Microsoft Baseline Security Mode: Was das fur Ihren M365-Tenant bedeutet

Die meisten Sicherheitsprobleme in Microsoft 365 entstehen nicht durch Zero-Day-Lücken oder raffinierte Angreifer. Sie entstehen durch Fehlkonfigurationen – Einstellungen, die auf Standardwerten belassen wurden, Funktionen, die nie aktiviert wurden, Richtlinien, die zwar erstellt, aber nie durchgesetzt wurden. Microsofts neuer Baseline Security Mode soll genau diese Lücken sichtbar machen – in verständlicher Sprache und mit Auswirkungsanalyse, bevor eine Änderung angewendet wird.

Wenn Sie Microsoft 365-Administrator sind – oder wenn jemand anderes Ihren Tenant verwaltet und Sie wissen möchten, ob er sicher konfiguriert ist – erklärt dieser Beitrag, was das Dashboard zeigt, was die Empfehlungen konkret bedeuten und wie Sie priorisieren, was zuerst behoben werden sollte. Für eine vollständige Umsetzung deckt unsere Microsoft 365 Sicherheitsbewertung jeden Punkt vom Audit bis zur Behebung ab.

Was Baseline Security Mode ist – und was nicht

Baseline Security Mode ist ein zentrales Dashboard im Microsoft 365 Admin Center, das die aktuelle Konfiguration Ihres Tenants mit Microsofts empfohlenen Mindestsicherheitsstandards über fünf Workloads hinweg vergleicht: Office-Apps, SharePoint, Exchange Online, Microsoft Teams und Entra ID (früher Azure Active Directory).

Es handelt sich nicht um ein automatisches Durchsetzungswerkzeug. Im Tenant ändert sich nichts, bis ein Administrator eine Empfehlung ausdrücklich anwendet. Das Dashboard zeigt Ihnen die Lücke – schließt sie aber nicht ohne Ihre Freigabe. Das ist wichtig zu verstehen, weil der Name „Security Mode" etwas Aktives suggeriert, obwohl es im Kern ein Sichtbarkeits- und Orientierungswerkzeug ist.

Was es nützlich macht, ist die Auswirkungsanalyse. Bevor eine empfohlene Änderung angewendet wird, können Sie einen Auswirkungsbericht ausführen, der zeigt, welche Nutzer oder Gruppen betroffen sein werden, was die Änderung in der Praxis bewirkt und ob Ausnahmen sinnvoll sind. Für Administratoren, die es sich nicht leisten können, an einem Dienstagvormittag etwas zu unterbrechen, ist das ein echter Vorteil.

So finden Sie das Dashboard

1. Melden Sie sich im Microsoft 365 Admin Center unter admin.microsoft.com mit einem globalen Administratorkonto oder Sicherheitsadministratorkonto an.
2. Navigieren Sie zu Einstellungen → Organisationseinstellungen → Sicherheit & Datenschutz → Baseline Security Mode.
3. Die Hauptansicht zeigt eine Zusammenfassungskachel mit Ihrer Gesamtsicherheitslage – entweder „Entspricht Standards", „Entspricht Standards teilweise" oder „Gefährdet".
4. Unterhalb der Zusammenfassung sind Empfehlungen nach Workload gruppiert und nach Risikostufe farbcodiert: Hoch (rot), Mittel (orange) und Informativ (blau).
5. Ein Klick auf eine Empfehlung öffnet ein Detailfeld mit einer Erklärung des Risikos, der zu bewertenden Einstellung und der Option, eine Auswirkungsanalyse durchzuführen oder die Empfehlung anzuwenden.

Die meisten Tenants, die nicht proaktiv gehärtet wurden, zeigen mehrere Empfehlungen mit hohem Risiko – typischerweise rund um MFA-Durchsetzung, Blockierung von Legacy-Authentifizierung und externe Freigabeeinstellungen.

Die häufigsten Empfehlungen und was sie bedeuten

Zuordnung zum BSI IT-Grundschutz

Für Organisationen in Deutschland, die nach der BSI IT-Grundschutz-Methodik vorgehen, lassen sich die Baseline Security Mode-Empfehlungen direkt auf mehrere Bausteine abbilden:

• ORP.4 (Identitäts- und Berechtigungsmanagement): MFA-Durchsetzung, Trennung von Administratorkonten und Conditional Access-Richtlinien adressieren ORP.4-Anforderungen direkt.
• OPS.1.1.3 (Patch-Management): Da Microsoft 365 ein Cloud-Dienst ist und Patches von Microsoft eingespielt werden, entspricht das Sicherstellen, dass Ihr Tenant keine veralteten Konfigurationen (Legacy-Auth) verwendet, dem Geist dieses Bausteins.
• CON.2 (Datenschutz): Die SharePoint-Freigabeeinstellungen wirken sich direkt auf die DSGVO-Konformitätsdokumentation unter CON.2 aus.
• DER.2.1 (Behandlung von Sicherheitsvorfällen): Auditprotokollierung ist Voraussetzung für jede wirksame Incident Response – das Fehlen von Logs ist eine erhebliche Lücke unter DER.2.1.

Wenn Ihre Organisation eine BSI IT-Grundschutz-Zertifizierung anstrebt oder ein ISMS betreibt, ist ein sauberes Baseline Security Mode-Dashboard ein nützliches Nachweisartefakt – eine Microsoft-verifizierte Bestätigung, dass Ihr Tenant die empfohlenen Standards erfüllt, mit Zeitstempel und reproduzierbar.

Eine sinnvolle Reihenfolge für die Umsetzung

Nicht alle Empfehlungen haben dieselbe Dringlichkeit. Eine praktische Reihenfolge:

1. Auditprotokollierung aktivieren – keine Auswirkungen auf Nutzer, dauert 5 Minuten, und Sie brauchen es zuerst, damit Sie eine Ausgangsbasis haben.
2. Legacy-Authentifizierung blockieren – Auswirkungsanalyse zuerst ausführen, um betroffene Geräte zu ermitteln. Gerätesanierung parallel zur Richtlinienänderung planen.
3. MFA erzwingen – Conditional Access statt Security Defaults verwenden, wenn Ausnahmen benötigt werden (Dienstkonten, Break-Glass-Konten). Schrittweise nach Abteilung mit Nutzerkommunikation einführen.
4. SharePoint-Freigabe einschränken – prüfen, was aktuell anonym geteilt wird, bevor die Einstellungen verschärft werden, damit keine bestehenden Arbeitsabläufe unerwartet unterbrochen werden.
5. Administratorkonten trennen – dedizierte reine Cloud-Administratorkonten für jeden globalen Administrator erstellen und die Rolle „Globaler Administrator" aus den Standard-Benutzerkonten entfernen.