Microsoft 365 Business Premium konfigurieren ist keine einmalige Aufgabe, die mit dem Kauf der Lizenz erledigt ist. Wer die Lizenzen aktiviert und den Tenant im Auslieferungszustand belässt, verschenkt einen Großteil der Sicherheitsfunktionen — und sitzt trotzdem mit dem vollen Monatsbeitrag da. Besonders im mittelständischen Umfeld, wo eine dedizierte IT-Abteilung fehlt, bleibt die Konfiguration häufig halbfertig: MFA ist aktiviert, Conditional Access aber nicht, Defender läuft im Audit-Modus statt im Block-Modus, und das Audit-Log ist schlicht abgeschaltet. Diese Checkliste zeigt die elf Einstellungen, die jeder Business-Premium-Tenant zwingend braucht — in der Reihenfolge, die sinnvoll ist.
In Kürze
11 Pflicht-Einstellungen — von MFA über DKIM bis Intune-Compliance. Alle im Microsoft 365 Admin Center oder Entra ID erreichbar.
Lizenz-Realität
Business Premium enthält Entra ID P1, Intune, Defender for Business und Azure Information Protection Plan 1 — oft ungenutzt.
Risikoprofil
Phishing und Credential-Stuffing sind für KMU die häufigsten Einfallstore. MFA + Conditional Access blocken >99 % automatisierter Angriffe.
Zeitaufwand
Erstkonfiguration realistisch 4–8 Stunden für einen erfahrenen Administrator — danach laufende Wartung überschaubar.
Einstellungen 1–4: Identität und Zugang absichern
Der Identitätsschutz ist das Fundament. Ein kompromittiertes Konto mit globaler Admin-Rolle ist der schlimmste anzunehmende Fall — und er ist vermeidbar.
- 1. MFA für alle Benutzer erzwingen. Security Defaults aktivieren oder — besser — Conditional Access Policies einrichten. Security Defaults sind ein guter Einstieg, aber sie unterscheiden nicht zwischen Rollen und Standorten. In Entra ID (ehemals Azure AD) unter „Eigenschaften” → „Sicherheitsstandards verwalten”. Für granulare Steuerung stattdessen Conditional Access nutzen (→ Punkt 2).
- 2. Conditional Access: MFA für alle Cloud-Apps erzwingen. Policy anlegen: Benutzer = Alle, Apps = Alle Cloud-Apps, Grant = MFA erforderlich. Ausnahmen nur für Breakglass-Accounts dokumentieren. Named Locations für vertrauenswürdige Büro-IPs definieren — spart Reibung im Alltag.
- 3. Breakglass-Account anlegen und absichern. Mindestens ein Notfall-Admin-Konto, das NICHT über Conditional Access oder MFA-Anforderungen laufen darf (sonst sperrt man sich selbst aus). Dieses Konto: keine Lizenz, starkes Passwort, Zugangsdaten in physischem Safe, regelmäßig testen. Anmelde-Aktivitäten des Kontos per Alert überwachen.
- 4. Privileged Identity Management (PIM) für Admin-Rollen. Mit Entra ID P1 (in Business Premium enthalten) lassen sich Admin-Rollen zeitlich begrenzt aktivieren. Niemand sollte dauerhaft globaler Admin sein. PIM unter „Entra ID” → „Identitäts-Governance” → „Privileged Identity Management”.
Einstellungen 5–7: E-Mail-Sicherheit und Anti-Phishing
Exchange Online ist in den meisten Tenants der verwundbarste Punkt. Falsch konfigurierte Antispam-Einstellungen, fehlende DKIM-Signatur und aktivierter Autodiscover ohne Authentifizierung öffnen Türen, die geschlossen gehören.
- 5. DKIM aktivieren und DMARC-Richtlinie setzen. DKIM unter „Security” → „Email & Collaboration” → „Policies & Rules” → „Threat Policies” → „Email Authentication Settings”. Für jede sendende Domain DKIM-Schlüssel generieren und die CNAME-Einträge beim DNS-Provider setzen. DMARC-TXT-Eintrag mit
p=quarantineoderp=rejectbeim DNS setzen — ohne DMARC bleibt DKIM wirkungslos gegen Domain-Spoofing. SPF-Record prüfen: Jede IP-Range, die im Namen der Domain sendet, muss enthalten sein. - 6. Defender for Office 365 — Safe Links und Safe Attachments aktivieren. Im Microsoft Defender-Portal unter „Email & Collaboration” → „Policies & Rules” → „Threat Policies”. Safe Attachments: „Dynamic Delivery” wählen (Mail kommt sofort an, Anhang wird nachgeprüft — kein Wartezimmer-Effekt). Safe Links: „Nutzer-Klicks verfolgen” aktivieren, Liste der blockierten URLs regelmäßig prüfen. Anti-Phishing-Policy: Impersonation-Schutz für alle Führungskräfte und häufig missbrauchte Domains aktivieren.
- 7. Externe E-Mail-Weiterleitung deaktivieren. Unter „Exchange Admin Center” → „Mail Flow” → „Remote Domains” für die Default-Domain „Automatische Weiterleitung” auf „Off” setzen. Alternativ per Transport Rule: Block messages where „Sender is located: Inside the organization” UND „Recipient is located: Outside the organization” UND „Message type: Auto Forward”. Externe Weiterleitungen sind ein klassisches Exfiltrations-Werkzeug nach Kontoübernahmen.
Einstellungen 8–11: Geräte, Daten und Protokollierung
Wer nur die Identitäts- und E-Mail-Einstellungen konfiguriert, hat die Hälfte getan. Der zweite Block adressiert Geräte-Compliance, Datenschutz beim Teilen, Backup und Nachvollziehbarkeit.
- 8. Intune-Compliance-Policy aktivieren und mit Conditional Access verknüpfen. Intune ist in Business Premium enthalten, aber oft ungenutzt. Compliance-Policy definieren: Mindest-OS-Version, BitLocker aktiviert, Antivirus aktuell, keine Jailbreaks. Dann Conditional Access ergänzen: Zugriff auf Exchange und SharePoint nur von „compliant” markierten Geräten. Nicht-konforme Geräte werden automatisch geblockt.
- 9. SharePoint-Freigabe-Einstellungen einschränken. Standard-Einstellung erlaubt „Jeder mit dem Link” — das ist für die meisten Unternehmen zu weit. Im SharePoint Admin Center unter „Sharing” auf „Neue und vorhandene Gäste” oder „Nur Personen in Ihrer Organisation” umstellen. Gastfreigaben mit Ablaufdatum versehen (maximal 30 Tage). OneDrive-Einstellungen separat prüfen — die Werte vererben sich nicht automatisch.
- 10. Unified Audit Log aktivieren und Alerts einrichten. Im Microsoft Purview Compliance-Portal (ehemals Microsoft 365 Compliance Center) sicherstellen, dass das Unified Audit Log eingeschaltet ist — in neuen Tenants ab 2023 meist standardmäßig aktiv, in älteren Tenants manuell prüfen und aktivieren. Aufbewahrungsdauer: Business Premium enthält 90 Tage Standardaufbewahrung. Alert-Policies für kritische Ereignisse einrichten: Massen-Dateidownloads, Anmeldung aus unbekannten Ländern, Admin-Rollenänderungen.
- 11. Backup-Lücke schließen — M365 hat kein vollständiges Backup. Das ist der blinde Fleck, der am häufigsten übersehen wird: Microsoft sichert die Infrastruktur, nicht die Inhalte einzelner Postfächer oder SharePoint-Sites bei Benutzerfehlern oder Ransomware-Verschlüsselung. Business Premium enthält keine automatische Wiederherstellung auf Datei-Ebene über 90 Tage hinaus. Eine Drittanbieter-Backup-Lösung für Exchange Online, SharePoint und OneDrive ist Pflicht — keine Empfehlung, sondern Grundvoraussetzung für jede DSGVO-konforme Datenverarbeitung.
Realitätscheck: Die 11 Einstellungen klingen überschaubar — in der Praxis sind es aber rund 40 einzelne Konfigurationsschritte verteilt über fünf verschiedene Admin-Portale (Microsoft 365 Admin Center, Entra ID, Microsoft Defender, Exchange Admin Center, Intune/Endpoint Manager). Wer das zum ersten Mal macht, kalkuliert besser 8 Stunden statt 2. Und wer nach einem halben Jahr prüft, ob alles noch stimmt, wird oft feststellen, dass Microsoft durch Updates Standardwerte stillschweigend verändert hat.
„Wir sehen bei fast jedem neuen Kunden dasselbe Muster: MFA ist irgendwie aktiviert, aber Conditional Access fehlt komplett. Das bedeutet, MFA lässt sich per Legacy-Protokoll umgehen — die Schutzwirkung ist nahezu null. Der Teufel steckt wirklich in den Details, und die Details liegen oft tief in Portalen, die die meisten KMU-Geschäftsführer nie öffnen.”
— Jens Hagel, Gründer der hagel IT-Services GmbH (Marke hagel one), Hamburg
Was kostet eine saubere M365-Konfiguration?
Die Lizenzkosten für Business Premium sind fix — der Aufwand für die Konfiguration kommt oben drauf. Für einen Tenant mit 20–50 Benutzern rechnet man bei externer Unterstützung typischerweise mit einem initialen Projekt (Analyse, Härtung, Dokumentation) plus laufender Administration. Grob orientieren kann man sich an drei Modellen:
| Modell | Wer macht die Konfiguration | Stärken | Risiken |
|---|---|---|---|
| Selbst konfigurieren | Interner IT-Mitarbeiter oder Geschäftsführer | Niedrige Kosten, volle Kontrolle | Hoher Zeitaufwand, Wissenslücken, keine Qualitätssicherung |
| Projektbasierter Dienstleister | Systemhaus auf Stundenbasis | Expertenleistung, einmalig | Kein laufendes Monitoring, Änderungen durch MS-Updates gehen unter |
| Managed Service | MSP mit M365-Expertise | Dauerhaft gewartet, Updates werden nachgezogen, SLA | Monatliche Kosten, Abhängigkeit vom Anbieter |
Wichtig: Die Lizenzkosten selbst sind bei allen drei Modellen identisch. Der Unterschied liegt im Risiko, das man trägt — und darin, ob jemand bemerkt, wenn Microsoft einen Default-Wert ändert oder eine neue Bedrohung neue Einstellungen erfordert.
Lohnt sich Microsoft 365 Business Premium für kleine Unternehmen mit unter 20 Mitarbeitenden?
Ja, wenn Sicherheit und Compliance eine Rolle spielen. Business Premium kostet pro Nutzer deutlich mehr als Business Standard, liefert aber Defender for Business, Intune und Entra ID P1 — Tools, die ein gleichwertiger Einzelkauf mehrfach so teuer wären. Unter 10 Nutzern ist die Lizenzmindestmenge mancher Anbieter zu prüfen; grundsätzlich ist der Plan aber auch für kleine Teams sinnvoll.
Wie lange dauert die Ersteinrichtung von M365 Business Premium realistisch?
Für einen erfahrenen Administrator: 4–8 Stunden für einen neuen, sauberen Tenant. Bei Migration eines bestehenden Tenants mit gewachsenen Alteinstellungen, Legacy-Protokollen und bereits aktiven Nutzern eher 1–3 Tage — je nachdem, wie viel zu bereinigen ist. Ohne Erfahrung mit dem Microsoft-Admin-Ökosystem verdoppeln sich diese Zeiten leicht.
Muss ich DKIM und DMARC selbst beim DNS-Provider eintragen?
Ja. DKIM-CNAME-Einträge generiert Microsoft im Defender-Portal, aber eintragen muss man sie beim DNS-Hoster (z. B. IONOS, Strato, Hetzner). DMARC ist ein eigenständiger TXT-Eintrag, den man vollständig manuell erstellt. Ohne DNS-Zugang funktioniert beides nicht. Dauer: 10–30 Minuten, wenn der DNS-Zugang vorliegt; Propagation bis zu 48 Stunden.
Was passiert, wenn ein Gerät die Intune-Compliance-Richtlinie nicht erfüllt?
Wenn Conditional Access mit der Compliance-Policy verknüpft ist: Das Gerät erhält keinen Zugriff auf die verknüpften Apps (z. B. Exchange, SharePoint). Der Benutzer sieht eine Fehlermeldung und einen Link zum Company Portal, wo er das Gerät registrieren oder das Problem beheben kann. Ohne die Verknüpfung mit Conditional Access hat die Compliance-Policy keine Zugriffswirkung — sie meldet nur, ohne zu blockieren.
Ersetzt Microsoft 365 Business Premium eine dedizierte Backup-Lösung?
Nein. Microsoft sichert die Verfügbarkeit der Dienste, nicht die Inhalte einzelner Postfächer oder Dateien. Das Papierkorb-System und der Versionsverlauf helfen bei versehentlichem Löschen bis zu einem bestimmten Zeitraum, sind aber kein vollständiges Backup. Für DSGVO-konforme Wiederherstellbarkeit und Schutz vor Ransomware braucht man eine separate Lösung, die Exchange Online, SharePoint und OneDrive dediziert sichert.
Wer die 11 Einstellungen konsequent umsetzt, hat einen Tenant, der deutlich besser geschützt ist als der Durchschnitt — aber die Konfiguration ist kein Einmalprojekt. Microsoft verändert Standardwerte, neue Angriffsmuster erfordern neue Policies, und wachsende Teams brauchen angepasste Regeln. Für Unternehmen, die das nicht dauerhaft intern stemmen können oder wollen, lohnt der Blick auf hagel one m365 — Microsoft 365 Managed, der den Tenant nicht nur initial einrichtet, sondern kontinuierlich überwacht, aktualisiert und bei Sicherheitsvorfällen reaktionsfähig bleibt.