5 Anzeichen, dass Ihre Microsoft Umgebung nicht so sicher ist, wie Sie denken

Sie wissen gar nicht genau, welcher Schutz in Ihrem Microsoft-Plan enthalten ist

„Wir haben Microsoft 365“ klingt klar. Ist es aber nicht.

Microsoft unterscheidet selbst deutlich zwischen Business Basic, Business Standard und Business Premium. Business Premium umfasst laut Microsoft zusätzlich erweiterten Schutz vor Cyberbedrohungen und Gerätemanagement-Funktionen. Schon daran sieht man: Microsoft 365 ist nicht automatisch gleich Microsoft 365, wenn es um Sicherheit geht.

Für Geschäftsführer ist das kein Lizenzdetail. Es ist eine Führungsfrage. Denn wenn niemand sauber sagen kann, welcher Schutz eingekauft wurde und was davon tatsächlich genutzt wird, wird Sicherheit schnell zur Annahme statt zur Entscheidung.

Sie setzen auf den mitgelieferten Schutz, ohne zu prüfen, ob er für Ihre Situation genügt 

Microsoft liefert von Haus aus bestimmte Sicherheitsfunktionen mit. Hinter Begriffen wie „Security Defaults“ steckt also zunächst einmal ein sinnvoller „Grundschutz“ – aber eben nicht automatisch die passende Absicherung für jedes Unternehmen.

Microsoft macht selbst deutlich, dass diese Grundeinstellungen nur der Startpunkt sind. Je nach Unternehmen braucht es darüber hinaus zusätzliche Schutzregeln.

Viele Unternehmensentscheider sehen bei zusätzlichen Investitionen in Sicherheit vor allem den Kostenfaktor. Weniger sichtbar ist, dass genau dieser Schutz dazu beiträgt, größere Schäden für Betrieb, Vertrauen und Image zu vermeiden.

Das ist der entscheidende Punkt:
Grundschutz ist nicht dasselbe wie angemessener Schutz.

Für ein kleines, wenig komplexes Umfeld kann ein Basissetup ein sinnvoller Anfang sein. Für ein Unternehmen mit mobilen Mitarbeitern, sensiblen Daten, externen Freigaben oder höheren Anforderungen reicht „wir haben die Standards an“ oft nicht aus.

Das ist keine Panikmache, sondern schlicht die Logik, die Microsoft selbst beschreibt.

Multifaktor-Authentifizierung ist nicht konsequent durchgesetzt

Wenn ich nur einen Punkt nennen dürfte, auf den Geschäftsführer sofort schauen sollten, wäre es dieser.

Microsoft verweist außerdem darauf, dass Multifaktor-Authentifizierung (MFA) mehr als 99,2 % der Versuche blockieren kann, Benutzerkonten zu übernehmen. Für die Praxis heißt das: Wenn Mitarbeiter mit Benutzername und Passwort auf E-Mails, Dateien, Teams und Kundendaten zugreifen, dann ist das Benutzerkonto selbst ein geschäftskritischer Zugangspunkt.

Und wenn MFA nicht für alle relevanten Konten sauber umgesetzt ist, ist das kein kleines Technikdetail. Es ist ein vermeidbares Geschäftsrisiko.

Sie setzen Microsoft 365 mit „automatisch sicher“ gleich

Das ist wahrscheinlich der häufigste Denkfehler.

Microsoft 365 kann viel. Aber Microsoft sagt nirgends: „Sie kaufen einen Plan, und damit ist Sicherheit vollständig gelöst.“ Im Gegenteil: Das Modell geteilter Verantwortung macht klar, dass die Sicherheitsaufgaben zwischen Anbieter und Kunde aufgeteilt sind.

Oder einfacher gesagt:
Microsoft kann eine starke Basis liefern. Aber die eigene Sicherheitssteuerung nimmt Ihnen niemand ab.

Genau deshalb entsteht in vielen Unternehmen eine trügerische Sicherheit. Man sieht die Professionalität der Plattform und schließt daraus auf die eigene Sicherheitsreife. Das eine folgt aus dem anderen aber nicht automatisch.

Niemand kann Ihnen klar sagen, wie aus vorhandenen Funktionen echte Schutzwirkung wird

Ein Unternehmen kann Schutzfunktionen lizenziert haben und trotzdem im Alltag zu wenig Wirkung erzielen. Microsofts eigene Sicherheitslogik zeigt bereits, dass es auf die konsequente Umsetzung ankommt: Ein Grundschutz ist hilfreich. Entscheidend ist aber, ob er zu Ihrem Unternehmen passt und ob die vorhandenen Funktionen richtig eingesetzt werden.

Für Geschäftsführer lautet die entscheidende Frage deshalb nicht:

„Haben wir Microsoft 365?“

Sondern:

„Haben wir in unserer Microsoft-Umgebung die Schutzmechanismen, die zu unserem Risiko passen – und sind sie sauber umgesetzt?“

Erst an dieser Stelle wird aus einer Lizenz ein Sicherheitsniveau.