Office 365: Zahlen Sie zu viel oder riskieren Sie Datenlecks?

Schließen Sie jetzt die Office-365-Verwaltungskonsole und öffnen Sie Ihren Kalender. Blocken Sie 30 Minuten für ein Audit – noch diese Woche. Warum? Weil die meisten KMUs in Berlin mit Office 365 arbeiten, aber selten prüfen, ob sie für ungenutzte Lizenzen zahlen oder Sicherheitslücken offen lassen. Das kostet Geld und erhöht das Risiko. Hier erfahren Sie, welche Fragen Sie stellen müssen – und wie Sie die Antworten in konkrete Maßnahmen umsetzen.

1. Haben Sie Lizenzen, die niemand nutzt?

Ein Klassiker: Sie haben vor zwei Jahren 15 Lizenzen für Ihr Team gekauft. Inzwischen arbeiten nur noch 12 Leute im Büro, aber die Lizenzen laufen weiter. Oder ein Mitarbeiter ist in Elternzeit – seine Lizenz wird trotzdem abgebucht. Bei 8,80 € pro Monat (Business Basic) summiert sich das schnell: 3 ungenutzte Lizenzen kosten Sie 316,80 € pro Jahr. Ohne dass irgendjemand etwas davon hat.

So prüfen Sie das:

• Gehen Sie im Microsoft 365 Admin Center zu Rechnungen > Lizenzen. Dort sehen Sie, wie viele Lizenzen Sie haben und wie viele aktiv genutzt werden.
• Klicken Sie auf Aktive Benutzer und sortieren Sie nach Letzte Anmeldung. Wenn jemand seit 90 Tagen nicht mehr angemeldet war, können Sie die Lizenz deaktivieren.
• Nutzen Sie das Microsoft 365-Nutzungsanalysetool, um zu sehen, welche Apps tatsächlich verwendet werden. Vielleicht reicht für einige Mitarbeiter die günstigere Apps for Business-Lizenz (4,20 €/Monat) statt der teureren Business Standard (10,50 €/Monat).

Handlungsempfehlung: Setzen Sie sich ein Quartalsziel – z. B. „Jeden Monat 2 ungenutzte Lizenzen identifizieren und kündigen“. Das spart nicht nur Geld, sondern reduziert auch die Angriffsfläche für Hacker.

2. Wer hat Zugriff auf was – und braucht das wirklich?

In vielen Praxen und Kanzleien hat jeder Mitarbeiter Zugriff auf alle SharePoint-Ordner, weil es „einfacher“ ist. Das Problem: Wenn ein Account kompromittiert wird, hat der Angreifer sofort Zugang zu allen Daten. Ein Beispiel aus Berlin: Ein Steuerberater hatte alle Mitarbeiterzugriffe auf „Vollzugriff“ stehen. Ein Praktikant klickte auf einen Phishing-Link – und plötzlich waren alle Mandantendaten für 48 Stunden im Darknet verfügbar. Der Imageschaden war größer als die 12.000 € Bußgeld.

So prüfen Sie das:

• Gehen Sie im Microsoft 365 Admin Center zu Sicherheit > Berechtigungen. Dort sehen Sie, wer Zugriff auf welche Ressourcen hat.
• Nutzen Sie das Prinzip der minimalen Rechte: Jeder Mitarbeiter bekommt nur die Berechtigungen, die er für seine Arbeit braucht. Der Azubi in der Buchhaltung braucht keinen Zugriff auf die Personalakten.
• Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) für alle Konten. Das ist kein Hexenwerk – in 15 Minuten erledigt – und blockiert 99,9 % aller automatisierten Angriffe.

Handlungsempfehlung: Führen Sie eine „Berechtigungs-Checkliste“ ein. Jeder Mitarbeiter muss einmal im Jahr bestätigen, dass er die Zugriffe noch braucht. Das geht per Formular oder direkt im Teams-Kanal.

3. Sind Ihre Backups wirklich sicher – oder nur ein Placebo?

Viele denken: „Office 365 speichert alles automatisch – da brauche ich kein Backup.“ Falsch. Microsoft garantiert nur die Verfügbarkeit der Plattform, nicht die Wiederherstellung Ihrer Daten. Wenn ein Mitarbeiter aus Versehen eine wichtige Excel-Datei löscht oder ein Ransomware-Angriff Ihre SharePoint-Daten verschlüsselt, sind Sie auf sich allein gestellt. Ein Berliner Architekturbüro hat das auf die harte Tour gelernt: Ein Mitarbeiter löschte versehentlich den Ordner mit allen Bauplänen für ein 5-Mio.-€-Projekt. Die Wiederherstellung über Microsoft dauerte 14 Tage – und kostete das Büro den Auftrag.

So prüfen Sie das:

• Gehen Sie im Microsoft 365 Admin Center zu Einstellungen > Sicherheit & Datenschutz > Wiederherstellung. Dort sehen Sie, wie lange gelöschte Dateien gespeichert werden (standardmäßig 30 Tage).
• Nutzen Sie ein externes Backup-Tool wie Veeam oder Acronis. Die kosten zwischen 2 und 5 € pro Monat und sichern Ihre Daten täglich in die Cloud – unabhängig von Microsoft.
• Testen Sie die Wiederherstellung: Löschen Sie eine unwichtige Datei und versuchen Sie, sie aus dem Backup wiederherzustellen. Wenn das nicht klappt, wissen Sie, dass Ihr Backup nutzlos ist.

Handlungsempfehlung: Richten Sie ein automatisches Backup ein und testen Sie es alle drei Monate. Dokumentieren Sie den Test – das ist auch für die DSGVO wichtig.

4. Wie viele Admin-Konten haben Sie – und wer kennt die Passwörter?

In vielen KMUs hat der Chef das Admin-Passwort – und der IT-Dienstleister. Manchmal auch noch der Praktikant von vor zwei Jahren. Das Problem: Wenn ein Admin-Konto kompromittiert wird, hat der Angreifer volle Kontrolle über Ihr Office 365. Ein Beispiel aus Neukölln: Ein Steuerberater hatte sein Admin-Passwort auf einem Zettel unter der Tastatur liegen. Ein Reinigungskraft hat es gefunden, weitergegeben – und plötzlich wurden alle E-Mails an eine russische Adresse weitergeleitet. Der Schaden: 80.000 € durch betrügerische Überweisungen.

So prüfen Sie das:

• Gehen Sie im Microsoft 365 Admin Center zu Benutzer > Aktive Benutzer und filtern Sie nach „Globaler Administrator“. Sie sollten maximal 2-3 Admin-Konten haben – und die sollten nur von vertrauenswürdigen Personen genutzt werden.
• Nutzen Sie dedizierte Admin-Konten: Jeder Admin sollte ein separates Konto für administrative Aufgaben haben (z. B. admin-max.mustermann@firma.de). Das normale E-Mail-Konto sollte keine Admin-Rechte haben.
• Aktivieren Sie Just-in-Time-Zugriff für Admin-Konten. Das bedeutet: Admin-Rechte werden nur für einen bestimmten Zeitraum vergeben – z. B. 1 Stunde – und müssen danach neu angefordert werden.

Handlungsempfehlung: Führen Sie ein Admin-Passwort-Register ein. Dort dokumentieren Sie, wer Zugriff auf welche Admin-Konten hat – und wann das Passwort zuletzt geändert wurde. Das Passwort selbst gehört nicht ins Register, aber der Hinweis, dass es geändert wurde.

Jetzt handeln – bevor es teuer wird

Sie haben jetzt 7 konkrete Fragen und Handlungsempfehlungen. Fangen Sie heute an:

• Blocken Sie 30 Minuten im Kalender für das Office-365-Audit.
• Prüfen Sie als Erstes die Lizenzen – das spart sofort Geld.
• Richten Sie MFA ein – das dauert keine 15 Minuten und blockiert die meisten Angriffe.
• Testen Sie Ihr Backup – wenn es nicht funktioniert, wissen Sie, dass Sie nachbessern müssen.

Wenn Sie das Audit nicht selbst machen wollen, lassen Sie es machen. Aber warten Sie nicht, bis ein Datenleck oder eine teure Rechnung Sie zum Handeln zwingt. In Berlin gibt es genug IT-Dienstleister, die das für Sie übernehmen – für ein paar hundert Euro. Das ist günstiger als der Schaden, der entsteht, wenn Sie nichts tun.

Und denken Sie dran: Office 365 ist kein Selbstläufer. Es ist ein Werkzeug – und wie jedes Werkzeug muss es regelmäßig gewartet werden. Sonst rostet es.