Jede Microsoft-365-Business-Lizenz bringt einen Grundschutz mit: Spam- und Malware-Filter für E-Mails und die Möglichkeit, Multi-Faktor-Anmeldung für alle Konten zu erzwingen. Die stärkeren Werkzeuge gibt es erst mit Business Premium, darunter erweiterter Phishing-Schutz, bedingter Zugriff, Geräteverwaltung mit Intune und Defender for Business für die Endgeräte. Zwei Dinge deckt keine Lizenz ab: ein unabhängiges Backup Ihrer Daten und jemanden, der die Umgebung im Blick behält und reagiert, wenn etwas passiert.
Microsoft 365 gilt oft als „sicher ab Werk“. Das stimmt zum Teil. Microsoft betreibt die Rechenzentren, filtert E-Mails und liefert gute Schutzfunktionen mit. Wie gut ein Unternehmen tatsächlich geschützt ist, hängt aber von zwei Dingen ab, die Microsoft Ihnen nicht abnimmt: welche Lizenz Sie gekauft haben und wie der Tenant eingerichtet ist.
In diesem Artikel geht es um genau diese beiden Punkte. Welche Funktion steckt in welcher Lizenz? Welche Einstellungen sollten in keinem Unternehmen fehlen? Und wo endet die Verantwortung von Microsoft? Stand: 28. September 2026.
Welche Sicherheitsfunktionen in welcher Lizenz stecken
Für kleine und mittlere Unternehmen gibt es drei Business-Varianten für bis zu 300 Nutzer. Bei der Sicherheit unterscheiden sich Basic und Standard kaum. Standard bringt vor allem die Office-Programme für den Desktop mit. Der große Sprung liegt zwischen Standard und Premium.
| Funktion | Business Basic | Business Standard | Business Premium |
|---|---|---|---|
| Spam- und Malware-Filter für E-Mails (Exchange Online Protection) | ja | ja | ja |
| Multi-Faktor-Anmeldung für alle Konten | ja | ja | ja |
| Einfache Verwaltung mobiler Geräte (Basic Mobility and Security) | ja | ja | ja |
| Erweiterter Phishing-Schutz mit Safe Links und Safe Attachments (Defender for Office 365 Plan 1) | nein | nein | ja |
| Bedingter Zugriff (Microsoft Entra ID P1) | nein | nein | ja |
| Geräteverwaltung für Windows, macOS, iOS und Android (Microsoft Intune Plan 1) | nein | nein | ja |
| Schutz der Endgeräte mit Erkennung und Reaktion (Defender for Business) | nein | nein | ja |
| Datenklassifizierung, Nachrichtenverschlüsselung und Schutz vor Datenabfluss (Microsoft Purview) | nein | nein | ja |
| Office-Desktop-Apps | nein | ja | ja |
Einzelne Premium-Bausteine lassen sich auch zu Standard dazukaufen, etwa Defender for Business oder Entra ID P1. Ab zwei oder drei solcher Zusatzlizenzen ist Business Premium aber meist die günstigere und übersichtlichere Lösung.
Wichtig ist, was die Tabelle nicht zeigt: Ein „ja“ bedeutet nur, dass die Funktion in der Lizenz enthalten ist. Eingeschaltet und sinnvoll konfiguriert ist sie damit noch nicht.
Fünf Einstellungen, die in keinem Tenant fehlen sollten
Die folgenden Punkte funktionieren mit jeder Business-Lizenz. Sie kosten nichts außer etwas Zeit bei der Einrichtung und schließen die häufigsten Einfallstore.
1. Multi-Faktor-Anmeldung für alle Konten
Gestohlene Passwörter sind der häufigste Weg in ein Microsoft-365-Konto, meist über Phishing. Mit einem zweiten Faktor, etwa der Authenticator-App, reicht das Passwort allein nicht mehr. Microsoft aktiviert dafür bei neuen Tenants die sogenannten Sicherheitsstandards. In älteren Tenants ist das nicht automatisch der Fall, und nicht selten gibt es Ausnahmen für einzelne Konten, die niemand mehr auf dem Schirm hat.
2. Admin-Konten getrennt vom Alltagskonto
Wer globale Administratorrechte hat, sollte dafür ein eigenes Konto nutzen, das keine E-Mails empfängt und nicht zum Surfen verwendet wird. Microsoft empfiehlt weniger als fünf globale Administratoren pro Tenant. In vielen Unternehmen sind es deutlich mehr, weil Rechte irgendwann vergeben und nie wieder entzogen wurden.
3. Externe Freigaben begrenzen
SharePoint und OneDrive erlauben je nach Einstellung Freigabelinks, die jeder mit dem Link öffnen kann. Das ist bequem und gleichzeitig ein Risiko, wenn solche Links weitergeleitet werden oder nie ablaufen. Sinnvoller sind Freigaben an bestimmte Personen und Links mit Ablaufdatum. Wie das in der Praxis aussieht, beschreiben wir im Artikel zum SharePoint-Zugriff verwalten.
4. SPF, DKIM und DMARC für die eigene Domain
Diese drei Einträge im DNS legen fest, wer E-Mails im Namen Ihrer Domain versenden darf. Ohne sie können Angreifer Mails verschicken, die so aussehen, als kämen sie von Ihnen (Spoofing). Große Mail-Anbieter wie Gmail und Yahoo setzen diese Einträge seit 2024 für Massenversender voraus. Für die E-Mail-Sicherheit insgesamt sind sie die Grundlage.
5. Veraltete Geräte und Anmeldeverfahren abschalten
Windows 10 bekommt seit dem 14. Oktober 2025 keine regulären Sicherheitsupdates mehr. Geräte, die noch damit laufen, sind ein offenes Fenster, egal wie gut Microsoft 365 selbst eingestellt ist. Was Unternehmen jetzt tun sollten, steht in unserem Beitrag zum Ende von Windows 10. Dasselbe gilt für alte Anmeldeverfahren ohne Multi-Faktor-Unterstützung, etwa bei betagten Mailprogrammen oder Multifunktionsgeräten, die per SMTP Scans verschicken.
Was Microsoft nicht für Sie erledigt
Microsoft arbeitet nach einem Modell geteilter Verantwortung. Microsoft sorgt dafür, dass die Dienste laufen und die Rechenzentren geschützt sind. Für die Daten, die Benutzerkonten und die Konfiguration ist Ihr Unternehmen selbst verantwortlich. Daraus ergeben sich drei Lücken.
Backup
Der Papierkorb ist kein Backup. Gelöschte E-Mails lassen sich in Exchange Online standardmäßig 14 Tage lang wiederherstellen, der Papierkorb von SharePoint und OneDrive hält Dateien 93 Tage. Wer später bemerkt, dass etwas fehlt, hat Pech. Bei einem Angriff mit Ransomware werden außerdem synchronisierte Dateien verschlüsselt, und die verschlüsselten Versionen landen ganz regulär in OneDrive. Ein unabhängiges Backup außerhalb des eigenen Tenants schließt diese Lücke. Mehr dazu im Artikel über Online-Datensicherung für Unternehmen.
Endgeräte
Microsoft 365 schützt zunächst die Cloud-Dienste, nicht die Laptops. Windows bringt zwar den Defender-Virenschutz mit. Ohne Business Premium oder eine andere zentrale Lösung sieht aber niemand, ob er auf allen Geräten läuft, aktuell ist und ob er gerade Alarm schlägt. Warum ein zentral verwalteter Schutz den Unterschied macht, erklären wir beim Thema Managed Virenschutz.
Überwachung und Reaktion
Microsoft 365 erzeugt Warnungen, zum Beispiel bei verdächtigen Anmeldungen oder auffälligen Weiterleitungsregeln im Postfach. Diese Warnungen landen im Admin-Center oder in einem Postfach, das oft niemand regelmäßig liest. Schutzfunktionen helfen nur dann, wenn jemand hinsieht und reagiert.
Warum es keinen hundertprozentigen Schutz gibt
Auch ein gut eingerichtetes Microsoft 365 mit Backup und Endgeräteschutz ist nicht unangreifbar. Kein seriöser Anbieter kann das versprechen. Mehrere Schutzschichten senken das Risiko aber erheblich: Ein gestohlenes Passwort scheitert an der Multi-Faktor-Anmeldung, eine verseuchte Datei am Virenschutz, und wenn doch etwas durchkommt, lässt sich der Schaden mit einem Backup begrenzen. Es geht darum, dass ein einzelner Fehler nicht gleich den ganzen Betrieb lahmlegt. Einen Überblick über die übrigen Bausteine gibt unser Artikel zur IT-Sicherheit im Unternehmen.
Wann sich Business Premium lohnt
Business Premium ist nicht für jedes Unternehmen nötig. Wir empfehlen es vor allem in diesen Fällen:
- Mitarbeitende arbeiten mit Laptops im Homeoffice oder unterwegs.
- Firmen-E-Mails laufen auch auf privaten Smartphones.
- Sie arbeiten mit sensiblen Daten, etwa in einer Kanzlei, im Gesundheitswesen oder in der Personalvermittlung.
- Ihre Cyberversicherung fragt nach Multi-Faktor-Anmeldung und verwaltetem Endgeräteschutz, was inzwischen die Regel ist.
Ein kleines Büro mit fest installierten PCs, das vor allem E-Mail und Dateiablage nutzt, kommt mit Business Standard und guten Grundeinstellungen oft aus. Dann sollten Backup und Virenschutz allerdings anders geregelt sein.
Managed Microsoft 365: Lizenz und Schutz in einem Paket
Die Lücken aus diesem Artikel schließen wir mit unserem Managed Microsoft 365. Jedes Paket enthält die Microsoft-Lizenz, ein unabhängiges Backup, zusätzlichen Virenschutz für die Endgeräte, Überwachung und Fernwartung der Geräte, die Verwaltung des Tenants sowie Administration und Support durch unser Team in Wiesbaden.
| Paket | Preis pro Nutzer und Monat |
|---|---|
| Managed M365 Business Basic | 35 € |
| Managed M365 Business Standard | 45 € |
| Managed M365 Business Premium | 55 € |
Alle Preise verstehen sich zzgl. MwSt. Migration und Einrichtung bieten wir einmalig nach Aufwand an.
Häufige Fragen
Ist Microsoft 365 ohne Zusatzprodukte sicher genug?
Für die Cloud-Dienste selbst bietet Microsoft einen soliden Grundschutz. Es fehlen aber ein unabhängiges Backup, ein zentral überwachter Schutz der Endgeräte (außer in Business Premium) und jemand, der auf Warnungen reagiert. Ob das für Ihr Unternehmen reicht, hängt davon ab, wie teuer ein Datenverlust oder ein Ausfall von einigen Tagen wäre.
Brauche ich ein Backup, obwohl Microsoft meine Daten speichert?
Ja. Microsoft sorgt dafür, dass der Dienst verfügbar bleibt, und nicht dafür, dass Sie versehentlich gelöschte oder verschlüsselte Daten nach Monaten zurückholen können. Die Aufbewahrung im Papierkorb ist zeitlich begrenzt.
Reicht Business Standard mit Multi-Faktor-Anmeldung?
Für kleine Büros mit festen Arbeitsplätzen oft ja, sofern Backup und Virenschutz separat geregelt sind. Monitoring und Virenschutz für die Endgeräte bieten wir auch einzeln als Managed Service an, ab 10 € pro Gerät und Monat zzgl. MwSt. Sobald Mitarbeitende mobil arbeiten oder private Geräte nutzen, fehlen in Standard die Werkzeuge, um diese Geräte zu verwalten und den Zugriff abhängig vom Gerät zu steuern.
Ist Microsoft 365 DSGVO-konform?
Microsoft 365 lässt sich datenschutzkonform einsetzen, es kommt aber auf die Einrichtung an. Microsoft speichert die Daten von EU-Kunden in europäischen Rechenzentren. Für Berechtigungen, Aufbewahrung und Freigaben ist das Unternehmen selbst verantwortlich. Was das beim Einsatz von KI bedeutet, zeigt unser Artikel zu Microsoft 365 Copilot im Mittelstand.
Bild: (© TRAVELARIUM – stock.adobe.com)
Andere Artikel aus unserem IT-Blog
Microsoft 365 Copilot: Leistung & Kosten
Microsoft 365 kündigen: Anleitung & Fristen
Erläuterung zusätzlicher Begriffe aus der IT
Kevin Hendrix
Vertrieb / Sales Manager · You Logic AG
IT-Berater im Vertrieb der You Logic AG. Unterstützt mittelständische Unternehmen im Rhein-Main-Gebiet bei der Auswahl passender IT-Services, Managed-Service-Modelle und Outsourcing-Lösungen.
LinkedInFachlich und redaktionell geprüft von Marius Bopp, Prokurist & Technischer Leiter, am 28. September 2026.
