Microsoft-365-Sicherheit: Die KMU-Checkliste 2026

Die Mehrheit der Schweizer KMU nutzt Microsoft 365. Die Standardkonfiguration ist nicht sicher genug. Diese Checkliste zeigt die 10 wichtigsten Sicherheitseinstellungen, die Sie sofort umsetzen können.

Die Standardkonfiguration von Microsoft 365 priorisiert Benutzerfreundlichkeit, nicht Sicherheit. Ein Grossteil der erfolgreichen Phishing-Angriffe auf Schweizer KMU nutzt genau diese Standardlücken aus, und laut der KMU-Cyberstudie 2025 fühlen sich nur 42% ausreichend geschützt. Der typische Fall: Die Einrichtung hat vor Jahren der IT-Partner übernommen, seither hat niemand die Sicherheitseinstellungen geprüft. Diese Checkliste zeigt die zehn Einstellungen, die den grössten Unterschied machen.

Identität und Zugang absichern

Die ersten drei Einstellungen betreffen den wichtigsten Angriffsvektor: gestohlene Zugangsdaten. 1. Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) für alle Benutzer, ohne Ausnahme. Nutzen Sie die Microsoft Authenticator App oder FIDO2-Schlüssel, nicht SMS. 2. Richten Sie Conditional Access Policies ein: Zugriff nur von verwalteten Geräten, nur aus der Schweiz, nur mit aktuellen Sicherheitsupdates. 3. Deaktivieren Sie Legacy-Authentifizierungsprotokolle (IMAP, POP3, SMTP Auth), denn diese umgehen MFA komplett und sind das häufigste Einfallstor.

E-Mail-Sicherheit konfigurieren

E-Mail bleibt der Angriffsvektor Nummer eins. 4. Aktivieren Sie Safe Attachments und Safe Links in Microsoft Defender for Office 365, damit Anhänge in einer Sandbox geprüft und Links beim Klick verifiziert werden. 5. Konfigurieren Sie SPF, DKIM und DMARC für alle Ihre Domains, damit Angreifer keine E-Mails in Ihrem Namen versenden können. 6. Aktivieren Sie Anti-Phishing-Policies mit Impersonation Protection für Ihre Geschäftsleitung, denn CEO-Fraud-Meldungen in der Schweiz steigen seit Jahren stark an.

Daten und Geräte schützen

7. Richten Sie Data Loss Prevention (DLP) Regeln ein, damit sensible Daten (AHV-Nummern, Kreditkartennummern, Gesundheitsdaten) nicht versehentlich per E-Mail oder Teams nach aussen gelangen. 8. Aktivieren Sie BitLocker-Verschlüsselung über Intune für alle Firmengeräte, damit verlorene Laptops kein Datenschutzvorfall werden. 9. Konfigurieren Sie automatisches Session-Timeout (Idle-Timeout 15 Minuten) für Web-Sessions, damit offene Browser-Tabs kein Risiko darstellen.

Monitoring und Nachvollziehbarkeit

10. Aktivieren Sie das Unified Audit Log und richten Sie Alert-Policies ein für verdächtige Aktivitäten: unmögliche Reiseaktivität (Login aus Zürich und Lagos innerhalb einer Stunde), Massendownloads von SharePoint, Erstellung von Inbox-Weiterleitungsregeln. Diese Logs sind auch Pflicht für die nDSG-Compliance, denn ohne Nachvollziehbarkeit können Sie einen Datenvorfall weder erkennen noch korrekt melden.

Nächste Schritte

Diese zehn Einstellungen decken die kritischsten Lücken ab und lassen sich an einem Arbeitstag umsetzen. Für ein vollständiges M365 Security Assessment empfehlen wir zusätzlich: Microsoft Secure Score als Benchmark (Ziel: über 80%), regelmässige Access Reviews für Gastbenutzer und externe Freigaben, sowie eine jährliche Überprüfung der Konfiguration. MilesGuard führt M365 Security Assessments für KMU durch: Wir prüfen Ihre aktuelle Konfiguration gegen Best Practices, erstellen einen priorisierten Massnahmenplan und begleiten die Umsetzung.