Eine Buchhalterin bekommt am Dienstagnachmittag eine Nachricht: Ihr Microsoft-365-Passwort laufe in 24 Stunden ab, bitte hier bestätigen. Die Seite dahinter sieht aus wie die gewohnte Anmeldemaske. Sie gibt die Zugangsdaten ein, die Anmeldung schlägt scheinbar fehl, sie versucht es noch einmal über das Lesezeichen und kommt normal hinein. Der Vorgang ist nach einer Minute vergessen.

Drei Wochen später ruft ein Kunde an und fragt, warum die Bankverbindung auf der letzten Rechnung geändert wurde. Im Postfach liegt eine Regel, die alle Nachrichten mit dem Wort „Rechnung“ in einen selten geöffneten Unterordner verschiebt. Angelegt wurde sie an jenem Dienstag.

Solche Fälle laufen technisch fast unauffällig ab. Kein Schadcode, kein bekannter Absender auf einer Sperrliste, eine gültige Anmeldung mit korrekten Zugangsdaten. Der einzige Punkt, an dem der Angriff hätte auffallen können, war der Moment vor dem Klick. Genau dort setzt Security Awareness Training an.

Was Security Awareness Training bedeutet

Security Awareness Training ist die planmäßige Schulung von Mitarbeitenden im Erkennen und Melden von Angriffsversuchen. Es besteht aus zwei Teilen: kurzen Lerneinheiten zu einzelnen Angriffsmustern und simulierten Angriffen, die realistisch nachstellen, was im Alltag ankommt.

Der Vergleich mit dem Brandschutz trifft es gut. Brandschutztüren, Rauchmelder und Feuerlöscher sind Pflicht und wirken. Trotzdem übt jedes Unternehmen einmal im Jahr die Evakuierung, weil im Ernstfall entscheidend ist, dass Menschen wissen, was sie tun, und nicht erst nachdenken müssen. Die technische Ausstattung und die Übung ergänzen sich, keines ersetzt das andere.

Wichtig ist der Unterschied zur klassischen Jahresunterweisung. Eine einstündige Präsentation im Januar erzeugt Aufmerksamkeit für etwa zwei Wochen. Wirksam wird das Thema erst durch Wiederholung in kleinen Portionen über das Jahr verteilt.

Warum Technik allein an Grenzen stößt

Microsoft 365 filtert Spam und bekannte Schadsoftware zuverlässig. Bei der einzelnen, sauber formulierten Nachricht sieht es anders aus, und die Zahlen dazu sind eindeutig.

Der Verizon Data Breach Investigations Report 2026 wertet über 22.000 bestätigte Datenschutzverletzungen aus. In 62 Prozent der Fälle war der Faktor Mensch beteiligt, nach 60 Prozent im Vorjahr. Social Engineering steht für 16 Prozent der bestätigten Vorfälle. Bemerkenswert ist die Verschiebung der Kanäle: 41 Prozent der Social-Engineering-Vorfälle laufen inzwischen über andere Wege als E-Mail, etwa ein Viertel davon über Telefon oder soziale Netzwerke.

Das passt zu dem, was uns in der Praxis begegnet. Der Anruf des angeblichen Microsoft-Supports, die SMS mit der Paketbenachrichtigung, die Teams-Nachricht eines vermeintlichen Kollegen aus einem fremden Mandanten. Ein E-Mail-Filter sieht diese Wege nicht. Auch die Multi-Faktor-Authentifizierung hilft nur begrenzt, wenn Angreifer so lange Bestätigungsanfragen senden, bis jemand aus Genervtheit auf „Zulassen“ tippt.

Interessant ist noch eine Zahl aus demselben Bericht: Die mittlere Klickrate bei simulierten Phishing-Mails liegt bei rund 1,4 Prozent, bei Simulationen über Telefon und SMS dagegen bei etwa 2 Prozent. Bei einem Betrieb mit 50 Mitarbeitenden klingt das nach wenig. Für einen erfolgreichen Angriff reicht ein einziger Klick.

Wie ein Awareness-Programm im Mittelstand aufgebaut ist

Wir setzen Security Awareness Training mit Acronis als Managed Service um. Der Aufbau folgt in der Regel fünf Schritten.

1. Ausgangsmessung

Am Anfang steht eine erste Simulation ohne Vorankündigung an die Belegschaft, abgestimmt mit der Geschäftsführung und, wo vorhanden, dem Betriebsrat. Sie liefert eine Klickrate als Ausgangswert. Ohne diesen Wert lässt sich später nicht beurteilen, ob das Programm etwas bewirkt.

2. Kurze Lerneinheiten statt Jahresschulung

Die Schulungen kommen als Videos und Klickstrecken von drei bis fünf Minuten, etwa zwei- bis dreimal im Monat. Die Inhalte sind auf Rollen zugeschnitten: Die Buchhaltung bekommt Module zu Rechnungsbetrug und geänderten Bankverbindungen, die Geschäftsführung zu gezielten Angriffen auf Führungskräfte.

3. Simulationen über mehrere Kanäle

Simuliert wird, was tatsächlich ankommt. Neben Phishing-Mails gehören dazu QR-Codes in Anhängen, gefälschte Anmeldeseiten und Nachrichten über Messenger. Wer auf eine Simulation hereinfällt, landet sofort auf einer Erklärseite, die die Merkmale der Fälschung zeigt.

4. Ein Meldeweg ohne Schuldzuweisung

Der wichtigste Baustein kostet nichts: ein klarer Weg, um einen Verdacht zu melden, und die Zusage, dass niemand dafür Ärger bekommt. In Outlook lässt sich dafür eine Melden-Schaltfläche einblenden. Wer befürchtet, sich zu blamieren, meldet nicht, und dann vergehen Wochen bis zur Entdeckung.

5. Auswertung und Nachsteuerung

Einmal im Quartal schauen wir uns an, wie sich Klick- und Meldequote entwickelt haben und in welchen Bereichen es hakt. Nach etwa zwölf Monaten liegt die Klickrate in den von uns betreuten Umgebungen meist deutlich unter dem Startwert, die Meldequote steigt spürbar an.

Typische Fehler aus der Praxis

Drei Muster sehen wir immer wieder. Erstens wird die Ausgangsmessung übersprungen, weil das Ergebnis unangenehm werden könnte. Damit fehlt später jeder Beleg für den Nutzen des Programms.

Zweitens werden die Ergebnisse personenbezogen ausgewertet und in Teamrunden angesprochen. Das führt zuverlässig dazu, dass niemand mehr etwas meldet. Wir werten auf Abteilungsebene aus und besprechen Einzelfälle nur mit den Betroffenen selbst.

Drittens endet das Programm nach der ersten Runde. Personal wechselt, Angriffsmuster ändern sich, und die Aufmerksamkeit lässt nach. Awareness ist ein Dauerlauf, kein Projekt mit Abschlussbericht.

Was das für Ihre Microsoft-365-Umgebung heißt

Schulung wirkt zusammen mit der technischen Absicherung. Welche Schutzfunktionen in den einzelnen Microsoft-Plänen enthalten sind und wo sie aufhören, haben wir in einem eigenen Beitrag beschrieben (Bietet Microsoft 365 ausreichenden Schutz?). Warum dazu ein eigenständiges Backup gehört, lesen Sie hier (Microsoft 365 Backup: Vorbereitet vor dem Ernstfall).

Awareness senkt die Zahl der Vorfälle, die überhaupt entstehen. Filter, Backup und Endgeräteschutz begrenzen den Schaden, wenn doch etwas durchrutscht. Beides gehört in dasselbe Konzept.

Security Awareness Training für Unternehmen in Südostbayern

Wir betreuen kleine und mittelständische Unternehmen, Schulen und Behörden in Mühldorf, Altötting, Rottal-Inn, Rosenheim, Traunstein, Landshut, Erding und Passau. Die Einrichtung eines Awareness-Programms erledigen wir remote, der Aufwand für Ihre Mitarbeitenden liegt bei etwa zehn Minuten im Monat. Die Auswertung besprechen wir quartalsweise, auf Wunsch persönlich vor Ort.

Fazit

Angreifer richten sich seit Jahren nach dem Weg des geringsten Widerstands. Solange Filter und Anmeldeschutz besser werden, verschiebt sich der Angriff auf die Person am Bildschirm, zunehmend auch über Telefon und Messenger.

Security Awareness Training macht diesen Weg teurer. Es braucht dafür keine großen Budgets, sondern Regelmäßigkeit, realistische Simulationen und eine Kultur, in der ein gemeldeter Fehlklick als guter Tag gilt.

Möchten Sie wissen, wie Ihr Team auf einen realistischen Phishing-Versuch reagiert? Lassen Sie uns mit einer Ausgangsmessung starten und gemeinsam festlegen, welche Schulungsinhalte für Ihre Abteilungen sinnvoll sind. Kontaktieren Sie uns für ein unverbindliches Erstgespräch!

Termin direkt buchen: https://m-itsysteme.de/kostenlose-erstberatung

Der Beitrag Security Awareness Training erschien zuerst auf M IT-Systemhaus GmbH.

Ein Fahrzeug mit Gurt, Airbag und ABS ist gut ausgestattet. Trotzdem entscheidet immer noch, wer am Steuer sitzt, wie schnell gefahren wird und ob die Bremsen jemand gewartet hat. Mit Microsoft 365 verhält es sich ähnlich: Die Sicherheitsausstattung ab Werk ist ordentlich, sie ersetzt aber weder eine bewusste Konfiguration noch die Bereiche, die Microsoft schlicht nicht abdeckt.

Diese Frage kommt in unseren Erstgesprächen fast immer irgendwann auf. Microsoft 365 ist da, es läuft, die Rechnung kommt monatlich, und niemand hat je genau geprüft, was in dem Paket eigentlich an Sicherheit enthalten ist. Meist stellt sich heraus: mehr als gedacht, aber an anderen Stellen weniger als angenommen.

Dieser Artikel zeigt, welche Schutzfunktionen Microsoft 365 mitbringt, welche vier Lücken in der Praxis regelmäßig offen bleiben und wie Sie den Zustand Ihrer eigenen Umgebung einschätzen können.

Was Microsoft 365 an Sicherheit tatsächlich mitbringt

Jeder Plan mit Exchange Online enthält Exchange Online Protection, kurz EOP. Dieser Filter blockt Spam und bekannte Schadsoftware in E-Mail-Anhängen, bevor sie im Postfach landen. Er arbeitet solide und fängt den Großteil der Massenangriffe ab.

Dazu kommt die Multi-Faktor-Authentifizierung, also die zweite Anmeldebestätigung per App oder Code. Microsoft aktiviert sie bei neuen Umgebungen inzwischen standardmäßig und erzwingt sie für administrative Zugänge. Sie ist die wirksamste Einzelmaßnahme gegen gestohlene Passwörter, und sie kostet nichts extra.

Wichtig ist die Unterscheidung zwischen den Plänen. Erweiterte Funktionen wie Defender for Office 365, das Links und Anhänge vor dem Öffnen prüft, oder Defender for Business für den Schutz der Endgeräte sind in Microsoft 365 Business Premium enthalten. In Business Basic und Business Standard sind sie es nicht. Viele Unternehmen arbeiten mit Standard-Lizenzen und gehen davon aus, dass diese Funktionen mitlaufen.

Vier Lücken, die in der Praxis offen bleiben

1. Ihre Daten sind nicht gesichert

Microsoft betreibt die Dienste und sorgt für deren Verfügbarkeit. Für die Sicherung der Inhalte sind Sie selbst zuständig, das steht so in den Nutzungsbedingungen. Was Microsoft bietet, sind Aufbewahrungsfristen: Ein gelöschtes Postfach bleibt 30 Tage erhalten, der Papierkorb in SharePoint und OneDrive hält Dateien 93 Tage vor. Danach ist der Inhalt endgültig weg, unabhängig davon, ob jemand versehentlich oder absichtlich gelöscht hat.

2. Gezielte Angriffe rutschen durch

Standardfilter erkennen Massenware zuverlässig. Schwieriger wird es bei der einzelnen, gut gemachten Mail: die angebliche Bitte des Geschäftsführers um eine dringende Überweisung, die täuschend echte Rechnung eines Lieferanten mit geänderter Bankverbindung. Solche Nachrichten enthalten keinen Schadcode und keinen bekannten Absender auf einer Sperrliste. Technisch sind sie unauffällig, und genau deshalb kommen sie an.

3. Endgeräte liegen außerhalb der Cloud

Microsoft schützt seine Rechenzentren, nicht Ihre Notebooks. Verschlüsselt Ransomware die lokalen Dateien eines Arbeitsplatzes, synchronisiert OneDrive die verschlüsselten Versionen anschließend in die Cloud. Die Versionshistorie hilft in einfachen Fällen, ist aber kein Ersatz für eine saubere Wiederherstellung auf einen bestimmten Zeitpunkt.

4. Die Konfiguration bleibt oft im Auslieferungszustand

Berechtigungen, Freigaben und Anmelderichtlinien werden bei der Einrichtung gesetzt und danach selten wieder angefasst. Über die Jahre sammeln sich Konten ausgeschiedener Mitarbeiter, weit geöffnete Freigabelinks und Administratorrechte, die längst niemand mehr braucht. Microsoft weist über den Secure Score auf viele dieser Punkte hin, allerdings nur, wenn jemand regelmäßig hineinschaut.

Was Microsoft 365 abdeckt und was Sie ergänzen sollten

Was uns in der Praxis begegnet

Bei Bestandsaufnahmen neuer Kunden sehen wir drei Muster immer wieder. Erstens laufen Konten ehemaliger Mitarbeiter oft monatelang weiter, mit gültigem Passwort und ohne zweite Anmeldebestätigung. Zweitens existieren Freigabelinks auf SharePoint-Ordner, die für jeden mit Kenntnis der Adresse funktionieren, auch für Personen außerhalb des Unternehmens. Drittens gibt es kein Backup der Microsoft-365-Daten, weil die Aufbewahrungsfristen für eine Sicherung gehalten wurden.

Keines dieser Probleme entsteht durch Nachlässigkeit. Sie entstehen, weil niemand zuständig ist und niemand regelmäßig hinschaut. Eine Prüfung einmal im Jahr deckt solche Punkte zuverlässig auf und dauert selten länger als einen halben Tag.

Microsoft-365-Sicherheit für Unternehmen in Südostbayern

Wir betreuen kleine und mittelständische Unternehmen, Schulen und Behörden in Mühldorf, Altötting, Rottal-Inn, Rosenheim, Traunstein, Landshut, Erding und Passau. Für Microsoft 365 heißt das: Wir prüfen Ihre Konfiguration, ergänzen Backup und Endgeräteschutz und behalten die Umgebung im Betrieb im Blick. Ansprechpartner sind bei uns Menschen aus der Region, keine Ticketnummer in einem Callcenter.

Fazit

Microsoft 365 bringt ein brauchbares Sicherheitsfundament mit, besonders bei E-Mail-Filterung und Anmeldeschutz. Was fehlt, ist die Sicherung Ihrer Daten, der Schutz vor gezielten Angriffen in den kleineren Plänen, die Absicherung der Endgeräte und eine Konfiguration, die jemand regelmäßig überprüft.

Die Antwort auf die Frage im Titel lautet also: Microsoft 365 schützt einiges gut, anderes gar nicht. Entscheidend ist, dass Sie wissen, welcher Teil bei Ihnen zu welcher Kategorie gehört.

Möchten Sie wissen, wie es um die Sicherheit Ihrer Microsoft-365-Umgebung steht? Lassen Sie uns gemeinsam prüfen, welche Funktionen bei Ihnen aktiv sind, wo Lücken bestehen und mit welchem Aufwand Sie diese schließen. Kontaktieren Sie uns für ein unverbindliches Erstgespräch!

Termin buchen: https://m-itsysteme.de/kostenlose-erstberatung

Der Beitrag Bietet Microsoft 365 ausreichenden Schutz? erschien zuerst auf M IT-Systemhaus GmbH.