Baseline Security Mode: Microsoft 365 absichern ohne Lizenz-Upgrade

Der Baseline Security Mode ist eine Seite im Microsoft 365 Admin Center, auf der Microsoft empfohlene Sicherheitseinstellungen für Exchange Online, SharePoint und OneDrive, Teams, die Microsoft 365 Apps und Microsoft Entra ID an einem Ort bündelt, darunter Härtungen, die bisher nur über PowerShell erreichbar waren. Laut Microsoft lassen sich die Einstellungen in allen Microsoft 365 Abonnements und Plänen konfigurieren, jede einzeln und jederzeit widerrufbar. Zu jeder Einstellung gibt es einen Auswirkungsbericht, der vorab zeigt, welche Nutzer oder Anwendungen betroffen wären. Die sinnvolle Reihenfolge für kleine Unternehmen: Berichte laufen lassen, die Schalter ohne Auswirkungen sofort einschalten, und für den Rest zuerst die Abhängigkeiten auflösen, allen voran alte Scanner, Anwendungen mit EWS-Zugriff und Administratoren ohne phishingresistente Anmeldung.

Was der Baseline Security Mode ist

Microsoft hat den Baseline Security Mode zur Ignite im November 2025 vorgestellt und zwischen Mitte November 2025 und Ende Januar 2026 weltweit ausgerollt. Die erste Ausbaustufe umfasst 18 Einstellungen in den drei Bereichen Authentifizierung, Dateien und Raumgeräte. Nach Einschätzung von Microsoft haben 11 dieser 18 Einstellungen geringe oder keine Auswirkungen auf die Nutzer; für die übrigen sieben empfiehlt Microsoft, zunächst den Simulationsmodus zu nutzen und die Auswirkungen im eigenen Tenant zu bewerten.

Sie finden die Seite im Microsoft 365 Admin Center über Alle anzeigen, Einstellungen, Organisationseinstellungen, dort auf der Registerkarte Sicherheit und Datenschutz unter dem Eintrag Baseline Security Mode (in der deutschen Dokumentation Baseline-Sicherheitsmodus). Die Seite zeigt den Stand Ihres Tenants im Vergleich zu der von Microsoft empfohlenen Mindestsicherheit und markiert offene Punkte als gefährdet. Welche Einstellungen Sie sehen, hängt von Ihrer Rolle ab: Die Einstellungen für bedingten Zugriff erfordern die Rolle Sicherheitsadministrator oder Administrator für bedingten Zugriff, die SharePoint-Einstellungen die SharePoint-Administratorrolle, die Einstellungen für die Microsoft 365 Apps die Rolle Office Apps-Administrator. Arbeiten Sie dafür mit einem Konto, das genau diese Rolle hat, statt pauschal mit dem Globalen Administrator, wie unser Beitrag zu Adminrechten im KMU erklärt.

Die Schalter im Bereich Authentifizierung

Hier liegt für die meisten kleinen Unternehmen der größte Gewinn, weil Angriffe auf Microsoft 365 heute typischerweise über übernommene Konten laufen und nicht über geknackte Server.

• Administratorzugriff auf Microsoft-Verwaltungsportale mit phishingresistenter Authentifizierung schützen: Konten mit privilegierten Rollen müssen sich mit phishingresistenten Verfahren anmelden, etwa mit einem Passkey oder FIDO2-Sicherheitsschlüssel. Microsoft warnt ausdrücklich: Erst die Verfahren für alle Administratoren registrieren, dann die Richtlinie aktivieren, sonst sperren Sie sich selbst aus. Ein Notfallkonto gehört als Ausnahme hinein.
• Legacy-Anmeldeverfahren blockieren: Anmeldungen über alte Protokolle ohne Unterstützung für einen zweiten Faktor, laut Microsoft etwa POP, IMAP, SMTP und ältere EWS-Zugriffe, werden abgewiesen. Microsoft begründet das damit, dass die meisten Angriffe mit gestohlenen oder massenhaft durchprobierten Passwörtern genau diese Protokolle nutzen. Vorsicht: Scanner und Programme, die per SMTP AUTH mit Passwort senden, fallen damit sofort aus.
• Hinzufügen neuer Kennwörter zu Apps blockieren: App-Registrierungen in Entra ID dürfen keine Kennwortgeheimnisse mehr erhalten, weil Kennwörter laut Microsoft zu den schwächsten Anmeldeverfahren für Dienste zählen; Microsoft empfiehlt den Umstieg auf sicherere Verfahren.
• Zustimmung der Endbenutzer einschränken: Nutzer dürfen nur noch Apps aus dem eigenen Tenant oder aus der Liste der von Microsoft zertifizierten Apps mit risikoarmen Berechtigungen Zugriff auf ihre Daten geben. Das bremst Schatten-IT und die verbreitete Angriffsmasche, per untergeschobener App-Zustimmung an Postfächer zu kommen.
• Standardauthentifizierung blockieren, unsichere Protokolle für das Öffnen von Dateien blockieren, FPRPC blockieren: drei Einstellungen für die Microsoft 365 Apps, die Kennwortabfragen alter Bauart und Dateizugriffe über HTTP oder FTP unterbinden. Die Standardauthentifizierung und FPRPC sind in aktuellen Apps bereits standardmäßig blockiert; die Schalter verhindern, dass Nutzer diese Vorgabe selbst wieder aufheben, bei der Standardauthentifizierung etwa über das Trust Center.
• Alte Anmeldeverfahren für SharePoint und OneDrive blockieren, keine neuen benutzerdefinierten Skripts in SharePoint zulassen, Zugriff auf den Microsoft Store für SharePoint deaktivieren: drei Einstellungen, die alte Zugriffswege und ungeprüften Code auf Ihren SharePoint-Seiten unterbinden.
• Organisationsweiten Zugriff auf Exchange Web Services (EWS) deaktivieren: schaltet die Schnittstelle ab, die Microsoft ab Oktober 2026 ohnehin stufenweise stilllegt. Voraussetzung ist mindestens Build 16.0.19725 der Microsoft 365 Apps, sonst funktionieren Add-ins in Word, Excel, PowerPoint und Outlook nicht mehr. Bekannte Auswirkungen laut Microsoft: Der Exchange-Connector in Excel und Power BI, Kalenderfreigaben und Frei/Gebucht-Abfragen zu anderen Organisationen sowie die Synchronisierung eines lokal betriebenen Dynamics 365 funktionieren dann nicht mehr.

Dateien und Raumgeräte

Der Bereich Dateien betrifft die Microsoft 365 Apps auf Windows-Rechnern: Uralte Dateiformate öffnen sich nur noch in der geschützten Ansicht ohne Bearbeitung, alte Formate in der geschützten Ansicht mit Bearbeitung, ActiveX-Steuerelemente sowie OLE-Graph- und OrgChart-Objekte werden blockiert, Excel startet keine DDE-Server mehr, und Microsoft Publisher lässt sich nicht mehr starten. Letzteres passt zur Ankündigung, dass Publisher ab Oktober 2026 nicht mehr Teil von Microsoft 365 ist. Für viele Büros dürften diese Schalter ohne spürbare Auswirkung bleiben; wer noch Excel-Vorlagen mit ActiveX-Steuerelementen oder Publisher-Dateien im Einsatz hat, sieht das im Auswirkungsbericht.

Der Bereich Raumgeräte richtet sich an Unternehmen mit Microsoft Teams Rooms: Die Ressourcenkonten der Raumsysteme dürfen nicht auf Dateien in Microsoft 365 zugreifen, nur verwaltete und konforme Geräte dürfen sich damit anmelden, und die Konten dürfen nicht für die Anmeldung an normalen Microsoft 365 Apps missbraucht werden. Wer keine Teams Rooms betreibt, hat hier keine Abhängigkeiten zu befürchten.

Vorgehen: Auswirkungsbericht zuerst

Microsoft empfiehlt eine feste Reihenfolge: Für jede Einstellung den Auswirkungsbericht ausführen; zeigt er keine Auswirkungen, die Einstellung einschalten; zeigt er kritische Abhängigkeiten, die Einstellung noch nicht aktivieren und zuerst die Abhängigkeiten beseitigen. Ausdrücklich genannt ist auch das Experiment: eine Einstellung für einen begrenzten Zeitraum von einigen Tagen umschalten, um Abhängigkeiten zu erkennen, und danach entscheiden. Für Richtlinien für bedingten Zugriff empfiehlt Microsoft generell, sie zunächst im reinen Berichtsmodus laufen zu lassen, in dem die Richtlinie protokolliert, aber nicht blockiert.

Eine Reihenfolge, die sich in kleinen Unternehmen bewährt:

• Schritt 1, phishingresistente Anmeldung für Administratoren: Passkeys oder Sicherheitsschlüssel für alle Adminkonten registrieren, Notfallkonto anlegen und ausnehmen, dann einschalten. Wie die Anmeldung mit zweitem Faktor im KMU insgesamt sauber eingeführt wird, haben wir separat beschrieben.
• Schritt 2, Zustimmung der Endbenutzer einschränken und Kennwörter für Apps blockieren: für die meisten Betriebe ohne Auswirkungen.
• Schritt 3, die Einstellungen für Dateien und Raumgeräte: nach Auswirkungsbericht.
• Schritt 4, Legacy-Anmeldeverfahren blockieren: erst nach der Inventur aller Geräte, die noch per SMTP AUTH mit Passwort senden, und nach deren Umstellung.
• Schritt 5, EWS deaktivieren: erst nach Auswertung des EWS-Nutzungsberichts im Admin Center und mit dem genannten Mindestbuild auf allen Rechnern.

Nicht alles, was über die Sicherheit entscheidet, gehört zur ersten Ausbaustufe: etwa ob die Mehrfaktor-Anmeldung für alle Konten gilt, ob Mails nach außen weitergeleitet werden oder ob Freigabe-Links ohne Anmeldung funktionieren. Welche Einstellungen insgesamt zählen, beschreibt unser Ratgeber Microsoft 365 Sicherheit prüfen. Wer den Stand nicht selbst zusammentragen will, kann die Sicherheitseinstellungen von Microsoft 365 prüfen lassen, mit dem kostenpflichtigen H5M Sicherheitscheck.

Ein Hinweis zu einer Kuriosität: Wer die Seite zwischen November 2025 und Anfang Februar 2026 aufgerufen hat, findet in Entra ID unter Umständen zwei deaktivierte Entwürfe von Richtlinien für bedingten Zugriff, die scheinbar vom angemeldeten Administrator erstellt wurden. Microsoft erklärt sie als Fehler ohne Sicherheitsrelevanz und entfernt sie; sie sind kein Zeichen für einen Angriff.

Häufige Fragen

Brauchen wir dafür Business Premium oder eine Zusatzlizenz?

Nach Angaben von Microsoft lassen sich die Einstellungen des Baseline Security Mode in allen Microsoft 365 Abonnements und Plänen konfigurieren; eine Zusatzlizenz nennt die Dokumentation nicht. Zwei der Authentifizierungseinstellungen werden technisch als Richtlinien für bedingten Zugriff in Microsoft Entra ID angelegt. Was in Ihrem Tenant genau angezeigt wird, kann je nach Plan und Rollout-Stand abweichen; die Seite im Admin Center zeigt den verbindlichen Stand.

Kann ich eine Einstellung wieder ausschalten, wenn etwas nicht funktioniert?

Ja, jede Einstellung lässt sich einzeln im Admin Center wieder deaktivieren; Microsoft nennt das befristete Umschalten für einige Tage ausdrücklich als Weg, Abhängigkeiten zu erkennen. Eine Ausnahme nennt die Dokumentation: Das Verbot neuer benutzerdefinierter Skripts in SharePoint entfernt diese Möglichkeit dauerhaft. Für die Einstellung zur Standardauthentifizierung beschreibt Microsoft zusätzlich den Weg über den Office Cloud Policy Service, falls Sie die Vorgaben dort feiner steuern wollen.

Was passiert mit unserem Scanner, wenn wir Legacy-Anmeldungen blockieren?

Sendet der Scanner per SMTP AUTH mit Benutzername und Passwort über smtp.office365.com, wird er blockiert, weil diese Anmeldung zu den Legacy-Verfahren zählt. Prüfen Sie vor dem Einschalten im Exchange Admin Center den Bericht SMTP AUTH Clients und stellen Sie betroffene Geräte auf OAuth, einen Relay-Connector oder High Volume Email um. Die Umstellung steht ohnehin an, weil Microsoft die Passwortanmeldung für SMTP AUTH Ende 2026 standardmäßig deaktiviert.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet Microsoft 365 für kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit sicher ein. Wir lesen die Auswirkungsberichte des Baseline Security Mode mit Ihnen, registrieren phishingresistente Anmeldeverfahren für Ihre Administratoren, legen das Notfallkonto an und schalten die Einstellungen in der passenden Reihenfolge ein, ohne dass Scanner, Add-ins oder Branchensoftware ausfallen. Im kostenlosen Erstgespräch schauen wir gemeinsam auf den Stand Ihres Tenants. Rufen Sie uns an oder schreiben Sie an info@h5m.de. Mehr zu unserer laufenden Microsoft 365 Betreuung finden Sie auf der Leistungsseite.

Quellen

• Microsoft Learn, Baseline security mode settings, Stand 17.04.2026 (aktualisiert 29.06.2026), https://learn.microsoft.com/en-us/microsoft-365/baseline-security-mode/baseline-security-mode-settings
• Microsoft Tech Community, Ignite '25 Spotlight: Announcing Microsoft Baseline security mode, 18.11.2025, https://techcommunity.microsoft.com/blog/microsoft_365blog/ignite%E2%80%9925-spotlight-announcing-microsoft-baseline-security-mode/4469709
• Microsoft 365 Nachrichtencenter, MC1193689 Microsoft baseline security mode for Office, SharePoint, Exchange, Teams, and Entra, 10.12.2025, Archiv: https://mc.merill.net/message/MC1193689
• Microsoft Learn, Block Basic authentication (Baseline security mode), Stand 26.06.2026, https://learn.microsoft.com/en-us/microsoft-365/baseline-security-mode/block-basic-authentication
• Microsoft Learn, Require phishing-resistant multifactor authentication for Microsoft Entra administrator roles, Stand 24.03.2026, https://learn.microsoft.com/en-us/entra/identity/conditional-access/policy-admin-phish-resistant-mfa