10. April 2026
Maximale IT-Sicherheit mit Microsoft-Basislizenzen
Tobias Wilke
@wilketob
Ein Szenario, das viele Managed Service Provider kennen: 30 Kunden, jeder davon 5 bis 20 Mitarbeiter, knappe Budgets. Microsoft 365 E5 ist für diese Zielgruppe schlicht kein Thema. Die meisten Umgebungen laufen auf Exchange Online, Business Standard oder bestenfalls Business Premium.
Das ist kein Grund zur Resignation. Selbst in diesen Basislizenzen stecken erhebliche Sicherheitsfunktionen - die meisten davon sind entweder standardmäßig ausgeschaltet oder werden nie konfiguriert. Dieser Artikel zeigt, was du bereits hast und wie du es nutzt.
Exchange Online Protection: Mehr als ein Spamfilter
Jede Umgebung mit Exchange Online bringt automatisch die Exchange Online Protection (EOP) mit. Kein Aufpreis, keine manuelle Aktivierung. EOP filtert bekannte bösartige IPs, Spam und bekannte Virensignaturen, bevor eine E-Mail das Postfach erreicht.
Was viele nicht nutzen: Im Exchange Admin Center unter Reports findest du auswertbare Berichte zu erkannter Malware, Phishing-Versuchen und Spoofing-Aktivitäten gegen deine Domain. Das sind keine dekorativen Dashboards - wenn Angreifer aktiv deine Domain imitieren, taucht das hier auf.
Ein weiterer unterschätzter Baustein ist das Purview Compliance Portal. Es liefert kostenlose Standardwarnungen, die für kleine Umgebungen oft wertvoller sind als teure SIEM-Lösungen:
- Massenhafte Dateilöschungen - ein klassisches Frühwarnsignal vor Ransomware
- E-Mail-Weiterleitungsregeln - eine der beliebtesten Methoden nach einer Kontoübernahme
Der zweite Punkt ist besonders kritisch. Nach einem kompromittierten Konto richten Angreifer häufig eine stille Weiterleitungsregel ein, die alle eingehenden E-Mails an eine externe Adresse kopiert. Diese Aktivität läuft wochen- oder monatelang unbemerkt. Eine konfigurierte Warnung im Compliance Portal kostet nichts und stoppt genau das frühzeitig.
Ab Business Standard kommt das Unified Audit Log hinzu. Damit lassen sich Alarme für unautorisierten Postfachzugriff einrichten - also für den Fall, dass jemand auf ein Postfach zugreift, dem es nicht gehört. Genau dieser Angriffsvektor war der Ausgangspunkt mehrerer bekannter großangelegter Einbrüche.
Windows Defender: Unterschätzt, aber konkurrenzlos
Viele MSPs betreiben oder verkaufen noch Drittanbieter-Antivirensoftware. Das sollte überdacht werden.
Der in Windows integrierte Defender Antivirus ist gemessen an unabhängigen Tests eine der besten Antivirenlösungen für Windows - und Microsoft betreibt eines der größten Bedrohungsintelligenz-Netzwerke der Welt. Wird auf einem Gerät irgendwo eine neue Bedrohung erkannt, sind Windows-Geräte weltweit innerhalb von Sekunden durch aktualisierte Signaturen abgedeckt.
Zwei Features, die ich in fast jeder Umgebung deaktiviert vorfinde:
Tamper Protection verhindert, dass Angreifer den Virenschutz abschalten - auch dann, wenn sie lokale Administratorrechte erlangt haben. Ohne Tamper Protection kann ein Angreifer mit Admin-Zugriff den Schutz einfach deaktivieren, bevor er seine Nutzlast ausführt.
Attack Surface Reduction (ASR) Rules blockieren gezielt gefährliche Verhaltensweisen: Office-Programme dürfen keine ausführbaren Prozesse starten, keine Makros aus dem Internet nachladen, keine Shellcode-Injektionen durchführen. Die meisten Regeln lassen sich zunächst im Audit-Modus aktivieren - du siehst, was sie blockieren würden, ohne den laufenden Betrieb zu stören. Erst dann schaltest du auf Enforce.
Entra Security Defaults: Gratis-MFA ohne Wenn und Aber
Microsofts kostenlose Identitätsschutzebene heißt Entra Security Defaults. Mit einer einzigen Einstellung erzwingst du MFA für alle Benutzer und blockierst automatisch als riskant eingestufte Anmeldeversuche - basierend auf Microsofts globalem Telemetrienetz.
Security Defaults sind nicht granular konfigurierbar. Das ist ihr einziger Nachteil - und gleichzeitig ihr Vorteil: Es gibt keine Ausnahmen, keine "aber dieser eine Admin braucht es anders"-Lücken. Du aktivierst sie, der Baseline-Schutz greift für alle.
Wer feingranulares Conditional Access benötigt, braucht Entra ID P1. Für die meisten kleinen Umgebungen reichen Security Defaults vollständig aus.
Sensibilitätskennzeichnungen und DLP
Ab Business Standard stehen manuelle Sensitivity Labels zur Verfügung. Nutzer können E-Mails und Dateien mit Kennzeichnungen versehen (intern, vertraulich, streng vertraulich), die automatisch die Verschlüsselung steuern.
Die Cloud-basierte Data Loss Prevention (DLP) kann konfiguriert werden, um Benutzer zu warnen oder das Senden zu blockieren, wenn sensible Daten - Kreditkartennummern, Steuer-IDs, Passdaten - in E-Mails oder SharePoint-Dokumenten auftauchen. Für Unternehmen, die mit personenbezogenen Daten arbeiten, ist das kein Nice-to-have, sondern DSGVO-relevanter Basisschutz.
Für MSPs: GDAP und Windows Event Forwarding
Wer mehrere Kunden betreut, hat zwei spezifische Baustellen.
Delegated Admin Privileges (DAP) - das alte Modell - gab MSPs ewige, vollständige Admin-Rechte für alle Mandanten. Ein erhebliches Sicherheitsrisiko: Wird der MSP kompromittiert, sind alle seine Kunden kompromittiert. Das Nachfolgemodell GDAP (Granular Delegated Admin Privileges) schränkt Zugriffsrechte zeitlich und auf bestimmte Rollen ein - zum Beispiel nur Exchange-Admin für acht Stunden. Die Migration auf GDAP sollte längst abgeschlossen sein.
Windows Event Forwarding (WEF) ist ein unterschätztes Tool für zentrales Logging ohne große Infrastrukturkosten. Damit lassen sich Defender-Events und sicherheitsrelevante Windows-Logs von allen Endgeräten einsammeln und an einen zentralen Collector weiterleiten - von dort aus in Azure Log Analytics oder Microsoft Sentinel. Auch ohne vollständige Sentinel-Lizenz entsteht damit ein brauchbares mandantenübergreifendes Monitoring.
Was steckt in welcher Lizenz?
| Feature | Exchange Online | Business Standard | Business Premium |
|---|---|---|---|
| Exchange Online Protection (EOP) | ✅ | ✅ | ✅ |
| Purview Compliance Portal Alerts | ✅ | ✅ | ✅ |
| Windows Defender AV + Tamper Protection | ✅ | ✅ | ✅ |
| Entra Security Defaults (MFA) | ✅ | ✅ | ✅ |
| Unified Audit Log | ❌ | ✅ | ✅ |
| Sensitivity Labels (manuell) | ❌ | ✅ | ✅ |
| Cloud-DLP | ❌ | ✅ | ✅ |
| Defender for Business (EDR) | ❌ | ❌ | ✅ |
| Defender for Identity | ❌ | ❌ | ✅ |
| Conditional Access (Entra ID P1) | ❌ | ❌ | ✅ |
| Intune (MDM/MAM) | ❌ | ❌ | ✅ |
Windows Defender AV und Entra Security Defaults sind an das Windows-Betriebssystem bzw. den Entra-Mandanten gebunden, nicht direkt an die M365-Lizenz.
Fazit
Das Budget kleiner Unternehmen lässt keine großen Security-Investitionen zu - das ist Realität. Gleichzeitig steckt in den Lizenzen, die diese Unternehmen ohnehin schon bezahlen, ein Sicherheitsniveau, das mit dem richtigen Konfigurationsaufwand deutlich über dem Branchendurchschnitt liegt.
EOP filtert, sobald Exchange läuft. Windows Defender ist installiert. Entra Security Defaults kosten keinen Cent mehr. Die Frage ist nie, ob die Features vorhanden sind.
Die Frage ist, ob jemand sie konfiguriert hat. In den meisten Umgebungen lautet die Antwort: Nein.