Die meisten Betriebe kaufen ihre Sicherheit zweimal.
Einmal im Abonnement, das ohnehin läuft. Und ein zweites Mal als Virenschutz, Passwortverwaltung und Zusatzgerät. Die stellt man daneben — während die Werkzeuge aus der ersten Rechnung unangetastet in der Verwaltungskonsole stehen.
Das ist kein Vorwurf. Eine Lizenz sagt nicht, was in ihr steckt, und niemand liest eine Produktübersicht freiwillig.
Es lohnt sich trotzdem, einmal nachzusehen. Zwischen dem heutigen Zustand und einem deutlich besseren liegt meist keine Anschaffung, sondern eine Konfiguration.
Lizenziert ist nicht eingeschaltet
Business Premium ist die Lizenzstufe für kleinere Betriebe. Sie enthält gegenüber den Standard-Paketen nicht mehr Office, sondern mehr Steuerung: Regeln für die Anmeldung, Verwaltung der Geräte, schärfere Prüfung der eingehenden Post.
Was aktiv ist, wenn niemand etwas einrichtet
Fast nichts. Die Bestandteile sind vorhanden und stehen auf Werkseinstellung.
Genau daran stehen zwei Betriebe mit identischer Rechnung völlig verschieden da. Der eine hat eine Lizenz, der andere eine Konfiguration.
Warum du diesem Beitrag nicht glauben sollst
Welche Bestandteile in welcher Lizenz stecken, ändert Microsoft von Zeit zu Zeit. Ein Blogbeitrag ist dafür die falsche Quelle — auch dieser.
Die richtige Quelle ist die Lizenzübersicht in deinem eigenen Mandanten. Was hier steht, sind die Hebel, nach denen du dort suchst.
Der Eingang ist die Anmeldung, nicht das Netz
Die Vorstellung, ein Betrieb habe ein Innen und ein Aussen, stammt aus einer Zeit mit einem Serverraum. Sie trägt nicht mehr.
Postfach, Ablage und Buchhaltung hängen an einer Anmeldung. Erreichbar aus jedem Netz.
Was das für die Firewall heisst
Damit verschiebt sich, wo Sicherheit entsteht. Eine Firewall am Standort sieht den Zugriff aus dem Homeoffice gar nicht.
Und ein gestohlenes Passwort sieht für sie ohnehin aus wie eine gewöhnliche Anmeldung. Wie das im Einzelnen wirkt, steht im Glossareintrag zur Firewall.
Was Conditional Access macht
Conditional Access ist die Regelschicht vor der Anmeldung. Statt «richtiges Passwort, also herein» prüft sie Bedingungen: Wer meldet sich an, von welchem Gerät, aus welchem Land, für welche Anwendung.
Drei Regeln, mit denen die meisten anfangen können:
- Zweiter Faktor für alle Konten, ohne Ausnahme für die Geschäftsleitung
- Zugriff auf Verwaltungsfunktionen nur von verwalteten Geräten
- Anmeldungen aus Ländern, in denen niemand arbeitet, werden blockiert statt beobachtet
Die dritte klingt grob und ist die wirksamste. Sie kostet niemanden etwas, solange die Ausnahmen für Reisen vorher geregelt sind.
Was der zweite Faktor leistet und wo seine Grenze liegt, steht unter Zwei-Faktor-Authentifizierung.
Das Gerät als Bedingung
Eine Regel wie «nur von verwalteten Geräten» setzt voraus, dass es verwaltete Geräte gibt. Dafür ist Intune da.
Es kennt die Geräte und erzwingt Mindestanforderungen: Verschlüsselung, aktuelle Aktualisierungen, Bildschirmsperre. Und es entfernt Firmendaten aus der Ferne.
Der Fall, an dem es sich zeigt
Ein Handy geht verloren. Jeder Betrieb hat das irgendwann.
Ohne Geräteverwaltung ist das ein Abend am Telefon mit ungewissem Ausgang. Mit Geräteverwaltung ist es ein Klick: Die geschäftlichen Daten sind weg, die privaten Fotos bleiben.
Woran die Einführung scheitert
An genau dieser Trennung, wenn niemand sie erklärt. «Die Firma verwaltet mein Handy» klingt nach etwas anderem, als es ist.
Der Widerstand ist dann verständlich — und er kostet mehr Zeit als die Einrichtung selbst.
Wo die Versuche ankommen
Der Weg in einen Betrieb führt selten über eine technische Lücke. Er führt über eine Nachricht, die jemand für echt hält.
Die gefälschte Rechnung. Die Aufforderung, eine Zahlung umzuleiten. Die Anmeldeseite, die aussieht wie die richtige. Die Muster stehen unter Phishing.
Was in Exchange Online nicht scharf ist
Im Standard einiges. Einschalten lässt sich mehr: strengere Prüfung von Anhängen und Verweisen, Warnhinweise bei externen Absendern, Regeln gegen automatische Weiterleitungen nach aussen.
Die unscheinbarste Regel
Die Weiterleitung. Wer ein Postfach übernimmt, richtet als Erstes eine stille Weiterleitung ein.
Danach liest er mit — auch wenn das Passwort längst geändert wurde. Das ist der Grund, warum diese eine Regel im Ernstfall mehr rettet als der Virenschutz.
Eine Identität, ein Schalter
Je mehr Anwendungen an derselben Anmeldung hängen, desto weniger Orte gibt es, an denen ein Konto vergessen wird.
Das ist der eigentliche Nutzen von Single Sign-on. Nicht die gesparten Passwörter, sondern der eine Schalter beim Austritt.
Die Kehrseite gehört dazu: Hängt alles an einer Anmeldung, muss diese besonders gut geschützt sein. Und es braucht einen Notfallzugang, der unabhängig davon funktioniert.
«Zero Trust» ist kein Produkt
Der Begriff steht auf vielen Angeboten und meint dort selten dasselbe. Ursprünglich beschreibt er eine Haltung, keine Software.
Kein Zugriff gilt als vertrauenswürdig, nur weil er von innen kommt. Jeder Zugriff wird geprüft, jedes Mal.
Die Abschnitte oben sind genau das, nur ohne den Begriff. Wer Anmeldung, Gerät und Anwendung einzeln prüft, hat Zero Trust umgesetzt — unabhängig davon, ob das auf einer Rechnung steht.
Umgekehrt gilt: Ein Produkt mit «Zero Trust» im Namen ersetzt diese Arbeit nicht. Es kann sie höchstens unterstützen.
Was in der Schweiz dazukommt
Das Datenschutzgesetz schreibt keine bestimmte Technik vor. Es verlangt angemessene technische und organisatorische Massnahmen für die Bearbeitung von Personendaten (Art. 8 DSG, SR 235.1).
Was angemessen ist, richtet sich nach Risiko und Stand der Technik.
Zwei Punkte, die regelmässig untergehen
- Die Auslagerung an einen Dienstleister ist zulässig, nimmt dir die Verantwortung aber nicht ab (Art. 9 DSG). Der Vertrag mit Microsoft ist Teil deiner Dokumentation, nicht ihr Ersatz.
- Verletzungen der Datensicherheit mit hohem Risiko sind dem EDÖB zu melden (Art. 24 DSG). Wer nicht protokolliert, wer wann worauf zugegriffen hat, muss im Ernstfall vom schlimmsten Fall ausgehen.
Die Meldepflicht, die dich vermutlich nicht betrifft
Seit dem 1. April 2025 gilt eine Meldepflicht innert 24 Stunden für Cyberangriffe, mit Sanktionen seit dem 1. Oktober 2025.
Sie betrifft ausdrücklich Betreiberinnen kritischer Infrastrukturen, nicht KMU im Allgemeinen. Wer beides vermischt, baut ein Pflichtprogramm, das für ihn gar nicht gilt.
Wo die Daten liegen
Microsoft betreibt seit 2019 Rechenzentren in der Schweiz. Für Microsoft 365 lässt sich der Ablageort der Kerndaten darauf festlegen.
Das ist ein Argument gegenüber Kunden. Eine gesetzliche Pflicht zur Speicherung im Inland ist es nicht.
Wenn du auf Business Standard sitzt
Nicht jeder Betrieb hat Business Premium. Standard enthält Office, Postfach und Ablage — die Steuerungsebene aber nur in Teilen.
Was auch dort geht
Der zweite Faktor. Er hängt nicht an der höheren Lizenz und ist die wirksamste Einzelmassnahme überhaupt. Wer sonst nichts macht, macht das.
Ebenso die Aufteilung der Verwaltungsrechte und die Weiterleitungsregel in Exchange. Beides kostet nur Zeit.
Woran du merkst, dass die Stufe nicht reicht
An zwei Fragen. Arbeiten Leute auf privaten Geräten mit Firmendaten? Und gibt es Konten, die auf besonders schützenswerte Daten zugreifen?
Zweimal ja heisst: Die Regeln, die du bräuchtest, sind in Standard nicht vorgesehen. Dann ist der Lizenzwechsel die günstigere Antwort als ein Zusatzprodukt daneben — und rechnet sich schneller, als die Preisliste vermuten lässt.
Die Reihenfolge, die wir empfehlen
Nicht alles auf einmal, und nicht in beliebiger Folge:
- Zweiter Faktor für alle, inklusive Geschäftsleitung und Dienstkonten
- Verwaltungsrechte trennen — niemand arbeitet täglich mit einem Konto, das alles darf
- Geräte aufnehmen, zuerst die Firmengeräte, danach die privaten mit Trennung
- Exchange-Regeln schärfen, allen voran die Weiterleitung nach aussen
- Berechtigungen in der Ablage aufräumen — siehe SharePoint
- Wiederherstellung testen, nicht nur die Sicherung einrichten (Backup)
Schritt 6 überspringen die meisten. Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme.
Was das nicht löst
Konfiguration ersetzt keine Aufmerksamkeit. Die überzeugend gefälschte Nachricht an die richtige Person zur richtigen Zeit kommt durch jede Regel — sie verletzt technisch nichts, sie überzeugt einen Menschen.
Und sie ersetzt keine Zuständigkeit
Regeln, die niemand überprüft, veralten. Eine Ausnahme, die «für einen Test» eingerichtet wurde, überlebt sonst jeden Personalwechsel.
Was das im laufenden Betrieb heisst, steht bei Managed IT und IT-Security.
Wo du weiterliest
Die Lücken, die unabhängig von Microsoft bestehen, sind in Cyber Security für KMU aufgeschlüsselt.
Welche Funktionen der Lizenz jenseits der Sicherheit brachliegen, steht in Microsoft 365 für KMU.
Wie wir Einrichtung und Betrieb übernehmen, steht unter Microsoft 365 und Modern Workplace.