HZ212320 · ISSN 1868-5757 · www.datakontext.com Dezember 6/2022 Komfort und Sicherheit im M 365- Universum Mit zunehmender Nutzung der Microsoft 365-Dienste starten Cyberkriminelle vermehrt ihre Attacken auf Unternehmen. Viel in puncto Sicherheit kommt bereits von Microsoft – vieles aber eben nicht! Warum M 365 im Visier der Cyber- kriminellen ist Wie sich M 365-Daten und -Kommunikation zuverlässig schützen lassen MS Teams: Compliance- gerechte Kollaboration und Archivierung

Inhalt 28 30 31 32 34 36 39 42 44 Editorial Microsoft 365 in der Praxis Weitgehend vollständig, aber ziemlich unvollkommen M 365 durch leicht anwendbare Kryptografie aufwerten Risiken beim Einsatz von Exchange, Sharepoint, Teams und OneDrive Microsoft 365 im Visier der Cyberkriminellen Gezieltes Training für höheres Sicherheitsbewusstsein Rundum-Schutz für M 365-Daten und -Kommunikation Kommunikation aus MS Teams rechtskonform und revisionssicher speichern Wie sich lebendige Kollaboration und effiziente Datenarchivierung unter einen Hut bringen lassen Interview: Microsoft 365 absichern Mit Microsoft-Bordmitteln Richtung Zero Trust starten Acht Themen, die Betreiber einer Microsoft- Umgebung regelmäßig im Blick haben sollten Gesundheits-Check eines M 365-Tenant Das Beste aus dem Microsoft-Universum rund um M 365 herausholen Wie eine europäische Software-Schmiede Ihren Digital Workplace fit macht SPECIAL_6/2022 Microsoft 365 29

– ADVERTORIAL – M 365 durch leicht anwendbare Kryptografie aufwerten Andreas Liefeith, Leiter Unternehmenskommunikation der procilon GmbH Um zu vermeiden, dass sensible Daten beim Versand via E­Mail nicht von unberechtigten Personen oder Systemen mitgelesen werden, kann man auf gebräuchliche Ver­ schlüsselungstechnologie nach S/MIME­ oder PGP­Standard zurückgrei­ fen. Doch längst sind nicht alle zu adressierenden Empfänger über diese Verschlüsselungsmethoden zu erreichen. Darüber hinaus gibt es elektronische Kommunikationsszenarien, zum Bei­ spiel den elektronischen Rechtsverkehr (ERV), in denen vom Gesetzgeber sichere Übertragungswege benannt werden, deren Security­Anforderun­ gen weit über einfache E­Mail­Verschlüsselung hinaus gehen. Dazu zählt auch das besondere elektronische Bürger­ und Organisationen­Postfach (eBO). Mit eBO können natürliche und juristische Personen, soweit sie kein anderes zugelassenes Postfach nutzen können, Dokumente an Ge­ richte und Behörden auf einem sicheren Übertragungsweg übermitteln. Für den Nutzer eröffnet sich hier das Dilemma, für die an sich einfache elektronische Kommunikation mehrere Systeme nutzen zu müssen. Auf der anderen Seite ist gerade bei Online­Diensten der Bedarf an benutzer­ freundlichen Lösungen immens hoch. Add-ins für nutzerfreundliche Sicherheit Als Experte für Kryptografie im Allgemeinen und den ERV im Speziellen hat procilon zwei Add­ins für Office 365 auf den Markt gebracht, die Nutzern das oben geschilderte Dilemma ersparen. Dabei haben sich die Entwickler eine strikte Ausrichtung auf den Nutzer als oberstes Credo gesetzt. So können beispielsweise mit der Erweiterung des MS/Outlook­Clients durch proTECTr Mail Connect Dateianhänge mit nur einem Klick für die Empfänger einer E­Mail stark verschlüsselt werden. Dazu lädt man die Anhänge wie gewohnt direkt in die E­Mail und aktiviert Mail Connect. Im Ergebnis werden alle Dateianhänge automatisch von der E­Mail gelöst, verschlüsselt und als verschlüsselte Dateien der E­Mail wieder zugefügt. Auf diese Art und Weise können sensible Daten auch bei unverschlüsselten E­Mails geschützt übertragen werden. Ebenso einfach können zugesandte und mit proTECTr verschlüsselte Dateianhänge direkt in Outlook entschlüsselt werden. Ähnlich konzipiert ist die procilon MS/Outlook­Erweiterung für den elek­ tronischen Rechtsverkehr. Das Add­in wird hier um eine Komponente er­ gänzt, die eine Suche von adressierbaren Gerichten und Verwaltungen im Teilnehmerverzeichnis des ERV ermöglicht. Selbst an die Erzeugung per Verordnung vorgeschriebener sogenannter XJustiz­Datensätze ist gedacht worden. Hier geht jeder Bedienschritt nahtlos in den nächsten über, um Nutzer zuverlässig durch den Prozess zu begleiten. Um diese Innovation effizient nutzen zu können, hat procilon ein Komplettpaket zusammen­ gestellt, das dabei hilft, alle Hürden beim Einstieg in den elektronischen Rechtsverkehr mit eBO zu meistern. Geeignet ist die procilon­Lösung primär für Unternehmen, privatrechtliche Organisationen und Verbände sowie andere professionelle Verfahrensbeteiligte – wie Dolmetscher, Gut­ achter, Rentenberater und Sachverständige – die auf sichere Art mit den Gerichten kommunizieren müssen und dies gleich aus ihrer gewohnten E­Mail­Umgebung heraus tun möchten. Insbesondere die Integration von zusätzlichen kryptografischen Möglich­ keiten in die M 365­Infrastuktur eröffnet vielfältige Szenarien. Anwender­ schulungen können auf ein Minimum reduziert werden und kurze Einfüh­ rungszeiten werden von den Nutzern positiv wahrgenommen. n SPECIAL_6/2022 Microsoft 365 31

weise davon aus, dass sie sich nun nicht mehr um Backups, Wiederherstellung und die Sicherheit ihrer Daten kümmern müssen. Dies ist jedoch ein weit verbreiteter Irrtum. Denn Microsoft folgt hier dem Prinzip der sogenannten „Shared Res ponsibility“, also der geteilten Verantwortung. So sieht dieses Prinzip vor, dass insbesondere die Verantwortung über ƒ Geräte (Smartphones, Notebooks und PC) ƒ Konten und Identitäten sowie ƒ Informationen und Daten beim Kunden verbleibt. Der Microsoft Service-Vertrag hebt die Notwendigkeit, Inhalte und Daten regelmäßig zu sichern, die in den Diensten oder während der Verwendung von Dritt- anbieter-Apps und -Diensten gespeichert sind, noch hervor. Auch wenn mit kostenpflichtigen Zusatz-Diensten, die einzel- ne Funktionen bereitstellen, einige Mängel in der Sicherheits- kette behoben werden können, wird der Schutz und die Si- cherheit der Daten am Ende dem Endnutzer überlassen. 365 Total Protection Enterprise Backup Lösung von Hornetsecurity (Quelle: Hornetsecurity GmbH) ITS: Können Sie konkrete Beispiele nennen, wo das Leis- tungsspektrum mit den Anforderungen der Nutzer ausein- andergeht? Daniel Hofmann: Durchaus. Zunächst muss jedem klar sein, dass Microsoft keine Verantwortung für die Sicherheit, Verfügbarkeit und Integrität der in Microsoft Services ge- speicherten Daten übernimmt. Das Stichwort „Shared Res- ponsibility“ bedeutet hier, dass die Kunden selbst dafür ver- antwortlich sind, ihre Datensicherheit zu konfigurieren und gleichzeitig ihre Compliance-Anforderungen zu erfüllen. Auch haftet Microsoft nicht für den Verlust von Daten und E-Mails in Microsoft 365 und empfiehlt daher in seinen Nutzungsbe- dingungen einen Drittanbieter zu nutzen, um Daten ausrei- chend vor Serverstörungen und -ausfällen zu schützen. Das betrifft auch einen ausreichenden Schutz vor Zero- Day-Angriffen. Wie in den Allgemeinen Geschäftsbedingun- gen zu ersehen ist, werden nur bereits bekannte Viren er- kannt. Demnach gilt ein Virus als bekannt, wenn weit ver- breitete kommerzielle Virenscanner ihn erkennen können. Das bedeutet im Umkehrschluss, dass es für ein Unternehmen kritisch werden kann, wenn es mit Hilfe eines neuartigen Vi- rus angegriffen wird. Ein weiteres Beispiel: Bucht etwa ein Unternehmen den Servicelevel „Wachsamkeit gegen Spam“ hinzu, greift dieser nur bei E-Mails mit englischsprachigem Inhalt. In Deutschland sind solche Einschränkungen als kri- tisch einzustufen. Daher müssen die Unternehmen selbst ak- tiv werden und mit zusätzlichen Service-Diensten für ein aus- reichendes Schutzniveau ihrer Daten sorgen. Dafür sind die Angriffe, Methoden und Vektoren heute einfach zu vielseitig und ausgeklügelt. ITS: Wie können Unternehmen ein höheres Schutzniveau für ihre Daten und die Microsoft 365 Umgebung erreichen? Daniel Hofmann: Um ein hohes Schutzniveau der eige- nen Daten in Microsoft 365-Umgebungen und eine nachhal- tige Sicherheitskultur im Unternehmen zu schaffen, erfordert es letztlich Security-, Backup- und Wiederherstellungs-Lösun- gen, die nahtlos und plattformübergreifend ineinandergrei- fen, aber gleichzeitig auch den Menschen als (Un-)Si- cherheitsfaktor einbeziehen. Wir wissen, dass dies für Unternehmen mitun- ter eine große Herausforde- rung darstellt, aber es gibt Drittanbieter-Lösungen am Markt, wie Hornetsecurity mit weltweit über 60 Pro- zent Marktanteil, die die bestehenden Lücken schlie- ßen. Damit sind Nutzer nicht nur imstande, E-Mail Security, Backup und Re- covery über eine zentrale Plattform zu managen, sondern auch Governance- und Com- pliance-Anforderungen samt Dokumenten- und Ordnerfrei- gaben bedarfsgerecht und transparent für M 365 SharePoint, Teams und OneDrive zu verwalten. IT-Verantwortliche müssen heute nicht nur den Schutz der IT-Infrastruktur und des Unternehmensnetzwerks sicherstel- len, sondern auch die Inhalte von Kollaborationslösungen, die in vielen Unternehmen noch ein unkontrolliertes Schatten- dasein führen. Zudem bedarf es eines höheren Sicherheits- bewusstseins bei Anwendern, um den „Faktor Mensch“ im Sicherheitskonzept zu berücksichtigen. Mit der Übernahme des Cybersecurity-Trainingsspezialisten IT-Seal im ersten Halbjahr 2022 haben wir unser Leistungsspektrum um au- tomatisierte Security Awareness Trainings erweitert, die auf einer zukunftsweisenden Awareness Engine aufsetzen und sich nach dem tatsächlichen Bedarf der Anwender richten. Mit unseren Security-, Backup-, Compliance und Recovery- Lösungen bieten wir nicht nur einen kompletten Rundum- Schutz für Microsoft 365-Umgebungen, sondern decken auch den gesamten Cybersecurity-Awareness-Zyklus ab – von der Sensibilisierung über die Prävention bis hin zur Erkennung. Das Interview führte Stefan Mutschler für IT-SICHERHEIT. SPECIAL_6/2022 Microsoft 365 33

Microsoft 365-Daten durch einen Ransomware-Angriff ge- fährdet wären. Systeme und Tools sind nur so sicher wie ihre Nutzer Die Antworten aus der Branche zeigen, dass IT-Fachleu- te und Unternehmen häufig nicht ausreichend auf Angrif- fe vorbereitet sind. Besonders besorgniserregend ist jedoch, dass rund 60 Prozent der Angriffe auf Phishing-Versuche zu- rückgehen. „Die E-Mail-Kommunikation ist für Cyberkrimi- nelle nach wie vor das Einfallstor Nummer 1. Viele Angrei- fer nutzen den Menschen dabei gezielt als Schwachstelle für Phishing und Betrug aus. Umso wichtiger ist es, das erforder- liche Schutzniveau auch auf das schwächste Glied in der Si- cherheitskette – den Anwender – auszudehnen. Denn selbst mit dem besten Cybersecurity-System bleibt immer Raum für menschliches Versagen, weshalb viele Anbieter von Cyberse- curity-Versicherungen bereits dazu übergegangen sind, für den Abschluss ihrer Policen Sensibilisierungsschulungen für Mitarbeiter einzufordern“, so Daniel Hofmann weiter. „Securi- ty Awareness Trainings helfen Unternehmen, eine nachhalti- ge Sicherheitskultur innerhalb der Organisation und vor allem entlang der Kommunikations-Touchpoints zu etablieren. Aus unserer langjährigen Erfahrung als Cloud-Security-Spezialist können wir nur unterstreichen, wie wichtig jeder einzelne Wie eine Spear Phishing Engine das Awareness Training optimieren kann (Quelle: Hornetsecurity GmbH) Mitarbeitende für den Datenschutz und die Integrität des ge- samten Sicherheitskonzepts eines Unternehmens ist.“ Automatisiertes Security Awareness Training nach individuellem Bedarf Ein Security Awareness Training setzt den Fokus auf den Faktor Mensch. Es zeigt den Anwendenden nicht nur die Be- deutung von Informationssicherheit und ihre eigene Sicher- heitsverantwortlichkeit innerhalb des Netzwerks auf, son- dern identifiziert gezielt Schwächen und stärkt damit die „menschliche Firewall“ im Informationssicherheitskonzept. Besonders bewährt hat sich das Training der User mithilfe re- alistischer Spear-Phishing-Simulationen und KI-gestütztem E-Training, wodurch das Bewusstsein für Sicherheitsrisiken und Cyberbedrohungen kontinuierlich geschärft und über- prüft wird. Fortschrittliche Lösungen nutzen als technologi- sche Herzstück des Security Awareness Trainings eine Awa- y t i r u c e S t e n r o H : o t o F Viele Angreifer nutzen den Menschen dabei gezielt als Schwachstelle für Phishing und Betrug aus. Umso wichtiger ist es, das erforderliche Schutz- niveau auch auf das schwächste Glied in der Sicherheitskette – den Anwender – auszudehnen.“ DANIEL HOFMANN, CEO von Hornetsecurity reness Engine, die dafür sorgt, dass jeder Nutzende nur so viel Training wie nötig, aber so wenig wie möglich erhält. Die Bereitstellung relevanter E-Trainingsinhalte erfolgt bedarfs- gerecht und vollständig automatisiert. Die patentierte Spear Phishing Engine von Hornetsecurity simuliert realistische Angriffe mit unterschiedlichen Schwierigkeitsgraden, damit Mitarbeiter und Mitarbeiterinnen auch die ausgeklügeltsten Angriffe kennenlernen und in der Lage sind, ihr Wissen über Angriffe und Bedrohungen stetig zu erweitern. Phishing-Szenarien führen Anwender etwa zu gefälschten Log-in-Seiten und enthalten Dateianhänge mit Makros sowie E-Mails mit Ant- wortverläufen. Kennzahl für Security Awareness: ESI – der Employee Security Index Die Ergebnisse werden im Awareness Dash- board gebündelt, in dem alle wichtigen Kennzah- len der Trainings-Gruppen und -Teilnehmer sowie deren Trainingsfortschritte auf der Zeitachse doku- mentiert werden. Mithilfe eines Employee Securi- ty Index, kurz ESI, wird der Security-Reifegrad der Mitarbeitenen realitätsnah, standardisiert und reproduzierbar abgebildet. Der ESI von Hornetsecurity ist ein branchenweit einzigartiger Benchmark, der das Sicherheitsverhalten der Belegschaft im gesamten Unternehmen kontinuierlich misst, vergleicht und gleichzeitig den individuellen Bedarf an E-Trai- ning automatisiert steuert. Der ESI stellt damit ein wirksames Kontrollinstrument für die Effektivität einzelner Schulungs- maßnahmen und bestehender Defizite dar. Die quantitative Analyse der Security Awareness bietet zudem einen direk- ten Vergleich mit anderen Unternehmen ähnlicher Branchen und kann gleichzeitig als Entscheidungsgrundlage für weitere Awareness-Maßnahmen herangezogen werden. n Jannis Blume, Senior Product Marketing Manager bei Hornetsecurity SPECIAL_6/2022 Microsoft 365 35

gehören beispielsweise die Einhaltung von Aufbewahrungs- beziehungsweise Löschfristen, eine revisionssichere Ablage und die Umsetzung der DS-GVO. Microsoft Teams speichert nicht nur Nachrichten (inklusive Links und Dateien), sondern auch zahlreiche Meta-Informationen und personenbezogene Daten. Damit gilt es zu beachten, in welchen Systemen ge- nau die Microsoft Teams-Informationen und Dateien gespei- chert werden, beispielsweise in OneDrive for Business oder SharePoint. ARCHIVIERUNG VERSUS BACKUP Der Sinn und Zweck eines Backups ist es, in einem sogenannten Katastrophenfall die Daten des produktiven IT Systems schnellstmöglich wieder verfügbar machen. Ziel ist es, die Ausfallzeit weitestgehend zu minimieren. Backups laufen in bestimmten Intervallen und vordefinierten Schemen ab, wobei ein Teil der früheren Backups regelmäßig durch die neueren Backups überschrieben wird. Es kommt hier also nicht darauf an, einen beliebigen Zeitpunkt der Datengeschichte abrufen zu können, sondern immer den jeweils aktuellsten vor Ausfall des Systems. Demgegenüber geht es bei der Archivierung darum, einen bestimmten Datenstand dauerhaft und unveränderbar festzuhalten. Treiber sind hier meist gesetzliche Auf- bewahrungsfristen. Durch die Auslagerung der Archivdaten aus dem Produktivsystem in separate Speicher wird das Produktivsystem entsprechend entlastet. Dies wiederum hat auch Einfluss auf die Menge der Backup-Daten – die Archivdaten bleiben hier außen vor und müssen nicht ständig mit gespeichert werden. Backups werden dadurch schneller. Umgekehrt gilt die Wiederherstellung von Archivdaten im Produktivsystem als wenig zeitkritisch, denn das Produktivsystem läuft ja weiter. Es geht nur darum, einen archivierten Datenpool in einem geplanten Prozess wieder verfügbar zu machen. Ein gutes Archivierungssystem sorgt nicht nur für die rechts- und revisionssichere Speicherung, sondern sie indiziert jede einzelne abgespeicherte Version und macht sie dadurch jederzeit such- beziehungsweise auffindbar. Gerade bei Teams-Daten ist das oft ein schweres Manko. Unternehmen brauchen natürlich sowohl Backups als auch Archivierung. Für das Backup ist es unerlässlich, dass die für das Daten- Lifecycle-Management von Teams verwendete Software in der Lage ist, alle relevanten Informationen aus Teams zu extrahieren und in Systeme zu exportieren, die in den Backup-Prozess eingebunden sind. Darüber hinaus spielt auch der geografische Speicherort der Daten eine gravierende Rolle. Stand heute werden Micro- soft Teams-Nachrichten (inklusive Links, Chats und Dateien) von DACH-Organisationen in den EMEA Rechenzentren von Microsoft Azure aufbewahrt. Bei Microsoft Azure handelt es sich um einen Public-Cloud-Service, ebenso wie bei den zuvor erwähnten Exportmöglichkeiten Azure File Share, OneDrive for Business und SharePoint Online. Tatsächlich weiß ein Großteil der Unternehmen nicht, wo ihre Microsoft Teams-Chats, -Informationen und -Dateien ge- speichert sind, und noch viel weniger haben sie eine Idee, wie sie diese Daten rechts- und revisionssicher in der On-Premises oder Cloud-Lösung ihrer Wahl speichern, mittels Backup si- chern oder archivieren können. Der Gesetzgeber macht keinen Unterschied, aus wel- chen Quellen geschäftsrelevante und/oder personenbezoge- ne Informationen stammen – auch Daten, die über Microsoft Teams erstellt, geteilt und bearbeiten werden, müssen zu je- derzeit gesetzeskonform und sicher aufbewahrt und verwal- tet werden. Damit das gelingt, braucht es einige innovative Funktionen, die Teams eben nicht bietet. Das Teams Daten-Lifecycle-Management Das Daten-Lifecycle-Management in Teams gliedert sich in die drei Bereiche Entstehung, Journalisieren, und Archivie- ren. Die Daten von Microsoft Teams entstehen über die ver- schiedenen Kanäle, Chats etc., dazu Dateien und in Teams ein- gebundene Apps wie etwa Umfragen, Abstimmungen und vieles mehr. Um all diese Daten Compliance-gerecht zu archi- vieren, müssen sie in ein externes System importiert werden, welches dazu in der Lage ist. Mit der inPoint Teams Online Archivierung (TOA) von H&S aus dem Microsoft Store beispielsweise wird ein Set an Skrip- ten bereitgestellt, welche bei der Einrichtung automatisch die Azure-basierenden Infrastrukturkomponenten wie Daten- banken, Speicher, HTML-Admin-Oberfläche etc. implemen- tieren, um die Verarbeitung im Hintergrund durchzuführen. Die Einrichtung eigener Server oder sonstiger On-Premises- Komponenten ist dafür nicht nötig. Über die Admin-Oberflä- che lässt sich dann sehr genau festlegen, was wann und wie in die Archivierung mit aufgenommen werden soll. Mit dem Journalisieren sammeln sich die gewünschten Inhalte bereits in einer gesicherten Form. Aktuell gibt es drei Möglichkeiten, diese gesammelten, journalisierten Daten wie- der zugreifbar zu machen, so auf OneDrive, SharePoint in der Dokumentenbibliothek oder auf dem Azure Fileshare. Bis da- hin liegen alle Daten immer noch komplett in einem eigenen, abgeschirmten Microsoft-Universum. Für die Langzeitarchivierung lassen sich diese Inhal- te manuell oder zeitgesteuert in externe Systeme expor- SPECIAL_6/2022 Microsoft 365 37

HZ212320 · ISSN 1868-5757 · www.datakontext.com Dezember 6/2022 Microsoft 365 Microsoft 365 richtig absichern richtig absichern Microsoft 365 Security: Mit Microsoft Bordmitteln Richtung Zero Trust starten Gesundheits-Check eines M 365-Tenant: Acht Themen, die Betreiber einer Microsoft-Umgebung regelmäßig im Blick haben sollten Microsoft 365 sinnvoll ergänzen: E-Mail-Verschlüsselung als Cloud Service Bild: buravleva_stock - stock.adobe.com

Bereich Beispiele M 365 Produkte Ziel und Ergebnis Grundlagen schaffen durch sichere Verwaltung von Identitäten und Geräten ƒ Microsoft Intune für MDM, Clients und Alle Geräte und Identitäten sind gemanagt Server ƒ Azure MFA ƒ Passwortlose Authentifizierung z.B. durch Windows Hello for Business Schutz und Gegenmaßnahmen organisieren Zusammenspiel der M 365­Cloud­ Komponenten schützen und gemeinsam überwachen ƒ Defender for Endpoint ƒ Defender for Cloud ƒ Defender for Identities ƒ Defender for Office ƒ Defender for Cloud Apps Grundlegende Sicherheit für Geräte und Identitäten Übergreifende Sicherheitsarchitektur für Microsoft 365 etabliert Blick über die M 365­Welt hinaus Microsoft Sentinel als SIEM Unternehmensweite Sicherheitsarchitektur etabliert Beispiele und Details zu MS365-Security. (Quelle: Net at Work) ten Produktlandschaft verfolgt dieses Ziel. Microsoft bietet für fast alle Anforderungen gute bis sehr gute Lösungen, die bis- her genutzte Drittprodukte ersetzen können. Also mehr Cloud wagen und konsolidieren, wo es geht, ist eine gute Maxime. ITS: Wie sollte man also vorgehen, gibt es so etwas wie einen Masterplan? Thomas Welslau: Im Prinzip gibt es vier Bereiche, um die man sich bei der Absicherung von Microsoft 365 kümmern muss und die letztlich den Kern einer Zero-Trust-Strategie ausmachen. Im ersten Schritt sollten die Grundlagen geschaf- fen werden, indem man Geräte und Identitäten sauber ver- waltet. Hier kann es zum Beispiel mit Blick auf die Konsoli- dierung sinnvoll sein, mit Microsoft Intune Drittprodukte für MDM wie Mobile Iron zu ersetzen. Im zweiten Bereich geht es darum, den Schutz von Geräten und Identitäten zu eta- blieren und Gegenmaßnahmen bei Angriffen zu organisie- ren. Beispielsweise kann man mit Defender for Endpoint bis- herige Virenscanner ersetzen und mit Defender for Identities bekannte Angriffsmuster wie Golden-Ticket-Attacken schnell erkennen. Im dritten Block schafft man einen übergreifenden Blick auf das Zusammenspiel der verschiedenen M 365-Kom- ponenten. Mit Defender for Office kann die E-Mail-Sicherheit organisiert und der Austausch von Dateien in Teams und Co. geschützt werden. Mit Microsoft Defender für Cloud-Apps lässt sich eine umfassende Transparenz und Kontrolle über den Datenverkehr zwischen Cloud Apps herstellen. Im vierten und typischerweise zuletzt angegangenen Bereich, erfolgt die Zusammenführung der Microsoft 365 Security mit anderen Security-Bereichen in einem übergreifenden SIEM-Konzept. ITS: Ist diese Reihenfolge immer sinnvoll? pragmatisches Vorgehen gefragt. Ist etwa der bisherige Vi- renscanner noch über Jahre hinaus lizenziert, kann man die Ablösung natürlich auch später machen. Man sollte sich davon leiten lassen, mit welchen Maßnahmen individuell der größ- te Sicherheitsgewinn erzeugt werden kann. Ein detaillierter Microsoft 365 Tenant Security Check-up identifiziert die Berei- che, in denen mit vertretbarem Aufwand der höchste Nutzen erzielt werden kann. ITS: Bei aller Konsolidierung – wo gibt es Ausnahmen? Thomas Welslau: Microsoft 365 Security deckt die aller- meisten Bereiche gut ab, aber es gibt natürlich Ausnahmen. Ein Beispiel ist ganz klar die E-Mail-Verschlüsselung, bei der sich viele Kunden die zentrale Nutzung offener Standards wie S/MIME und eine zentrale Zertifikatsverwaltung wünschen. Ein Gateway-basierter Ansatz mit automatischer Zertifikats- verwaltung als Cloud Service wie beispielsweise NoSpam- Proxy ist hier zu empfehlen. ITS: Wie kann man das alles mit seinem Team umsetzen? Thomas Welslau: Es gibt zwei grundlegende Herange- hensweisen: erstens die vollständig externe Vergabe mit der Nutzung eines umfassenden Managed Services oder zweitens, die interne Umsetzung begleitet mit Coaching und Experten- Know-how für Detailfragen. Auch das sollte auf Basis der in- dividuellen Gegebenheiten entschieden werden. Viele unserer Kunden verfügen über sehr gute interne Teams mit großer Erfahrung im Roll-out von Technologien und Konzepten in ihren Unternehmen. Sie sind nah am Business und können mit Microsoft 365 schnell großen Nutzen für ihre Organisation schaffen. Diese Kunden profitieren von Coaching und punktu- eller Beratung. Thomas Welslau: Es gibt natürlich gewisse Abhängigkei- ten zwischen den vier Bereichen, aber grundsätzlich ist ein Das Interview führte Stefan Mutschler für IT-SICHERHEIT. SPECIAL_6/2022 Microsoft 365 41

5. Geräteeinstellungen mit Intune Hier lassen sich die Betriebssystemtypen eingrenzen, mit denen grundsätzlich Geräte zugelassen werden sollen. Eben- so lässt sich definieren, welche Betriebssystemversionen und Patch-Level zulässig sind. Das sollte im Kontext der Firmen- richtlinien überwacht werden, damit nicht über ungewollte Betriebssysteme oder veraltete Systemstände Sicherheitslü- cken entstehen. 6. Exchange-Hybrid-Konfiguration Hier sollte überprüft werden, ob die Konfiguration in der Praxis auch so wirkt, wie sie ursprünglich gedacht war. Im- mer wieder finden sich Seiteneingänge für Mail-Flows, die keiner will. 7. Sharing-Einstellungen In diesem Bereich wird das Sharing von Dateien und Ord- nern durch Nutzende in SharePoint, OneDrive und Teams ge- regelt: Sind anonyme Links erlaubt? Laufen Links standard- mäßig ab? Wer kann generell auf Links zugreifen? Müssen sich Gäste grundsätzlich mit MFA anmelden? Dürfen Gäste wiederum andere Gäste einladen? 8. Microsoft 365 Admin Center In diesem Konfigurationsbereich wird die Nutzung vieler kleiner Anwendungen wie beispielsweise Planner geregelt und es werden grundlegende Einstellungen für die Verwen- dung neuer Office-Apps vorgenommen. Werden diese acht Themenfelder in einem Check-up strukturiert geprüft und dokumentiert, entsteht eine verläss- liche Ausgangsbasis für die Planung weiterer Aktivitäten. Lü- cken und Verbesserungsmöglichkeiten, aber auch zukünftige Ausbaupotenziale in der Nutzung der Security-Lösungen von Microsoft 365 werden damit transparent. Secure Score als direkte Feedbackschleife Wichtig ist auch, dass dieser Check-up nicht nur eine Mo- mentaufnahme ist, sondern dass Verfahren für die regelmä- ßige Durchführung etabliert werden. Eine echte Hilfe ist hier der Microsoft Secure Score als Bestandteil von Microsoft 365 Defender. Er bietet systemgestützt eine aktuelle Bewertung der individuell vorgenommenen Konfigurationen in Microsoft 365 in Sachen Sicherheit. Das detaillierte Dashboard kann für das Monitoring von KPI-Zielen (Key Point Indicators – zu Deutsch Schlüsselindikatoren) genutzt oder zum Benchmarking mit vergleichbaren Organisationen herangezogen werden. Microsoft Secure Score bewertet allerdings nicht nur den aktuellen Stand, sondern macht auch proaktiv konkrete Vor- schläge, wie die Sicherheit des Tenants weiter erhöht werden kann. Das können Vorschläge sein, wie etwa eine alte Authen- tifizierungsart abzuschalten oder die Verschlüsselung zu er- höhen. Dieses Tool wird von Microsoft kontinuierlich an den Leistungsumfang von Microsoft 365 angepasst und um die M 365 SECURITY SINNVOLL ERGÄNZEN: E-MAIL-VERSCHLÜSSELUNG ALS CLOUD SERVICE Microsoft 365 ist eine hervorragende Basis zur digitalen Transforma- tion. Leider bietet M 365 jedoch aus mindestens drei Gründen keine praxistaugliche und damit compliancegerechte Lösung für vertrau- liche E-Mail-Kommunikation: 1. Microsofts eigener Verschlüsselungsmechanismus ist proprie- tär und verlangt eine Anmeldung am sendenden Tenant 2. Die Client-basierte Verschlüsselung scheitert in der Praxis, weil bei der Nutzung von mehreren Devices oft nicht die richtigen Schlüssel vorliegen. 3. Das Fehlen einer automatischen Verwaltung von Zertifikaten führt zu enormen Aufwänden in der Administration zur regel- mäßigen Erneuerung der Zertifikate. Die Lösung liegt in der Ergänzung von M 365 – beispielsweise mit dem Verschlüsselungs-Cloud-Service von NoSpamProxy. Die Gate- way-basierte Lösung ist vollständig in M 365 integrierbar und mit automatisierter Zertifikatsverwaltung innerhalb weniger Stunden einsatzbereit. Weitere Pluspunkte: Die Lösung setzt Security made in Germany vollumfänglich um und bietet preisgekrönten Support. neuen Möglichkeiten ergänzt. Es macht also Sinn, einen Pro- zess zu etablieren, um regelmäßig den Secure Score zu ermit- teln und Verbesserungsvorschläge umzusetzen. So bleibt in Sachen Tenant-Sicherheit alles verlässlich stabil. Know-how ist zwingend – ob intern oder extern Für die kontinuierliche Pflege der Basiskonfiguration ist detailliertes Know-how wichtig, um zum einen die Funktio- nalitäten und Hintergründe vollständig zu verstehen und zum anderen auch zukünftige Änderungen in ihrer Wirkung sicher einschätzen zu können. Hier bieten sich grundsätzlich zwei Möglichkeiten an: erstens, eigenes Know-how aufzubauen, oder zweitens, ganz bewusst den Check-up regelmäßig von externen Spezialisten durchführen zu lassen. Bei guter Vor- bereitung und Strukturierung dauert ein solcher detaillierter Check-up inklusive Dokumentation zwei Beratertage, ist also vergleichsweise einfach einzuplanen. Auch hier gilt, wie so oft: Es gibt nichts Gutes, außer man tut es. n Thomas Welslau, Competence Lead Security, Net at Work GmbH SPECIAL_6/2022 Microsoft 365 43

– ADVERTORIAL – ƒ Ergänzung der klassischen Datensicherung (Backup) ­ MS Teams­Daten periodisch exportieren und außerhalb der Cloud aufbewahren ­ Virtuell getrennte „Brandabschnitte“ einrichten ­ Speichermedien nutzen, die Schutz vor Ransomware bieten ­ Offline­Zugriff auf Teams­Dateien und ­Beiträge nutzen, wenn MS Teams nicht zur Verfügung steht Wollen Sie mehr über das Thema Microsoft Teams-Archivierung erfahren? Dann melden Sie sich zu unserem kostenfreien Microsoft Teams Governance Webinar am 21.12.2022 an. H&S Heilig und Schubert Software AG Als europäischer Softwarehersteller entwickelt H&S seit über 30 Jahren Standard­ lösungen im Bereich Digitalisierung. Besonderen Wert legt das Haus auf den per­ sönlichen Kundenkontakt. „Microsoft stellt hervorragende Tools und Applikationen zur Verfügung. Wir ergänzen diese durch innovative Lösungen und beschreiten damit neue Wege und Technologien zusammen mit unseren Partnern und Kunden.“ (Stephan Gehling, Leiter BCS und Microsoft Experte) Mit seiner Schlüsselproduktreihe inPoint fokussiert das Unternehmen auf den Digital Workspace für alle Mitarbeitenden und Partner. Dieser digitale Arbeitsplatz verbindet die Abbildung und Orchestrierung digitaler Prozesse mit einer einheit­ lichen, systemübergreifenden Ablage. Die Integration in bestehende heterogene Umgebungen sorgt für eine reibungslose Zusammenarbeit. Darüber hinaus versteht H&S die europäischen Anforderungen und die hier gel­ tenden gesetzlichen Vorgaben. So stellt das H&S­Team sicher, dass es seine Kund­ schaft während des gesamten Zyklus – von der Bedarfsanalyse über die Umset­ zung bis hin zum laufenden Betrieb – bestmöglich unterstützen kann. Dabei gilt: Eine Nummer, ein Ansprechpartner, eine Lösung. Die deutschsprachige Hotline von H&S ist mit eigenen Mitarbeitern besetzt und steht rund um die Uhr für Kunden zur Verfügung. Außerdem bietet H&S einen direkten Draht zum Management. Das Angebot richtet sich an KMU, Behörden und international tätige Unterneh­ men. Über 500.000 User in Unternehmen aller Größenordnungen und Branchen profitieren von der internationalen Ausrichtung von H&S. Sie schätzen die Lösungskompetenz des Unternehmens für den weltweiten, länderübergreifenden und unabhängi­ gen Einsatz. Die H&S Gruppe hat Ihren Hauptsitz in Wien mit einer Niederlassung in Nürnberg. dazu hier: Mehr Microsoft 365 Add-ons SPECIAL_6/2022 Microsoft 365 45 Wie inPoint TOA eine effiziente Microsoft Teams Datenarchivierung unterstützt ƒCloudnative AnwendunginPoint TOA ist eine serverlose MS Azure-Lösung, die in Azure geboren und auf Basis hochmoderner Microsoft Technologien entwickelt wurde. So lässt sie sich nahtlos in Microsoft Teams integrieren. ƒHohe Flexibilität eingebautinPoint TOA bietet flexible Ressourcenzuweisung und Kostenmanage-ment mit einfachem Pay-as-you-go-Preismodell sowie ein zentrales Admin-Portal zur Verwaltung aller Teams-Archive. ƒKonnektivität und einheitliche ArchivierunginPoint TOA unterstützt den Export von Teams-Daten nach Azure File Share, OneDrive for Business und SharePoint Online sowie die Ablage und Archivierung in digitale CRM-/ERP-/ECM-/DMS-Akten, zur revi-sionssicheren Langzeitarchivierung. Mehr dazu hier: Microsoft Teams – Archivieren, exportieren und wiederherstellen ƒZugriff auch ohne TeamsSollte der Service von MS Teams nicht zur Verfügung stehen, ermöglicht inPoint TOA durch einen periodischen Export dennoch den Zugriff auf archivierte Dateien und Chat-Verläufe. Diese Exporte können auch auf Systeme außerhalb der Microsoft-Welt ausgelagert werden, um ein alternatives Backup zur Verfügung zu stellen.Für welche Einsatzbereiche inPoint TOA die ideale Lösung istinPoint TOA ist ein sehr mächtiges Tool zur Journalarchivierung der ge-samten MS Teams-Kommunikation. Darüber hinaus leistet inPoint TOA in weiteren Anwendungsfällen wertvolle Dienste, so etwa bei der einfachen und schnellen Verwertbarkeit von Teams-Daten, bei der sinnvollen Ver-knüpfung von Teams- und Kundendaten, sowie als Ergänzung zur klassi-schen Datensicherung: ƒJournalarchivierung der gesamten MS-Teams-Kommunikation -Erfassen und Archivieren der gesamten internen und externen Kommunikation und Dateien -Einhaltung der Archivierungspflicht mit inPoint oder anderen DMS-Systemen ƒSinn und Ordnung in MS Teams bringen -Exportieren und Archivieren abgeschlossener Projekte -MS Teams von veralteten Daten befreien und gegebenenfalls in ein kostengünstiges, externes System sicher auslagern (etwa um gesetzliche Vorschriften einzuhalten) ƒMS Teams-Kommunikation sinnvoll mit Kundendaten verknüpfen -Erfassen und Verbinden kundenbezogener Kommunikation mit dem eigenen CRM/ECM/DMS -Nutzen von eDiscovery-Funktionen zur Suche und Verwaltung von MS Teams-DatenIhr Ansprechpartner:Stephan Gehling, MBALeiter BCS & Microsoft Expertestephan.gehling@hs-soft.comTel. +49 9122 87227-352