Microsoft 365 ohne MFA: das größte offene Tor im KMU

Warum ein starkes Passwort nicht mehr reicht

Angreifer knacken heute kaum noch Passwörter. Sie kaufen sie. Zugangsdaten aus Datenlecks fremder Dienste werden massenhaft gegen Microsoft-365-Konten durchprobiert, und weil viele Menschen dasselbe Passwort mehrfach verwenden, funktioniert das erschreckend oft. Dazu kommt Phishing: Eine gut gemachte Anmeldeseite bekommt das Passwort freiwillig, egal wie lang es ist.

Der entscheidende Punkt: Ein Angreifer, der sich mit Ihren Zugangsdaten anmeldet, sieht für Ihre IT zunächst aus wie Sie. Er löst keinen Alarm aus, weil formal nichts Verbotenes passiert. Genau deshalb bleiben solche Zugriffe im Schnitt lange unbemerkt.

Die Mehr-Faktor-Authentifizierung (MFA) trennt „Passwort kennen" von „hereinkommen". Microsoft beziffert die Wirkung mit über 99 Prozent verhinderter Kontoübernahmen. Keine andere Maßnahme, die Sie an einem Vormittag umsetzen können, hat ein annähernd so gutes Verhältnis von Aufwand zu Wirkung.

Was ein übernommenes Postfach im Betrieb anrichtet

Der Schaden entsteht selten dort, wo man ihn erwartet. Typische Muster aus der Praxis:

• Rechnungsbetrug. Der Angreifer liest mit, wartet auf eine echte offene Rechnung und schickt dem Kunden eine „Korrektur der Bankverbindung". Der Kunde zahlt – an das falsche Konto. Die Nachricht kommt von Ihrer echten Adresse, aus Ihrem echten Verlauf.
• Stille Weiterleitungen. Eine Regel im Postfach kopiert alle Nachrichten mit dem Wort „Angebot" nach außen. Sie merken davon nichts, weil die Regel in Outlook unauffällig einsortiert ist.
• Ausbreitung nach innen. Von Ihrem Konto aus wirken Nachrichten an Kolleginnen und Kollegen vertrauenswürdig. Der zweite Zugang ist deshalb meist leichter zu holen als der erste.
• Meldepflichten. Sobald personenbezogene Daten im Postfach betroffen sind – und das sind sie fast immer – steht die Frage einer Meldung an die Datenschutzbehörde binnen 72 Stunden im Raum.

Die drei Wege in Microsoft 365

Microsoft bietet mehrere Möglichkeiten, MFA zu erzwingen. Welche passt, hängt an Ihrer Lizenz und daran, wie viele Ausnahmen Sie brauchen.

1. Sicherheitsstandards (Security Defaults). Ein Schalter, alle Benutzer, keine Ausnahmen. In jeder Lizenz enthalten und für kleine Betriebe ohne Sonderfälle der schnellste sinnvolle Weg. Bei neueren Mandanten ist er ohnehin von Haus aus aktiv.
2. Bedingter Zugriff (Conditional Access). Regeln statt Schalter: MFA abhängig von Benutzergruppe, Standort, Gerät oder Anwendung. Braucht eine Entra-ID-P1-Lizenz (in Business Premium enthalten) und ist der richtige Weg, sobald es Sonderfälle gibt – etwa Geräte in der Produktion oder ein Notfallkonto.
3. MFA je Benutzer (Legacy). Die alte Einstellung pro Konto. Sie funktioniert noch, ist aber unübersichtlich und lässt sich schlecht nachvollziehen. Für Neueinführungen ist sie die schlechteste der drei Optionen.

Unabhängig vom Weg gilt: Microsoft hat die Anmeldung an den Verwaltungsportalen ohnehin schrittweise auf verpflichtende MFA umgestellt. Die Frage ist also nicht mehr ob, sondern nur noch wann und wie geordnet.

Woran es in der Praxis scheitert

Die Technik ist selten das Problem. Diese fünf Punkte kosten in kleinen Unternehmen am häufigsten Nerven:

• Die Ausnahme für die Geschäftsführung. Verständlich, aber sie hebelt genau das Konto aus, das die wertvollsten Informationen hat und in der Firma das größte Vertrauen genießt. Wenn eine Ausnahme sein muss, dann zeitlich befristet und dokumentiert.
• Kein Notfallkonto. Wer MFA erzwingt und sich selbst aussperrt, hat ein teures Problem. Ein separates Administratorkonto mit langem, sicher verwahrtem Passwort und eigener MFA-Methode gehört vorher eingerichtet.
• Alte Anmeldeverfahren bleiben offen. Multifunktionsgeräte, Warenwirtschaft oder alte Outlook-Versionen melden sich teils noch ohne moderne Authentifizierung an. Solange dieser Weg offensteht, lässt sich MFA umgehen. Diese Zugänge müssen vorher gefunden und umgestellt werden.
• SMS als einziger Faktor. SMS ist besser als nichts, aber angreifbar. Eine Authenticator-App ist bequemer und sicherer, ein Hardware-Schlüssel die stärkste Variante für besonders exponierte Konten.
• MFA-Müdigkeit. Wer im Minutentakt Bestätigungen wegtippt, tippt irgendwann auch die des Angreifers weg. Zahlenabgleich statt einfachem „Genehmigen" und vernünftige Sitzungsdauern verhindern das.

Ihre Checkliste

1. Notfall-Administratorkonto einrichten und das Passwort sicher hinterlegen.
2. Anmeldeprotokolle auf Zugriffe ohne moderne Authentifizierung durchsehen und diese Zugänge umstellen.
3. Sicherheitsstandards aktivieren – oder bedingten Zugriff einrichten, wenn Sie Ausnahmen brauchen.
4. Authenticator-App als bevorzugte Methode setzen, Zahlenabgleich einschalten.
5. Team vorab informieren: einmal erklären, was passiert und warum, spart den halben Supportaufwand.
6. Nach zwei Wochen kontrollieren, wer noch keine Methode registriert hat.
7. Postfächer einmalig auf unbekannte Weiterleitungsregeln prüfen – der häufigste Rückstand eines Angriffs, den niemand bemerkt hat.

Und der Versicherungsschutz?

Cyber-Versicherungen fragen inzwischen regelmäßig nach Mehr-Faktor-Anmeldung, getrennten Administratorkonten und geprüften Backups. Wer das im Antrag bejaht und im Schadensfall nicht belegen kann, riskiert seinen Schutz. Prüfen Sie im Zweifel Ihre Police, bevor es darauf ankommt.

Kurz gesagt: MFA ist kein Projekt, sondern ein Nachmittag – vorausgesetzt, Notfallkonto und alte Anmeldewege sind vorher geklärt. Danach ist ein gestohlenes Passwort nur noch ein gestohlenes Passwort.