Sicherheit in der Cloud: Was Microsoft schützt und was Sie selbst tun müssen

7 Minuten Lesestunden · DataRoad

Sicherheit in der Cloud Es ist eine geteilte Verantwortung: Microsoft stellt die Infrastruktur bereit, Ihr Unternehmen stellt sicher, wer dorthin kommt, was geteilt wird und woher der Zugriff erfolgt. Microsoft verheimlicht das nicht — es wird in der offiziellen Dokumentation veröffentlicht. “Unsere Daten befinden sich in Microsoft 365, daher sind sie sicher”, ist der Satz, den wir am häufigsten in Diagnosegesprächen hören. Sie haben Recht bezüglich des Gebäudes. Sie haben jedoch recht bezüglich der Schlüssel.

Das Modell der geteilten Verantwortung, in klarer Sprache

Microsoft beschreibt drei Arten von Cloud-Services. In der umfassendsten – dem Software-as-a-Service (SaaS), bei dem Exchange Online, OneDrive, SharePoint und Teams enthalten sind – übernimmt Microsoft fast die gesamte technische Infrastruktur. Aber ein Satz gilt für alle Arten: Der Kunde ist immer Eigentümer seiner Daten und seiner Identitäten.

Identität: die neue Fronttür

Im traditionellen Büro war man für den Zugriff auf die Dateien auf das Netzwerk angeschlossen. In Microsoft 365 reicht es nur mit einer E-Mail-Adresse und einem Passwort aus – von jedem Computer der Welt aus. Die Identität wurde zum Zugangstor.

Microsoft bietet kostenfrei sogenannte Sicherheitsvorkonfigurationen an: Sie verpflichten alle Benutzer zur Registrierung der MFA (der zweite Faktor, in der Regel eine Bestätigung per Handy), erfordern die MFA für Administratoren bei jedem Anmeldeversuch und blockieren die alten Authentifizierungsprotokolle, die MFA nicht unterstützen. Sie sind standardmäßig aktiv bei vielen Konten, die seit dem 22. Oktober 2019 erstellt wurden, aber nicht bei allen — und einige haben sie sogar deaktiviert, “weil sie lästig waren”. Laut Microsoft stoppen MFA und die Blockierung alter Authentifizierung mehr als 99,9 Prozent der häufigsten Identitätsangriffe. Wir beschreiben die Optionen im Detail MFA: Mehrfache Identitätsüberprüfung im Unternehmen.

Drei Fragen, die die Verwaltung innerhalb weniger Minuten beantworten muss:

• Wie viele Konten haben das Recht globalen Administrators zu sein? (Es sollten zwei oder drei sein, nicht zehn.)
• Alle Konten — einschließlich der gemeinsam genutzten und der privaten — verfügen über MFA oder sind für das Anmelden gesperrt?
• Sind die Konten derjenigen, die in den letzten 12 Monaten abgetreten sind, deaktiviert?

Konfiguration und externe Freigaben

Nach der Dokumentation von Microsoft ist die externe Freigabe in SharePoint und OneDrive für die gesamte Organisation standardmäßig aktiviert. Das ist nützlich – die Zusammenarbeit mit Kunden und Partnern ist das Ziel –, aber sie muss selbstständig festgelegt werden, nicht durch Erbschaft.

Der empfindlichste Punkt sind Verbindungen der Art “Jeder: Wer den Link erhält, öffnet die Datei ohne sich anzumelden. Wenn diese E-Mail weitergeleitet wird, wird die Datei weitergeleitet. In der Praxis empfehlen wir Folgendes:

• Die Verbindungen “Jeder” deaktivieren oder gegebenenfalls eine Ablaufdatum festlegen.
• Nur mit authentifizierten Gästen zulassen, die die Freigabe erlauben.
• Die externe Freigabe auf Websites mit sensiblen Daten (Finanzielle Daten, Personaldaten, Verwaltung) einzuschränken.
• Die Liste der externen Gäste vierteljährlich überprüfen und diejenigen entfernen, die nicht mehr für das Unternehmen arbeiten.

Die E-Mail-Konfiguration verdient einen eigenen Abschnitt – automatischer Weiterleiten außerhalb der Organisation, Spamfilter-Regeln, die von Angreifern erstellt wurden, und ein Domänennamen, der leicht nachgeahmt werden kann. Wir haben das Thema behandelt E-Mail-Sicherheit in Microsoft 365: Was fehlschlägt.

Geräte und Daten

Ein Laptop ohne Verschlüsselung, der in einem Taxi vergessen wurde und bei dem Outlook und OneDrive synchronisiert sind, ist eine Datenflucht mit Rädern. Microsoft verwaltet diesen Laptop nicht: Die Dokumentation besagt ausdrücklich, dass die Sicherheit der Geräte, die auf die Dienste zugreifen, vom Kunden selbst zu gewährleisten ist. Das bedeutet Datenträgerverschlüsselung, ein aktualisiertes System, verwaltetes Antivirensoftware und idealerweise Regeln, die den Zugriff von Geräten verhindern, die diese Anforderungen nicht erfüllen.

Was die Daten angeht, gibt es zwei Entscheidungen, die dem Unternehmen obliegen: Was ist vertraulich (und wer kann es sehen)? Und wie lange man sie aufbewahrt. Die Sicherung ist Teil dieser zweiten Entscheidung – und sie ist nicht so einfach wie viele Leute denken. Wir erklären, warum in diesem Artikel. Microsoft 365 speichert nicht alles. Die Lizenzen zählen auch dazu: bestimmte Schutzfunktionen sind nur in bestimmten Planvarianten enthalten, wie wir in der Beschreibung erläutern. Microsoft 365-Lizenzen und Sicherheit.

Checkliste: Das, was zu Ihnen gehört

Ein echter Fall: 50 Postkästen wurden in Office 365 migriert

In der Union der Kirchgemeinden Massamá und Monte Abraão migrierte DataRoad rund 50 Postfächer in Exchange Online, einschließlich des Verlaufs und der Organisation der Ordner. Das Projekt endete nicht mit der Migration: Die Arbeitsplätze und mobile Geräte wurden neu konfiguriert und validiert, wobei E-Mail, Kalender und Kontakte korrekt synchronisiert wurden. In einer öffentlichen Einrichtung war der Wechsel in die Cloud auch eine Möglichkeit, die Kontrolle, die Aufbewahrung und die Prüfung von E-Mails zu stärken. Lesen Sie den Fall in Migration zu Office 365 in Massamá und Monte Abraão.

Bei DataRoad übernimmt die Verwaltung der Microsoft 365 for Business — Konten, MFA, Sharing, Geräte – gehört zu den IT-Plänen von Unlimited. Nein Plan Essential, Bei 10 Standorten ist die Unterstützung sowohl per Fern- als auch per Telefon übertragbar, was fast alle dieser Aufgaben abdeckt; die Reisekosten zu den Standorten werden gesondert kalkuliert.

Häufig gestellte Fragen

Ist Microsoft für den Fall verantwortlich, dass ein Konto meines Unternehmens angegriffen wird?

In der Regel nicht. Nach dem Shared-Responsibility-Modell von Microsoft sind Konten, Zugriffe und MFA Sache des Kunden. Microsoft ist für die Sicherheit der Plattform verantwortlich; wer mit einem gestohlenen Passwort einloggt, tut dies durch die Tür, die das Unternehmen kontrolliert.

Erreichen die Sicherheitsvorlagen ihr Ziel?

Für viele kleine und mittlere Unternehmen sind sie ein guter Ausgangspunkt und kosten keine zusätzlichen Kosten. Unternehmen mit Lizenzen, die einen eingeschränkten Zugriff ermöglichen, erhalten strengere Regeln – zum Beispiel die Anforderung einer verwalteten Hardware oder das Blockieren von Anmeldeversuchen aus bestimmten Ländern.

Das Deaktivieren der externen Freigabe wird die Zusammenarbeit mit Kunden nicht beeinträchtigen?

Es ist nicht notwendig, alles zu deaktivieren. Die übliche Balance besteht darin, die Freigabe mit authentifizierten Gästen zu ermöglichen, anonyme Verbindungen zu blockieren oder einzuschränken und die externe Freigabe nur auf Websites mit sensiblen Daten zu begrenzen.

Wie oft sollten wir die Konfiguration überprüfen?

Eine vollständige Überprüfung vierteljährlich und eine schnelle Überprüfung jedes Mal, wenn jemand in oder aus dem Unternehmen kommt oder geht. Die Cloud-Konfiguration ändert sich, ohne dass jemand es bemerkt: neue Funktionen, neue Gäste, neue Ausnahmen.

Microsoft 365-Sicherheitsüberprüfung in 5 Werktagen

Wir haben den Teil überprüft, der Ihnen gehört – Konten, MFA, Administratoren, externe Partsharing, Weiterleitungen, Geräte und Backup – und haben die Liste der Korrekturmaßnahmen nach Risikowertung aufgeteilt. Für Unternehmen mit mehr als 10 Standorten · Assistenzvertrag · lokaler und telefonischer Remote-Support.

Quellen

• Microsoft Learn – Gemeinsame Verantwortung in der Cloud
• Microsoft Learn — Sicherheitsstandards in Microsoft Entra ID
• Microsoft Learn — Übersicht über die externe Zusammenarbeit (SharePoint und OneDrive)