Viele Unternehmen investieren in Microsoft 365 Business Premium, aktivieren Multi-Faktor-Authentifizierung und setzen moderne Cloud-Dienste für die tägliche Zusammenarbeit ein. Die Annahme lautet häufig: Die Microsoft-365-Umgebung ist damit ausreichend abgesichert.
Ein Microsoft 365 Audit zeigt häufig ein anderes Bild als viele Unternehmen erwarten. Die größten Risiken entstehen selten durch fehlende Sicherheitslösungen. Häufig sind es gewachsene Strukturen, veraltete Berechtigungen oder Konfigurationen, die über Jahre nicht mehr überprüft wurden.
Die folgenden Erkenntnisse stammen aus Microsoft-365-Audits und zeigen, welche Herausforderungen Unternehmen besonders häufig begegnen.
1. Sicherheitsfunktionen sind vorhanden, werden aber nicht genutzt
Eine der häufigsten Feststellungen in einem Microsoft 365 Audit: Unternehmen verfügen bereits über umfangreiche Sicherheitsfunktionen, nutzen diese jedoch nur teilweise oder gar nicht. Nicht selten sind wichtige Sicherheitslizenzen vorhanden, aber nicht zugewiesen. In anderen Fällen wurden Schutzmechanismen zwar eingerichtet, jedoch nie vollständig aktiviert oder überprüft. Dadurch bleibt ein Teil des vorhandenen Sicherheitsniveaus ungenutzt.
2. Niemand weiß genau, wer eigentlich Administrator ist
Administratorrechte entstehen oft über viele Jahre hinweg. Mitarbeiter übernehmen zusätzliche Aufgaben, externe Dienstleister unterstützen Projekte und einzelne Berechtigungen werden schnell vergeben. Die regelmäßige Überprüfung bleibt jedoch häufig aus. In vielen Audits zeigt sich, dass deutlich mehr privilegierte Konten existieren als erwartet oder dass die ursprüngliche Begründung für Berechtigungen nicht mehr nachvollziehbar ist.
3. Gastbenutzer bleiben länger als geplant
Die Zusammenarbeit mit Kunden, Partnern und Dienstleistern gehört heute zum Standard. Doch mit jedem Projekt kommen neue Gastkonten hinzu. Nach Projektende werden diese Zugänge häufig nicht mehr aktiv geprüft. Viele Unternehmen sind überrascht, wie viele externe Benutzer noch Zugriff auf ihre Microsoft-365-Umgebung besitzen und wie lange diese Zugriffe teilweise schon bestehen.
4. Berechtigungen wachsen schneller als die Organisation
Mit jedem neuen Team, jeder SharePoint-Seite und jedem Projekt entstehen weitere Berechtigungen. Einzelne Freigaben erscheinen zunächst unkritisch. Über mehrere Jahre entsteht jedoch eine komplexe Berechtigungsstruktur, die häufig niemand mehr vollständig überblicken kann. Spätestens bei Compliance-Anforderungen oder der Einführung von Microsoft 365 Copilot wird sichtbar, wie wichtig eine saubere Governance geworden ist.
5. Externe Freigaben werden selten ganzheitlich betrachtet
Dateien mit externen Personen zu teilen gehört zum Arbeitsalltag. Die eigentliche Herausforderung liegt jedoch nicht in der Freigabe selbst, sondern in der Kontrolle.
- Wer hat Zugriff?
- Welche Freigaben werden noch benötigt?
- Welche Daten sind extern erreichbar?
Viele Unternehmen können diese Fragen nur teilweise beantworten.
6. Die Umgebung entwickelt sich langsamer als Microsoft 365
Microsoft 365 ist keine statische Plattform. Neue Funktionen, Sicherheitsmechanismen, Governance-Optionen und Best Practices werden kontinuierlich eingeführt. Microsoft veröffentlicht regelmäßig neue Funktionen und Sicherheitsverbesserungen für Microsoft 365 und Entra ID. Viele Unternehmen haben ihre Umgebung vor drei, fünf oder sogar zehn Jahren eingerichtet und seitdem nur punktuelle Anpassungen vorgenommen. Die Plattform selbst hat sich jedoch in dieser Zeit erheblich weiterentwickelt. Dadurch entstehen häufig Situationen, in denen:
- neue Sicherheitsfunktionen nicht genutzt werden,
- bestehende Einstellungen nicht mehr aktuellen Best Practices entsprechen,
- lizenzierte Funktionen unentdeckt bleiben,
- neue Dienste eingeführt werden, ohne bestehende Governance-Konzepte anzupassen.
Besonders bei Themen wie Conditional Access, Identitätsschutz, Microsoft Defender, Geräteverwaltung oder Microsoft 365 Copilot zeigt sich häufig, dass technische Möglichkeiten vorhanden wären, aber nie bewertet oder implementiert wurden.
7. Die größte Schwachstelle ist fehlende Transparenz
Die vielleicht wichtigste Erkenntnis aus unseren Microsoft-365-Audits:
In den seltensten Fällen finden wir einen einzelnen kritischen Fehler. Stattdessen begegnen uns viele kleine Einzelthemen, die sich über Jahre entwickelt haben. Neue Funktionen werden eingeführt, Berechtigungen erweitert, Gastzugriffe eingerichtet und Sicherheitsfunktionen lizenziert, ohne dass die gesamte Umgebung regelmäßig ganzheitlich betrachtet wird.
Dadurch entsteht eine Situation, die wir in Audits häufig beobachten: Die Microsoft-365-Umgebung funktioniert im Alltag problemlos, aber niemand kann mit Sicherheit beantworten,
- welche Sicherheitsfunktionen tatsächlich aktiv genutzt werden,
- welche externen Personen noch Zugriff besitzen,
- welche Berechtigungen historisch gewachsen sind,
- welche Anwendungen auf Unternehmensdaten zugreifen,
- oder ob die aktuellen Einstellungen noch den Anforderungen des Unternehmens entsprechen.
Genau diese fehlende Transparenz macht es schwer, den tatsächlichen Sicherheitsstatus einer Umgebung realistisch einzuschätzen. Deshalb lautet die wichtigste Frage häufig nicht:
„Wie sicher ist unsere Microsoft-365-Umgebung?“
Sondern:
„Wissen wir überhaupt, wie unsere Microsoft-365-Umgebung aktuell aufgestellt ist?“
Fazit: Sicherheit ist kein Projekt, sondern ein Prozess
Die meisten Unternehmen betreiben ihre Microsoft-365-Umgebung nicht bewusst unsicher. In der Praxis zeigt sich jedoch häufig, dass Konfigurationen über Jahre gewachsen sind, Verantwortlichkeiten wechseln und neue Funktionen oder Sicherheitsmechanismen nie aktiv bewertet wurden.
Hinzu kommt, dass sich Microsoft 365 kontinuierlich weiterentwickelt. Neue Sicherheitsfunktionen, Governance-Optionen und Dienste kommen regelmäßig hinzu. Was bei der Einführung der Umgebung als Best Practice galt, entspricht heute nicht zwangsläufig dem aktuellen Stand der Technik.
Die Herausforderung besteht deshalb nicht nur darin, Sicherheitsmaßnahmen einmalig umzusetzen, sondern die eigene Umgebung regelmäßig zu überprüfen und an neue Anforderungen anzupassen.
Genau hier setzt ein Microsoft 365 Audit an. Es schafft Transparenz über den aktuellen Sicherheitsstatus, identifiziert Optimierungspotenziale und hilft Unternehmen dabei, ihre Microsoft-365-Umgebung kontinuierlich an neue Funktionen, Best Practices und Sicherheitsanforderungen anzupassen.
Denn die wichtigste Frage lautet nicht, ob Sicherheitsfunktionen vorhanden sind, sondern ob sie heute noch wirksam eingesetzt werden und zur eigenen Organisation passen.
Wissen Sie, wie Ihre Microsoft-365-Umgebung aktuell aufgestellt ist?
Mit unserem Microsoft 365 Audit analysieren wir Ihre Umgebung, bewerten die wichtigsten Sicherheits- und Governance-Einstellungen und zeigen auf, wo Handlungsbedarf besteht.
So erhalten Sie eine fundierte Entscheidungsgrundlage für die Weiterentwicklung Ihrer Microsoft-365-Plattform.
