Projektumsetzung remote über Microsoft Teams

Die Umsetzung des Projekts erfolgte vollständig remote über Microsoft Teams – ein gelungenes Beispiel dafür, wie effiziente IT-Beratung auch ohne Vor-Ort-Präsenz erfolgreich realisiert werden kann. Die strukturierte und phasenweise Vorgehensweise ermöglichte dabei maximale Transparenz und Flexibilität für alle Beteiligten.

Das Projekt gliederte sich in fünf aufeinander aufbauende Phasen:

1. Initiales Review & Analyse

Im ersten Schritt wurde die bestehende Umgebung gründlich geprüft. Dazu gehörte die Analyse des hybriden Setups mit Microsoft Entra ID Connect, die Erhebung der bestehenden Adminrollen sowie die Überprüfung sicherheitsrelevanter Einstellungen in Exchange Online, SharePoint Online, Teams, Intune und Microsoft Defender.

2. Strategieentwicklung & Maßnahmenplanung

Auf Basis der Analyseergebnisse wurde ein individuelles Sicherheits- und Berechtigungskonzept entwickelt. Hierbei wurden konkrete Ziele definiert, Prioritäten gesetzt und Meilensteine für die technische Umsetzung festgelegt.

3. Technische Konfiguration & Automatisierung

In dieser Phase erfolgte die konkrete Umsetzung der geplanten Maßnahmen – von der Einführung sicherer Admin-Workflows bis zur automatisierten Lizenzvergabe. Dabei wurde besonders auf Skalierbarkeit und Wartbarkeit geachtet.

4. Intune-Integration & Gerätemanagement

Der Aufbau eines vollständigen Microsoft Intune Setups ermöglichte die zentrale Steuerung aller Endgeräte – inklusive BYOD-Szenarien und Compliance-Regeln für mobile Geräte.

5. Monitoring & kontinuierliche Optimierung

Abschließend wurde ein Log Analytics Workspace eingerichtet, um Aktivitäten dauerhaft zu überwachen. Durch begleitende Workshops und ein definiertes Change-Management wurde sichergestellt, dass die Umgebung auch langfristig sicher und flexibel bleibt.

Das strukturierte Projektvorgehen stellte sicher, dass alle Maßnahmen nicht nur technisch, sondern auch organisatorisch verankert wurden – eine entscheidende Grundlage für nachhaltige Sicherheit im Microsoft 365 Kontext.

Security Hardening & Berechtigungskonzept

Auf Grundlage der durchgeführten Analyse wurde ein umfassendes Sicherheitskonzept entwickelt, das sowohl technische Maßnahmen als auch organisatorische Prozesse beinhaltete. Der Fokus lag dabei auf der Reduktion von Angriffsflächen und der Etablierung klarer Administrationsprozesse.

Individuelle Admin-Konten & Break Glass Accounts

Zur Trennung von Benutzer- und Administrationszugriffen wurden für alle zuständigen Personen separate, personalisierte Admin-Konten eingeführt. Zusätzlich wurden sogenannte Break Glass Accounts konfiguriert – notfallfähige Konten mit speziellen Sicherheitsregeln, die ausschließlich im Krisenfall verwendet werden und besonders überwacht sind.

Einführung delegierter Rollen & Rechte

Statt pauschaler Global Admin-Zugriffe wurden dedizierte Rollen über Microsoft Entra (Azure AD) eingeführt, die nach Funktion und Zuständigkeit granular vergeben wurden. Beispielhafte Rollen:

• Exchange Administrator
• Compliance Administrator
• Intune Administrator

Diese Struktur folgt dem Prinzip „least privilege“ – jeder erhält nur die Rechte, die für seine Aufgaben unbedingt erforderlich sind.

Automatisierung durch Lizenzgruppen

Ein weiterer Bestandteil des Hardening-Konzepts war die Einführung automatisierter Lizenzgruppen. Diese ermöglichen die Zuweisung von Microsoft 365 Lizenzen auf Basis definierter Gruppenmitgliedschaften – ein großer Schritt hin zu einer wartbaren, nachvollziehbaren Lizenzverwaltung.

Ergänzende Sicherheitsmaßnahmen

Um die Integrität der Microsoft 365 Umgebung weiter zu stärken, wurden zusätzlich folgende Maßnahmen implementiert:

• Aktivierung & erzwungene Nutzung von Multi-Faktor-Authentifizierung (MFA)
• Einführung einer Passwortrichtlinie mit Ablaufintervallen und Komplexitätsanforderungen
• Begrenzung administrativer Sitzungslängen zur Reduktion von Missbrauchsrisiken
• Logging & Alerting bei Admin-Aktivitäten, um ungewöhnliche Vorgänge frühzeitig zu erkennen

Kommunikation & Schulung

Damit das neue Berechtigungskonzept nicht nur technisch, sondern auch organisatorisch greift, wurde eine klare Dokumentation erstellt. In kurzen Remote-Schulungen wurden alle Beteiligten mit den neuen Abläufen vertraut gemacht und für Sicherheitsaspekte sensibilisiert.

Mit dieser neuen Rollenarchitektur und dem gezielten Security Hardening war ein wichtiger Meilenstein erreicht: Die administrative Umgebung wurde nicht nur sicherer, sondern auch transparenter und besser steuerbar.

Technische Umsetzung & Automatisierung

Nach der Definition der Sicherheits- und Berechtigungskonzepte lag der Fokus auf der konkreten technischen Umsetzung. Ziel war es, sicherheitskritische Funktionen zu aktivieren, Prozesse zu automatisieren und die Umgebung an zentrale Unternehmensrichtlinien anzupassen.

Lizenzvergabe über dynamische Gruppen

Zur Vereinfachung der Lizenzverwaltung wurden dynamische Gruppen in Microsoft Entra (ehemals Azure AD) eingerichtet, mit denen Microsoft 365 Lizenzen automatisiert zugewiesen werden. Auf Basis von Attributen wie Abteilung, Standort oder Rolle erhalten Nutzer:innen automatisch die passenden Lizenzen – fehleranfällige manuelle Zuweisungen entfallen damit vollständig.

Sichere E-Mail-Authentifizierung: SPF, DKIM & DMARC

Um Phishing-Angriffe und Spoofing zu verhindern, wurden für die genutzten E-Mail-Domains die Sicherheitsprotokolle SPF, DKIM und DMARC korrekt eingerichtet.
Diese Maßnahmen:

• stellen sicher, dass nur autorisierte Server E-Mails im Namen der Domain versenden dürfen,
• verbessern die Zustellbarkeit legitimer Mails,
• stärken die Glaubwürdigkeit des Absenders.

Microsoft Defender: Schutz in Echtzeit

Übergreifend in Exchange Online, Teams und SharePoint wurden maßgeschneiderte Defender-Richtlinien implementiert:

• Safe Links & Safe Attachments: automatischer Scan verdächtiger Inhalte in E-Mails und Dokumenten
• Anti-Phishing & Anti-Malware Filter: dynamische Erkennung auf Basis von Microsofts Threat Intelligence
• Benutzerdefinierte Warnmeldungen bei potenziellen Bedrohungen oder nicht regelkonformer Nutzung

Optimierung der Mandantenkonfiguration

Zur Verbesserung der User Experience und der Mandantenverwaltung wurden zusätzliche Anpassungen vorgenommen:

• Self-Service-Portale und Branding für die Anmeldung
• Deaktivierung von Testversionen und nicht verwendeten Cloud-Diensten
• Benutzerdefinierte Namenskonventionen für neue Gruppen und Teams

Geo-Zugriffsregeln zur Absicherung

Über Conditional Access wurden Geo-Regeln definiert, die Logins aus Hochrisikoländern blockieren oder zusätzliche Authentifizierungsmaßnahmen verlangen. Damit lassen sich automatisierte Angriffe aus dem Ausland effektiv einschränken.

Alle Konfigurationen wurden dokumentiert und mit Skripten für Wiederherstellungs- und Rollback-Szenarien ergänzt – ein zentraler Schritt für die Betriebssicherheit.

Intune Management & Geräteschutz

Ein zentrales Ziel des Projekts war die Etablierung eines sicheren, zentral verwaltbaren Gerätemanagements. Mit der Einführung von Microsoft Intune wurde ein umfassendes Endpoint Management aufgesetzt, das alle Unternehmensgeräte – inklusive BYOD – einbindet und gleichzeitig den Zugriff auf sensible Daten absichert.

Aufbau eines vollständigen Intune-Setups

Das Intune-Setup wurde von Grund auf konzipiert und implementiert:

• Einrichtung von Compliance-Richtlinien, z. B. für Passwortschutz, Gerätestatus, Verschlüsselung
• Definition von Konfigurationsprofilen für Geräteeinstellungen, Updates und App-Berechtigungen
• Trennung von Unternehmens- und Privatdaten durch gezielte App Protection Policies

Die Richtlinien wurden differenziert für Windows-Geräte, iOS und Android definiert, um den Anforderungen verschiedener Nutzergruppen gerecht zu werden.

Integration von Windows- und Mobilgeräten

Sowohl firmeneigene als auch mitgebrachte Endgeräte (BYOD) wurden über Intune registriert. Dabei kam ein Conditional Access-Ansatz zum Einsatz: Nur registrierte, compliant-konfigurierte Geräte erhalten Zugriff auf Microsoft 365 Ressourcen wie E-Mail, Teams oder OneDrive.

BYOD-fähiges Sicherheitskonzept

Um mobile Nutzung zu ermöglichen, ohne die Datensicherheit zu kompromittieren, wurde ein BYOD-Konzept mit folgenden Merkmalen eingeführt:

• Zugriff ausschließlich über Apps mit Schutzrichtlinien, z. B. Microsoft Outlook Mobile
• Sperre von Copy & Paste aus geschützten Apps
• Auto-Wipe bei Geräteverlust oder Verstoß gegen Compliance
• Keine vollständige Geräteverwaltung, sondern selektive App-Kontrolle (MAM without enrollment)

Softwareverteilung & Transparenz

Für verwaltete Geräte wurde die Verteilung von Standardsoftware automatisiert – inklusive Office-Anwendungen, Defender Client und Remote-Support-Tools.
Über das Intune-Dashboard ist jederzeit nachvollziehbar:

• welche Geräte aktiv sind,
• ob Sicherheitsrichtlinien eingehalten werden,
• wann zuletzt synchronisiert wurde.

Durch dieses moderne Gerätemanagement konnte das Unternehmen die Kontrolle über seine digitale Arbeitsumgebung zurückgewinnen – ohne dabei Benutzerkomfort oder Flexibilität einzubüßen.

Monitoring, Backup & kontinuierliche Optimierung

Nach der erfolgreichen technischen Umsetzung wurde der Fokus auf die nachhaltige Absicherung und Weiterentwicklung der Microsoft 365 Umgebung gelegt. Hier standen Monitoring, Backup und ein strukturierter Verbesserungsprozess im Mittelpunkt.

Einrichtung eines Log Analytics Workspace

Zur zentralen Überwachung von Benutzeraktivitäten und sicherheitsrelevanten Vorgängen wurde ein Microsoft Log Analytics Workspace eingerichtet. Dieser ermöglicht:

• die Auswertung von Anmelde- und Zugriffsmustern,
• die frühzeitige Erkennung ungewöhnlicher Aktivitäten,
• das Erstellen automatisierter Alerts für definierte Schwellenwerte.

In Kombination mit Microsoft Sentinel (optional vorbereitet) lassen sich so auch komplexe Security Incidents analysieren und visualisieren.

Backup-Konzept für kritische Microsoft 365 Daten

Da Microsoft 365 standardmäßig keinen vollständigen Schutz vor versehentlichem Datenverlust bietet, wurde ein externes Backup-System integriert. Dieses sichert:

• Exchange Online Postfächer,
• SharePoint und OneDrive Daten,
• Teams-Chats und -Dateien.

So ist gewährleistet, dass auch bei versehentlichem Löschen, Ransomware oder Benutzerfehlern ein zuverlässiger Datenzugriff möglich bleibt.

Basis-Hardening der Power Platform

Um die Risiken durch unkontrollierte App-Erstellung und Datenzugriffe über Power Automate oder Power Apps zu reduzieren, wurde ein Initial-Hardening der Power Platform vorgenommen:

• Deaktivierung anonymer Freigaben
• Einschränkung von Premium-Konnektoren
• Sichtbarkeit von Umgebungen und Datenquellen begrenzt

Damit wurde die Gefahr sogenannter Shadow IT deutlich reduziert.

Review-Workshops & Change-Prozesse

Abschließend wurden mehrere interaktive Review-Workshops durchgeführt, in denen gemeinsam mit dem Kunden:

• Konfigurationen final abgestimmt wurden,
• neue Anforderungen aufgenommen und priorisiert wurden,
• ein strukturierter Change-Prozess für zukünftige Anpassungen etabliert wurde.

Diese Kombination aus technischer Überwachung, organisatorischer Absicherung und kontinuierlicher Verbesserung bildet die Grundlage für eine dauerhaft sichere Microsoft 365 Umgebung.

Projektergebnis: Sicher, übersichtlich, skalierbar

Das Projekt wurde innerhalb des vereinbarten Zeitrahmens erfolgreich abgeschlossen – mit einem für den Kunden mess- und spürbaren Mehrwert in puncto Sicherheit, Transparenz und Effizienz.

Microsoft Secure Score über 80 %

Durch die konsequente Umsetzung der Microsoft Best Practices konnte der Secure Score signifikant gesteigert werden – auf über 80 %. Damit befindet sich die Umgebung nun deutlich über dem Branchendurchschnitt für kleine und mittlere Unternehmen.
Der Score belegt:

• aktivierte Sicherheitsfunktionen wie MFA,
• gehärtete Adminstrukturen,
• kontrollierten Datenzugriff und Gerätemanagement,
• automatisierte Sicherheitsüberwachung.

Klare Prozesse, minimierte Risiken

Die Einführung eines rollenbasierten Adminmodells und die Trennung von Benutzer- und Administrationsrechten haben zu einer deutlich reduzierten Angriffsfläche geführt.
Die neue Struktur bringt:

• nachvollziehbare Berechtigungen,
• minimierte Fehlbedienungen,
• erhöhte organisatorische Sicherheit.

Höhere Benutzerzufriedenheit

Durch transparente Zugriffsrichtlinien und automatisierte Lizenzvergabe profitieren die Mitarbeitenden von einer klar strukturierten, störungsarmen Arbeitsumgebung. BYOD ist möglich – aber kontrolliert. Intune sorgt für Datensicherheit, ohne die mobile Nutzung einzuschränken.

Nachhaltige Absicherung & Weiterentwicklung

Die Microsoft 365 Umgebung ist nun:

• skalierbar und wartbar konzipiert,
• mit robustem Backup und Monitoring abgesichert,
• bereit für zukünftige Erweiterungen in der Power Platform oder im Security-Umfeld.

Fortlaufende Zusammenarbeit mit netunite

Der Kunde bewertet die Zusammenarbeit mit netunite als lösungsorientiert, partnerschaftlich und effizient. Auch nach Projektabschluss werden regelmäßig Beratungsleistungen in Anspruch genommen – z. B. bei:

• neuen Sicherheitsanforderungen,
• Lizenz- oder Nutzeränderungen,
• technischen Erweiterungen im Microsoft-365-Ökosystem.

Diese enge Begleitung ermöglicht es dem Unternehmen, auch in Zukunft flexibel auf Veränderungen zu reagieren – mit einem starken, sicheren Fundament im Hintergrund.