Worum es geht
Die europäische NIS2-Richtlinie verpflichtet betroffene Einrichtungen zu einem aktiven Risikomanagement für ihre Netz- und Informationssysteme. Für ein wachsendes Unternehmen bedeutet das vor allem eine Übersetzungsaufgabe: Abstrakte Vorgaben müssen in konkrete technische Einstellungen überführt werden, die jemand nachvollziehen und einem Prüfer zeigen kann. Die gute Nachricht ist, dass Microsoft 365 die meisten dieser Werkzeuge bereits mitbringt. Viele Unternehmen bezahlen Lizenzen für Intune, Defender und Purview und nutzen davon einen Bruchteil. Unsere Aufgabe ist es, diese Komponenten passgenau zu aktivieren, sauber zusammenzuschalten und die Einstellungen so zu dokumentieren, dass sie belegbar sind.
Zugriffskontrolle und Identität
Der erste Handlungsbereich ist die Frage, wer unter welchen Bedingungen hineinkommt. Bedingter Zugriff prüft vor jeder Anmeldung den Zusammenhang: Gerät, Standort, Risikobewertung der Anmeldung. Daraus lassen sich phishing-resistente Anmeldeverfahren erzwingen, Anmeldungen aus Ländern blockieren, in denen Sie nicht tätig sind, und ungewöhnliche Versuche abfangen. Der zweite Baustein ist die Frage der Administratorrechte: Mit Privileged Identity Management gibt es keine dauerhaften Adminrechte mehr, sondern eine Zuweisung auf Zeit und auf Antrag. Dazu kommt das Prinzip der geringsten notwendigen Rechte für alle übrigen Konten, damit ein übernommenes Konto nicht gleich das ganze Haus öffnet. Mehr-Faktor-Authentifizierung gehört selbstverständlich dazu, ist aber nur der Anfang und nicht das Ziel.
Endgeräte und Systemsicherheit
Jedes Notebook und jedes Telefon, das auf Firmendaten zugreift, ist ein möglicher Einstiegspunkt. Über Microsoft Intune werden Windows-, macOS-, iOS- und Android-Geräte zentral gehärtet, Festplattenverschlüsselung wird erzwungen und die Wiederherstellungsschlüssel werden nachvollziehbar hinterlegt. Defender for Business übernimmt die verhaltensbasierte Erkennung auf dem Gerät und kann einen auffälligen Rechner automatisch isolieren, bevor sich etwas ausbreitet. Ergänzend zeigt das Schwachstellenmanagement, welche Softwarestände ungepatcht sind, und ordnet sie nach Dringlichkeit. Wie diese Ebene im Detail aussieht, steht auf der Seite zu Microsoft Intune.
Notfallbetrieb und Datenresilienz
Artikel 21 nennt ausdrücklich Backup-Management und Bewältigung von Sicherheitsvorfällen als Teil der Risikomaßnahmen. Technisch heißt das dreierlei. Erstens eine eigene Sicherung von Exchange Online, SharePoint, OneDrive und Teams, die nicht im selben Tenant liegt wie die Daten, die sie schützen soll. Zweitens unveränderliche Sicherungsstände, die innerhalb der festgelegten Aufbewahrungsfrist auch von einem übernommenen Administratorkonto nicht gelöscht werden können. Drittens ein dokumentierter und tatsächlich getesteter Wiederherstellungsweg, denn ein Notfallplan ist nur so viel wert wie sein letzter erfolgreicher Testlauf. Ob die Sicherung auf eigener Hardware oder in einer zweiten Cloud liegt, ist eine Frage von Budget und Anforderung, nicht von Prinzip.
Informationsschutz und Protokollierung
Der vierte Bereich betrifft den Abfluss von Daten und die Frage, ob man hinterher rekonstruieren kann, was passiert ist. Data-Loss-Prevention-Regeln in Microsoft Purview erkennen sensible Inhalte wie Bankverbindungen oder Kundendaten und verhindern, dass sie versehentlich nach außen gehen. Auf der E-Mail-Seite sorgt eine vollständige Einrichtung von SPF, DKIM und DMARC im Zurückweisungsmodus dafür, dass sich niemand als Ihr Unternehmen ausgeben kann, und Defender for Office 365 prüft Links und Anhänge zum Zeitpunkt des Klicks. Dazu die durchgängige Protokollierung administrativer Handlungen im Unified Audit Log, damit für eine spätere Prüfung nachvollziehbar bleibt, wer wann welche Einstellung geändert hat.
Welche Lizenzstufe wofür reicht
Der Umfang des technisch Möglichen hängt am Plan. Microsoft 365 Business Premium, der übliche Stand im Mittelstand bis 300 Benutzer, deckt Identitätsschutz, Geräteverwaltung, Endpunktsicherheit und eine Basis für Data-Loss-Prevention ab: Entra ID P1, Intune, Defender for Business und Defender for Office 365 P1. Das ist für die meisten Betriebe die wirtschaftlich sinnvollste Stufe. Microsoft 365 E5 beziehungsweise E5 Security lohnt sich für größere Organisationen, die erweiterte Erkennung über mehrere Ebenen, Privileged Identity Management und automatisierte Reaktion brauchen: Entra ID P2, Defender for Endpoint Plan 2 und Purview Advanced Compliance. Unabhängig davon steht die Frage der eigenen Sicherung, weil kein Plan ein Backup Ihrer Daten enthält. Was bei Ihnen vorhanden ist und was wirklich fehlt, klärt das Assessment, bevor Sie etwas nachkaufen.
Technische Bereitschaft
Fünf Fragen zu den Handlungsfeldern aus Artikel 21. Jedes Nein ist eine Lücke, die ein Kunde oder ein Prüfer sehen würde.
Von der Bestandsaufnahme zur belegbaren Härtung
Vier Schritte, an deren Ende eine Dokumentation steht, die einem Kundenfragebogen standhält.
- 1
Technische Bestandsaufnahme
Vollständiger Abgleich Ihres Tenants gegen die aktuellen Microsoft-Baselines, schreibgeschützt und ohne Eingriff in das laufende System.
- 2
Prioritäten-Matrix
Ein verständlicher Befund mit Prioritäten statt einer Mängelliste. Sie sehen, was dringend ist, was warten kann und was es kostet.
- 3
Härtung umsetzen
Bedingter Zugriff, Geräterichtlinien, Sicherungskonzept, Data-Loss-Prevention und E-Mail-Authentifizierung werden eingerichtet, abgestimmt mit Ihrer IT.
- 4
Dokumentieren und nachführen
Alle Richtlinien und Konfigurationen werden festgehalten, damit Sie Prüfern und Kunden etwas vorlegen können. Danach laufendes Nachführen, weil sich die Vorgaben von Microsoft monatlich ändern.
Kostenlose Checks zu dieser Lösung
Bevor wir über ein Projekt sprechen, prüfen wir kostenlos Ihre Ausgangslage. Keine Registrierung, kein Download: Sie stellen die Anfrage, wir melden uns für ein kurzes Gespräch mit einer konkreten Einschätzung - als Grundlage für diese Lösung.