Die Governance-Illusion durchbrechen: Warum das Aktivieren von M365-Sicherheitsfunktionen nicht ausreicht

Von Mirko Peters · 2026-08-28

Willkommen zurück im Blog! In unserem Arbeitsalltag sprechen wir viel über Cloud-Strategie, Sicherheitsarchitektur und die Optimierung des modernen Arbeitsplatzes. Doch es gibt ein grundlegendes Missverständnis, über das immer wieder Organisationen aller Größen stolpern …

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück im Blog! In unserem Arbeitsalltag sprechen wir viel über Cloud-Strategie, Sicherheitsarchitektur und die Optimierung des modernen Arbeitsplatzes. Doch es gibt ein grundlegendes Missverständnis, über das immer wieder Organisationen aller Größen stolpern. Ich nenne es das Governance-Theater: Teams glauben, dass es echte Kontrolle bedeutet, im Admin Center ein paar Kästchen anzuklicken. Heute vertiefen wir dieses Kernthema und zeigen, warum das Aktivieren nativer Microsoft-365-Sicherheitsfunktionen nur der Anfang Ihrer Reise ist und nicht das Ziel.

Wenn Sie schon einmal ein falsches Sicherheitsgefühl hatten, weil in Ihrem Mandanten Standardrichtlinien aktiviert sind, sind Sie nicht allein. Lassen Sie uns genauer betrachten, wo die echte Lücke zwischen konfigurierten Funktionen und tatsächlichem Nutzerverhalten in Ihrem digitalen Arbeitsplatz liegt.

Was ist die Governance-Illusion?

Das Missverständnis der Kontrolle

Der Begriff Governance-Illusion beschreibt die gefährliche Lücke zwischen konfigurierten Kontrollen und tatsächlich gesteuertem Verhalten in Ihrem Microsoft-365-Mandanten. Viele Organisationen glauben irrtümlich, dass das bloße Aktivieren von Sicherheitsfunktionen bereits wirksame Governance bedeutet. Dieser Irrglaube kann zu erheblichen Compliance-Risiken und betrieblichen Ineffizienzen führen. Hier sind einige typische Missverständnisse über Kontrolle in der Microsoft-365-Governance:

Ohne eine umfassende Governance-Strategie drohen Ineffizienz, Sicherheitsvorfälle und Compliance-Verstöße. Eine klar definierte Governance-Strategie ist unverzichtbar, um Nutzung und Verwaltung Ihrer Microsoft-365-Umgebung zu steuern.

Folgen des Governance-Theaters

Governance-Theater entsteht, wenn Organisationen den Eindruck von Kontrolle erzeugen, ohne wirksame Maßnahmen umzusetzen. Das kann schwerwiegende Folgen haben, darunter:

• Ein erhebliches Compliance-Risiko: 73 % der regulierten Organisationen sehen sich sichtbarer Haftung ausgesetzt, sobald offengelegte Daten identifiziert werden. Das führt oft zu langwierigen Behebungsmaßnahmen.

• Eine große Lücke zwischen Governance-Richtlinie und Durchsetzung: 90 % der Unternehmen verfügen über Richtlinien, aber nur etwa 10 % setzen sie wirksam durch. Die Folge ist ein unzureichender Schutz sensibler Daten.

• Das Entstehen von Schatten-IT, bei der Mitarbeitende aufgrund unzureichender Kontrolle und langsamer Prozesse in Microsoft 365 auf externe Dienste ausweichen.

• Compliance-Prüfungen zeigen häufig, dass Rahmenwerke für Data Governance vollständig fehlen. Dazu gehören fehlende Datenherkunft, nicht begründete Zugriffe und fehlende Prüfnachweise. Das weist branchen- und größenübergreifend auf strukturelle Governance-Defizite hin.

Um nicht in die Falle des Governance-Theaters zu tappen, müssen Sie erkennen, dass echte Governance eine bewusste Gestaltung, klare Verantwortlichkeiten und Nachweise der Compliance erfordert. Sie brauchen eindeutige Verantwortungsmodelle und müssen sicherstellen, dass Ihre Governance-Praxis nicht nur eine Checkliste ist, sondern ein belastbares Rahmenwerk, das einer Prüfung standhält.

Grenzen der nativen Kontrollen in Ihrem Mandanten

Unzureichende Sicherheitsmaßnahmen

Microsoft 365 bietet verschiedene integrierte Sicherheitsfunktionen, die jedoch oft keinen umfassenden Schutz leisten. Viele Organisationen verlassen sich auf diese nativen Kontrollen und halten sie für ausreichend für Governance. Dieses Vertrauen kann jedoch zu erheblichen Compliance-Lücken und Sicherheitsschwachstellen führen.

Hier sind einige zentrale Grenzen der nativen Sicherheitsmaßnahmen:

Diese Lücken können zu Compliance-Problemen führen, insbesondere in regulierten Branchen. Rechtliche und behördliche Strafen bei Nichteinhaltung können empfindlich ausfallen. Organisationen, die sensible Daten nicht gemäß Standards wie HIPAA oder DSGVO schützen, riskieren Bußgelder in Millionenhöhe. Unzureichende Sicherheitsmaßnahmen können sensible Daten offenlegen und die Anfälligkeit für Sicherheitsverletzungen erhöhen.

Fehlende Anpassungsmöglichkeiten

Anpassbarkeit spielt eine entscheidende Rolle für wirksame Governance. Die nativen Kontrollen von Microsoft 365 schränken Sie jedoch oft ein, wenn Sie Governance-Strukturen an spezifische betriebliche oder regulatorische Anforderungen anpassen möchten. Diese fehlende Flexibilität kann Governance-Prozesse erschweren.

Berücksichtigen Sie die folgenden Einschränkungen:

Diese Einschränkungen erschweren es Ihnen, wirksame Governance-Strategien umzusetzen. Ohne Anpassungsmöglichkeiten fällt es schwer, Richtlinien mandantenweit konsistent durchzusetzen. Das kann bei Benutzern zu Verwirrung führen und das Risiko von Nichteinhaltung erhöhen.

Governance vs. Konfiguration

Die wichtigsten Unterschiede im Überblick

Der Unterschied zwischen Governance und Konfiguration ist entscheidend, wenn Sie Ihren Microsoft 365-Mandanten wirksam verwalten möchten. Governance umfasst die Werkzeuge und Prozesse, die Verantwortlichkeit und Compliance durchsetzen. Konfiguration hingegen beschreibt die Funktionen, die Sie in den Werkzeugen aktivieren können. Hier ist eine Gegenüberstellung der wichtigsten Unterschiede:

Diese Tabelle zeigt, dass Governance sicherstellt, dass Ihr Mandant innerhalb definierter Compliance-Grenzen arbeitet, während Konfiguration lediglich die Werkzeuge einrichtet, ohne deren wirksame Nutzung zu garantieren.

Warum Konfiguration allein nicht ausreicht

Viele Organisationen glauben irrtümlich, dass das Einrichten von Konfigurationen für Governance ausreicht. Dieser Ansatz kann jedoch erhebliche Risiken mit sich bringen. Hier sind einige Gründe, warum Konfiguration allein zu kurz greift:

• Microsoft 365 umfasst mehr als 18 separate Admin Center und über 5.000 Konfigurationsoptionen. Diese Komplexität macht es schwierig, Governance-Richtlinien über alle Anwendungen und Mandanten hinweg konsistent anzuwenden.

• Viele Organisationen werden von den Hunderten Konfigurationseinstellungen in Microsoft Teams schnell überfordert, was zu Verwirrung führt. Ähnlich klingende Einstellungen wie Externer Zugriff und Gastzugriff verschärfen die Situation zusätzlich.

• Häufige Updates und neue Funktionen von Microsoft können einen konsistenten Governance-Ansatz durcheinanderbringen. Sie können Konfigurationen zwar anfangs festlegen, doch ohne laufende Governance weichen Umgebungen schnell von den beabsichtigten Einstellungen ab.

• Wirksame Governance erfordert eine klare Durchsetzungsstrategie. Fehlt sie, riskieren Sie Datenschutzverletzungen und Nichteinhaltung von Vorgaben. Probleme wie Schatten-IT und ineffiziente Ressourcennutzung können entstehen, wenn Governance keine Priorität hat.

Wer sich allein auf Konfiguration verlässt, setzt die Organisation verschiedenen Risiken aus. So kann beispielsweise eine unvollständige Durchsetzung der Multi-Faktor-Authentifizierung zu unberechtigten Zugriffen führen. Unkontrollierte Dateifreigaben können dazu führen, dass vertrauliche Dokumente ungewollt extern geteilt werden. Eine eingeschränkte Überwachung erschwert es, ungewöhnliche Aktivitäten zu erkennen, und damit auch, auf Sicherheitsvorfälle angemessen zu reagieren.

Die Rolle der Identität in der Governance

Herausforderungen beim Identitätsmanagement

Identitäten spielen in Ihrer Governance-Strategie innerhalb des Microsoft 365-Mandanten eine zentrale Rolle. Wenn Sie Identitäten nicht richtig verwalten, setzen Sie Ihren Mandanten ernsthaften Risiken aus. Beispielsweise können inaktive Benutzerkonten mit nicht gesperrten Anmeldeinformationen unbefugten Personen den Zugriff auf sensible Daten ermöglichen. Kompromittierte Konten, insbesondere solche von Cloud-Identitätsadministratoren, können zu Datenschutzverletzungen und Verstößen gegen Compliance-Vorgaben führen. Diese Risiken zeigen, warum Identitätsverwaltung nicht nur eine IT-Aufgabe ist, sondern eine zentrale Governance-Verantwortung.

Hinweis: Cybersicherheitsstandards wie ISO 27001 und NIST SP 800-53 empfehlen regelmäßige Überprüfungen und die Entfernung inaktiver Benutzerkonten. Zwar schreibt keine spezifische Vorschrift vor, inaktive externe Benutzer zu entfernen, doch verbessert dies Sicherheit und Datenschutz.

Viele Organisationen haben Schwierigkeiten, den Überblick über externe Benutzer und Gastkonten in ihrem Mandanten zu behalten. Diese Konten sammeln sich oft unbemerkt an, verstärken die Identitätswucherung (Identity Sprawl) und erschweren die Governance. Ohne regelmäßige Überprüfungen wissen Sie möglicherweise nicht, wie viele externe Benutzer noch Zugriff auf Ihre Ressourcen haben. Diese fehlende Transparenz schwächt Ihre Governance und erhöht das Risiko unbefugten Zugriffs.

Bewährte Methoden für die Identity Governance

Um die Governance in Ihrem Mandanten zu stärken, müssen Sie wirksame Praktiken für die Identitätsverwaltung einführen. Folgende bewährte Methoden können Sie umsetzen:

• Überprüfen Sie regelmäßig externe Benutzer in Microsoft 365-Gruppen und Sicherheitsgruppen. Ermitteln Sie diejenigen, die keinen Zugriff mehr benötigen, und entfernen Sie sie umgehend.

• Senden Sie Bestätigungsanfragen (Attestierungen) an Gruppenbesitzer oder benannte Ansprechpartner. Fügen Sie klare Nachrichten bei, die erläutern, warum die Zugriffe überprüft und bestätigt werden müssen.

• Planen Sie Korrekturmaßnahmen so, dass sie wöchentlich, monatlich oder jährlich automatisch ausgeführt werden. So ist eine kontinuierliche Governance ohne manuellen Aufwand gewährleistet.

• Legen Sie Richtlinien fest, um Gastbenutzer zu erkennen und zu entfernen, die seit mehr als 90 Tagen inaktiv sind. Richten Sie automatische Benachrichtigungen ein, die Microsoft-Administratoren informieren, wenn Workflows fehlschlagen.

• Überwachen Sie Benutzerkonten, die seit mehr als 60 Tagen inaktiv sind. Senden Sie Attestierungen an Vorgesetzte oder individuelle Adressen, um zu prüfen, ob die Konten aktiv bleiben sollten.

• Sichern Sie privilegierte Konten, indem Sie die mehrstufige Authentifizierung (MFA) für alle globalen Administratoren erzwingen. Nutzen Sie Privileged Identity Management (PIM), um Überprüfungen zu vereinfachen und Risiken zu verringern.

• Konfigurieren Sie bedingte Zugriffsrichtlinien, die MFA und vertrauenswürdige Standorte voraussetzen. Das bietet Ihrem Mandanten eine zusätzliche Schutzebene.

• Überprüfen und härten Sie die Standardeinstellungen für Dienste wie SharePoint und Teams. Stimmen Sie diese Einstellungen auf Ihre Governance-Anforderungen ab.

• Planen Sie Benutzerschulungen und Kommunikation, die Sicherheitsrichtlinien als Werkzeuge für mehr Produktivität darstellen. So steigen Akzeptanz und Einhaltung der Vorgaben.

• Implementieren Sie Lebenszyklus- und Aufbewahrungsrichtlinien für Arbeitsbereiche, um die Verwaltung veralteter Ressourcen zu automatisieren.

• Überwachen Sie kontinuierlich auf verdächtige Aktivitäten und Richtlinienverstöße, um Bedrohungen schnell zu erkennen und darauf zu reagieren.

Microsoft Purview fungiert als zentrale Drehscheibe für Governance und umfasst Datenklassifizierung, Aufbewahrung, Compliance-Management und Data Loss Prevention (DLP). Microsoft Entra ID (früher Azure Active Directory) bietet wesentliche Funktionen für die Identitätsverwaltung, etwa Zugriffsüberprüfungen und granulare Steuerung von Berechtigungen. SharePoint Advanced Management (SAM) unterstützt Sie dabei, den Inhaltslebenszyklus sowie die Sicherheit in SharePoint und OneDrive zu steuern.

Wenn Sie diese bewährten Methoden befolgen, können Sie Identitätsrisiken reduzieren und die Wirksamkeit der Governance in Ihrem Mandanten verbessern. Identity Governance ist kein einmaliges Projekt, sondern eine fortlaufende Disziplin. Sie müssen klare Verantwortlichkeiten festlegen, Richtlinien konsequent durchsetzen und Nachweise erbringen, um die Einhaltung zu belegen. Dieser Ansatz macht Governance von einer Illusion zu einem verlässlichen Rahmen, der Ihre Organisation schützt.

Praktische Schritte für eine wirksame Governance

Ihre Governance-Strategie bewerten

Um die Governance in Ihrem Microsoft 365-Mandanten zu verbessern, beginnen Sie mit einer Bestandsaufnahme Ihres aktuellen Zustands. Verstehen Sie, wie Ihr Mandant genutzt wird, und identifizieren Sie die Bereiche, die verbessert werden müssen. Legen Sie klare Ziele und Erfolgskennzahlen fest, die auf die Prioritäten Ihrer Organisation' abgestimmt sind. Richten Sie ein Governance-Gremium oder einen Lenkungsausschuss ein, der Verantwortung einfordert und die Aufsicht übernimmt. Entwickeln Sie eine Governance-Struktur, die zu den Anforderungen Ihrer Organisation passt, indem Sie Entscheidungswege und Zuständigkeiten klar abbilden. Dokumentieren Sie Ihre Governance-Prozesse, um Rollen und Verfahren eindeutig festzulegen. Definieren Sie Kontrollen, Leistungskennzahlen (KPIs) und Berichtszyklen, um den Fortschritt zu verfolgen. Entwickeln Sie einen Schulungs- und Kommunikationsplan, damit alle die Governance-Strategie verstehen und einhalten. Setzen Sie Ihren Plan schließlich schrittweise um und validieren Sie jeden Schritt, um Feedback einzuholen und bei Bedarf nachzusteuern.

Umfassende Governance-Frameworks helfen Ihnen, die Reife Ihres Mandanten zu bewerten. Sie konzentrieren sich auf Erfolgskennzahlen, Produktivität der Nutzer, Geschäftsagilität, Risikomanagement und Innovation. Der Einsatz solcher Frameworks stellt sicher, dass Ihre Governance-Maßnahmen alle kritischen Bereiche abdecken und sich kontinuierlich verbessern.

Effektive Richtlinien umsetzen

Wirksame Governance hängt von starken Richtlinien ab. Nutzen Sie integrierte Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung, bedingten Zugriff, Data Loss Prevention und Verschlüsselung, um Ihren Mandanten zu schützen. Implementieren Sie eine rollenbasierte Zugriffssteuerung, indem Sie klare Rollen definieren und Berechtigungen anhand der Aufgabenbereiche vergeben. Dieser Ansatz folgt dem Prinzip der minimalen Berechtigungen und reduziert unnötige Zugriffe. Entwickeln Sie klare Governance-Richtlinien, die Datenklassifizierung, Aufbewahrung, Freigabe, Zugriffssteuerung und zulässige Nutzung abdecken. Überwachen Sie Ihren Mandanten kontinuierlich mit integrierten Werkzeugen, um Nutzeraktivitäten nachzuverfolgen, und richten Sie automatisierte Warnungen für ungewöhnliches Verhalten ein. Bieten Sie regelmäßige Schulungen und Sensibilisierungsprogramme an, damit Nutzer über bewährte Vorgehensweisen und Sicherheitsrisiken informiert bleiben.

• Integrierte Sicherheitsfunktionen wie MFA und DLP nutzen

• Rollenbasierte Zugriffssteuerung mit klaren Rollen implementieren

• Klare Governance-Richtlinien für Daten und Zugriff entwickeln

• Kontinuierlich überwachen und automatisierte Warnungen einrichten

• Regelmäßige Schulungen und Sensibilisierung bereitstellen

Diese Schritte helfen Ihnen, die Kontrolle über Ihren Mandanten zu behalten und Risiken im Zusammenhang mit Identitäten und Daten zu reduzieren.

Fallstudien: Erfolge und Misserfolge

Praxisbeispiele zeigen, wie Governance im Alltag funktioniert. Die University of Waikato hat ihre Microsoft 365-Governance verbessert, indem sie Prozesse mit Orchestrierungswerkzeugen gestrafft hat. Sie haben Freigabeprotokolle verschärft, die Lebenszyklusverwaltung durchgesetzt und den manuellen Governance-Aufwand reduziert. Beeindruckend ist, dass diese Verbesserungen ohne zusätzliches Personal erreicht wurden. Dieser Erfolg zeigt, wie ein professioneller Property-Management-Ansatz die Governance optimieren kann, ohne zusätzliche Ressourcen zu binden.

Governance-Fehler haben dagegen oft strukturelle Ursachen statt technischer Probleme. Die folgende Tabelle fasst die wichtigsten Lehren aus Governance-Fehlern zusammen:

Wenn Sie aus diesen Erfolgen und Misserfolgen lernen, können Sie ein Governance-Modell aufbauen, das zu Ihrem Mandanten passt und die Ziele Ihrer Organisation unterstützt. Denken Sie daran: Governance ist ein kontinuierlicher Prozess, der Aufmerksamkeit, Anpassung und professionelle Disziplin erfordert.

Fazit

Um es zusammenzufassen: Echte Kontrolle über Ihre Microsoft 365-Umgebung erfordert, über die standardmäßig vorhandenen Grundkonfigurationen hinauszublicken. Wie wir in diesem Beitrag gezeigt haben, verleitet die Governance-Illusion Organisationen zu der Annahme, dass das Aktivieren einer Funktion gleichbedeutend mit dem Durchsetzen einer Regel sei. Wenn Sie die Grenzen nativer Kontrollen anerkennen, Konfiguration von aktiver Governance unterscheiden, die Identitätsverwaltung im Blick behalten und praktische Schritte zur Durchsetzung von Richtlinien gehen, können Sie sich erfolgreich vom Governance-Theater lösen.

Dieser Artikel baut direkt auf den Konzepten auf, die wir im Podcast besprochen haben. Wenn Sie einen tieferen, praxisnahen Einblick in diese Ideen wünschen, hören Sie sich unbedingt unsere passende Episode an: Why Microsoft 365 Native Controls Are Not Real Governance. Dort erhalten Sie noch mehr Erkenntnisse darüber, wie Sie Ihren Mandanten absichern und eine widerstandsfähige Strategie für Ihren digitalen Arbeitsplatz aufbauen.