MFA Microsoft 365 einführen: Schritt für Schritt für KMU

Ein Passwort reicht heute nicht mehr aus. Zugangsdaten werden durch Phishing-Mails, gefälschte Anmeldeseiten oder Datenlecks bei anderen Diensten abgegriffen. Wer dann die E-Mail-Adresse und das Passwort Ihrer Mitarbeiterin hat, kann sich in Microsoft 365 anmelden, Postfächer mitlesen und im Namen Ihres Unternehmens Nachrichten verschicken. Die Multifaktor-Authentifizierung (MFA) ist eine wichtige Gegenmaßnahme gegen den Missbrauch gestohlener Zugangsdaten und lässt sich mit überschaubarem Aufwand umsetzen. Unser Leitfaden zum Thema MFA Microsoft 365 einführen zeigt, welche Methoden sich eignen und worauf Sie in kleinen und mittleren Unternehmen achten sollten.

Was MFA leistet und was nicht

Bei der Multifaktor-Authentifizierung genügt das Passwort allein nicht mehr. Zusätzlich muss ein zweiter Faktor bestätigt werden, etwa eine Freigabe in einer App auf dem Smartphone oder ein Sicherheitsschlüssel. Ein Angreifer, der nur das Passwort kennt, kommt dann in der Regel nicht weiter.

MFA ist ein starker Baustein, aber kein Allheilmittel. Es gibt Angriffe, bei denen Nutzer auf gefälschten Seiten zur Freigabe verleitet werden. Deshalb gehören zu einem guten Schutz auch Sensibilisierung der Mitarbeiter, Endgeräteschutz und Überwachung. Das Risiko sinkt mit MFA aber deutlich, und es ist ein Schritt, den Geschäftspartner und Versicherer zunehmend erwarten.

Vorbereitung: Das sollten Sie vor dem Start klären

Bevor Sie in den Einstellungen etwas ändern, lohnt sich eine kurze Bestandsaufnahme. Das verhindert Aussperrungen und Rückfragen am ersten Tag.

• Benutzerkonten erfassen: Welche Konten gibt es? Wer ist noch aktiv, welche Konten gehören ehemaligen Mitarbeitern, welche sind Sammel-, Gast- oder Dienstkonten?
• Lizenzen prüfen: Welche Microsoft-365-Pläne sind im Einsatz? Davon hängt ab, welche Steuerungsmöglichkeiten Sie haben (siehe unten).
• Geräte und Programme sichten: Nutzen Mitarbeiter ältere Mail-Programme, Scanner oder Fachanwendungen, die sich per E-Mail-Konto anmelden? Diese können mit MFA Probleme machen.
• Notfallkonten festlegen: Planen Sie mindestens ein bis zwei besonders abgesicherte Administratorkonten für den Notfall ein, damit Sie bei einer Fehlkonfiguration nicht selbst ausgesperrt werden.
• Kommunikation vorbereiten: Informieren Sie Ihr Team vorab. Akzeptanz entsteht durch Erklärung, nicht durch Überraschung.

MFA Microsoft 365 einführen: die Schritte im Überblick

Schritt 1: Den passenden Weg wählen

Microsoft bietet mehrere Wege, MFA zu erzwingen:

• Sicherheitsstandards (Security Defaults): Eine einfache Grundabsicherung, die sich mit wenigen Klicks aktivieren lässt und in allen Plänen verfügbar ist. Sie werden für den gesamten Mandanten aktiviert, nicht nur für einzelne Gruppen. Für sehr kleine Umgebungen ein guter Einstieg.
• Bedingter Zugriff (Conditional Access): Hier legen Sie fest, wann MFA verlangt wird, zum Beispiel für alle Nutzer, für Administratoren oder bei Anmeldungen von unbekannten Orten und Geräten. Dafür ist eine passende Lizenz in Microsoft Entra ID nötig, die etwa in Microsoft 365 Business Premium enthalten ist.
• Benutzerbezogene MFA: Die ältere Variante, bei der MFA pro Konto eingeschaltet wird. Sie ist aufwendiger zu pflegen und wird meist durch die beiden anderen Wege ersetzt.

Für die meisten KMU ist der bedingte Zugriff die beste Lösung, weil er sich an Ihren Betrieb anpassen lässt. Welche Variante bei Ihnen passt, hängt von Lizenz, Größe und Anwendungen ab.

Schritt 2: Die Authentifizierungsmethoden festlegen

Nicht jede Methode ist gleich sicher und komfortabel:

• Microsoft Authenticator (App): Der empfohlene Standard. Die Anmeldung wird auf dem Smartphone bestätigt, in der Regel mit Zahlenabgleich und Gerätesperre.
• FIDO2-Sicherheitsschlüssel oder Passkeys: Sehr widerstandsfähig gegen Phishing. Sinnvoll für Administratoren und Personen mit besonders sensiblen Zugängen.
• SMS oder Anruf: Besser als nichts, aber anfälliger. Sie eignen sich eher als Übergang oder Rückfalloption.

Wer kein dienstliches Smartphone hat, sollte nicht zur privaten Nutzung gedrängt werden. Hier bieten sich Sicherheitsschlüssel oder eine klare Vereinbarung an.

Schritt 3: Alte Anmeldeverfahren abschalten

Ältere Protokolle wie POP3, IMAP oder SMTP mit einfacher Anmeldung (Legacy-Authentifizierung) kennen keine MFA. Angreifer nutzen das gern, um den zweiten Faktor zu umgehen. Prüfen Sie daher, welche Geräte und Programme diese Verfahren noch brauchen, stellen Sie sie auf moderne Anmeldung um und blockieren Sie die alten Wege anschließend.

Schritt 4: Bei Bedarf mit einer Pilotgruppe starten

Wenn Sie den bedingten Zugriff nutzen, können Sie die Richtlinie zunächst auf eine kleine Gruppe anwenden, zum Beispiel auf die Geschäftsführung, die IT-Verantwortlichen und ein paar aufgeschlossene Mitarbeiter. So erkennen Sie Stolperstellen, bevor das ganze Unternehmen betroffen ist. Halten Sie die Rückmeldungen fest und passen Sie Anleitung und Einstellungen an. Bei den Sicherheitsstandards ist das nicht möglich, sie gelten sofort für den ganzen Mandanten. Dann sollten Sie Vorbereitung und Information des Teams besonders sorgfältig erledigen.

Schritt 5: Registrierung begleiten

Jeder Nutzer muss seinen zweiten Faktor einmalig einrichten. Planen Sie dafür Zeit ein, am besten in einem kurzen gemeinsamen Termin oder mit einer bebilderten Kurzanleitung. Lassen Sie Nutzer zwei Methoden hinterlegen, etwa die App und einen Sicherheitsschlüssel oder eine Rückfallnummer, damit ein verlorenes Smartphone nicht zum Stillstand führt.

Schritt 6: Rollout auf alle Benutzerkonten

Nach erfolgreicher Pilotphase erweitern Sie auf alle Benutzer. Beginnen Sie mit Administratorkonten, denn diese sind das attraktivste Ziel. Denken Sie auch an Konten externer Dienstleister und an Gastkonten, die oft übersehen werden.

Dienstkonten für automatisierte Zugriffe, etwa von Scannern, Schnittstellen oder Skripten, lassen sich nicht wie normale Benutzerkonten per MFA absichern, weil dort niemand eine Freigabe bestätigen kann. Prüfen Sie hier geeignete Alternativen wie verwaltete Identitäten oder Dienstprinzipale. Verbleibende Ausnahmen sollten Sie dokumentieren und gezielt einschränken, zum Beispiel auf bestimmte Standorte oder Geräte.

Schritt 7: Betrieb und Kontrolle

MFA ist keine einmalige Einstellung. Neue Mitarbeiter müssen bei der Einstellung registriert werden, ausgeschiedene Konten deaktiviert, und bei Gerätewechseln muss der zweite Faktor neu verknüpft werden. Auch die Anmeldeprotokolle sollten gelegentlich auf Auffälligkeiten geprüft werden.

Checkliste: MFA-Einführung in Microsoft 365

• Konten, Lizenzen und Anwendungen erfasst
• Ein bis zwei Notfallkonten eingerichtet und dokumentiert
• Verfahren gewählt: Sicherheitsstandards oder bedingter Zugriff
• Authenticator-App als Standardmethode festgelegt
• Legacy-Authentifizierung geprüft und blockiert
• Bei bedingtem Zugriff: Pilotgruppe getestet
• Team informiert und Anleitung bereitgestellt
• Zweite Methode je Nutzer hinterlegt
• Administratoren zuerst abgesichert
• Dienstkonten und automatisierte Zugriffe separat bewertet
• Prozess für neue, wechselnde und ausscheidende Mitarbeiter festgelegt

Typische Fallstricke in der Praxis

Aussperrung: Ohne Notfallkonto und Rückfallmethode kann eine Fehlkonfiguration den Zugriff auf Ihr eigenes Microsoft-365-Konto blockieren.

Multifunktionsgeräte und Fachsoftware: Scanner, die per E-Mail versenden, oder Programme mit alter Anmeldung funktionieren nach der Umstellung unter Umständen nicht mehr. Hier muss nachgebessert werden, etwa über andere Versandwege.

Ermüdung durch Dauerabfragen: Wird MFA zu oft abgefragt, sinkt die Akzeptanz. Mit sinnvollen Regeln im bedingten Zugriff, etwa für vertrauenswürdige Geräte, bleibt die Anmeldung angenehm.

Unbedachte Freigaben: Nutzer sollten wissen, dass sie nur Anmeldungen bestätigen, die sie selbst gestartet haben. Eine Rückfrage bei unerwarteten Abfragen ist ausdrücklich erwünscht.

Häufige Fragen

Reicht es, MFA nur für Administratoren zu aktivieren?

Das ist ein guter erster Schritt, aber kein ausreichender Schutz. Auch normale Postfächer enthalten vertrauliche Informationen und dienen als Einstieg für weitere Angriffe. Ziel sollte MFA für alle Benutzer- und Administratorkonten sein.

Brauche ich dafür zusätzliche Lizenzen?

Die Sicherheitsstandards sind in allen Plänen enthalten. Für flexible Regeln mit bedingtem Zugriff ist eine passende Lizenz nötig, etwa Microsoft 365 Business Premium. Welche Lizenz bei Ihnen vorhanden ist, lässt sich im Admin-Center prüfen.

Was passiert, wenn ein Mitarbeiter sein Smartphone verliert?

Dann sollte der zweite Faktor über eine hinterlegte Alternative oder durch die Administration zurückgesetzt werden. Anschließend richtet der Mitarbeiter die App auf dem neuen Gerät ein. Ein klarer Ablauf dafür gehört zur Einführung.

Wie lange dauert die Einführung?

Das hängt von Größe und Umgebung ab. In kleinen Unternehmen mit moderner Ausstattung lässt sich MFA oft zügig umsetzen. Bei vielen älteren Geräten und Anwendungen sollten Sie mehr Zeit für Tests einplanen.

So unterstützt Sie die comgie IT in Münster und im Münsterland

Wir von der comgie IT begleiten Unternehmen in Münster und im Münsterland bei der Einführung von MFA, von der Bestandsaufnahme über den bedingten Zugriff bis zur Unterstützung beim Rollout. Im Rahmen von Microsoft 365 & Teams sorgen wir dafür, dass Lizenzen, Sicherheitseinstellungen und Geräte zusammenpassen. Die Absicherung der Anmeldung ist Teil eines mehrschichtigen Konzepts, das wir mit unserer IT-Sicherheit abbilden. Wenn Sie das Thema dauerhaft in guten Händen wissen möchten, übernehmen wir auch die laufende Pflege Ihrer Umgebung.

Wie gut ist Ihr Unternehmen aktuell aufgestellt? Mit dem kostenlosen IT-Sicherheits- und NIS2-Check erhalten Sie in wenigen Minuten eine erste Einschätzung. Für ein persönliches Gespräch können Sie direkt einen Termin buchen.