Microsoft 365 im KMU – 3 Schritte zu mehr Datenschutz und Sicherheit

Publikation der Fachgruppe Legal

Microsoft 365 ist aus dem Geschäftsalltag vieler KMU nicht mehr wegzudenken. Doch wie stellen Sie sicher, dass Ihre sensiblen Unternehmens- und Kundendaten optimal geschützt sind, insbesondere vor dem Hintergrund des Schweizer Datenschutzgesetzes und der Risiken durch US-Gesetze wie den CLOUD Act?

Mit den richtigen Einstellungen können und organisatorischen Massnahmen können Unternehmen die Kontrolle über ihre Daten deutlich verbessern. Die folgenden drei Massnahmen helfen dabei, Datenschutz, Datensouveränität und Informationssicherheit innerhalb von Microsoft 365 gezielt zu stärken.

1. Datenstandort festlegen: Sorgen Sie für eine digitale Heimat in der Schweiz oder in Europa

Phase 1: Analyse & Vorbereitung

Zu Beginn sollte ein Überblick darüber geschaffen werden, welche Daten überhaupt innerhalb der Microsoft 365 Umgebung verarbeitet werden. Dazu gehört insbesondere ein sogenanntes Daten-Mapping. Unternehmen sollen identifizieren, welche Kategorien personenbezogener oder sensibler Daten, etwa Kundendaten, Mitarbeiterdaten oder Geschäftsgeheimnisse, in welchen Diensten wie Exchange Online, SharePoint, OneDrive oder Teams bearbeitet und gespeichert werden.

Ebenso wichtig ist die Überprüfung des bestehenden Lizenzmodells. Die sogennante «EU Data Boundary» ist bereits in vielen Business- und Entreprise-Planen verfügbar. Für weitergehende Anforderungen, etwa eine gezielte Datenresidenz einzelner Benutzer oder zusätzliche Dienste, kann jedoch das „Advanced Data Residency“ Add-on erfoderlich sein. Darüber hinaus sollte geprüft werden, wo der eigene Microsoft-365-Tenant aktuell gehostet wird. Diese Information findet sich im Microsoft 365 Admin Center unter Einstellungen > Organisationsprofil > Datenspeicherort und bildet die Grundlage für sämtliche Massnahmen.

Neben den technischen Voraussetzungen sind auch organisatorische Aspekte frühzeitig zu berücksichtigen. Unternehmen sollten klären, ob ausreichend internes IT-Know-how vorhanden ist oder ob externe Spezialisten beigezogen werden müssen. Falls zusätzliche Lizenzierungen oder Advanced Data Residency Add-ons notwendig werden, sind die Kosten entsprechend zu budgetieren. Ebenso empfiehlt sich eine fürhzeitige Kommunikation gegenüber der Geschäftsleitung, um die Bedeutung und den Status der Massnahme transparent darzustellen.

Phase 2: Konkrete Umsetzungsschritte

Im ersten Schritt sollte der Datenstandort direkt im Microsoft 365 Admin Center überprüft werden. Melden Sie sich dazu als Administrator an und Navigieren Sie zu Einstellungen > Organisationsprofil > Datenspeicherort. Kontrollieren Sie dort, ob für Dienste wie Exchange, SharePoint und Teams ein Standort innerhalb der EU (z.B. „Deutschland“, „Frankreich“, „Europäische Union“) angegeben ist.

Falls der Tenant ausserhalb der EU gehostet wird,müssen Sie klären, ob die Daten überhaupt dort gespeichert werden dürfen (etwa, wenn das Einverständnis der Betroffenen vorliegt).

Anschliessend sollte evaluiert werden, ob das Add-on «Advanced Data Residency» erforderlich ist. Dies ist der Fall, wenn Sie vertraglich oder gesetzlich verpflichtet sind, die Daten in Schweizer Rechenzentren zu speichern und Sie die Datenresidenz auf Benutzerebene steuern oder zusätzliche Dienste in die EU-Residenz einbeziehen möchten. Erwerben und weisen Sie die hierzu nötigen Lizenzen bei Bedarf zu.

Zusammenfassung:

1. Verifizieren Sie den Standort im Admin Center
2. Advanced Data Residency“ (ADR) evaluieren
3. Konfiguration der Datenresidenz (mit ADR)

Phase 3: Dokumentation & Überprüfung

Sämtliche Einstellungen und Entscheidungen sollten dokumentiert werden. Empfehlenswert ist insbesondere ein Screenshot der Datenspeicherort-Seite im Admin Center als Nachweis der vorgenommenen Konfiguration.

Zusätzlich sollte das Verzeichnis der Verarbeitungstätigkeiten (VVT) aktualisiert werden. Unter den technischen und organisatorischen Massnahmen (TOMs) sollte festgehalten werden, dass die Verarbeitung der Microsoft-365-Daten innerhalb der Schweiz oder der EU erfolgt. Auch die Datenschutzerklärung des Unternehmens sollte transparent über den Speicherort der Daten informieren.

Darüber hinaus empfielt sich eine regelmässige Überprüfung der Einstellungen (mindestens einmal jährlich oder nach grösseren Änderungen durch Microsoft). Ebenso sollten Ankündigungen rund um die «EU Data Boundary» aktiv beobachtet werden, um auf neue Funktionen oder Änderungen frühzeitig reagieren zu können.

2. Minimierung von Telemetrie- und Diagnosedaten in MS 365

Phase 1: Analyse & Vorbereitung

Unternehmen sollten zunächst analysieren, welche Microsoft-365-Dienste überhaupt im Einsatz sind und welche Lizenzmodelle verwendet werden. Der funktionsumfang zur Steuerung von Telemetrie-, Diagnose- und Nutzungsdaten ist teilweise lizenzabhängig.

Wichtig ist dabei die Erkenntnis, dass Diagnosedaten heute nicht mehr aussschliesslich über einzelne Einstellugnen reduziert werden können. Vielmehr ist eine gesamtheitliche Konfigurationsanalyse notwendig, kombiniert mit klar definierten Device Policy zu Datenschutz und Privatsphäre gesteuert werden. Das bedarf eines Zugangs über Purview (Vertraulichkeit Zugriffsbeschränkung etc.) sowie über Intune für die Vorgaben zur Steuerung von Geräten.

Ebenso sollten organisatorische Voraussetzungen geschaffen werden. Die verantwortlichen Personen, etwa Global Administrators, benötigen die entsprechenden Berechtigungen. Gleichzeitig sollten relevante Stakeholder wie Geschäftsleitung, Datenschutzverantwortliche oder allenfalls Mitarbeitervertretungen frühzeitig einbezogen werden.

Zusätzlich empfiehlt sich die Prüfung möglicher Abhängigkeiten. Zwar sind kritische Geschäftsprozesse nur selten auf optionale Diagnosedaten angewiesen, dennoch sollte dies im Vorfeld überprüft werden.

Phase 2: Konkrete Umsetzungsschritte

Die organisatorischen und technischen Massnahmen zur Reduktion von Telemetrie- und Diagnosedaten sollten zentral gesteuert werden. Dazu gehört insbesondere die Einschränkung optionaler Diagnosedaten innerhalb von Microsoft 365 sowie die Konfiguration von Datenschutzrichtlinien über Intune oder Gruppenrichtlinien.

Zusätzlich empfiehlt sich die Überprüfung sogenannter „Connected Experiences“, also verbundener Funktionen innerhalb von Office-Anwendungen. Nicht zwingend benötigte Zusatzfunktionen sollten deaktiviert werden, um unnötige Datenübertragungen zu verhindern.

Auch die Windows-Telemetrie auf Client-Geräten sollte auf die niedrigstmögliche Stufe reduziert werden. Ergänzend dazu können Office-spezifische Telemetrie- und Analysefunktionen über Gruppenrichtlinien eingeschränkt werden.

Mehr dazu im der nachfolgenden Grafik:

Phase 3: Dokumentation & Überprüfung

Alle vorgenommenen Änderungen sollten nachvollziehbar dokumentiert werden, idealerweise mit Screenshots, Datum sowie verantwortlicher Person. Diese Dokumentation dient gleichzeitig als Nachweis für die Umsetzung technischer und organisatorischer Massnahmen gemäss Datenschutzgesetz.

Zusätzlich empfiehlt sich die Referenzierung der Massnahme im Verzeichnis der Verarbeitungstätigkeiten.

Da Microsoft Konfigurationen und Funktionen regelmässig verändert, sollten die Einstellungen periodisch überprüft werden. Stichprobenartige Analysen mittels „Diagnostic Data Viewer“ auf Windows-Clients können helfen, die tatsächlich übermittelten Daten besser nachzuvollziehen.

3. Verschlüsselung der Daten (End to End Encryption, resp. E2EE) und

Multifaktor-Authentifizierung (MFA9)

Phase 1: Analyse & Vorbereitung

Nicht alle Daten benötigen denselben Schutz. Unternehmen sollten deshalb zunächst definieren, welche Informationen zwingend mittels End-to-End-Verschlüsselung geschützt werden müssen. Dazu gehören beispielsweise Geschäftsgeheimnisse, M&A-Unterlagen, Gesundheitsdaten oder besonders sensible Mandatsinformationen.

Gleichzeitig ist eine Überprüfung des vorhandenen Lizenzmodells notwendig. Erweiterte Funktionen wie „Microsoft Purview Double Key Encryption“ (DKE) stehen meist nur in höheren Lizenzstufen wie Microsoft 365 E5 oder G5 zur Verfügung.

Viele KMU entscheiden sich deshalb ergänzend oder alternativ für etablierte Drittanbieter-Lösungen wie Tresorit oder Cryptomator. Dabei sollten Kosten, Benutzerfreundlichkeit, Integrationsfähigkeit und Sicherheitsarchitektur sorgfältig verglichen werden.

Ebenso wichtig ist die Betrachtung der praktischen Auswirkungen von E2EE. Funktionen wie Online-Vorschau, Co-Authoring oder Volltextsuche können bei verschlüsselten Dateien eingeschränkt sein. Teilweise kann sich auch die Performance der betroffenen Anwendungen verändern.

Organisatorisch sollte frühzeitig geregelt werden, wer die Verantwortung für die Verwaltung der Verschlüsselungsschlüssel trägt. Denn verlorene Schlüssel führen unter Umständen zu unwiederbringlichem Datenverlust. Zudem empfiehlt sich eine klare Richtlinie, welche Daten wie und wo verschlüsselt gespeichert werden müssen.

Phase 2: Konkrete Umsetzungsschritte

Zunächst sollte entschieden werden, ob eine native Microsoft-Lösung oder ein Drittanbieter-Tool verwendet werden soll. Für viele KMU stellt eine Drittanbieter-Lösung den pragmatischeren Einstieg dar.

Im Anschluss erfolgt die technische Implementierung. Bei Drittanbieter-Lösungen umfasst dies typischerweise die Installation der Client-Software, die Einrichtung verschlüsselter Bereiche innerhalb von OneDrive- oder SharePoint-Synchronisationsordnern sowie die Definition entsprechender Zugriffsrechte.

Bei der Nutzung von Microsoft DKE muss zunächst der entsprechende Dienst in Azure eingerichtet werden. Danach werden Sensitivity Labels im Microsoft Purview Compliance Portal erstellt und über Richtlinien den entsprechenden Benutzern zugewiesen.

Ebenso zentral ist die Schulung der Mitarbeitenden. In der Praxis entstehen Sicherheitsprobleme häufig dadurch, dass sensible Daten ausserhalb der vorgesehenen verschlüsselten Bereiche gespeichert werden.

Phase 3: Dokumentation & Überprüfung

Die Konfiguration der Verschlüsselungslösung sowie das Schlüsselmanagement-Konzept sollten vollständig dokumentiert werden. Auch die Datenklassifizierungsrichtlinien sind schriftlich festzuhalten und im Verzeichnis der Verarbeitungstätigkeiten zu referenzieren.

Darüber hinaus sollten regelmässige Audits durchgeführt werden. Dazu gehören insbesondere die Überprüfung von Zugriffsrechten, Funktionstests nach Systemupdates sowie stichprobenartige Awareness-Kontrollen zur Einhaltung der Richtlinien.

3. Sicherer Zugriff auf Microsoft 365

Phase 1: Analyse & Vorbereitung

Unternehmen sollten zunächst die vorhandenen Benutzerkonten und Rollen erfassen – einschliesslich Administratoren, Standardbenutzern und externen Gästen. Ebenso wichtig ist die Analyse der vorhandenen Lizenzmodelle, da Funktionen wie „Conditional Access“ mindestens Azure AD Premium P1 voraussetzen.

Zusätzlich empfiehlt sich eine Übersicht über die genutzten Dienste und Endgeräte. Dabei sollte berücksichtigt werden, ob Geräte firmeneigen oder privat genutzt werden und welche Betriebssysteme im Einsatz sind.

Anschliessend sollte eine MFA-Strategie definiert werden. Für viele KMU stellen die „Security Defaults“ einen sinnvollen Einstieg dar. Unternehmen mit höheren Anforderungen profitieren hingegen von „Conditional Access Policies“ sowie ergänzendem Mobile Application Management zum Schutz vor sogenannten Adversary-in-the-Middle-Angriffen (AitM).

Auch organisatorisch ist eine gute Vorbereitung entscheidend. Dazu gehören ein klarer Kommunikationsplan, eine Pilotgruppe zur Vorabprüfung sowie definierte Support-Ansprechpartner für die Einführungsphase.

Phase 2: Konkrete Umsetzungsschritte

Die technische Umsetzung kann entweder über die Security Defaults oder über Conditional Access erfolgen. Während die Security Defaults einen schnellen Basisschutz ermöglichen, erlauben Conditional-Access-Richtlinien eine deutlich granularere Steuerung – etwa für Administratoren, bestimmte Benutzergruppen oder vertrauenswürdige Standorte.

Parallel dazu sollten alle Mitarbeitenden frühzeitig informiert und bei der Registrierung ihrer Sicherheitsinformationen unterstützt werden. Die Nutzung der Microsoft Authenticator App sollte dabei ausdrücklich empfohlen werden.

In der Praxis empfiehlt sich ein gestaffelter Rollout. Zunächst wird MFA nur für eine kleine Pilotgruppe aktiviert. Anschliessend können Feedbacks ausgewertet und allfällige Probleme behoben werden, bevor die Lösung für alle Mitarbeitenden ausgerollt wird.

Phase 3: Dokumentation & Überprüfung

Die getroffenen Einstellungen und Richtlinien sollten nachvollziehbar dokumentiert werden, beispielsweise mittels Screenshots oder Konfigurationsprotokollen. Ebenso sollten versendete Kommunikationsunterlagen sowie definierte Ausnahmen archiviert werden.

Zusätzlich empfiehlt sich eine laufende Überwachung der Anmeldeberichte im Azure AD Portal, um verdächtige Aktivitäten frühzeitig zu erkennen. Auch der Registrierungsstatus der Benutzer sollte regelmässig überprüft werden. Mindestens einmal jährlich sollte die gesamte MFA-Konfiguration überprüft und an neue technische oder organisatorische Anforderungen angepasst werden.

Fazit

Wenn Sie diese drei Massnahmen umsetzen, haben Sie einen wichtigen Schritt zur Verbesserung des Datenschutzes und dem Schutz der Privatsphäre Ihrer Mitarbeitenden, Kunden und weiteren Stakeholdern gemacht.

Sie sehen also: Datensouveränität und Datenschutz können auch unter den gängigen Applikationen so weit eingehalten werden, dass der Stand der Technik erfüllt ist und die gesetzlichen Vorgaben als erfüllt gelten. Es bedarf aber entsprechender Einstellungen des Systems, die wiederum aus den konkreten Rahmen Bedingungen, in dem sich die KMU bewegt, ergeben. Darin liegt die Krux für KMUs: Sie müssen die entsprechenden Ressourcen bereitstellen und die Prozesse, wie oben detailliert geschildert, aufsetzen. Nur der guten Ordnung halber sei erwähnt, dass dies eine Führungsaufgabe in der KMU ist, die nicht «wegdelegiert» werden kann. Die Risiken, die sich aus der IT ergeben, müssen in der jährlichen Risikobeurteilung der Geschäftsführung erkannt, bewertet und die entsprechenden Massnahmen abgeleitet und umgesetzt werden.

Tipp: Überlegen Sie sich zusätzlich, ob Sie bei einem Datenverlust einen Notfallplan haben!

Epilog:

Die technischen Entwicklungen, die beschriebenen Massnahmen und die Angebote insbesondere von Microsoft werden ständig verändert. Dieses Dokument wird deshalb an Aktualität verlieren und entspricht dem Stand März 2026. Prüfen Sie deshalb bei der Umsetzung von Massnahmen, die Checklisten auf Aktualität und ziehen Sie allenfalls eine Fachperson bei.

Ich danke allen, die mich bei der Abfassung des Artikels unterstützt haben, insbesondere den Mitgliedern der Fachgruppe DIN und Markus Brändli von der Headware Informatik AG, Solothurn.

Zum Autor