Microsoft 365 absichern: Die grössten Sicherheitsrisiken für KMU im Jahr 2026
- Naveendra Singh Bisht
- 6. Aug.
- 7 Min. Lesezeit
Microsoft 365 ist für viele kleine und mittlere Unternehmen die zentrale Arbeitsplattform. Outlook, Exchange Online, Teams, SharePoint und OneDrive bündeln Kommunikation, Dokumente und Prozesse an einem Ort – und machen dieses eine Konto damit zum lohnendsten Ziel im ganzen Unternehmen. Was sich 2026 verschoben hat, welche Risiken tatsächlich zählen und in welcher Reihenfolge KMU handeln sollten.
Was sich 2026 verschoben hat
Wer Cybersecurity-Ratgeber aus den letzten Jahren liest, findet fast immer denselben Satz: Phishing sei die häufigste Angriffsmethode. Für die Microsoft 365 Sicherheit gilt das so nicht mehr.
Der Verizon Data Breach Investigations Report 2026 nennt erstmals in 19 Jahren das Ausnutzen von Software-Schwachstellen als häufigsten initialen Angriffsvektor mit 31 Prozent. Damit hat es gestohlene Zugangsdaten vom ersten Platz verdrängt. Verizon führt das unter anderem darauf zurück, dass Angreifer mithilfe von KI die Zeit bis zur Ausnutzung bekannter Schwachstellen von Monaten auf Stunden verkürzen.
Ebenfalls im Bericht: Der menschliche Faktor war an 62 Prozent aller Sicherheitsverletzungen beteiligt, und Drittanbieter waren an 48 Prozent beteiligt – ein Anstieg von 60 Prozent gegenüber dem Vorjahr.
Für KMU heisst das: Patch-Disziplin ist keine Aufgabe für die IT «wenn Zeit bleibt», sondern eine der beiden tragenden Säulen. Die andere heisst Identität.
Warum Microsoft 365 Sicherheit für KMU besonders kritisch ist
Ein übernommenes Microsoft-365-Konto liefert Angreifern in einem Schritt Zugriff auf E-Mails, Kalender, Teams-Chats, SharePoint-Bibliotheken und OneDrive-Dateien. Damit lassen sich vertrauliche Daten abziehen, Schadsoftware unter dem Namen eines echten Mitarbeitenden weiterverteilen oder Zahlungsflüsse umlenken.
Der Microsoft Digital Defense Report 2025 beziffert den Anstieg identitätsbasierter Angriffe im ersten Halbjahr 2025 auf 32 Prozent. Bemerkenswert ist die Zusammensetzung: Microsoft ordnet 97 Prozent der beobachteten Identitätsangriffe Password-Spray-Angriffen zu. Dabei testen Angreifer häufig verwendete oder aus Datenlecks stammende Passwörter automatisiert gegen viele Konten gleichzeitig. Aufwendige Techniken wie Token-Diebstahl oder Adversary-in-the-Middle machen einen Bruchteil aus.
Das ist die gute Nachricht in diesen Zahlen: Ein grosser Teil dieser Angriffe lässt sich bereits durch konsequent eingesetzte MFA abwehren.
Die fünf Risiken, die 2026 zählen
1. Identität: schwache Passwörter und fehlende MFA
Microsoft gibt an, dass Multi-Faktor-Authentifizierung mehr als 99 Prozent der identitätsbasierten Angriffe blockieren kann. Phishing-resistente Verfahren wie Passkeys und FIDO2-Sicherheitsschlüssel schützen darüber hinaus gegen Adversary-in-the-Middle-Angriffe, bei denen klassische Einmalcodes abgefangen werden. Kein anderes Einzelinstrument hat ein vergleichbares Verhältnis von Aufwand zu Wirkung.
Wichtig für alle, die MFA noch als reine Empfehlung behandeln: Für administrative Zugänge ist sie es nicht mehr. Microsoft setzt sie im Rahmen der Secure Future Initiative in Phasen durch:
Seit Oktober 2024 für Anmeldungen am Azure-Portal, am Microsoft Entra Admin Center und am Intune Admin Center.
Für das Microsoft 365 Admin Center begann die schrittweise Durchsetzung im Februar 2025. Über das Message Center kündigte Microsoft an, die Durchsetzung ab dem 9. Februar 2026 so weit hochzufahren, dass eine Anmeldung ohne abgeschlossene MFA nicht mehr möglich ist.
Für Azure CLI, PowerShell, die Azure-App, Infrastructure-as-Code-Werkzeuge und bestimmte schreibende API-Zugriffe begann Phase 2 am 1. Oktober 2025. Eine tenantbezogene Verschiebung dieser Phase war längstens bis zum 1. Juli 2026 möglich.
Für KMU mit einem einzigen, historisch gewachsenen Global-Admin-Konto ist das ein reales Ausfallrisiko: Wenn dieses Konto MFA nicht abschliessen kann, gibt es keinen Rückfallweg in den eigenen Tenant.
Konkret umsetzen:
MFA für alle Benutzenden aktivieren, nicht nur für Administratoren.
Auf Passkeys oder Authenticator mit Nummernabgleich setzen statt auf SMS-Codes.
Mindestens zwei getrennte Emergency-Access-Konten einrichten, mit starkem Authentifizierungsverfahren absichern, ausserhalb der normalen Administrationsabläufe überwachen und regelmässig testen. Von eigenen Conditional-Access-Richtlinien nur dort ausnehmen, wo Microsoft das ausdrücklich empfiehlt – die konzernweite MFA-Pflicht selbst gilt auch für diese Konten.
Conditional Access für privilegierte Rollen, Standorte und nicht verwaltete Geräte konfigurieren.
2. Phishing verlässt die Inbox
Klassisches E-Mail-Phishing funktioniert schlechter als früher – weil Filter besser geworden sind und weil viele Unternehmen ihre Belegschaft geschult haben. Angreifer sind deshalb ausgewichen.
Verizon berichtet für 2026, dass Angreifer auf mobil ausgerichtetes Social Engineering über gefälschte SMS und Sprachanrufe umschwenken. In Phishing-Simulationen liegen die Klickraten dieser mobilen Vektoren im Median rund 40 Prozent höher als bei E-Mail-Phishing. Neu als eigener initialer Angriffsvektor erfasst ist das Pretexting: Der Angreifer baut ein glaubwürdiges Szenario auf und führt ein echtes Gespräch – per Telefon, Teams-Chat oder in einem laufenden E-Mail-Thread. Ein erheblicher Teil der Social-Engineering-Vorfälle läuft damit über Kanäle, die kein E-Mail-Gateway sieht.
Verstärkt wird das durch generative KI. Sie erleichtert es Angreifern, sprachlich überzeugende und zielgruppenspezifische Nachrichten in grosser Zahl zu erstellen. Auch das Schweizer Bundesamt für Cybersicherheit BACS meldet, dass die bisherigen Erkennungsmerkmale KI-generierter Texte und Webseiten zunehmend verschwinden.
Rechtschreibfehler als Warnsignal zu unterrichten, ist damit überholt. Schulungen müssen stattdessen den Prozess trainieren: Zahlungsänderungen und Zugriffsanfragen werden über einen zweiten, selbst gewählten Kanal verifiziert – unabhängig davon, wie plausibel die Anfrage klingt.
3. Ransomware und doppelte Erpressung
Ransomware war 2026 an 48 Prozent aller untersuchten Sicherheitsverletzungen beteiligt. Moderne Gruppen verschlüsseln nicht nur, sie ziehen vorher Daten ab und drohen mit deren Veröffentlichung – die sogenannte Double Extortion.
Der Umgang der Opfer verändert sich allerdings: 69 Prozent zahlten kein Lösegeld, und die mittlere gezahlte Summe sank auf rund 139'875 US-Dollar. Zahlungsverweigerung setzt aber voraus, dass eine funktionierende Wiederherstellung existiert.
In der Schweiz ist die Bedrohung dokumentiert: Das BACS erhielt im ersten Halbjahr 2025 insgesamt 35'727 Meldungen zu Cybervorfällen, darunter 57 Ransomware-Fälle, mehrheitlich von Unternehmen und Organisationen. Führend war die Gruppe Akira: Nach Angaben des KMU-Portals des Bundes entfielen auf sie 7 gemeldete Angriffe auf Schweizer Unternehmen im ersten und 26 im zweiten Halbjahr 2025. Parallel nimmt Business E-Mail Compromise deutlich zu.
4. Fehlkonfigurationen und Drittanbieter-Zugriffe
Nicht jede Lücke entsteht durch einen Angriff. Zu weit gefasste Freigabelinks in SharePoint und OneDrive, überzählige Administratorrechte, deaktivierte Richtlinien und vergessene Gastkonten sind hausgemachte Risiken.
Der am schnellsten wachsende Bereich sind dabei Drittanbieter-Integrationen: 48 Prozent der Sicherheitsverletzungen hatten 2026 eine Drittpartei-Komponente, ein Anstieg von 60 Prozent gegenüber dem Vorjahr. Gemeint sind Lieferanten, SaaS-Plattformen und vor allem OAuth-Integrationen, also jene Apps, denen Benutzende irgendwann per Klick dauerhaften Zugriff auf ihr Postfach oder ihre Dateien erteilt haben.
Konkret umsetzen:
Benutzer-Einwilligung für Apps einschränken und einen Admin-Consent-Workflow aktivieren.
Bestehende App-Berechtigungen im Entra Admin Center prüfen und nicht mehr benötigte entziehen.
Freigabelinks standardmässig auf «bestimmte Personen» statt «alle mit dem Link» setzen und ablaufen lassen.
Least Privilege durchsetzen: Wer keine Adminrechte täglich braucht, bekommt sie nur temporär.
5. Schatten-KI im Tenant
Ein Risiko, das in Ratgebern aus den Vorjahren schlicht nicht vorkam: Laut Verizon DBIR 2026 hat sich die Nutzung nicht genehmigter KI-Werkzeuge am Arbeitsplatz innerhalb eines Jahres verdreifacht – von 15 auf 45 Prozent der Mitarbeitenden. Schatten-KI ist damit inzwischen die dritthäufigste Ursache für nicht-böswilligen Datenabfluss durch Insider.
Für KMU ist das ein Governance-Thema, kein Verbotsthema. Wer die Nutzung untersagt, verlagert sie ins Private und verliert jede Sichtbarkeit. Sinnvoller ist ein freigegebener, geschäftlich lizenzierter Zugang plus eine klare, kurze Regel, welche Datenkategorien nicht in externe Systeme gehören.
Shared Responsibility: Was Microsoft nicht für Sie erledigt
Ein verbreitetes Missverständnis betrifft die Datensicherung. Microsoft arbeitet nach dem Shared Responsibility Model: Microsoft verantwortet die Sicherheit und Verfügbarkeit der Cloud-Infrastruktur. Für Benutzerkonten, Berechtigungen, Konfiguration und die eigenen Daten bleibt das Unternehmen selbst zuständig.
Die integrierten Funktionen – Papierkorb, Aufbewahrungsrichtlinien, Versionierung – decken viele Alltagsfälle ab. An ihre Grenzen kommen sie bei länger unbemerktem Datenverlust, bei kompromittierten Konten, bei fehlerhafter Synchronisation und dann, wenn gesetzliche Aufbewahrungsfristen eine nachweisbare, unveränderliche Kopie verlangen.
Eine unabhängige Sicherung von Exchange Online, SharePoint, OneDrive und Teams kann diese Lücke schliessen. TechNovice hat die verlinkte Lösung nicht selbst getestet; BitRecover, der Arbeitgeber des Gastautors, bietet mit Office 365 Backup ein entsprechendes Produkt an. Entscheidend ist unabhängig vom Anbieter: Ein Backup, dessen Wiederherstellung nie getestet wurde, ist eine Annahme, kein Schutz.
Der Schweizer Rechtsrahmen
Für Schweizer Unternehmen kommen zwei Pflichten hinzu, die häufig verwechselt werden:
Meldepflicht nach ISG. Seit dem 1. April 2025 müssen Betreiberinnen kritischer Infrastrukturen erhebliche Cyberangriffe dem BACS melden. Die Details regeln das Informationssicherheitsgesetz und die Cybersicherheitsverordnung. Ein durchschnittliches KMU ohne strukturelle Bedeutung für die Versorgung fällt in der Regel nicht darunter.
Meldepflicht nach revDSG. Diese gilt für alle. Nach Artikel 24 des revidierten Datenschutzgesetzes ist eine Verletzung der Datensicherheit dem EDÖB zu melden, sobald sie voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Bei einem Ransomware-Vorfall mit Datenabfluss ist das der Regelfall – nicht die Ausnahme.
Wer erst während eines Vorfalls klärt, welche Pflicht greift, verliert Zeit, die für die Eindämmung gebraucht wird. Die Zuordnung gehört vorher schriftlich festgehalten.
Prioritätenliste für KMU
Die Reihenfolge ist bewusst gewählt – oben steht, was pro investierter Stunde am meisten Risiko abbaut:
MFA für alle, phishing-resistent wo möglich, plus getestete Emergency-Access-Konten.
Patch-Prozess mit Frist: internetexponierte Systeme zuerst, mit definierter Maximaldauer statt «bei Gelegenheit».
Least Privilege: Adminrechte reduzieren, privilegierte Rollen regelmässig prüfen.
OAuth- und Freigabe-Hygiene: App-Consent einschränken, offene Freigabelinks bereinigen.
Awareness über E-Mail hinaus: Telefon, Chat und Pretexting mittrainieren, mit Verifikationsprozess statt Erkennungsmerkmalen.
Unabhängiges Backup mit dokumentiertem Wiederherstellungstest, mindestens jährlich.
Notfallkonzept mit Meldepflicht-Zuordnung, einmal auf Papier durchgespielt.
Das BACS stellt für Punkt 7 ein kostenloses Notfallkonzept-Modell für KMU bereit.
Fazit
Microsoft 365 ist eine leistungsfähige Plattform und gleichzeitig ein hochwertiges Ziel. Die Bedrohungslage 2026 hat sich dabei erkennbar verschoben: Ungepatchte Schwachstellen haben gestohlene Zugangsdaten als Einstiegstor überholt, Social Engineering wandert vom E-Mail-Postfach auf Telefon und Chat, und mit Schatten-KI ist ein Risiko dazugekommen, das vor zwei Jahren noch nicht existierte.
Was sich nicht verschoben hat, sind die Grundlagen der Microsoft 365 Sicherheit. Multi-Faktor-Authentifizierung blockiert weiterhin den Grossteil identitätsbasierter Angriffe, minimale Berechtigungen begrenzen weiterhin den Schaden einer Übernahme, und ein getestetes Backup entscheidet weiterhin darüber, ob ein Ransomware-Vorfall drei Tage oder drei Wochen kostet. Cybersecurity ist kein Projekt mit Abschlussdatum, sondern ein Betriebszustand.
Häufig gestellte Fragen
Reicht Microsoft 365 allein als Datensicherung aus?
Nein. Microsoft sichert die Cloud-Infrastruktur, nicht Ihre Daten gegen alle Verlustszenarien. Papierkorb und Aufbewahrungsrichtlinien decken kurzfristige Fälle ab, greifen aber nicht zuverlässig bei spät entdecktem Datenverlust, kompromittierten Konten oder gesetzlichen Aufbewahrungspflichten. Für diese Fälle braucht es eine unabhängige Sicherung.
Ist Multi-Faktor-Authentifizierung in Microsoft 365 Pflicht?
Für die betroffenen administrativen Zugänge ja. Microsoft setzt MFA seit Oktober 2024 für das Azure-Portal, das Entra Admin Center und das Intune Admin Center durch. Für das Microsoft 365 Admin Center begann die schrittweise Einführung im Februar 2025 und wurde ab Februar 2026 weiter hochgefahren. Weitere Verwaltungswerkzeuge wie Azure CLI und PowerShell folgten ab Oktober 2025. Für gewöhnliche Benutzerkonten ist MFA durch diese Microsoft-weite Regel nicht generell erzwungen, bleibt aber eine der wirksamsten Schutzmassnahmen.
Was ist die häufigste Ursache für Sicherheitsverletzungen 2026?
Laut Verizon DBIR 2026 das Ausnutzen von Software-Schwachstellen mit 31 Prozent der initialen Zugriffe – erstmals in 19 Jahren vor gestohlenen Zugangsdaten. Der menschliche Faktor ist an 62 Prozent aller Vorfälle beteiligt.
Muss mein KMU einen Cyberangriff dem BACS melden?
Die Meldepflicht nach Informationssicherheitsgesetz gilt seit dem 1. April 2025 nur für Betreiberinnen kritischer Infrastrukturen. Unabhängig davon besteht nach Artikel 24 revDSG eine Meldepflicht an den EDÖB, sobald Personendaten betroffen sind und ein hohes Risiko für die betroffenen Personen entsteht. Freiwillige Meldungen an das BACS sind in jedem Fall möglich und erwünscht.
Womit sollten KMU mit knappen Ressourcen anfangen?
Mit MFA für alle Konten und einem Patch-Prozess mit verbindlicher Frist für internetexponierte Systeme. Diese beiden Massnahmen adressieren die zwei häufigsten Einstiegswege und kosten in der Umsetzung weniger als die meisten Sicherheitsprodukte.
Offenlegung: Der Autor ist bei BitRecover angestellt. Der Beitrag verlinkt auf ein Produkt seines Arbeitgebers. Die Redaktion von TechNovice hat den Text fachlich geprüft und um Quellenangaben sowie den Schweizer Rechtsrahmen ergänzt. Die verlinkte Lösung wurde von TechNovice nicht getestet.
Kommentare