Kostenlose Checkliste

Microsoft 365 Sicherheits-Checkliste

44 konkrete Maßnahmen für eine sichere, DSGVO-konforme M365-Umgebung in Ihrem Unternehmen.

📋 44 Punkte ⏱ Ca. 20 Min. 🔒 DSGVO-konform 📅 Stand: 2026

Erledigt: 0 von 44

🔐

Identität & Zugangssicherheit

10 Punkte

Multi-Faktor-Authentifizierung (MFA) für alle Nutzer

Entra ID > Sicherheit > MFA. Mindestens Authenticator-App, besser FIDO2-Key.

Kritisch

Security Defaults oder Conditional Access aktiviert

Security Defaults sind für KMUs ohne E5-Lizenz ein guter Einstieg.

Kritisch

Globale Admins mit dediziertem Admin-Account

Admin-Account nicht für täglichen Betrieb verwenden. Separate Admin-Mailbox.

Kritisch

Notfall-Admin-Konto (Break-Glass) eingerichtet

Ohne MFA, sehr starkes Passwort, offline dokumentiert — nur für Notfälle.

Wichtig

Self-Service Password Reset (SSPR) aktiviert

Nutzer können Passwort selbst zurücksetzen — entlastet IT-Support.

Wichtig

Inaktive Gastkonten regelmäßig geprüft

Entra ID > Gastbenutzer: Quartalsweise prüfen wer noch Zugriff hat.

Wichtig

Legacy-Authentifizierung blockiert

SMTP Auth, POP3, IMAP ohne MFA — Haupteinfallstor für Angreifer.

Kritisch

Passwort-Ablaufrichtlinie konfiguriert

Microsoft empfiehlt: Kein Ablauf wenn MFA aktiv, sonst 90-Tage-Rotationszyklus.

Wichtig

Sign-In-Risikorichtlinien aktiviert (Identity Protection)

Erfordert Entra ID P2 / M365 Business Premium — blockiert riskante Anmeldungen.

Optional

Named Locations definiert (bekannte IP-Adressen)

Anmeldungen aus unbekannten Ländern werden zusätzlich gesichert oder blockiert.

Optional

📧

E-Mail-Sicherheit (Exchange Online)

9 Punkte

SPF-Eintrag im DNS gesetzt

TXT: v=spf1 include:spf.protection.outlook.com -all — verhindert Spoofing.

Kritisch

DKIM für alle Domains aktiviert

Exchange Admin > E-Mail-Fluss > DKIM. Zwei CNAME-Einträge im DNS erforderlich.

Kritisch

DMARC-Richtlinie konfiguriert

Mindestens p=quarantine, Ziel p=reject. Schützt vor Domain-Missbrauch.

Kritisch

Anti-Phishing-Richtlinie aktiviert

M365 Defender > Richtlinien. Impersonation-Schutz einschalten.

Kritisch

Sichere Anlagen (Safe Attachments) aktiviert

Anhänge werden in einer Sandbox geöffnet vor Zustellung. Erfordert Defender for Office.

Wichtig

Sichere Links (Safe Links) aktiviert

URLs in E-Mails werden zur Laufzeit geprüft — schützt vor nachträglich infizierten Links.

Wichtig

Automatische externe E-Mail-Weiterleitung blockiert

Verhindert stille Weiterleitung aus kompromittierten Postfächern.

Kritisch

Nachrichtenaufbewahrungsrichtlinie eingerichtet

Compliance Center > Aufbewahrungsrichtlinien. GoBD-Pflicht: min. 6 Jahre.

Wichtig

Spam-Filterempfindlichkeit auf hoch gesetzt

Exchange Admin > Anti-Spam. Bulk-Schwellenwert auf 5 oder niedriger.

Wichtig

💾

Datensicherung & Wiederherstellung

6 Punkte

⚠️ Externe Backup-Lösung für M365-Daten vorhanden

Microsoft sichert keine Nutzerdaten! Postfächer, SharePoint, Teams brauchen externes Backup (z.B. Veeam, Acronis).

Kritisch

Papierkorb-Aufbewahrung auf 30 Tage gesetzt

Exchange Admin > Postfächer: Gelöschte Elemente 30 Tage aufbewahren.

Wichtig

Wiederherstellung aus Backup regelmäßig getestet

Ein untestetes Backup ist kein Backup. Mindestens einmal jährlich Restore-Test.

Kritisch

OneDrive Versionsverlauf aktiviert (min. 180 Versionen)

SharePoint Admin > Einstellungen: Versionsverlauf für Dokumente einschalten.

Wichtig

Litigation Hold für relevante Postfächer

Verhindert unwiderrufliches Löschen rechtlich relevanter E-Mails.

Optional

Ausgeschiedene Mitarbeiter: Prozess für Postfach-Sicherung

Wer sichert, wer erhält Zugriff, wann wird Lizenz entzogen — dokumentiert.

Wichtig

📁

SharePoint & OneDrive

6 Punkte

Externe Freigabe eingeschränkt oder deaktiviert

SharePoint Admin > Richtlinien > Freigabe: Nur "Bestimmte Personen" oder intern.

Kritisch

Ablaufdatum für externe Freigabe-Links gesetzt

Maximale Gültigkeitsdauer für "Jeder mit dem Link" auf 30 Tage begrenzen.

Wichtig

OneDrive-Sync auf firmeneigene Geräte eingeschränkt

Verhindert Synchronisation auf privaten Geräten der Mitarbeiter.

Wichtig

Berechtigungsstruktur in SharePoint dokumentiert

Wer hat Zugriff auf welche Sites? Access Review halbjährlich.

Wichtig

Sensibilitätslabels für Dokumente eingerichtet

Microsoft Purview: Vertraulich, Intern, Öffentlich.

Optional

Nutzungsberichte regelmäßig ausgewertet

Admin Center > Berichte: Ungenutzte Lizenzen identifizieren.

Optional

⚖️

DSGVO & Compliance

7 Punkte

AVV mit Microsoft abgeschlossen und dokumentiert

Microsoft DPA gilt automatisch beim Vertragsschluss — aber im VVT dokumentieren!

Kritisch

EU-Datenspeicherort konfiguriert

M365 Admin > Einstellungen > Org-Einstellungen > Datenspeicherort: EU/Deutschland.

Kritisch

M365 im Verarbeitungsverzeichnis (VVT) dokumentiert

DSGVO Art. 30: Microsoft als Auftragsverarbeiter aufführen.

Kritisch

Datenschutzhinweise für Mitarbeiter vorhanden

Mitarbeiter über Nutzung von M365 und Verarbeitung ihrer Daten informieren.

Wichtig

Telemetrie auf Minimum reduziert

Richtlinien > Datenschutz: Diagnosedaten auf "Erforderlich" setzen.

Wichtig

Audit-Protokollierung aktiviert

Microsoft Purview > Überwachung einschalten. Pflicht bei Datenpannen.

Wichtig

DLP-Richtlinie für personenbezogene Daten

Verhindert Versand von IBAN, Ausweisdaten etc. per E-Mail.

Optional

💻

Geräte & Endpoint-Sicherheit

6 Punkte

Intune oder Geräteverwaltung aktiv

MDM/MAM für alle Firmengeräte und mobilen Endgeräte mit M365-Zugriff.

Wichtig

Compliant Device in Conditional Access erzwungen

Nur registrierte, konforme Geräte erhalten Zugriff auf M365.

Wichtig

BitLocker-Verschlüsselung auf allen Windows-Geräten

Schützt Daten bei Gerätediebstahl. Status über Intune prüfbar.

Kritisch

Microsoft Defender for Endpoint aktiv

Erfordert M365 Business Premium. Echtzeit-Bedrohungserkennung.

Wichtig

Remote-Wipe für mobile Geräte konfiguriert

Bei Verlust: M365-Daten remote löschen ohne privaten Bereich zu betreffen.

Wichtig

App-Schutzrichtlinien für mobile Apps

MAM: Outlook/Teams auf privaten Smartphones darf keine Daten exportieren.

Optional

Lücken gefunden? Wir helfen weiter.

Manthey EDV Beratung unterstützt KMUs in Berlin bei der Umsetzung — schnell, verständlich, ohne IT-Kauderwelsch.

📞 Kostenloses Erstgespräch

📧 Ergebnis per E-Mail erhalten

Wir senden Ihnen Ihren M365-Score mit priorisierten Empfehlungen fuer Ihr Unternehmen.

✓ Danke! Ihr Ergebnis ist unterwegs.

Fehler beim Senden. Bitte schreiben Sie uns direkt: info@manthey-edv-beratung.de

Kein Spam. DSGVO-konform. Jederzeit abbestellbar.

Microsoft 365 Sicherheits-Checkliste

Microsoft 365 Sicherheits-Checkliste

Identität & Zugangssicherheit

E-Mail-Sicherheit (Exchange Online)

Datensicherung & Wiederherstellung

SharePoint & OneDrive

DSGVO & Compliance

Geräte & Endpoint-Sicherheit

Lücken gefunden? Wir helfen weiter.

Kurz noch — ist Ihr M365 wirklich sicher?

Vielen Dank!