Als Mindeststandard für die sichere Anmeldung (Conditional Access) in Microsoft 365 gelten vier Regeln: ein zweiter Sicherheitsschritt für alle Mitarbeitenden, das Sperren veralteter Anmeldeverfahren, eine Prüfung des Geräts oder Standorts bei der Anmeldung und ein besonderer Schutz für Administrator-Konten. Alles darüber hinaus ist sinnvoll — ohne diese vier Punkte bleibt jede weitere Regel Kosmetik auf einem löchrigen Fundament.
Warum haben viele Unternehmen zehn oder mehr Zugangsregeln — und trotzdem keinen Überblick?
Zugangsregeln in Microsoft 365 entstehen selten nach Plan. Eine wird eingerichtet, weil ein Auditor sie verlangt hat. Eine zweite, weil eine Kollegin im Ausland arbeiten wollte. Eine dritte als Ausnahme für ein altes Kassensystem, das den zweiten Sicherheitsschritt nicht unterstützt. Nach ein paar Jahren liegen zwölf, fünfzehn oder zwanzig solcher Regeln übereinander — mit Ausnahmen für Ausnahmen, von denen niemand mehr sicher sagen kann, ob sie noch gebraucht werden oder sich gegenseitig aushebeln.
Das Ergebnis ist paradox: Je mehr Regeln bestehen, desto weniger Sicherheit entsteht in der Praxis. Eine Regel, die eine andere blockiert, oder eine Ausnahme, die versehentlich für alle statt für eine Person gilt, fällt im Alltag niemandem auf — bis sie im Ernstfall genau die Lücke öffnet, die eigentlich geschlossen sein sollte.
Warum „wir haben doch MFA aktiviert" nicht ausreicht
Der zweite Sicherheitsschritt bei der Anmeldung ist die Grundlage, aber nicht die ganze Antwort. Ohne begleitende Regeln lässt er sich umgehen: über veraltete Anmeldeverfahren, die den zweiten Schritt gar nicht abfragen, über eine einzelne vergessene Ausnahme-Regel oder über eine aktive Anmeldesitzung, die nach der Anmeldung übernommen wird. In vielen Umgebungen ist der zweite Sicherheitsschritt sauber eingerichtet und dabei geblieben — das begleitende Regelwerk braucht laufende Pflege, und die ist in der klassischen Projektbetreuung meist nicht vorgesehen.
Das zeigt sich auch daran, dass viele Unternehmen einen Testmodus für neue Regeln aktiviert lassen, der Verstöße nur protokolliert statt sie zu blockieren — teils über ein Jahr lang, aus Sorge, echte Mitarbeitende versehentlich auszusperren. Der Schutz steht damit auf dem Papier und wirkt im Ernstfall nicht.
Was es kostet, wenn Sie nichts tun
Ein Regelwerk, das niemand mehr überblickt, lässt sich bei einem TISAX- oder ISO-27001-Audit nicht als Nachweis vorlegen — der Auditor verlangt eine Erklärung für jede Ausnahme, und ohne Dokumentation verschiebt sich der Termin. Ein Sicherheitsfragebogen der Cyber-Versicherung, der nach dem Mindeststandard für Zugangskontrollen fragt, bleibt unvollständig beantwortet, was die Prämie oder den Versicherungsschutz im Schadensfall infrage stellt. Und im laufenden Betrieb kann ein einzelnes gestohlenes Passwort ausreichen, um Zugang zu bekommen — trotz aller vermeintlich vorhandenen Regeln.
Was sich ändert, wenn die Zugangsregeln auf einer festen Baseline stehen
Mit einer klaren Baseline steht fest, welche vier Kernregeln jeder Tenant mindestens braucht, welche Ausnahmen dokumentiert und befristet sind und dass neue Regeln nicht dauerhaft im Testmodus verbleiben, sondern nach einer definierten Frist scharf geschaltet werden. Das Ergebnis ist ein Regelwerk, das sich in einer halben Stunde erklären lässt — und das im Audit als Nachweis funktioniert, statt Rückfragen zu provozieren.
Der Nexus.365 Security Scan vergleicht Ihr bestehendes Regelwerk mit dieser Baseline, zeigt Lücken und tote Ausnahmen auf und liefert eine priorisierte Liste, was zuerst angepasst werden sollte — mit einem Sicherheitsstand in Prozent, den Sie mit Kunden und Versicherern teilen können.
Häufige Fragen zum Thema
Wie viele Zugangsregeln brauche ich mindestens in Microsoft 365?+
Vier Kernregeln decken die Mindestanforderungen ab: zweiter Sicherheitsschritt, Sperrung veralteter Anmeldeverfahren, Geräte- oder Standortprüfung und besonderer Schutz für Admin-Konten. Alles Weitere ist unternehmensspezifisch.
Wie finde ich heraus, ob meine bestehenden Regeln noch wirken?+
Über eine strukturierte Auswertung, welche Regeln aktiv blockieren und welche nur protokollieren, ohne einzugreifen. Der Security Scan liefert dieses Bild in sieben Werktagen.
Wie viele Zugangsregeln sind zu viel?+
Es gibt keine feste Obergrenze — entscheidend ist, ob jede Regel einen dokumentierten Zweck hat. Regeln ohne erkennbaren Zweck können entfallen, unabhängig von der Gesamtzahl.
Sperrt eine neue Zugangsregel sofort Mitarbeitende aus?+
Nicht, wenn sie vorher im Testmodus geprüft und die Ergebnisse ausgewertet werden. Der Wechsel in den Wirkbetrieb erfolgt kontrolliert, zu einem festen Zeitpunkt.
Wo weicht Ihr Regelwerk von der Mindest-Baseline ab?
Der Nexus.365 Security Scan zeigt es als klare Prioritätenliste, nicht als Fachbegriff-Sammlung. Festpreis und Enddatum stehen vor Beginn fest, das Erstgespräch ist unverbindlich.
Security Scan starten