In einem Schweizer KMU vereint Microsoft 365 fast alles, was zählt: die E-Mail-Kommunikation, die Dateien, den internen Austausch, oft auch den Kalender und die Kontakte. Ein Angreifer, der sich gültigen Zugriff auf diese Umgebung verschafft, muss nichts mehr erzwingen. Er liest, er wartet, er sucht sich seinen Moment.
Die gute Nachricht ist, dass der wesentliche Schutz bereits in Ihrem Abonnement enthalten ist. Die schlechte ist, dass er nicht standardmässig aktiv ist und niemand Sie daran erinnern wird.
Warum reicht die Standardkonfiguration nicht aus?
Ein Microsoft-365-Abonnement wird so geliefert, dass es sofort funktioniert, für alle, ohne Hindernisse. Das ist eine nachvollziehbare geschäftliche Entscheidung: Ein Produkt, das seine Nutzenden am ersten Tag blockiert, verkauft sich nicht.
Diese Logik hat eine direkte Folge. Die Standardeinstellungen bevorzugen die Benutzerfreundlichkeit gegenüber dem Schutz. Das Teilen von Dateien ist grosszügig geregelt, Verbindungen von überall werden akzeptiert, und detaillierte Protokolle sind nicht alle aktiviert.
Hinzu kommt eine häufige Verwechslung bei der Aufteilung der Verantwortung. Microsoft garantiert die Sicherheit seiner Infrastruktur und die Verfügbarkeit des Dienstes. Die Konfiguration Ihrer eigenen Umgebung hingegen liegt bei Ihnen: die Konten, die Berechtigungen, die Zugriffsregeln, die Art, wie Ihre Daten das Unternehmen verlassen. Viele Geschäftsführende glauben in gutem Glauben, einen sicheren Dienst gekauft zu haben. Gekauft haben sie einen absicherbaren Dienst.
Das Abonnement gibt Ihnen Schlösser guter Qualität. Es schliesst sie nicht an Ihrer Stelle ab, und es entscheidet nicht, wer einen Schlüssel erhält. Fast alle Kompromittierungen geschäftlicher Mailboxen, von denen KMU betroffen sind, nutzen eine standardmässig belassene Konfiguration aus, nicht eine Schwachstelle des Produkts.
Die Zwei-Faktor-Authentifizierung, auch für den Administrator
Das ist die lohnendste Massnahme dieser ganzen Liste, und die einzige, die wirklich nicht verhandelbar ist. Ein gestohlenes, erratenes oder aus einem Datenleck stammendes Passwort reicht nicht mehr aus, um sich anzumelden, wenn ein zweiter Nachweis verlangt wird.
Zwei Punkte werden dabei systematisch übersehen.
Die Abdeckung muss vollständig sein. Eine Zwei-Faktor-Authentifizierung, die auf vierzehn von fünfzehn Personen angewendet wird, schützt vierzehn Personen. Der Angreifer sucht gezielt die fünfzehnte, und er findet sie: Oft ist es das Konto einer Führungsperson, die eine Ausnahme verlangt hat, «weil das auf Reisen lästig ist», oder eine gemeinsam genutzte Adresse wie info@, die niemand als echtes Konto betrachtet.
Die Administratorkonten haben Priorität. Sie sind es, die das Erstellen von Konten, das Ändern von Regeln und das Lesen aller Postfächer erlauben. Ein Administratorkonto ohne Zwei-Faktor-Authentifizierung hebt den Nutzen aller anderen Massnahmen auf. Prüfen Sie auch, wie viele Konten über diese Rechte verfügen: In vielen KMU sind es aus rein historischen Gründen drei oder vier, obwohl zwei genügen würden.
Die genaue Funktionsweise der verschiedenen Methoden und ihre Unterschiede in der Robustheit werden in unserem Artikel zur Zwei-Faktor-Authentifizierung erklärt.
Veraltete Protokolle, die Tür, die alles umgeht
Hier kommt der Punkt, den fast kein KMU kennt und der einen grossen Teil der Kompromittierungen erklärt, obwohl die Zwei-Faktor-Authentifizierung aktiviert ist.
Microsoft 365 akzeptiert in manchen Umgebungen noch alte Verbindungsmethoden, die aus E-Mail-Programmen aus der Zeit vor dem Web stammen. Diese Methoden haben ein entscheidendes Merkmal: Sie können mit einem zweiten Überprüfungsschritt nicht umgehen. Ein Anmeldeversuch über diesen Weg legt einen Benutzernamen und ein Passwort vor, und nichts anderes wird von ihm verlangt.
Anders gesagt: Sie können die Zwei-Faktor-Authentifizierung für alle aktiviert haben und trotzdem einen Zugang offenlassen, der sie vollständig ignoriert. Automatisierte Angriffe testen diesen Kanal massenhaft, gerade weil er bei vielen Organisationen offen bleibt.
Das zu formulierende Ziel ist einfach: Es darf keine Authentifizierung mehr ohne die moderne Methode möglich sein. Die Umsetzung erfordert vorab die Prüfung, ob kein altes Gerät von diesen Protokollen abhängt, typischerweise ein Multifunktionskopierer, der gescannte Dokumente per E-Mail verschickt, oder eine Fachanwendung, die Rechnungen versendet.
Wie erkennt man ein kompromittiertes Postfach?
Ein Angreifer, der sich Zugang zu einer Mailbox verschafft hat, meldet sich nicht. Sein Interesse liegt darin, möglichst lange mitzulesen, um zu verstehen, wer was und wann bezahlt. Er hinterlässt dabei jedoch fast immer dieselbe Spur.
Das ist das zuverlässigste Zeichen einer entführten Mailbox. Der Eindringling erstellt eine Regel, die alle Nachrichten mit «Rechnung», «IBAN» oder «Zahlung» an eine externe Adresse kopiert und sie dann in einen Ordner verschiebt, den niemand öffnet. Er liest so weiter mit, selbst nach einer Passwortänderung. Lassen Sie die externen Weiterleitungsregeln aller Ihrer Postfächer auflisten: Diese Prüfung dauert wenige Minuten und deckt monatealte Eindringlinge auf.
Zwei weitere Anzeichen verdienen Beachtung. Erfolgreiche Anmeldungen aus Ländern, in denen Sie weder Kundinnen und Kunden noch Mitarbeitende haben, sichtbar in den Anmeldeprotokollen. Und Bestätigungsanfragen der Zwei-Faktor-Authentifizierung, die Mitarbeitende erhalten, ohne sich angemeldet zu haben, ein Zeichen dafür, dass jemand bereits das Passwort besitzt und an die Tür klopft.
Diese Vorgehensweise, und was sie im Anschluss ermöglicht, wird in unserem Artikel zur Kompromittierung geschäftlicher E-Mail-Konten im Detail erklärt.
Sind Ihre Dateien weiter freigegeben, als Sie denken?
SharePoint und OneDrive erlauben es, ein Dokument über einen Link zu teilen. Zwei Standardeinstellungen bereiten dabei Probleme.
Die erste ist die Art des von sich aus vorgeschlagenen Links, der jeder Person, die ihn besitzt, ohne Authentifizierung Zugriff geben kann. Es reicht, dass er einmal weitergeleitet wird, um ausserhalb Ihrer Kontrolle zu gelangen.
Die zweite ist das Fehlen eines Ablaufdatums. Ein für einen einmaligen Austausch erstellter Link bleibt unbegrenzt aktiv, auch nachdem der betreffende Dienstleister oder die Kundin oder der Kunde nicht mehr involviert ist.
Das zu verlangende Ziel lässt sich in zwei Sätzen zusammenfassen. Der standardmässig vorgeschlagene Link sollte sich an namentlich bezeichnete Personen richten und nicht an «jede Person mit dem Link». Externe Links sollten nach einer angemessenen Frist automatisch ablaufen.
| Was Sie erreichen sollten | Warum | Wer es umsetzen kann |
|---|---|---|
| Zwei-Faktor-Authentifizierung für alle, ohne Ausnahme | Macht gestohlene Passwörter unwirksam | Dienstleister, oder Sie selbst mit Unterstützung |
| Veraltete Authentifizierungsprotokolle gesperrt | Schliesst die Umgehung der Zwei-Faktor-Authentifizierung | Dienstleister, nach einer Bestandsaufnahme |
| Administratorkonten eingeschränkt und geschützt | Verkleinert das begehrteste Angriffsziel | Sie selbst, indem Sie entscheiden, wer die Rechte benötigt |
| Alarm bei neuen externen Weiterleitungsregeln | Erkennt ein kompromittiertes Postfach in Tagen statt Monaten | Dienstleister |
| Freigabelinks eingeschränkt und zeitlich befristet | Verhindert, dass Ihre Dokumente unbegrenzt zirkulieren | Dienstleister |
| Protokollierung der Anmeldungen aktiviert und aufbewahrt | Ermöglicht, im Nachhinein zu verstehen, was geschehen ist | Dienstleister |
Wie prüft man den aktuellen Stand, ohne IT-Fachperson zu sein?
Sie müssen nicht wissen, wie man etwas konfiguriert, um zu wissen, wo Sie stehen. Sie müssen die richtigen Fragen stellen und schriftliche Antworten verlangen.
Bei wie vielen unserer Konten ist die Zwei-Faktor-Authentifizierung nicht aktiviert, und bei welchen? Wie viele Konten verfügen über Administratorrechte? Sind veraltete Authentifizierungsprotokolle gesperrt? Welche Postfächer haben eine Weiterleitungsregel an eine externe Adresse? Laufen externe Freigabelinks ab, und nach welcher Zeit? Wie lange werden die Anmeldeprotokolle aufbewahrt? Verlangen Sie die Antwort schriftlich, mit Zahlen. Ein «alles ist in Ordnung» ist keine Antwort.
Microsoft stellt zudem im Verwaltungsbereich einen Sicherheitswert zur Verfügung, der Ihre Konfiguration bewertet und nach Wirkung geordnete Massnahmen vorschlägt. Das ist kein Audit, und ein guter Wert bedeutet nicht, dass Sie geschützt sind. Er ist aber ein ausgezeichneter Ausgangspunkt für ein sachliches Gespräch mit Ihrem Dienstleister.
Parallel dazu zeigt Ihnen das E-Mail-Prüfwerkzeug in wenigen Sekunden, ob Ihre Domain korrekt gegen Identitätsmissbrauch konfiguriert ist, ein verwandtes Thema, das in unserem Artikel zu SPF, DKIM und DMARC behandelt wird.
Was Sache einer Fachperson ist
Sie können allein entscheiden, wer Administratorrechte benötigt, die Zwei-Faktor-Authentifizierung überall verlangen und die sechs oben genannten Fragen stellen. Das ist bereits beträchtlich und stellt Sie über die Mehrheit der KMU Ihrer Grösse.
Drei Dinge erfordern hingegen jemanden, der weiss, wo er hinschauen muss. Das Sperren veralteter Protokolle, weil zunächst die davon abhängigen Geräte und Programme erfasst werden müssen, um den Versand Ihrer Rechnungen nicht zu unterbrechen. Die Einrichtung von bedingten Zugriffsregeln, die das Anforderungsniveau je nach Gerät und Herkunft der Verbindung anpassen. Und die Durchsicht der über die Jahre angesammelten Berechtigungen auf Ihren Dateibereichen, eine Aufgabe, die unser Artikel zur Zugriffsverwaltung zusammenfasst.
Ein letzter, oft vergessener Punkt: Microsoft 365 bewahrt Ihre Daten auf, es sichert sie jedoch nicht in dem Sinne, den Sie darunter verstehen. Der Papierkorb und der Versionsverlauf haben begrenzte Aufbewahrungsfristen, und ein absichtlich gelöschtes Element kann endgültig verschwinden. Diese Frage wird in der 3-2-1-Backup-Regel behandelt.
Diese Einstellungen bilden eine solide Grundlage, aber keine Garantie. Jede Umgebung hat ihre eigenen Gewohnheiten und Ausnahmen, und nur eine Überprüfung Ihrer Konfiguration zeigt, was bei Ihnen fehlt. Um Ihr allgemeines Niveau einzuordnen, gibt Ihnen der Cyber-Check-up eine erste Einschätzung, und der Themenbereich Bewährte Praktiken fasst die verwandten Massnahmen zusammen.