Microsoft 365 härten: Warum Tenant-Baselines für Datenschutz und Security Pflicht sind

Hallo, hier ist wieder Kora. Bei heise ist mir ein eintägiger iX-Workshop aufgefallen, der sich mit Baselines für Microsoft-365-Tenants, Informationssicherheit und Datenschutz beschäftigt. Das Thema begegnet mir in Gesprächen so häufig, dass ich es hier gern einmal grundsätzlich einordne.

Ein Tenant ist schnell erstellt – sicher ist er damit nicht

Microsoft 365 gehört in vielen Unternehmen zur Grundausstattung des modernen Arbeitsplatzes: Mail, Teams, SharePoint, OneDrive, Entra ID. Die Einrichtung ist bewusst niedrigschwellig gehalten, und genau darin liegt die Falle. Wer den Tenant in weitgehend werksseitiger Konfiguration betreibt, hat eine funktionierende Umgebung – aber keine, die automatisch den Anforderungen aus DSGVO und Informationssicherheit entspricht. Die dafür nötigen Sicherheits- und Datenschutzeinstellungen muss man gezielt konfigurieren, und das heißt: bewusst entscheiden, dokumentieren und regelmäßig nachschärfen.

Was hinter dem Begriff "Baseline" steckt

Eine Baseline ist im Kern nichts anderes als ein definierter Mindeststandard für die Konfiguration: Welche Standardeinstellungen im Tenant werden bewusst geändert? Welche Freigabe- und Sharing-Optionen sind erlaubt? Wie sieht der Umgang mit Gastzugängen, mit Aufbewahrung, mit Protokollierung aus? Der Vorteil eines solchen Sets: Man diskutiert Einstellungen nicht bei jedem Projekt neu, sondern hat einen überprüfbaren Soll-Zustand – und kann Abweichungen erkennen. Ohne diese Grundlage wird jede Auditfrage zur Recherche-Aktion.

Der heise-Workshop setzt genau hier an und behandelt laut Ankündigung unter anderem, welche Daten Microsoft überhaupt verarbeitet, welche Einstellungen für Datenschutz und Informationssicherheit besonders relevant sind und wie sich Compliance-Vorgaben im eigenen Tenant wirksam umsetzen lassen. Geleitet wird er von IT-Consultants der Rewion GmbH, die ihre Erfahrungen aus Modern-Workplace-Projekten einbringen.

Der Punkt, den viele unterschätzen: Sicherheit hat Nebenwirkungen

Besonders wichtig finde ich einen Aspekt, der in der Ankündigung ausdrücklich genannt wird: die Auswirkungen der Konfiguration auf Funktionen und tägliche Nutzung. Genau daran scheitern in der Praxis viele Härtungsprojekte. Wer externes Sharing komplett dichtmacht, Gastzugänge verbietet und Richtlinien ohne Kommunikation ausrollt, erzeugt keine Sicherheit, sondern Schatten-IT – dann wandern Dateien eben über private Cloud-Konten. Gute Baselines sind deshalb immer auch eine Abwägung zwischen Schutzbedarf und Arbeitsfähigkeit, und sie brauchen Begleitung durch Kommunikation.

Für wen sich das lohnt

Adressiert sind Administratoren sowie Datenschutz- und Informationssicherheitsbeauftragte in kleinen und mittleren Unternehmen – also die typische Konstellation, in der wenige Personen sehr viele Rollen gleichzeitig ausfüllen. Gerade dort ist ein strukturierter Überblick wertvoller als das mühsame Zusammensuchen von Einzeltipps aus Foren und Doku-Seiten.

Unser Blick aus dem Rechenzentrum

Wir betreuen viele Kunden, die hybrid unterwegs sind: Fachanwendungen, Datenbanken oder Backups bei uns im Rechenzentrum, Kollaboration und Mail in Microsoft 365. Diese Mischung ist völlig legitim – man muss sie nur zu Ende denken. Für uns gehören drei Dinge dazu:

• Identitäten zuerst: Entra ID ist in solchen Setups der eigentliche Schlüssel zum Unternehmen. Absicherung von Konten und administrativen Rollen hat Vorrang vor allem anderen.
• Verantwortung klar trennen: Der Cloud-Anbieter sorgt für die Plattform, für Konfiguration, Daten und Zugriffsrechte bleibt das Unternehmen zuständig. Dieses Modell der geteilten Verantwortung gilt auch für Backups.
• Datenflüsse kennen: Wer weiß, welche Daten wo verarbeitet werden, kann Verzeichnisse, Verträge und Schutzmaßnahmen belastbar aufsetzen – bei uns wie in der Cloud.

Mein Fazit: Ob man sich das Wissen im Workshop, aus Herstellerdokumentation oder mit einem Dienstleister erarbeitet, ist zweitrangig. Entscheidend ist, dass ein M365-Tenant nicht als Selbstläufer behandelt wird, sondern als System mit dokumentierter Konfiguration, klaren Zuständigkeiten und regelmäßiger Überprüfung. Wenn ihr bei euch noch keine schriftliche Baseline habt, ist das ein gutes Projekt für die nächsten Wochen.

Bis demnächst, eure Kora

Quelle: heise online