MFA in Microsoft 365: So schützen Sie Ihre Konten

Ein Großteil der Angriffe auf Microsoft-365-Konten beginnt nicht mit raffinierter Technik, sondern mit einem einzigen erbeuteten Passwort – per Phishing-Mail, aus einem alten Datenleck oder schlicht erraten. Die Multi-Faktor-Authentifizierung (MFA) sorgt dafür, dass dieses Passwort allein nicht mehr ausreicht.

Was MFA eigentlich macht

Bei der Anmeldung braucht es neben dem Passwort einen zweiten Nachweis, meist eine Bestätigung in der App Microsoft Authenticator auf dem Smartphone. Wer nur Ihr Passwort kennt, kommt damit nicht weiter. Für die Mitarbeitenden bedeutet das im Alltag: ein kurzer Tipp aufs Handy, und zwar nicht bei jedem Öffnen von Outlook, sondern nur bei neuen Geräten oder ungewöhnlichen Anmeldungen.

Welche zweiten Faktoren sinnvoll sind

• Authenticator-App: der Standard für die meisten Unternehmen. Kostenlos, schnell eingerichtet und mit Zahlenabgleich bei der Anmeldung gut gegen versehentliches Bestätigen geschützt.
• Sicherheitsschlüssel (FIDO2) oder Passkeys: die sicherste Variante, besonders für Administratoren und die Geschäftsführung.
• SMS oder Anruf: besser als nichts, aber die schwächste Option. Nur als Notlösung für einzelne Personen ohne Smartphone.

Sicherheitsstandards oder bedingter Zugriff?

Microsoft bietet zwei Wege an. Die Sicherheitsstandards (Security Defaults) sind in jedem Tarif enthalten und schalten MFA mit einem Klick für alle Konten ein. Für viele kleine Büros ist das ein guter und schneller Anfang.

Mehr Feinsteuerung bietet der bedingte Zugriff (Conditional Access). Damit legen Sie zum Beispiel fest, dass im Büronetz seltener nachgefragt wird, dass Administratoren immer einen zweiten Faktor brauchen oder dass Anmeldungen aus bestimmten Ländern gesperrt sind. Dafür ist eine Lizenz mit Microsoft Entra ID P1 nötig, wie sie etwa in Microsoft 365 Business Premium enthalten ist. Beides gleichzeitig geht nicht: Wer Richtlinien für den bedingten Zugriff nutzt, schaltet die Sicherheitsstandards ab.

Was Sie jetzt tun sollten

1. Bestandsaufnahme machen: Welche Konten gibt es, wer hat Administratorrechte, welche Postfächer werden gemeinsam genutzt?
2. Mit den Administratoren beginnen: Diese Konten sind das lohnendste Ziel und sollten zuerst geschützt werden.
3. Ein Notfall-Admin-Konto anlegen: ein separates, gut gesichertes Konto, falls die normale Anmeldung einmal nicht funktioniert. Zugangsdaten sicher verwahren und regelmäßig prüfen.
4. Mitarbeitende vorab informieren: eine kurze Mail mit Termin und Anleitung zur Authenticator-App verhindert die meisten Rückfragen.
5. Einführung mit Ansprechpartner: am besten an einem ruhigen Tag, mit jemandem, der bei Problemen direkt hilft.
6. Ältere Anmeldeverfahren prüfen: Geräte wie Scanner oder ältere Programme, die E-Mails verschicken, melden sich teils noch mit veralteten Verfahren an. Diese sollten auf moderne Methoden umgestellt werden, sonst entstehen Lücken oder Ausfälle.

Typische Stolpersteine

Der häufigste Fehler ist ein Start ohne Vorbereitung: Am Montagmorgen kann sich plötzlich das halbe Büro nicht mehr anmelden, weil niemand die App eingerichtet hat. Ebenfalls häufig sind vergessene Dienstkonten, etwa für den Multifunktionsdrucker, die nach der Umstellung keine Mails mehr verschicken.

Ein weiterer Punkt: MFA-Anfragen, die niemand ausgelöst hat, sind ein Warnsignal. Bitten Sie Ihr Team, solche Anfragen abzulehnen und sofort Bescheid zu geben, denn dann kennt jemand das Passwort.

Fazit

MFA gehört zu den wirksamsten und günstigsten Maßnahmen, die Sie für Ihre IT-Sicherheit ergreifen können. Mit etwas Planung ist die Einführung in einem kleinen Unternehmen an einem Tag erledigt. Wenn Sie dabei Unterstützung möchten, prüfe ich gern Ihre Microsoft-365-Umgebung und begleite die Umstellung, damit am nächsten Morgen alle normal weiterarbeiten können.