Microsoft 365 Einstellungen prüfen

von | Sep. 7, 2026 | Blog

Free A concentrated professional working at a computer in a modern office setting. Microsoft 365 Einstellungen prüfen

Microsoft hat in den letzten Jahren mehrere Standardeinstellungen in Microsoft 365 verschärft. Neu eingerichtete Mandanten erhalten mehr Schutz ab Werk als Mandanten, die vor 2022 eingerichtet wurden. Deshalb ist es wichtig, regelmäßig die Microsoft 365 Einstellungen prüfen, vor allem wenn Ihr Mandant älter als zwei bis drei Jahre ist, von einem vorherigen IT-Dienstleister eingerichtet wurde oder lange nicht auditiert wurde.

Wichtige Hinweise vorab

Einige der beschriebenen Einstellungen erfordern Microsoft 365 Business Premium, E3 oder E5 Lizenzen. Ist ein Schalter ausgegraut, liegt das meist an der Lizenzstufe. Änderungen können bei Ihren Anwenderinnen und Anwendern Rückfragen oder Supportfälle auslösen, weil sich gewohnte Abläufe ändern. Es ist nicht nötig, alle Schalter gleichzeitig umzulegen.

Wenn jemand in Ihrer Organisation eine Datei aus SharePoint oder OneDrive teilt, legt der generierte Link einen Standardfreigabeumfang fest. Bei älteren Mandanten ist dieser oft auf "Jeder mit dem Link" gesetzt. Das bedeutet, jeder, der die URL erhält, kann die Datei ohne Anmeldung öffnen. Es gibt weder ein Ablaufdatum noch eine automatische Nachverfolgung, an wen der Link weitergeleitet wurde.

Neu erstellte Teams-Websites haben inzwischen häufig die Standardeinstellung "Nur Personen in Ihrer Organisation". Ältere Websites und die mandantenweite Vorgabe erlauben dagegen oft weiterhin "Jeder"-Links. Eine ehemalige Mitarbeiterin, die vor sechs Monaten einen Vorschlag an ihr privates E-Mail-Konto geschickt hat, kann weiterhin Zugriff haben, sofern niemand den Link manuell widerrufen hat.

Den Standardfreigabetyp finden Sie im SharePoint Admin Center unter Policies > Sharing. Wenn Sie den Mandantenstandard auf "Bestimmte Personen" einstellen, erfordert jeder neue Link eine Authentifizierung. Alternativ können Sie eine maximale Laufzeit für bestehende "Jeder"-Links festlegen, damit diese automatisch ablaufen.

Zeitaufwand

Ungefähr 15 Minuten. Bestehende Links bleiben so lange unverändert bestehen, bis sie neu erstellt oder manuell widerrufen werden.

2. Automatische Weiterleitung an externe E‑Mail-Adressen

Microsoft blockiert inzwischen standardmäßig auf Mandantenebene die automatische Weiterleitung von E-Mails an externe Adressen über die Outbound-Spam-Policy. Das ist Teil des sicherheitsorientierten Default-Verhaltens.

Weiterleitungsregeln, die vor dieser Änderung erstellt wurden, können jedoch noch aktiv sein. Ein Nutzer, der vor Jahren eine Regel eingerichtet hat, die jede Nachricht an ein persönliches Gmail-Konto weiterleitet, könnte weiterhin Daten exportieren, je nachdem, wie die Regel aufgebaut ist und ob sie vor der Policy angelegt wurde.

Prüfen Sie zwei Dinge: Im Microsoft Defender-Portal unter Email & Collaboration > Policies & Rules > Anti-spam policies > Anti-spam outbound policy stellen Sie sicher, dass die Einstellung "Automatic forwarding rules" auf "Off" oder "Automatic - System-controlled" steht. Zusätzlich sollten Sie die Postfachregeln Ihrer Nutzer auf Weiterleitungen an externe Adressen auditieren. Das Microsoft Purview Audit-Log erlaubt die Suche nach Ereignissen zur Erstellung von Postfachregeln.

Zeitaufwand

Etwa 10 Minuten zur Überprüfung der mandantenweiten Einstellung; länger, wenn Sie alle Postfachregeln durchsehen müssen.

3. Historische Zustimmungen von Drittanbieter-Apps

Eine von Microsoft verwaltete Benutzerzustimmungsrichtlinie wurde standardmäßig aktiviert und verhindert, dass Anwender den meisten Drittanbieter-Apps im Selbstservice Zugriffsrechte auf Dateien und Sites gewähren. Neue Zustimmungsanfragen leiten nun an Administratorinnen und Administratoren zur Prüfung weiter.

Diese Änderung gilt nur für neue Zustimmungen. Apps, denen früher Nutzerzustimmung erteilt wurde, behalten die damals gewährten Rechte, etwa Mail-, Kalender- oder Datei-Zugriff im Namen des Benutzers. Manche dieser Apps wurden vor Jahren installiert und werden längst nicht mehr verwendet oder stammen aus einem einmaligen Projekt, an das sich niemand mehr erinnert.

Um vorhandene Zustimmungen zu prüfen, öffnen Sie Microsoft Entra ID > Enterprise Applications > All applications. Sortieren Sie nach Nutzerzustimmung und prüfen Sie, welche Anwendungen Zugriff auf Mail, Dateien oder Kalender haben. Unbekannte oder nicht mehr benötigte Zugriffe können Sie auf derselben Seite entziehen.

Zeitaufwand

Zwischen 30 und 60 Minuten, abhängig von der Anzahl historischer Apps.

4. Aufbewahrungsdauer für Postfach- und Mandanten-Auditlogs

Die Standardaufbewahrungszeit für Auditlogs in Microsoft 365 wurde im Oktober 2023 angepasst. Audit (Standard) Logs werden nun 180 Tage aufbewahrt statt zuvor 90 Tage. Kundinnen und Kunden mit E5-Lizenz oder dem Microsoft Purview Audit (Premium)-Add-on erhalten für Exchange, SharePoint, OneDrive und Entra ID ein Jahr Aufbewahrung, während andere Aktivitätstypen weiterhin 180 Tage behalten werden.

Wenn Sie in einem regulierten Bereich wie Gesundheitswesen, Finanzdienstleistungen oder Rechtswesen tätig sind, reichen 180 Tage möglicherweise nicht aus. Vorschriften wie HIPAA, die FTC Safeguards Rule oder berufsrechtliche Aufbewahrungsfristen erwarten oft, dass Sie Aufzeichnungen über Jahre hinweg vorhalten können.

Audit-Aufbewahrungsrichtlinien konfigurieren Sie im Microsoft Purview Compliance-Portal unter Audit > Audit retention policies. Eine Verlängerung über 180 Tage erfordert E5 oder das Purview Audit-Add-on. Die eigentliche Konfiguration dauert nach Lizenzprüfung etwa 15 Minuten.

Zeitaufwand

Rund 15 Minuten für die Konfiguration, zuzüglich Zeit zur Lizenzprüfung und interner Abstimmung.

5. Durchsetzung von MFA und Security Defaults

Die Durchsetzung von Mehrfaktor­authentifizierung ist bei älteren Mandanten am häufigsten inkonsistent. Microsoft führte die Security Defaults Ende 2019 ein, wodurch MFA in neuen Mandanten automatisch erzwungen wird. Außerdem hat Microsoft seit 2024/2025 schrittweise MFA-Pflichten für administrative Aktionen eingeführt.

Bei vor 2019 erstellten Mandanten kann es sein, dass keine Basissicherung aktiv ist. Eine häufige Falle entsteht, wenn ein Administrator eine Conditional-Access-Policy aktiviert. Microsoft erwartet dann, dass Sie die MFA-Durchsetzung über diese Richtlinien übernehmen und deaktiviert möglicherweise Security Defaults. Wenn die Übergabe unvollständig erfolgte, kann es passieren, dass Security Defaults ausgeschaltet ist und die Conditional-Access-Policy nicht alle Nutzerinnen und Nutzer abdeckt.

Überprüfen Sie drei Bereiche: In der Entra ID Verwaltung unter Properties > Manage Security Defaults sehen Sie, ob Security Defaults ein- oder ausgeschaltet sind. Unter Protection > Conditional Access prüfen Sie, ob eine aktive Richtlinie MFA für alle Nutzerinnen und Nutzer, einschließlich Administratoren, erzwingt. Achten Sie besonders auf sogenannte Break-Glass-Administrationskonten, die aus Notfallgründen manchmal von Conditional Access ausgenommen werden und dann ohne MFA verbleiben.

Zeitaufwand

Ungefähr eine Stunde, länger falls mehrere bestehende Conditional-Access-Richtlinien dokumentiert und abgeglichen werden müssen.

Sinnvolle Reihenfolge für Änderungen

Einige Änderungen sind für Anwenderinnen und Anwender nicht spürbar, andere verändern gewohnte Abläufe und sollten kommuniziert werden.

  • Als Erstes: Audit-Aufbewahrung (Punkt 4) und historische App-Zustimmungen (Punkt 3). Diese Schritte haben keine unmittelbaren Auswirkungen auf die Anwender.
  • Als Nächstes: Prüfung der externen Weiterleitung (Punkt 2). Das ist ebenfalls meist still, außer jemand nutzt bewusst eine Weiterleitung.
  • Dann: Änderung des Standard‑Freigabelinks (Punkt 1). Hier sollten Sie die Anwenderinnen und Anwender informieren, weil sich die Art des Teilens leicht verändert.
  • Zuletzt: MFA und Conditional Access (Punkt 5). Das ist die riskanteste Änderung und kann bei falscher Umsetzung zu Sperrungen führen. Planen Sie ausreichend Zeit ein.

Häufig gestellte Fragen

Sind meine Einstellungen auch bei einem neu eingerichteten Mandanten gefährdet?

Neue Mandanten erhalten mehr Schutz ab Werk als Mandanten, die vor einigen Jahren eingerichtet wurden. Dennoch sollten Sie auch in neuen Mandanten die Microsoft 365 Einstellungen prüfen, da etwa Freigabeumfänge, durch Nutzer erteilte App-Zustimmungen und historische Postfachregeln geprüft werden müssen.

Auf Mandantenebene erlauben viele bestehende Mandanten weiterhin "Jeder mit dem Link". Neu erstellte, von Teams angelegte SharePoint-Seiten haben meist die Voreinstellung "Nur Personen in Ihrer Organisation". Prüfen Sie sowohl die mandantenweite Einstellung als auch die Einstellungen auf Website-Ebene, um das tatsächliche Verhalten zu erfahren.

Hat Microsoft die externe Weiterleitung standardmäßig deaktiviert?

Ja. Die Outbound-Spam-Policy blockiert automatische Weiterleitungen an externe Ziele standardmäßig. Davon ausgenommen sind Regeln, die vor der Änderung erstellt wurden und daher noch immer aktiv sein können.

Wie lange werden Auditlogs standardmäßig gespeichert?

Seit Oktober 2023 sind es 180 Tage für Audit (Standard). Bestimmte Kernarbeitslasten (Exchange, SharePoint, OneDrive, Entra ID) werden für ein Jahr aufbewahrt, wenn Sie E5 oder das Purview Audit (Premium)-Add-on haben.

Decken Security Defaults alle Nutzer ab?

In neuen Mandanten ja, einschließlich MFA-Durchsetzung. In älteren Mandanten, in denen Conditional Access aktiviert wurde, können Security Defaults deaktiviert worden sein. Dann hängt der Schutz davon ab, wie die Conditional‑Access-Richtlinien konfiguriert sind.

Wenn Sie nicht sicher sind, wann Ihr Mandant zuletzt geprüft wurde oder ob eine dieser Einstellungen bei Ihnen relevant ist, sollte Ihr IT-Dienstleister die Überprüfung für Sie durchführen. Falls Sie keinen IT-Dienstleister haben, sprechen Sie uns gern an und wir unterstützen Sie.