Konfiguration als Sicherheitsrisiko im Mittelstand

Cybersecurity rückt im Mittelstand stärker in das Bewusstsein.

Leider herrscht dabei noch immer das Denken, die eigene Umgebung sei eine mittelalterliche Burg: Der Schutz findet außen statt – durch dicke Mauern, Burggraben und Hängebrücken. Kaum einer überlegt dabei, wie sicher es innerhalb der Burg zugeht. Der beste Perimeterschutz ist wirkungslos, wenn jemand die zu schützenden Inhalte von innen über den Zaun nach draußen wirft.

Der Mittelstand unterschätzt Konfigurationsrisiken

Microsoft 365 ist in vielen mittelständischen Unternehmen alles in einem: Arbeitsplatz, Kommunikationszentrale, Dateiablage, Identitätsplattform, Kollaborationsraum und zunehmend auch die Datenbasis für KI-Anwendungen.

Wie bei der Burg wird darauf geachtet, dass von außen alles abgeschirmt ist. Immerhin bietet Microsoft 365 eigene Sicherheitsfunktionen: Identitätsschutz, Multifaktor-Authentifizierung, Conditional Access und vieles mehr.

Aber kaum jemand fragt: Ist Microsoft auch sicher konfiguriert?

Das Vorhandensein von Lösungen reicht nicht. Sicherheit entsteht erst, wenn diese Lösungen passend konfiguriert sind. Und die Konfiguration ist unserer Erfahrung nach der blinde Fleck vieler Unternehmen.

Das fehlende Bewusstsein ist leicht erklärt: Falsche Konfigurationen kommen nicht dem großen Knall wie Cyberangriffe. Die Risiken entstehen schleichend über Monate und Jahre: eine schnelle Entscheidung hier, kleine Ausnahmen da, neue Tools, neue Teams oder neue Projekte.

Das Tückische: Jede einzelne Entscheidung kann in der jeweiligen Situation sinnvoll gewesen sein. Insgesamt entsteht aber eine Umgebung, die niemand vollständig überblickt – und das ist gefährlich.

Konfigurationen als Angriffsfläche: 3 typische Risikozonen in Microsoft 365

1. Identitäten und Zugriffe

Wer eine Identität kapert, erreicht Daten, Kommunikation und Geschäftsprozesse. Der wirkungsvollste Parameterschutz ist hier Conditional Access. Dabei werden Signale wie User, Gruppen, Standort, Gerät, Anwendung oder Risiko genutzt, um den Zugriff zu steuern. Die Logik: Wenn ein User zugreifen möchte, muss er eine oder mehrere Bedingungen erfüllen.

Das klingt technisch, ist aber im Kern simpel: Nicht jede Anmeldung sollte gleich behandelt werden.

Ein Admin-Zugriff aus dem Büro ist etwas anderes als ein Login-Versuch aus einem unbekannten Land. Ein normales Benutzerkonto ist etwas anderes als ein globaler Administrator. Ein verwaltetes Gerät ist etwas anderes als ein privater Rechner.

Die Herausforderung: Conditional Access ist hochwirksam, aber auch anspruchsvoll. Zu wenig Schutz lässt Lücken. Zu harte Regeln blockieren Arbeit. Zu viele Ausnahmen machen das Konzept unübersichtlich.

Darum braucht Zugriffsschutz ein klares Rollen- und Risikoverständnis – und die entsprechenden Einstellungen dahinter.

2. E-Mail-Sicherheit

Angreifer attackieren Ziele, die leicht zu knacken sind. Das ist bei E-Mail-Konfigurationen leider der Fall. Ende 2025 haben wir eine Untersuchung durchgeführt: In einer Analyse öffentlich einsehbarer Informationen zur E-Mail-Security betrachteten wir 11.250 mittelständische Unternehmen und Organisationen in der DACH-Region mit bis zu 2.000 Mitarbeitenden.

Das Ergebnis: Mehr als 80 % der untersuchten Unternehmen hatten ihre E-Mail-Security nicht ausreichend oder fehlerhaft konfiguriert. Zwar setzen 96,8 % SPF ein, aber SPF allein reicht als Schutz nicht aus. Erst im Zusammenspiel mit DKIM und DMARC entsteht ein belastbarer Schutz gegen Spoofing und Phishing.

Defender for Microsoft 365 und Exchange Online Protection helfen, aber ihre volle Wirkung entfalten sie nur, wenn die Basiskonfiguration stimmt. Fehlen SPF, DKIM und DMARC oder sind sie nicht sauber aufeinander abgestimmt, entsge.

In der Praxis haben viele Unternehmen SPF und sogar DKIM eingerichtet. DMARC steht dann aber auf „none“, wird nicht ausgewertet oder passt nicht zu allen legitimen Versanddiensten. Damit wird der Schutz wirkungslos.

3. Zusammenarbeit, Freigaben und Schattenstruktur

Microsoft 365 lebt von Zusammenarbeit. Teams, SharePoint, OneDrive, Planner, Loop, externe Gäste, Freigabelinks: Alles ist auf kollaborative Arbeit ausgelegt.

Zusammenarbeit braucht definierte Regeln: Wer darf externe Gäste einladen? Wie lange bleiben Gastkonten aktiv? Welche Links dürfen erstellt werden? Können Dateien anonym geteilt werden? Gibt es Unterschiede zwischen internen Projekten, Kundendaten und vertraulichen Dokumenten? Werden Teams und Gruppen regelmäßig überprüft?

Diese organisatorischen Fragen sind hochgradig sicherheitsrelevant.

Datenabfluss passiert schnell durch falsche Freigaben, alte Projektstrukturen oder Rechte, die nie wieder entfernt wurden.

Einstieg: Wie ist der eigene Tenant konfiguriert?

Wer sich unsicher ist, wie der eigene Microsoft-365-Tenant aussieht, sollte eine strukturierte Prüfung vornehmen: aktuelle Konfiguration ansehen, Auffälligkeiten bewerten, Risiken einordnen und daraus konkrete Schritte ableiten.

Die Grundlage ist Transparenz. Unternehmen sollten regelmäßig prüfen:

• Welche privilegierten Konten gibt es?
• Ist Multifaktor-Authentifizierung konsequent umgesetzt?
• Gibt es Conditional-Access-Regeln, die zum Risiko passen?
• Welche externen Benutzer und Freigaben existieren?
• Wie sind SharePoint, OneDrive und Teams in Bezug auf externe Zusammenarbeit konfiguriert?
• Sind SPF, DKIM und DMARC sauber eingerichtet und wirksam?
• Werden sicherheitsrelevante Änderungen nachvollziehbar dokumentiert?
• Gibt es zu erfüllende Standards, zum Beispiel entlang von BSI, CIS oder internen Vorgaben?

Für Organisationen, die eine solche Standortbestimmung brauchen, ist ein Microsoft-365-Compliance-Check ein pragmatischer Einstieg. Unser Microsoft 365 Compliance Assessment prüft den Tenant mit automatisierter Analyse, Report und gemeinsamer Einordnung der Findings. Der Fokus liegt dabei auf Transparenz über Konfigurationen und Auffälligkeiten.

Für Startups ist ein anderer Ansatz wichtig: Sicherheit nicht später „nachrüsten“, sondern von Anfang an mitdenken. M365 Safe Start richtet sich an kleine Unternehmen und Startups, die Microsoft 365 professionell, strukturiert und mit hohen Sicherheitsstandards einrichten möchten.

Beides folgt demselben Prinzip: Nicht warten, bis der Tenant unübersichtlich geworden ist, sondern früh Transparenz schaffen.

Fazit:

Konfigurationsrisiken sichtbar machen

Die meisten Sicherheitslücken in gewachsenen M365-Tenants entstehen, weil viele kleine Entscheidungen nie wieder überprüft werden.

Das ist Realität im Mittelstand: Unternehmen wachsen, verändern sich, reagieren schnell auf Kundenanforderungen und setzen digitale Werkzeuge pragmatisch ein.

Die Lösung: Ein gut konfigurierter Microsoft-365-Tenant schützt vor Angriffen und schafft Vertrauen in die eigene digitale Arbeitsumgebung. Produktivität bringt Unternehmen voran, aber nur eine kontrollierte und sauber konfigurierte Umgebung sorgt dafür, dass dieses Wachstum auf einem sicheren Fundament fußt.

Ergo: Wer Microsoft 365 absichert, schützt die Arbeitsfähigkeit seines Unternehmens.