anti-Phishing: die Standardrichtlinie kennt die Geschäftsführung nicht

Jeder Mandant hat eine automatisch erzeugte Antiphishing-Standardrichtlinie, die für alle Empfänger gilt. Sie liefert Spoofschutz, Postfachintelligenz und den Sicherheitshinweis beim Erstkontakt. Was sie nicht liefert, benennt Microsoft in den Empfehlungen zu Defender für Office 365 selbst: Die Einstellungen für den Identitätswechselschutz und die Schwellenwerte für Phishing-Mails sind in der Standardrichtlinie nicht konfiguriert.

Der Unterschied ist praktisch relevant. Spoofschutz greift, wenn jemand die eigene Domäne als Absender fälscht. Der klassische Zahlungsbetrug arbeitet anders: Er kommt von einer echten, fremden Domäne, trägt aber den Namen der Geschäftsführung im Anzeigenamen. Diesen Fall deckt erst der Schutz vor Benutzer- und Domänenidentitätswechsel ab, und der verlangt eine Liste — konkret die Namen der zu schützenden Personen und die eigenen sowie befreundeten Domänen. Ohne diese Pflege ist der teuerste Angriffstyp im Mittelstand unbeaufsichtigt.

Aufbewahrung ist keine Sicherung

Microsoft 365 hält gelöschte Inhalte eine Weile vor, aber die Fristen sind kurz und ihr Zweck ist ein anderer. Endgültig gelöschte Elemente landen im Ordner für wiederherstellbare Elemente und bleiben dort voreingestellt 14 Tage; per PowerShell lässt sich der Wert auf maximal 30 Tage anheben, organisationsweit mit einem Einzeiler. Postfächer gelöschter Konten bleiben 30 Tage verfügbar.

Diese Zeitfenster decken Bedienfehler ab, die schnell auffallen. Sie decken nicht ab, was in der Praxis teuer wird: eine Verschlüsselung, die erst nach Wochen bemerkt wird, ein ausgeschiedener Mitarbeiter, dessen Projektordner drei Monate später gebraucht wird, oder eine Auskunftspflicht mit Rückschau über Jahre. Aufbewahrungsrichtlinien in Purview verlängern die Fristen, ersetzen aber keine unabhängige Kopie außerhalb des Mandanten. Wer beides gleichsetzt, hat ein Backup-Konzept, das niemand geprüft hat.

Secure Score: nützliche Messgröße mit eingebauter Verzerrung

Die Microsoft-Sicherheitsbewertung im Defender-Portal ist der naheliegende Fortschrittsbalken für eine Grundkonfiguration. Jede empfohlene Maßnahme ist höchstens zehn Punkte wert, die meisten werden binär bewertet, einige anteilig — wer 50 von 100 Nutzenden mit MFA schützt, erhält fünf von zehn Punkten. Als Verlaufsanzeige über Monate ist das brauchbar.

Zwei Einschränkungen stehen in derselben Dokumentation. Erstens werden alle möglichen Empfehlungen für ein Produkt angezeigt, unabhängig von Lizenzedition oder Plan — ein Mandant mit Business Premium sieht also Maßnahmen, die er nicht umsetzen kann, und deckelt seine erreichbare Punktzahl strukturell. Zweitens weist Microsoft ausdrücklich darauf hin, dass Sicherheit mit Benutzerfreundlichkeit in Einklang gebracht werden muss und nicht jede Empfehlung zu jeder Umgebung passt. Ein Prozentwert ersetzt daher keine Entscheidung darüber, welche Risiken ein Betrieb trägt.

Reihenfolge, Zuständigkeit und der richtige Zeitpunkt

Die Reihenfolge ist nicht beliebig, weil einzelne Schritte den Betrieb unterbrechen können, wenn sie vor der Bestandsaufnahme kommen. Bewährt hat sich ein Ablauf, der mit Sichtbarkeit beginnt und mit Erzwingung endet.

1. Protokoll einschalten Überwachung aktivieren und Status prüfen, bevor irgendetwas verändert wird — sonst fehlt später die Vorher-Aufnahme.
2. Bestand aufnehmen Anmeldeprotokolle auf Legacy-Protokolle und SMTP-AUTH-Nutzung auswerten, betroffene Geräte und Dienstkonten benennen.
3. Notfallkonten anlegen Zwei reine Cloudkonten mit dauerhafter Rolle Globaler Administrator, ausgenommen von allen Richtlinien.
4. MFA erzwingen Sicherheitsstandards aktiv lassen oder gleichwertige Richtlinien für bedingten Zugriff anlegen, danach aktive Token widerrufen.
5. Freigaben und Postfachschutz nachziehen Externe Freigabe eingrenzen, Identitätswechselschutz befüllen, Aufbewahrungsfristen setzen.
6. Termin für die Nachschau setzen Halbjährlich prüfen, weil Microsoft Standardwerte und Funktionsnamen laufend ändert.

Der letzte Punkt ist der, an dem die meisten Konfigurationen zerfallen. Kleine und mittlere Unternehmen, die ihr Microsoft 365 betreuen lassen, verlagern mit dem Betrieb auch diese Nachpflege — die Microsoft-365-Grundkonfiguration ist kein Projekt mit Enddatum, sondern eine wiederkehrende Position. Hinter dem Angebot steht ein Anbieter, der sich so beschreibt: kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004).

Was eine Grundkonfiguration nicht leistet

Die zehn Einstellungen aus der Tabelle schließen die Lücken, die aus dem Auslieferungszustand stammen. Sie ersetzen weder Endpunktschutz auf den Geräten noch eine Prüfung der eingesetzten Drittanbieter-Apps, die per OAuth Zugriff auf Postfächer erhalten haben. Sie beantworten auch keine Frage der Datenklassifizierung: Welche Dokumente überhaupt geteilt werden dürfen, entscheidet kein Schalter im Admin Center.

Und sie ersetzen keine Übung. Ein Mandant mit sauberer Grundkonfiguration, in dem niemand weiß, wer im Ernstfall Token widerruft und Sitzungen beendet, ist besser gestellt als vorher, aber nicht handlungsfähig. Der BSI-Lagebericht 2025 benennt genau diese Kombination als Muster im Mittelstand: fehlende Ressourcen und fehlendes Bewusstsein für die eigene Verwundbarkeit, während große Betreiber ihre Schutzmaßnahmen ausbauen.

Häufige Fragen

Sind die Sicherheitsstandards in Microsoft 365 automatisch aktiv?

Bei Mandanten, die am oder nach dem 22. Oktober 2019 erstellt wurden, werden die Sicherheitsstandards laut Microsoft bei der Erstellung konfiguriert; die Erzwingung setzt nach einer Nachfrist von 24 Stunden ein. Ältere Mandanten haben sie in der Regel nicht, und Microsoft aktiviert sie nachträglich nur bei Organisationen ohne Richtlinien für bedingten Zugriff, ohne Premium-Lizenzen und ohne aktive Legacy-Clients. Wer die Standards einmal abgeschaltet hat, bekommt sie nicht automatisch zurück.

Was gehört zur Grundkonfiguration eines Microsoft-365-Mandanten im Mittelstand?

Multi-Faktor-Authentifizierung für alle Konten, das Blockieren von Legacy-Authentifizierung und Gerätecodefluss, ein eingeschaltetes Überwachungsprotokoll, eingegrenzte externe Freigaben in SharePoint und OneDrive, konfigurierter Identitätswechselschutz in Defender für Office 365, aktivierte Self-Service-Kennwortzurücksetzung, auf 30 Tage angehobene Aufbewahrung gelöschter Elemente sowie zwei Notfallzugriffskonten. Alle acht Punkte müssen aktiv gesetzt werden, keiner ergibt sich aus der Migration.

Ist das Überwachungsprotokoll in Microsoft 365 Business Premium eingeschaltet?

Nein. Die Microsoft-Dokumentation nennt Business Basic, Business Standard und Business Premium ausdrücklich als Ausnahme von der Voreinstellung: Bei diesen Lizenzen ist die Überwachung nicht standardmäßig aktiviert und muss manuell eingeschaltet werden. Der Status lässt sich in der Exchange-Online-PowerShell über die Eigenschaft UnifiedAuditLogIngestionEnabled prüfen. Nach dem Einschalten dauert es bis zu 60 Minuten, bis Ereignisse durchsuchbar sind; rückwirkende Daten entstehen nicht.

Ersetzt die Aufbewahrung in Microsoft 365 ein Backup?

Nein. Endgültig gelöschte Elemente bleiben in Exchange Online voreingestellt 14 Tage wiederherstellbar, maximal lassen sich 30 Tage einstellen; Postfächer gelöschter Konten bleiben 30 Tage verfügbar. Diese Fristen decken Bedienfehler ab, die schnell bemerkt werden. Für spät entdeckte Verschlüsselung, ausgeschiedene Mitarbeitende oder mehrjährige Nachweispflichten reichen sie nicht — dafür braucht es eine unabhängige Kopie außerhalb des Mandanten.

Wie aussagekräftig ist der Microsoft Secure Score?

Als Verlaufsanzeige ist er brauchbar, als absolute Note nicht. Microsoft zeigt alle Empfehlungen eines Produkts unabhängig von Lizenzedition und Plan an, sodass ein Mandant mit Business-Lizenzen Maßnahmen sieht, die er nicht umsetzen kann, und seine erreichbare Punktzahl strukturell begrenzt ist. Microsoft weist zudem selbst darauf hin, dass Sicherheit mit Benutzerfreundlichkeit abgewogen werden muss und nicht jede Empfehlung zu jeder Umgebung passt.