Microsoft-365-Tenant absichern: Warum die Sicherheit Ihres Unternehmens im Tenant entschieden wird

Der Tenant ist das digitale Herzstück Ihres Unternehmens in der Microsoft-Cloud. Ob Ihre Daten sicher sind, entscheidet sich in seinen Einstellungen – nicht am einzelnen Arbeitsplatz.

Liebe Leserinnen und Leser,

fast jedes Unternehmen arbeitet heute mit Microsoft 365 – mit Outlook, Teams, SharePoint und OneDrive. Was dabei im Hintergrund alles zusammenhält, ist der sogenannte Tenant. Er wird selten bewusst wahrgenommen, doch genau hier fällt die Entscheidung, ob Ihre Unternehmensdaten geschützt sind oder mit einem einzigen gestohlenen Passwort offenstehen. In diesem Beitrag erklären wir verständlich, was ein Tenant ist, wer für seine Sicherheit verantwortlich ist und welche Stellschrauben wirklich zählen.

Was ist ein Microsoft-365-Tenant – und was steckt dahinter?

Ein Tenant (deutsch: „Mandant") ist Ihr eigener, abgeschotteter Bereich in der Microsoft-365-Cloud – vergleichbar mit einem privaten Stockwerk in einem großen Bürogebäude. Alle anderen Microsoft-Kunden wohnen im selben Haus, aber niemand kann Ihr Stockwerk betreten. Angelegt wird der Tenant automatisch, sobald ein Unternehmen Microsoft 365 bucht, und er ist an Ihre Domäne (z. B. @ihre-firma.de) gebunden.

Das Herz des Tenants ist Microsoft Entra ID (früher Azure Active Directory). Hier sind alle Benutzerkonten, Gruppen, Geräte und Berechtigungen hinterlegt – es ist die zentrale Türsteher-Instanz, die bei jeder Anmeldung prüft, wer hinein darf. An diesem Fundament hängen die Dienste, mit denen Sie täglich arbeiten:

• Exchange Online – Ihre E-Mail-Postfächer und Kalender.
• SharePoint & OneDrive – die Ablage für nahezu alle Unternehmensdokumente.
• Microsoft Teams – Chat, Meetings und Zusammenarbeit (im Hintergrund auf SharePoint aufgebaut).
• Geräte- & App-Verwaltung – welche Geräte und Programme auf Ihre Daten zugreifen dürfen.

Anders gesagt: Der Tenant ist die digitale Zentrale Ihres Unternehmens. Wer die Kontrolle über ihn erlangt, hat potenziell Zugriff auf alles, was darin liegt.

Die Sicherheit steht und fällt mit den Einstellungen im Tenant

Das ist der entscheidende Punkt, der oft unterschätzt wird: Die Sicherheit Ihrer Anwender und Ihres gesamten Unternehmens basiert auf den Einstellungen im Tenant. Nicht ein einzelner Virenscanner auf einem Laptop entscheidet über den Schutz, sondern die zentralen Richtlinien, die im Tenant hinterlegt sind.

Die meisten erfolgreichen Angriffe auf Microsoft 365 nutzen keine technische Sicherheitslücke aus, sondern schlicht gestohlene Zugangsdaten – etwa aus einer Phishing-Mail. Und hier zeigt sich, wie kritisch die Grundeinstellungen sind: Eine fehlende Zwei-Faktor-Authentifizierung (2FA) und eine schwache Passwort-Policy können unter Umständen dazu führen, dass ein Angreifer mit einem einzigen erbeuteten Passwort Zugriff auf den gesamten SharePoint – und damit auf Ihre komplette Dokumentenablage – erhält.

Der Angriffsweg ist erschreckend kurz: Passwort per Phishing abgegriffen → mangels 2FA reicht das Passwort allein für die Anmeldung → der Angreifer ist als regulärer Benutzer im Tenant → über den Browser stehen ihm SharePoint, OneDrive und Teams-Dateien offen. Eine erzwungene 2FA hätte genau an dieser Stelle blockiert: Das gestohlene Passwort allein hätte nicht mehr genügt.

Wer ist verantwortlich? In erster Linie Ihr IT-Dienstleister

Ein weit verbreiteter Irrtum ist, Microsoft liefere den Tenant „von Haus aus sicher" aus. Tatsächlich gilt das Prinzip der geteilten Verantwortung: Microsoft betreibt und schützt die Infrastruktur (Rechenzentren, Plattform) – für die sichere Konfiguration Ihres Tenants sind jedoch Sie bzw. Ihr IT-Dienstleister zuständig. Viele Schutzfunktionen sind im Standard nicht oder nur unzureichend aktiviert.

In erster Linie ist Ihr IT-Dienstleister für den sicheren und reibungslosen Betrieb des Tenants mit all seinen Bestandteilen verantwortlich. Das umfasst weit mehr als das Anlegen von Benutzern – dazu gehören unter anderem die Erzwingung von MFA, durchdachte Zugriffsrichtlinien, ein sauberes Rollen- und Rechtekonzept und ganz wesentlich auch die korrekte E-Mail-Konfiguration. Gerade Letztere wird oft übersehen: Ohne sauber eingerichtete SPF-, DKIM- und DMARC-Einträge landen Ihre E-Mails im Spam oder – schlimmer – Kriminelle versenden gefälschte Mails in Ihrem Namen.

Die folgende Übersicht zeigt, wie sich die Verantwortung in der Praxis verteilt:

Wie schützen Sie Ihren Tenant? Die wichtigsten Möglichkeiten

Die gute Nachricht: Mit einigen zentralen Maßnahmen im Tenant lässt sich das Sicherheitsniveau erheblich anheben – ohne dass Ihre Mitarbeitenden im Alltag Nachteile spüren. Die wichtigsten Stellschrauben:

• Zwei-Faktor-Authentifizierung (2FA/MFA) für alle erzwingen – die mit Abstand wirksamste Einzelmaßnahme. Ein zweiter Faktor macht ein gestohlenes Passwort praktisch wertlos und verhindert laut Microsoft über 99 % der kontobasierten Angriffe. Welche Authenticator-App sich für den Alltag – gerade beim Gerätewechsel – am besten eignet, haben wir ausführlich verglichen: Authenticator im Praxistest – Microsoft vs. Google.
• Starke Passwort-Policy bzw. passwortlose Anmeldung – lange, einzigartige Passwörter, kein Wiederverwenden, idealerweise Passkeys. Eine schwache Policy ist die Einladung für automatisierte Angriffe.
• Conditional Access (Bedingter Zugriff) – Anmeldungen nur von verwalteten Geräten, aus bestimmten Regionen oder unter definierten Bedingungen zulassen. Verdächtige Zugriffe werden automatisch blockiert.
• Legacy-Authentifizierung abschalten – alte Protokolle umgehen die 2FA und sind ein beliebtes Einfallstor. Sie gehören konsequent deaktiviert.
• Getrennte Admin-Konten & Notfallzugänge – Administratoren arbeiten nicht mit ihrem Alltagskonto; hinterlegte Notfall-Konten verhindern die komplette Aussperrung.
• E-Mail-Sicherheit einrichten – SPF, DKIM und DMARC gegen Spoofing sowie ein aktiver Phishing-Schutz (Microsoft Defender).
• Freigaben & Gastzugriffe regelmäßig prüfen – externe Gäste und offene SharePoint-Freigaben zeitnah aufräumen, damit ehemalige Partner keinen stillen Zugriff behalten.
• Secure Score & Backup – der Microsoft Secure Score macht den Sicherheitsstand messbar; ein separates Backup schützt vor Datenverlust durch Ransomware oder Fehlbedienung.

Fazit & Empfehlung

Der Tenant ist das Fundament Ihrer digitalen Arbeit – und seine Sicherheit entscheidet sich in der Konfiguration, nicht im Zufall. Unsere drei Kernempfehlungen:

• ✓ 2FA für ausnahmslos alle Konten erzwingen und die Passwort-Policy härten – das schließt das häufigste Einfallstor.
• ✓ Die Tenant-Konfiguration (inkl. E-Mail-Sicherheit und Freigaben) in fachkundige Hände legen und regelmäßig überprüfen lassen.
• ✓ Freigaben, Gastzugriffe und den Secure Score im Blick behalten – Sicherheit ist ein laufender Prozess, kein einmaliges Projekt.

Sie sind unsicher, wie sicher Ihr Microsoft-365-Tenant tatsächlich konfiguriert ist, oder möchten 2FA, Conditional Access und die E-Mail-Sicherheit sauber aufsetzen lassen? Als Ihr IT-Dienstleister prüfen wir Ihren Tenant, härten die Einstellungen und sorgen für einen sicheren und reibungslosen Betrieb – vom Login bis zur Mail-Konfiguration. Sprechen Sie uns an. Ihr Team von ITnavigator.