Entra ID & Intune Hardening - Microsoft 365 ist nicht ab Werk sicher

Die Bausteine sind da, aber die Standardeinstellung ist auf Bequemlichkeit optimiert, nicht auf Sicherheit. Alte Protokolle, fehlende Bedingungen, offene Defaults sind der Normalfall. Härtung macht aus Potenzial echten Schutz.

Viel geht mit den Lizenzen, die Du ohnehin hast. Wo eine höhere Stufe echten Mehrwert bringt, sagen wir das ehrlich - und rechnen es gegen den Nutzen.

Die trennen wir sauber: Firmendaten in einem verwalteten Container, privates bleibt privat, bei Verlust oder Austritt sind nur die Firmendaten weg. DSGVO-konform.

Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr). Den Antrag übernehmen wir.

Sie sind ein guter Anfang und besser als nichts, vor allem erzwingen sie MFA. Sie sind aber grob: keine saubere Behandlung von Dienstkonten, keine Unterscheidung nach Standort oder Gerät, kein geregelter Notfallzugang. Sobald Du feiner steuern willst oder musst, brauchst Du Conditional Access statt der Defaults.

Im Kern ist es ein einmaliges Projekt: prüfen, umsetzen, dokumentieren. Der Aufwand hängt an der Zahl der Nutzer, an vorhandenen Altlasten und daran, ob Intune schon läuft oder neu aufgebaut wird. Dazu kommt auf Wunsch die laufende Pflege, weil Microsoft an den Einstellungen ständig etwas ändert.

Die Prüfung des Tenants ist eine Sache von Tagen. Die Umsetzung verteilen wir über einige Wochen, weil Conditional Access und Compliance-Regeln erst im Berichtsmodus laufen, bevor sie greifen - so siehst Du vorher, wen eine Regel treffen würde. Alles auf einmal an einem Freitagabend umzulegen, ist genau der Weg, der schiefgeht.

Wenn es gut gemacht ist, wenig: Die Anmeldung auf bekannten, verwalteten Geräten bleibt unauffällig. Spürbar wird es dort, wo bisher etwas offen war - Zugriff von privaten Geräten, alte Mailprogramme, Anmeldungen aus dem Ausland. Diese Fälle klären wir vorher durch, damit niemand am Montagmorgen überrascht ist.

Das ist ein realer Fehler, der regelmäßig passiert. Deshalb richten wir vor jeder Regel Notfallzugänge ein: Konten, die von den Regeln ausgenommen, dafür besonders stark abgesichert und überwacht sind. Ihre Nutzung löst einen Alarm aus, damit sie nicht zur stillen Hintertür werden.

Ja, das ist der Normalfall im Mittelstand. Wichtig ist, dass beide Seiten gehärtet sind: Ein übernommenes lokales AD kann sonst in die Cloud durchschlagen, weil die Synchronisation genau dort ansetzt. Deshalb gehören Entra-Härtung und Active-Directory-Hardening meist in dasselbe Projekt.

Nicht zwingend. Wenn eine bestehende Lösung Verschlüsselung, Updates und Compliance sauber durchsetzt und mit Entra ID zusammenspielt, kann sie bleiben. Zwei Verwaltungen parallel sind allerdings die schlechteste Variante - dann widersprechen sich Richtlinien und niemand weiß mehr, welche gilt.

In der Regel nicht. Bestehende Windows-Geräte lassen sich nachträglich aufnehmen, die Richtlinien kommen dann schrittweise dazu. Ein Neuaufsetzen empfehlen wir nur bei Geräten, die ohnehin ausgetauscht werden oder deren Zustand fragwürdig ist - dafür lohnt sich dann der Weg über die automatische Bereitstellung.

Das ist der häufigste Stolperstein: Multifunktionsgeräte, die per altem Verfahren Mails verschicken, und Fachsoftware mit fest hinterlegten Passwörtern. Wir werten deshalb erst die Anmeldeprotokolle aus, finden jedes betroffene Gerät und stellen es auf ein sicheres Verfahren um. Abgeschaltet wird erst danach, nicht vorher.

Ja, direkt: Zugriffskontrolle, Geräte-Compliance, Protokollierung und der Schutz privilegierter Rollen sind in beiden Rahmenwerken zentrale Anforderungen. Wir setzen sie um und liefern die Konfigurationsdokumentation als Nachweis. Die Zertifizierung selbst nimmt eine akkreditierte Stelle vor.

Der Secure Score ist ein nützlicher Anhaltspunkt, aber kein Plan. Er bewertet auch Punkte, die für Deine Umgebung irrelevant sind, und übersieht Risiken, die er gar nicht misst - etwa gewachsene Berechtigungen oder vergessene Alt-Konten. Wir nutzen ihn als eine Quelle unter mehreren und arbeiten nach Risiko, nicht nach Punktzahl.