M365-Sicherheits-Cheat-Sheet: 10 Dinge, die jeder Mitarbeiter wissen sollte

Wenn MFA für Ihr Konto aktiviert ist, haben Sie wahrscheinlich die Wahl zwischen SMS-Code und Authenticator-App. Wählen Sie die App. SMS-Codes können abgefangen werden – durch SIM-Swapping oder Weiterleitungsangriffe. Die Authenticator-App generiert den Code lokal auf Ihrem Gerät und ist deutlich sicherer.

Installieren Sie die Microsoft Authenticator App (kostenlos, iOS und Android) und richten Sie sie als Standard-MFA-Methode ein unter: mysignins.microsoft.com → Sicherheitsinformationen.

Sie sitzen am Schreibtisch, haben sich nicht angemeldet – und plötzlich poppt eine MFA-Anfrage auf Ihrem Handy auf. Ablehnen und sofort IT informieren. Das ist ein aktiver Anmeldeversuch von jemand anderem mit Ihrem Passwort.

Beim sogenannten MFA-Fatigue-Angriff schicken Angreifer so viele Anfragen, bis der Nutzer genervt auf „Bestätigen" tippt. Tippen Sie niemals auf Bestätigen, wenn Sie sich nicht gerade aktiv anmelden – egal wie oft die Anfrage kommt.

Phishing kommt längst nicht mehr nur per E-Mail. Angreifer verschicken echte SharePoint-Links, die auf eine gefälschte Microsoft-Loginseite führen. Oder sie schreiben über Teams als vermeintlicher Kollege und bitten um Login-Daten oder eine schnelle Überweisung.

Drei Fragen, die immer helfen: Habe ich diese Nachricht erwartet? Wird Druck gemacht oder Dringlichkeit erzeugt? Werde ich aufgefordert, mich irgendwo anzumelden oder etwas herunterzuladen? Wenn ja auf eine dieser Fragen – kurz beim Absender nachfragen, bevor Sie klicken.

Der Browser fragt nach jeder Anmeldung, ob er das Passwort speichern soll. Praktisch – aber riskant: Wer Zugriff auf Ihren entsperrten Computer hat, kommt auch an alle gespeicherten Passwörter. Das gilt für gestohlene Geräte genauso wie für Schadsoftware, die Browserdaten ausliest.

Nutzen Sie stattdessen einen dedizierten Passwort-Manager wie Bitwarden (kostenlos) oder 1Password. Diese verschlüsseln Ihre Passwörter sicher und können trotzdem bequem automatisch ausfüllen.

Wenn Sie in OneDrive oder SharePoint eine Datei teilen, schlägt M365 oft „Jeder mit dem Link" vor. Das bedeutet: Wer diesen Link kennt oder bekommt, kann die Datei öffnen – ohne Anmeldung, ohne Überprüfung. Wird der Link versehentlich weitergeleitet, haben Fremde Zugriff.

Wählen Sie stattdessen „Bestimmte Personen" und tragen Sie die E-Mail-Adresse der beabsichtigten Empfänger ein. Wenn externe Freigabe nötig ist: Ablaufdatum setzen und danach den Link deaktivieren.

Microsoft schickt automatisch E-Mails, wenn sich jemand von einem neuen Gerät oder einem unbekannten Ort in Ihr Konto einloggt. Diese Mails landen oft unbeachtet im Postfach. Dabei sind sie wertvolle Frühwarnsignale.

Wenn Sie eine solche Mail bekommen und die Anmeldung nicht selbst waren: Sofort Passwort ändern, IT informieren. Alle aktiven Sitzungen lassen sich unter mysignins.microsoft.com einsehen und bei Bedarf widerrufen.

OneDrive synchronisiert Ihre Dateien in die Cloud – das ist kein Backup. Wenn Sie versehentlich eine Datei löschen oder überschreiben, ist das auch in der Cloud gelöscht oder überschrieben. Ransomware, die Dateien verschlüsselt, synchronisiert diese Verschlüsselung ebenfalls.

Was hilft: der Versionsverlauf. OneDrive speichert ältere Versionen jeder Datei bis zu 93 Tage zurück. Rechtsklick auf eine Datei in OneDrive → Versionsverlauf – von dort können Sie ältere Versionen wiederherstellen. Für ein echtes Backup sorgt Ihr IT-Dienstleister.

Mit der Zeit sammeln sich geteilte Dateien und Ordner an – mit externen Partnern, Dienstleistern oder Kunden, mit denen man schon lange nicht mehr zusammenarbeitet. Diese Freigaben bleiben aktiv, bis sie manuell entfernt werden.

Öffnen Sie OneDrive im Browser und prüfen Sie unter „Geteilt", welche Dateien Sie mit wem geteilt haben. Freigaben, die nicht mehr benötigt werden, einfach widerrufen. Das dauert keine zehn Minuten und reduziert Ihre Angriffsfläche spürbar.

Passwörter, Kontonummern, Zugangsdaten oder Mandantendaten gehören nicht in Teams-Chats oder E-Mails – auch nicht intern. Chats können mitgelesen werden, Konten können übernommen werden, und E-Mails landen manchmal beim falschen Empfänger.

Für den Austausch sensibler Zugangsdaten nutzen Sie einen Passwort-Manager mit Teilen-Funktion (z. B. Bitwarden Send) oder sprechen Sie kurz persönlich oder telefonisch. Was nicht aufgeschrieben ist, kann auch nicht abgefangen werden.

Windows-Updates, Office-Updates, Sicherheitswarnungen im Browser – viele Nutzer klicken diese reflexartig weg, weil sie stören. Dabei schließen Updates meist konkrete Sicherheitslücken, die kurz vorher öffentlich bekannt geworden sind. Je länger man wartet, desto länger ist man angreifbar.

Richten Sie Windows so ein, dass Updates automatisch installiert werden (Einstellungen → Windows Update → Automatisch). Wenn eine Sicherheitswarnung erscheint, lesen Sie sie kurz – und wenn Sie unsicher sind, fragen Sie die IT, bevor Sie auf „Ignorieren" klicken.