Navigieren durch BSI, DORA und NIS2: Was KRITIS für Ihre Microsoft 365-Umgebung bedeutet

Von Mirko Peters · 2026-08-12

Willkommen zurück zu einer weiteren Episode unseres Podcasts! Wenn Sie sich jemals gefragt haben, ob Ihr Cloud-Arbeitsbereich wirklich darauf vorbereitet ist, den strengsten europäischen und deutschen Vorschriften standzuhalten, sind Sie hier richtig.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Willkommen zurück zu einer weiteren Episode unseres Podcasts! Wenn Sie sich jemals gefragt haben, ob Ihr Cloud-Arbeitsbereich wirklich darauf vorbereitet ist, den strengsten europäischen und deutschen Vorschriften standzuhalten, sind Sie hier richtig. Heute greifen wir ein zentrales Thema aus unserer letzten Sendung auf: Prepare Microsoft 365 for German KRITIS Requirements. Wenn Sie in kritischen Infrastruktursektoren tätig sind, ist die Verbindung von Produktivität und belastbarer Compliance kein Nice-to-have, sondern eine gesetzliche Pflicht. In diesem umfassenden Leitfaden erläutern wir die regulatorische Landschaft, prüfen die Compliance-Funktionen von Microsoft 365, beleuchten Sicherheit und Cyberresilienz, bewerten die Copilot-Bereitschaft und zeigen Ihnen konkrete Schritte, mit denen Sie Ihre Umgebung vollständig absichern.

KRITIS-Anforderungen im Überblick

Regulatorische Standards

In einer KRITIS-Umgebung unterliegen Sie strengen Vorschriften. Diese Vorschriften schützen die kritische Infrastruktur in Deutschland. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) setzt hohe Standards für Sicherheit und Datenschutz. Sie müssen die Vorgaben der Rahmenwerke BSI C5, DORA und NIS2 einhalten. Diese Regelungen verpflichten Sie, Ihre Systeme vor Cyberbedrohungen zu schützen und die Verfügbarkeit Ihrer Dienste sicherzustellen. DORA und NIS2 legen beide den Schwerpunkt darauf, Ihre Fähigkeit zur Reaktion auf Vorfälle zu verbessern und eine schnelle Wiederherstellung zu ermöglichen. Sie müssen nachweisen, dass Sie Risiken beherrschen und sensible Informationen schützen. Die Cybersicherheitsrichtlinien verlangen außerdem, dass Sie Vorfälle melden und strenge Vorgaben zur Zugriffskontrolle einhalten.

Kriterien für die Compliance

Um Compliance und Resilienz zu erreichen, müssen Sie mehrere Kriterien erfüllen. Zunächst sind regelmäßige Risikobewertungen erforderlich. Sie helfen Ihnen, Schwachstellen in Ihren Systemen aufzudecken. Außerdem müssen Sie Datenschutz-Folgenabschätzungen (DSFA) durchführen, um Bürgerinnen, Bürger und Behörden zu schützen. DORA und NIS2 verlangen, dass Sie Ihre Sicherheitsmaßnahmen dokumentieren und regelmäßig testen. Sie müssen nachweisen können, dass Sie Angriffe erkennen, darauf reagieren und sich davon erholen. Kontinuierliche Compliance bedeutet, dass Sie Ihre Sicherheitskontrollen aktuell halten und häufig überprüfen. Zudem müssen Sie Ihre Mitarbeitenden schulen, damit sie die Vorschriften verstehen und wissen, wie sie sich im Ernstfall verhalten. Wenn Sie diese Kriterien erfüllen, vermeiden Sie Sanktionen und sichern den laufenden Betrieb Ihrer Dienste.

Zuordnung zu Cloud-Diensten

Wenn Sie zu Cloud-Lösungen wie Microsoft 365 wechseln, müssen Sie jede KRITIS-Anforderung den Funktionen der Plattform zuordnen. Dieser Prozess kann komplex sein. DORA und NIS2 stellen hohe Anforderungen an Cloud-Anbieter. Sie müssen prüfen, ob Microsoft 365 alle benötigten Kontrollen unterstützt. Achten Sie beispielsweise auf Identitätsverwaltung, Zugriffskontrollen und Optionen zur Datenspeicherung. Die Deutsche Verwaltungscloud zeigt, wie sich die höchsten Standards erfüllen lassen. Mitunter benötigen Sie eine Multi-Cloud-Strategie mit Microsoft Azure oder der Google Cloud Platform, um alle Anforderungen zu erfüllen. Digitale Souveränität und besondere Anforderungen an Workloads können diese Zuordnung erschweren. Überprüfen Sie Ihre Konfiguration regelmäßig, damit Sie alle Vorgaben dauerhaft einhalten. Die DORA-Funktionen von Microsoft 365 helfen Ihnen, viele dieser Anforderungen abzudecken, Sie sollten die Umsetzung jedoch sorgfältig planen.

Tipp: Dokumentieren Sie Ihren Zuordnungsprozess immer. So können Sie die Einhaltung bei Audits nachweisen und Ihre Kontrollen leichter anpassen, wenn sich die Vorschriften ändern.

Compliance-Funktionen in Microsoft 365

Integrierte Funktionen

Sie können integrierte Werkzeuge in Microsoft 365 nutzen, um die Compliance in Ihrer KRITIS-Umgebung zu unterstützen. Diese Werkzeuge helfen Ihnen, Anforderungen an Sicherheit, Sicherung und Archivierung zu verwalten. Microsoft 365 Backup schützt Ihre Dateien und E-Mails vor versehentlichem Verlust oder Cyberbedrohungen. Sie können automatische Sicherungspläne einrichten, damit Ihre Daten geschützt bleiben. Microsoft 365 Backup hilft Ihnen außerdem, Dateien nach einem Vorfall schnell wiederherzustellen. Mit Microsoft 365 Archive können Sie wichtige Dokumente über lange Zeiträume aufbewahren. Diese Funktion ermöglicht es Ihnen, Nachweise für Prüfungen und gesetzliche Anforderungen vorzuhalten. Microsoft 365 Archive arbeitet mit Backup zusammen, damit Sie niemals kritische Informationen verlieren. Mit eDiscovery können Sie während Untersuchungen nach Dateien und E-Mails suchen. Microsoft 365 Backup gibt Ihnen die Kontrolle über Ihre Daten und hilft Ihnen, die KRITIS-Standards einzuhalten.

Hinweis: Testen Sie Ihre Backup- und Archivsysteme regelmäßig. So bleiben Ihre Daten geschützt und verfügbar, wenn Sie sie benötigen.

Zertifizierungen

Microsoft stellt Zertifizierungen bereit, die das Engagement des Unternehmens für Sicherheit und Compliance belegen. Sie können sich auf Zertifizierungen wie ISO 27001, BSI C5 und DSGVO stützen, um KRITIS-Anforderungen zu erfüllen. Diese Zertifizierungen belegen, dass Microsoft 365 strenge Regeln für den Datenschutz und die Datensicherung einhält. Sie können Microsoft 365 Backup nutzen, um sich an diesen Standards auszurichten. Microsoft aktualisiert seine Zertifizierungen regelmäßig, um neuen Vorschriften zu entsprechen. Die aktuellen Informationen finden Sie im Trust Center. Zertifizierungen helfen Ihnen, Prüfern nachzuweisen, dass Ihre Systeme gesetzliche und branchenspezifische Standards erfüllen. Sie können Microsoft 365 Archive nutzen, um Aufbewahrungsrichtlinien zu unterstützen, die von diesen Zertifizierungen gefordert werden.

Datenresidenz

Sie müssen wissen, wo Ihre Daten in Microsoft 365 gespeichert sind. Die Datenresidenz ist für KRITIS relevant, weil sensible Informationen in bestimmten Regionen gehalten werden müssen. Microsoft 365 lässt Sie wählen, wo Ihre Daten liegen. Mit Microsoft 365 Backup schützen Sie Daten an dem von Ihnen gewählten Standort. Microsoft 365 Archive hilft Ihnen, Datensätze in der richtigen Region aufzubewahren, um Compliance-Anforderungen zu erfüllen. Sie können Richtlinien einrichten, die Datenbewegungen und Sicherungen steuern. Microsoft stellt Ihnen Werkzeuge zur Überwachung von Datenresidenz und Sicherungsstatus bereit. Mit diesen Funktionen erfüllen Sie die Anforderungen von BSI und KRITIS.

Tipp: Überprüfen Sie Ihre Backup- und Archiveinstellungen nach jedem Update. So behalten Sie die Compliance im Blick und schützen Ihre Daten.

Sicherheit und Cyber-Resilienz in Microsoft 365

Sie müssen eine starke Sicherheit und Cyber-Resilienz aufbauen, um Ihre kritische Infrastruktur zu schützen. Microsoft 365 bietet Ihnen eine breite Palette an Werkzeugen, die Ihnen helfen, die strengen Anforderungen von KRITIS, DORA und NIS2 zu erfüllen. Diese Werkzeuge unterstützen Sie dabei, sich gegen fortgeschrittene Bedrohungen zu verteidigen, Compliance aufrechtzuerhalten und die digitale operative Resilienz sicherzustellen. Sie müssen verstehen, wie Sie diese Funktionen nutzen, um eine sichere und widerstandsfähige Umgebung zu schaffen.

Identitätsverwaltung

Die Identitätsverwaltung bildet das Fundament Ihrer Sicherheitsstrategie. Sie müssen steuern, wer auf Ihre Systeme zugreifen darf und was die Benutzer dort tun dürfen. Microsoft 365 hilft Ihnen, privilegierte Zugriffe in allen Anwendungen zu beseitigen. Dieser Ansatz verringert Ihre Angriffsfläche und schützt Ihre Daten. Microsoft Entra ID ermöglicht es Ihnen, das Risikoniveau von Dienstprinzipalen zu bewerten, also Workload-Identitäten mit hohen Berechtigungen. Sie können Bedingter Zugriff-Richtlinien auf diese Identitäten anwenden, wenn Sie über die passende Lizenz verfügen. Dienstprinzipale wie privilegierte Konten zu behandeln, ist für KRITIS entscheidend und entspricht den Anforderungen an die digitale operative Resilienz. Sie müssen strikte Zugriffskontrollen durchsetzen und die Risiken privilegierten Zugriffs minimieren.

Multi-Faktor-Authentifizierung

Multi-Faktor-Authentifizierung (MFA) bietet eine starke zusätzliche Schutzebene für Ihre Umgebung. Sie sollten MFA für alle Administratorkonten, Backup-Systeme und Benutzer mit erhöhten Berechtigungen einrichten. MFA erschwert es Angreifern erheblich, sich Zugriff zu verschaffen, selbst wenn sie ein Kennwort gestohlen haben. Dieser Schritt unterstützt die Einhaltung von DORA, NIS2 und anderen Cybersicherheitsrichtlinien. Indem Sie unbefugten Zugriff erschweren, steigern Sie Ihre Cyberresilienz.

Bedingter Zugriff

Mit bedingtem Zugriff legen Sie Regeln fest, wie sich Benutzer und Dienstprinzipale anmelden. Sie können MFA verlangen, riskante Anmeldungen blockieren oder den Zugriff je nach Standort oder Gerät einschränken. Diese Steuerungen helfen Ihnen, Zero-Trust-Prinzipien durchzusetzen. Indem Sie Ihre Richtlinien anpassen, können Sie schnell auf neue Bedrohungen reagieren. Bedingter Zugriff unterstützt die kontinuierliche Einhaltung von Vorgaben und hilft Ihnen, die strengen Anforderungen von KRITIS, DORA und NIS2 zu erfüllen.

Bedrohungsschutz

Sie sind vielen Cyberbedrohungen ausgesetzt, die kritische Infrastruktur ins Visier nehmen. Microsoft 365 stellt Ihnen fortschrittliche Werkzeuge zur Verfügung, um diese Bedrohungen zu erkennen, zu verhindern und darauf zu reagieren. Nutzen Sie diese Funktionen, um Ihre Cyberresilienz aufzubauen und Ihre Organisation vor Angriffen zu schützen.

Erweiterte Analysen

Erweiterte Analysen in Microsoft 365 helfen Ihnen, ungewöhnliches Verhalten und potenzielle Bedrohungen zu erkennen. Echtzeit-Transparenz und verhaltensbasierte Erkennung sind für das Risikomanagement unverzichtbar. Mit diesen Werkzeugen identifizieren Sie ausgefeilte Angriffe, die auf Ihre Benutzer und Daten abzielen. Die Analysefunktionen von Microsoft 365 unterstützen die digitale operationale Resilienz, indem sie Ihnen die Informationen liefern, die Sie für schnelles Handeln benötigen.

• Sie sollten rollenbasierte Zugriffssteuerung (RBAC) implementieren, um den Benutzerzugriff anhand der jeweiligen Aufgaben zu begrenzen.
• Eine konsequente Durchsetzung und Überwachung von RBAC kann unbefugten Zugriff verhindern und das Risiko von Cyberangriffen senken.
• Echtzeitüberwachung hilft Ihnen, Bedrohungen zu erkennen, bevor sie Schaden anrichten.

Reaktion auf Sicherheitsvorfälle

Die Reaktion auf Sicherheitsvorfälle ist ein zentraler Bestandteil Ihres Plans zur Cyberresilienz. Sie benötigen detaillierte Runbooks für verschiedene Arten von Datenverlust und Cybervorfällen. Microsoft 365 unterstützt eine automatisierte Bedrohungsreaktion, die Ihnen hilft, Angriffe schnell einzudämmen. Ohne Echtzeit-Transparenz und automatisierte Reaktion fällt es Ihnen möglicherweise schwer, Angriffe zu erkennen und zu stoppen. Verhaltensbasierte Erkennung ist entscheidend, um fortgeschrittene Bedrohungen aufzuspüren, die kritische Infrastruktur ins Visier nehmen. Testen Sie Ihre Pläne zur Reaktion auf Sicherheitsvorfälle regelmäßig, damit Sie sich von jedem Ereignis erholen können.

Tipp: Überprüfen und aktualisieren Sie Ihre Verfahren zur Reaktion auf Sicherheitsvorfälle regelmäßig, damit Sie für neue Bedrohungen sowie für Änderungen der DORA- oder NIS2-Richtlinien gerüstet sind.

Datenschutz

Datenschutz ist für Compliance und Resilienz unverzichtbar. Microsoft 365 bietet Aufbewahrungsrichtlinien und Legal Holds, doch für kritische Infrastruktur benötigen Sie mehr. Sie sollten Multi-Faktor-Authentifizierung für alle Konten mit erhöhten Berechtigungen einrichten. Testen Sie Ihre Backup-Systeme und überprüfen Sie Wiederherstellungsverfahren regelmäßig. Nutzen Sie unveränderbare Speicherlösungen, damit Ransomware Ihre Backups nicht löschen oder verändern kann. Entwickeln Sie umfassende Verfahren zur Reaktion auf Sicherheitsvorfälle für Szenarien mit Datenverlust. Setzen Sie erweiterte Überwachungs- und Alarmsysteme ein, die über die nativen Funktionen hinausgehen. Diese Schritte helfen Ihnen, die strengen Anforderungen von DORA, NIS2 und der digitalen operationalen Resilienz zu erfüllen.

Sie sollten außerdem unabhängige Backup-Lösungen und erweiterte Überwachung in Betracht ziehen, um die vollständige Einhaltung sicherzustellen. Die DORA-Funktionen von Microsoft 365 unterstützen Sie dabei, aber für das höchste Schutzniveau benötigen Sie zusätzliche Ebenen. Dieser Ansatz hilft Ihnen, Compliance und Resilienz zu erreichen und Ihre kritische Infrastruktur vor sich entwickelnden Cyberbedrohungen zu schützen.

Hinweis: Richten Sie Ihre Datenschutzstrategie stets an den neuesten Cybersicherheitsrichtlinien und regulatorischen Aktualisierungen aus, um die kontinuierliche Einhaltung sicherzustellen.

Microsoft 365 Copilot-Bereitschaft

Copilot-Sicherheit

Sie brauchen starke Sicherheit, um Ihre kritische Infrastruktur zu schützen. Microsoft 365 Copilot nutzt erweiterte Funktionen, die Ihnen helfen, die Anforderungen von KRITIS, DORA und NIS2 zu erfüllen. Copilot arbeitet mit Microsoft Purview-Vertraulichkeitsbezeichnungen zusammen. Diese Integration verbindet KI mit Sicherheit auf Unternehmensniveau. Jedes Dokument, jede E-Mail und jeder Chat, den Copilot erstellt, hält Ihre Compliance-Regeln ein. Copilot erzwingt automatisch Verschlüsselung, Berechtigungen und die Vererbung von Bezeichnungen.

Microsoft 365 Copilot lässt sich jetzt mit Microsoft Purview-Vertraulichkeitsbezeichnungen integrieren und verbindet so die Leistungsfähigkeit von KI mit Sicherheit auf Unternehmensniveau. Das bedeutet: Jedes Dokument, jede E-Mail und jeder Chat, den Copilot erzeugt, berücksichtigt die Compliance-Regeln Ihrer Organisation und erzwingt automatisch Verschlüsselung, Berechtigungen und die Vererbung von Bezeichnungen.

Sie können Microsoft 365 Backup nutzen, um die von Copilot erzeugten Inhalte zu schützen. Ein Backup stellt sicher, dass Sie Dateien nach Vorfällen wiederherstellen können. Microsoft 365 Backup unterstützt die Cyberresilienz, indem es Ihre Daten sicher aufbewahrt. Sie sollten Ihre Backup-Systeme häufig testen. Diese Praxis hilft Ihnen, Resilienz aufrechtzuerhalten und die Anforderungen von DORA und NIS2 zu erfüllen. Mit Microsoft 365 Archive können Sie Copilot-Inhalte für Audits speichern. Archive unterstützt Compliance und Resilienz, weil Aufzeichnungen verfügbar bleiben.

Governance-Bewertung

Sie müssen Ihre Governance bewerten, bevor Sie Copilot in einer KRITIS-Umgebung einsetzen. Inhalts-Governance hilft Ihnen, zu steuern, wie Copilot Informationen erstellt, teilt und speichert. Sie benötigen eine starke Inhalts-Governance, um die Anforderungen von DORA und NIS2 zu erfüllen. Microsoft 365 Backup unterstützt die Inhalts-Governance, indem es Dateien und E-Mails schützt. Sie sollten Microsoft 365 Archive nutzen, um wichtige Aufzeichnungen aufzubewahren. Archive hilft Ihnen, gesetzliche und prüfungsrelevante Anforderungen zu erfüllen.

Die Governance für den Datenzugriff ist entscheidend für die Resilienz. Sie müssen klare Regeln festlegen, wer auf Copilot-Inhalte zugreifen darf. Die Governance für den Datenzugriff unterstützt Zero-Trust-Prinzipien. Sie sollten Ihre Governance-Richtlinien regelmäßig überprüfen. Dieser Schritt hilft Ihnen, Risiken zu steuern und Resilienz aufrechtzuerhalten. Microsoft 365 Backup und Microsoft 365 Archive arbeiten zusammen, um Inhalts-Governance und Resilienz zu unterstützen.

Tipp: Erstellen Sie eine Checkliste zur Einsatzbereitschaft für Copilot. Nehmen Sie Schritte zu Backup, Archiv, Inhalts-Governance und Governance für den Datenzugriff auf. Diese Checkliste hilft Ihnen, die Anforderungen von DORA und NIS2 zu erfüllen.

Lizenzanforderungen

Sie benötigen die richtige Lizenz, um Copilot in Microsoft 365 zu nutzen. Erweiterte Sicherheits- und Backup-Funktionen erfordern oft höherwertige Pläne. Microsoft 365 DORA-Funktionen unterstützen Resilienz und Compliance. Sie sollten Ihre Lizenz prüfen, bevor Sie Copilot einsetzen. Stellen Sie sicher, dass Sie auf Microsoft 365 Backup und Microsoft 365 Archive zugreifen können. Diese Funktionen helfen Ihnen, Copilot-Inhalte zu schützen und Resilienz zu unterstützen.

Sie müssen Ihre Lizenzen regelmäßig überprüfen. Aktualisierungen von DORA und NIS2 können die Anforderungen verändern. Sie sollten Ihre Lizenz bei Bedarf anpassen, um Resilienz aufrechtzuerhalten. Microsoft stellt Ihnen Tools zur Verfügung, mit denen Sie Ihren Lizenzstatus nachverfolgen können. Nutzen Sie diese Tools, um sicherzustellen, dass Sie die KRITIS-Anforderungen erfüllen.

Hinweis: Nehmen Sie Lizenzprüfungen immer in Ihren Copilot-Einsatzplan auf. Dieser Schritt hilft Ihnen, Lücken bei Backup, Archiv und Governance zu vermeiden.

Umgang mit Lücken und Einschränkungen

Zusätzliche Kontrollen

Sie müssen Ihre Cyberabwehr in KRITIS-Umgebungen verstärken. Microsoft 365 bietet Ihnen viele Werkzeuge, aber für strenge Vorgaben müssen Sie zusätzliche Kontrollen ergänzen. Der Schutz sensibler Diskussionen und Entscheidungen ist genauso wichtig wie die Absicherung von Dokumenten. Konzentrieren Sie sich auf die Sicherung jeder Phase Ihres Workflows. Mit der Microsoft 365-Sicherung stellen Sie Dateien wieder her, aber Sie müssen auch die Zusammenarbeit in Echtzeit absichern. Compliance umfasst heute, wie Sie Informationen in Besprechungen und Chats behandeln. Visuelle Collaboration-Tools gehören zu Ihrer Kerninfrastruktur. Sie müssen sie in Ihre Sicherheitsstrategie einbeziehen. Backup dient nicht nur dem Schutz von Dateien, sondern stärkt die Resilienz der gesamten Kommunikation. Nutzen Sie Backups, um E-Mails, Chats und gemeinsam genutzte Dokumente zu schützen. Governance spielt eine zentrale Rolle, um Ihre Cyberumgebung sicher zu halten. Sie sollten Ihre Governance-Richtlinien regelmäßig überprüfen, damit sie zu neuen Vorgaben passen. Backups helfen Ihnen, diese Richtlinien durchzusetzen und Compliance aufrechtzuerhalten.

• Schützen Sie sensible Diskussionen und Entscheidungen, nicht nur Dokumente.
• Sichern Sie Dateien, E-Mails, Chats und visuelle Collaboration-Tools.
• Aktualisieren Sie Governance-Richtlinien, damit sie den Vorgaben entsprechen.
• Testen Sie Ihre Backup-Systeme regelmäßig auf Cyberresilienz.

Tipp: Achten Sie bei Ihren Sicherheitswerkzeugen auf Benutzerfreundlichkeit. Wenn Anwender Werkzeuge als schwierig empfinden, kann Schatten-IT zum Problem werden. Backups sollten einfach zu bedienen und zuverlässig sein.

Drittanbieterlösungen

Für Lücken in Ihrer Cyberstrategie benötigen Sie unter Umständen Drittanbieterlösungen. Die Microsoft 365-Sicherung deckt viele Anforderungen ab, aber einige KRITIS-Vorgaben verlangen mehr. Unabhängige Backup-Werkzeuge können Ihnen zusätzlichen Schutz bieten. Diese Werkzeuge helfen Ihnen, Daten nach Vorfällen schnell wiederherzustellen. Damit können Sie unveränderliche Backups erstellen, die gegen Ransomware widerstandsfähig sind. Drittanbieter-Backup-Lösungen bieten häufig erweiterte Überwachungs- und Alarmsysteme. Sie können Änderungen nachverfolgen und Bedrohungen schneller erkennen. Diese Werkzeuge unterstützen Ihre Governance-Bemühungen, indem sie Ihnen detaillierte Berichte liefern. Wählen Sie Lösungen, die gut mit Microsoft 365 zusammenarbeiten. Eine nahtlose Backup-Integration sorgt für eine reibungslose Wiederherstellung und Compliance. Sie müssen prüfen, ob Drittanbieter-Werkzeuge alle Vorgaben erfüllen. Backups dieser Anbieter können Ihnen helfen, Audits zu bestehen und Ihre Infrastruktur zu schützen.

Hinweis: Testen Sie Drittanbieter-Backup-Lösungen immer in Ihrer Microsoft 365-Umgebung. Dieser Schritt stellt sicher, dass Sie Vorgaben erfüllen und Cyberresilienz aufrechterhalten.

Regulatorische Herausforderungen

Die Erfüllung der KRITIS-Vorgaben stellt Sie vor viele Herausforderungen. Vorgaben ändern sich häufig, daher müssen Sie Ihre Backup- und Governance-Strategien stets aktuell halten. Cyberbedrohungen entwickeln sich schnell weiter. Sie brauchen Backup-Systeme, die sich an neue Risiken anpassen. Die Microsoft 365-Sicherung unterstützt Sie bei der Compliance, aber Sie müssen die Vorgaben aufmerksam verfolgen. Governance bedeutet nicht nur Richtlinien, sondern Kontrolle in Echtzeit. Sie müssen Prüfern nachweisen, dass Ihre Backup-Systeme alle Datenarten schützen. Die Vorgaben verlangen, dass Sie belegen können, sich nach Vorfällen wiederherstellen zu können. Dokumentieren Sie Ihre Backup-Prozesse und testen Sie diese regelmäßig. Backups unterstützen Ihre Compliance-Bemühungen und helfen Ihnen, Strafen zu vermeiden. Schulen Sie Ihre Mitarbeitenden, damit sie die Backup-Verfahren befolgen und die Governance-Regeln verstehen. Die Vorgaben fordern kontinuierliche Verbesserung. Überprüfen Sie Ihre Backup- und Governance-Strategien regelmäßig.

Warnung: Die Vorgaben können verlangen, Backup-Daten in bestimmten Regionen zu speichern. Prüfen Sie Ihre Backup-Einstellungen immer auf die gesetzlichen Anforderungen.

Praktische Schritte für Microsoft 365-konforme KRITIS-Umgebungen

Best Practices für die Konfiguration

Sie sollten mit soliden Konfigurationsmethoden beginnen, um Ihre Umgebung auf KRITIS vorzubereiten. Richten Sie für jeden Benutzer eine sichere Authentifizierung ein. Verwenden Sie Multi-Faktor-Authentifizierung, um Konten zu schützen. Begrenzen Sie den Zugriff auf sensible Daten, indem Sie Rollen sorgfältig zuweisen. Überprüfen Sie Berechtigungen regelmäßig und entfernen Sie nicht benötigte Rechte. Erstellen Sie logische Website-Strukturen für Ihre Teams. Organisieren Sie Dateien und Ordner so, dass Benutzer Informationen schnell finden. Wenden Sie Metadaten auf Dokumente an, um Suche und Nachverfolgung zu verbessern. Gestalten Sie Workflows, die zu Ihrem Tagesgeschäft passen. Testen Sie Ihre Sicherungssysteme regelmäßig. Stellen Sie sicher, dass Sie Dateien nach Vorfällen wiederherstellen können. Dokumentieren Sie jede Konfigurationsänderung. Bewahren Sie Nachweise für Audits und Compliance-Prüfungen auf.

Tipp: Planen Sie regelmäßige Überprüfungen Ihrer Konfigurationseinstellungen. So erkennen Sie Lücken und halten Ihre Umgebung sicher.

Kontinuierliche Überwachung

Sie müssen Ihre Umgebung überwachen, um Bedrohungen zu erkennen und die Compliance aufrechtzuerhalten. Microsoft 365 bietet mehrere Werkzeuge für die kontinuierliche Überwachung. Diese Werkzeuge helfen Ihnen, Benutzeraktivitäten und Datenflüsse zu analysieren. Sie können schnell handeln, wenn Warnmeldungen erscheinen. Aktive Überwachung ermöglicht es Ihnen, auf Probleme zu reagieren, bevor sie größer werden.

• Aktive Überwachung prüft Daten und meldet Ihnen Probleme.
• Die Echtzeiterkennung hilft Ihnen, Bedrohungen schnell zu stoppen.
• Die automatisierte Untersuchung findet Probleme und behebt sie zügig.

Sie sollten Dashboards einrichten, um Sicherheitsereignisse nachzuverfolgen. Prüfen Sie Protokolle täglich. Aktualisieren Sie Ihre Überwachungswerkzeuge, sobald neue Bedrohungen auftauchen. Schulen Sie Ihre Mitarbeitenden, damit sie auf Warnmeldungen richtig reagieren. Die kontinuierliche Überwachung hält Ihre Infrastruktur sicher und unterstützt die Einhaltung von KRITIS.

Governance-Richtlinien

Sie benötigen klare Governance-Richtlinien, um die KRITIS-Bereitschaft zu unterstützen. Etablieren Sie eine tragfähige Informationsarchitektur. Entwickeln Sie ein Sicherheitsmodell, das zu Ihrer Organisation passt. Erstellen Sie ein Governance-Framework, das jeden Workflow abdeckt. Analysieren Sie, wie Ihre Teams zusammenarbeiten. Gestalten Sie logische Website-Strukturen für einfachen Zugriff. Implementieren Sie Metadatenregeln, um Informationen zu strukturieren. Legen Sie Zugriffsregeln fest, die sensible Daten schützen. Integrieren Sie Governance in den täglichen Betrieb. Überprüfen Sie Richtlinien regelmäßig und aktualisieren Sie sie, wenn sich Vorschriften ändern. Machen Sie Governance zu einem Teil Ihrer Unternehmenskultur. Ermutigen Sie Benutzer, Regeln zu befolgen und Probleme zu melden.

Hinweis: Gute Governance hilft Ihnen, Compliance-Standards zu erfüllen, und macht Ihre Umgebung widerstandsfähig.

Benutzerschulung

Sie spielen eine entscheidende Rolle, wenn es darum geht, Ihre Microsoft-365-Umgebung sicher und compliance-konform zu halten. Schulungen für Ihre Benutzer helfen Ihnen, eine starke Abwehr gegen Cyberbedrohungen und Fehler aufzubauen. Sie müssen Ihre Mitarbeitenden darin schulen, Microsoft 365 sicher zu nutzen und die KRITIS-Vorgaben einzuhalten.

Beginnen Sie mit einem Schulungsplan. Ermitteln Sie die Fähigkeiten, die Ihre Benutzer benötigen. Konzentrieren Sie sich auf Sicherheitsgrundlagen, Datenschutz und Compliance-Regeln. Sie sollten Lerninhalte zur Multi-Faktor-Authentifizierung, zu sicheren Kennwortpraktiken und zum Erkennen von Phishing-E-Mails einbeziehen. Zeigen Sie Ihren Benutzern, wie sie mit sensiblen Informationen umgehen und verdächtige Aktivitäten melden.

Setzen Sie auf einen Mix aus Schulungsformaten. Bieten Sie Online-Kurse, Live-Workshops und Kurzanleitungen an. Sie können die integrierten Lernwerkzeuge von Microsoft 365 nutzen, um die Schulung zu erleichtern. Ermutigen Sie Ihre Benutzer, Fragen zu stellen und ihre Erfahrungen zu teilen. Machen Sie Schulungen zu einem festen Bestandteil Ihres Arbeitsablaufs.

Tipp: Planen Sie monatlich kurze Schulungseinheiten ein. Häufige Schulungen halten das Sicherheitsbewusstsein Ihrer Benutzer frisch.

Überprüfen Sie das Wissen Ihrer Benutzer. Führen Sie Quizze und praktische Übungen durch. Simulieren Sie Phishing-Angriffe, um zu sehen, wie Ihre Mitarbeitenden reagieren. Werten Sie die Ergebnisse aus und geben Sie Feedback. Belohnen Sie Benutzer, die bewährte Praktiken befolgen. Unterstützen Sie diejenigen, die zusätzliche Hilfe brauchen.

Passen Sie Ihre Schulungen an, wenn sich Vorschriften ändern. KRITIS-, DORA- und NIS2-Anforderungen entwickeln sich häufig weiter. Überprüfen Sie Ihre Schulungsmaterialien jedes Quartal. Ergänzen Sie neue Lerninhalte, sobald Microsoft 365 neue Funktionen veröffentlicht. Informieren Sie Ihre Benutzer regelmäßig über aktuelle Bedrohungen und Compliance-Updates.

Fördern Sie eine Sicherheitskultur. Erinnern Sie Ihre Benutzer daran, dass alle gemeinsam die Verantwortung für den Schutz kritischer Infrastrukturen tragen. Verankern Sie Sicherheit im täglichen Arbeitsablauf. Loben Sie gute Gewohnheiten und korrigieren Sie riskantes Verhalten zügig.

Hinweis: Gut geschulte Benutzer helfen Ihnen, die KRITIS-Anforderungen zu erfüllen, und verringern das Risiko von Cybervorfällen.

Sie stärken die Resilienz, indem Sie in die Schulung Ihrer Benutzer investieren. Ihre Mitarbeiter lernen, Bedrohungen zu erkennen, Regeln einzuhalten und sich nach Vorfällen wieder zu erholen. So schaffen Sie eine sicherere Microsoft 365-Umgebung für Ihre Organisation.

Konkrete Empfehlungen für IT-Verantwortliche

Compliance-Fahrplan

Sie benötigen einen klaren Fahrplan, der Ihre Organisation durch den Weg zur Compliance führt. Beginnen Sie mit einer sorgfältigen Planung. Legen Sie Meilensteine fest, mit denen Sie den Fortschritt messen können, und halten Sie Ihre Migration zu Microsoft 365 reibungslos am Laufen. Nutzen Sie eine zentrale Plattform, um Ihre Systeme in Echtzeit zu überwachen. So erhalten Sie sofortige Warnmeldungen und erkennen Cyberrisiken frühzeitig. Prüfen Sie regelmäßig auf neue Schwachstellen und passen Sie Ihre Richtlinien an geänderte Vorschriften an. Teilen Sie die Migration in kleinere Wellen auf. So lassen sich Ressourcen leichter steuern und jeder Schritt lässt sich nachverfolgen. Stellen Sie Ihren Benutzern Anleitungen und Selbstservice-Werkzeuge zur Verfügung. Diese Ressourcen reduzieren Anfragen beim Helpdesk und helfen Ihrem Team, sich schnell anzupassen.

Tipp: Dokumentieren Sie jeden Schritt Ihres Fahrplans. Diese Gewohnheit hilft Ihnen, die Compliance nachzuweisen, und unterstützt Ihre Ziele für die Cyber-Resilienz.

Zusammenarbeit

Starke Zusammenarbeit bildet die Grundlage für Sicherheit und Resilienz. Bringen Sie Ihre Teams aus IT, Compliance und Governance zusammen. Jede Gruppe hat eine eigene Sicht auf Cyberrisiken und Vorschriften. Halten Sie regelmäßige Besprechungen ab, um Neuigkeiten auszutauschen und Ihre Strategie zur Cyber-Resilienz zu überprüfen. Nutzen Sie Microsoft 365-Werkzeuge für die Teamarbeit und eine sichere Kommunikation. Legen Sie für jedes Teammitglied klare Rollen fest. Diese Struktur hilft Ihnen, schneller auf Cybervorfälle zu reagieren, und hält Ihre Governance-Richtlinien stark. Fördern Sie offenes Feedback. Wenn Ihre Teams Ideen austauschen, finden Sie bessere Wege, Vorschriften einzuhalten und die Resilienz zu verbessern.

• Planen Sie teamübergreifende Workshops, um Cyberbedrohungen zu besprechen.
• Nutzen Sie gemeinsame Dashboards, um Governance- und Sicherheitsaufgaben nachzuverfolgen.
• Würdigen Sie schnelle Reaktionen auf Cybervorfälle.

Hinweis: Zusammenarbeit hilft Ihnen, sich an neue Vorschriften anzupassen, und stärkt Ihre Cyber-Resilienz.

Laufende Überprüfung

Sie müssen Ihre Systeme und Richtlinien regelmäßig überprüfen. Cyberbedrohungen ändern sich schnell, und Vorschriften werden häufig aktualisiert. Legen Sie einen Zeitplan fest, nach dem Sie Ihre Sicherheitskontrollen, Governance-Regeln und Backup-Systeme prüfen. Testen Sie Ihre Cyber-Resilienz durch Übungen und die Auswertung von Vorfallberichten. Passen Sie Ihre Schulungsprogramme an neue Risiken an. Nutzen Sie das Feedback Ihrer Teams, um Ihr Governance-Framework zu verbessern. Verfolgen Sie Änderungen bei den Vorschriften und passen Sie Ihre Richtlinien umgehend an. Diese Gewohnheit hält Ihre Organisation für Audits und neue Cyberherausforderungen bereit.

• Überprüfen Sie Governance- und Sicherheitseinstellungen jedes Quartal.
• Testen Sie Ihren Plan zur Cyber-Resilienz mit praxisnahen Szenarien.
• Aktualisieren Sie Ihre Dokumentation nach jeder Änderung.

Achtung: Eine laufende Überprüfung ist entscheidend, um Cyberbedrohungen voraus zu sein und alle Vorschriften einzuhalten.

Microsoft 365 KRITIS-Checkliste

Verwenden Sie diese Checkliste, um zu überprüfen, ob Microsoft 365 so konfiguriert und betrieben wird, dass es die Anforderungen an KRITIS (kritische Infrastrukturen) sowie die Sicherheits- und Compliance-Anforderungen Ihrer Organisation erfüllt.

OneDrive for Business und Cloud-Speicher mit Microsoft 365

Was ist Microsoft 365 Kritis und welchen Bezug hat es zu OneDrive?

Microsoft 365 Kritis bezeichnet Leitlinien und Konfigurationen für die Nutzung von Microsoft-365-Diensten in Umgebungen kritischer Infrastrukturen (Kritis). Es betrifft OneDrive for Business, da strengere Kontrollen für Cloud-Speicher, Datenresidenz, Verschlüsselung und Zugriffsverwaltung erforderlich sind, um die Anforderungen des IT-Sicherheitsgesetzes und anderer regulatorischer Vorgaben zu erfüllen.

Wie sichere ich OneDrive und SharePoint für eine Kritis-Bereitstellung ab?

Um OneDrive und SharePoint Online in einem Kritis-Szenario abzusichern, aktivieren Sie erweiterte Sicherheitsfunktionen wie Defender for Business, erzwingen bedingten Zugriff über Azure Active Directory, nutzen Data Loss Prevention (DLP), wenden Vertraulichkeitsbezeichnungen an und prüfen die Freigabeeinstellungen. Diese Schritte entsprechen den Empfehlungen für Microsoft-365-Premium-Abonnements und helfen dabei, Microsoft-365-Anwendungen und Cloud-Speicher zu schützen.

Microsoft Teams, Kollaborationsplattform und Arbeitsbereich in KRITIS

Kann ich Microsoft Teams in einer Umgebung kritischer Infrastrukturen verwenden?

Ja, Microsoft Teams kann in Kritis-Umgebungen eingesetzt werden, wenn es mit einer soliden Governance konfiguriert ist: Deaktivieren Sie den externen Zugriff, wo erforderlich, erzwingen Sie die Multi-Faktor-Authentifizierung für aktive Microsoft-365-Konten, wenden Sie Informationsbarrieren an und verfolgen Sie die Kommunikation mit eDiscovery und Überwachung nach. Die Kombination von Teams mit den Plänen Business Standard oder Business Premium stellt die notwendigen Kontrollfunktionen sicher.

Was sind bewährte Methoden für die Sicherheit der Kollaborationsplattform in Kritis-Umgebungen?

Zu den bewährten Methoden gehören die Nutzung von Microsoft-365-Apps nach dem Least-Privilege-Prinzip, die Isolation sensibler Teams, die Aktivierung von Copilot-App-Einschränkungen bei KI-gestützten Funktionen, die Anwendung integrierter Sicherheitskontrollen sowie die Pflege eines sicheren Arbeitsbereichs, der SharePoint und OneDrive for Business mit DLP und Endpoint-Schutz integriert.

Office 365, Microsoft Office und die Nutzung von Office 365 in Kritis-Szenarien

Welche Office-Anwendungen sollten in Kritis-Umgebungen eingeschränkt werden?

Schränken Sie Office-Anwendungen ein, die externe Verbindungen oder Makro-fähige Inhalte zulassen. Begrenzen Sie die Nutzung älterer Versionen wie nicht unterstützter Office-2024-Vorschauen, stellen Sie sicher, dass die Installationsverfahren für Office aktive Microsoft-365-Apps verwenden, und erzwingen Sie Richtlinien für Word und PowerPoint, die riskante Makros und das Laden externer Inhalte blockieren, wenn Sie nach dem IT-Sicherheitsgesetz arbeiten.

Wie wirken sich Abonnementpläne auf die Compliance für Kritis aus?

Abonnementpläne bestimmen, welche Sicherheits- und Compliance-Funktionen verfügbar sind. Microsoft 365 Personal und Family bieten keine Unternehmenskontrollen. Business Premium, Business Standard und Microsoft-365-Premium-Abonnements umfassen Funktionen wie Defender for Business, Azure AD Conditional Access und erweitertes DLP. Wählen Sie einen Plan, der die für die Kritis-Compliance erforderlichen Funktionen von Microsoft 365 unterstützt.

Microsoft Copilot, KI-Funktionen und Copilot in Word für den Einsatz in KRITIS

Sind KI-gestützte Funktionen wie Microsoft Copilot in Kritis-Umgebungen erlaubt?

KI-gestützte Funktionen können genutzt werden, wenn Risiken für Datenverarbeitung und Datenschutz bewertet wurden. Für Kritis sollten Sie Copilot-Funktionen und Copilot in Word deaktivieren oder streng kontrollieren, sofern Datenresidenz, Protokollierung und Modelldatenschutz nicht den regulatorischen Anforderungen entsprechen. Nutzen Sie interne Richtlinien, um den Zugriff auf Copilot-Apps zu steuern, und überwachen Sie Copilot-Funktionen auf die Preisgabe sensibler Daten.

Wie kann ich Copilot-Funktionen sicher aktivieren, ohne gegen Vorschriften zu verstoßen?

Implementieren Sie strikte Zugriffskontrollen über Azure Active Directory, beschränken Sie Copilot auf bestimmte Benutzergruppen, protokollieren Sie alle Interaktionen, schwärzen Sie sensible Eingaben und nutzen Sie Steuerungen auf Mandantenebene, um zu verhindern, dass Daten an externe Modelle gesendet werden. Stimmen Sie diese Kontrollen auf das IT-Sicherheitsgesetz und unternehmensweite Risikobewertungen ab, wenn Sie Microsoft 365 Kritis betreiben.

Erweiterte Sicherheit, Defender for Business und integrierte Sicherheit

Welche Rolle spielt Defender for Business in einer Kritis-Umgebung?

Defender for Business bietet Endpoint Detection and Response, Bedrohungsschutz und Integration mit Microsoft-365-Apps. In Kritis-Umgebungen hilft es, fortgeschrittene Bedrohungen zu erkennen und die Gerätekonformität durchzusetzen. Zusammen mit bedingtem Zugriff und DLP bildet es eine mehrschichtige Verteidigung.

Wie stelle ich sicher, dass die integrierte Sicherheit für kritische Infrastrukturen korrekt konfiguriert ist?

Integrierte Sicherheit stellen Sie sicher, indem Sie Multi-Faktor-Authentifizierung aktivieren, Richtlinien für bedingten Zugriff implementieren, Vertraulichkeitsbezeichnungen und Verschlüsselung in Office-Anwendungen nutzen, Defender for Business bereitstellen und Audit-Protokolle sowie Sicherheitsbaselines regelmäßig überprüfen. Führen Sie außerdem Prüfungen auf Konfigurationsabweichungen durch und passen Sie Richtlinien an, sobald sich die Version von Microsoft 365 oder der Office-Apps ändert.

Abonnement, Abonnementpläne und Installation von Microsoft in KRITIS

Welcher Abonnementplan wird für Microsoft 365 in KRITIS-Umgebungen empfohlen?

Für KRITIS sollten Sie je nach Umfang unternehmenstaugliche Pläne wählen, etwa Microsoft 365 E3/E5 oder Microsoft 365 Business Premium. Diese Pläne bieten erweiterte Sicherheits-, Compliance- und Verwaltungsfunktionen, die über Microsoft 365 Personal oder Familie hinausgehen. Sie eignen sich deutlich besser für regulatorische Anforderungen und den Schutz kritischer Infrastrukturen.

Welche Schritte sind erforderlich, um Microsoft Office in KRITIS-Umgebungen sicher zu installieren?

Installieren Sie Office über verwaltete Bereitstellungsmethoden: Verteilen Sie die Microsoft 365-Apps über Microsoft Endpoint Manager, erzwingen Sie signierte Updates, beschränken Sie lokale Administratorrechte und konfigurieren Sie Sicherheitsbaselines. Stellen Sie außerdem sicher, dass sich alle Installationen mit einem sicheren Microsoft-Konto authentifizieren, das den Unternehmensrichtlinien unterliegt und in die Active Directory-Integration eingebunden ist.

Microsoft 365-Apps, Microsoft-Apps und Office-Anwendungen

Wie verwalte ich den Zugriff auf Microsoft 365-Apps für KRITIS-Mitarbeitende?

Verwalten Sie den Zugriff, indem Sie KRITIS-Mitarbeitende in eigenen Azure AD-Gruppen zusammenfassen, Richtlinien für bedingten Zugriff zur Beschränkung von Marketplace-Apps anwenden, nicht benötigte Microsoft-Apps deaktivieren, Sitzungssteuerungen für Office-Anwendungen erzwingen und App-Schutzrichtlinien einsetzen, um Unternehmensdaten von der privaten Nutzung zu trennen.

Gibt es besondere Überlegungen für OneDrive for Business-Synchronisierungsclients in KRITIS-Umgebungen?

Ja. Beschränken Sie die OneDrive-Synchronisierung auf verwaltete Geräte, deaktivieren Sie die Synchronisierung für nicht verwaltete Endgeräte, erzwingen Sie die Verschlüsselung ruhender und übertragener Daten und konfigurieren Sie Known Folder Move sowie DLP, um die unautorisierte Speicherung sensibler Dateien in der Cloud zu verhindern. Überwachen Sie die Synchronisierungsaktivitäten und prüfen Sie die Zugriffsprotokolle regelmäßig.

SharePoint, SharePoint Online und Zusammenarbeit in KRITIS

Wie lässt sich SharePoint Online sicher für die Dokumentation kritischer Infrastrukturen nutzen?

Nutzen Sie SharePoint Online mit websitebezogenen Vertraulichkeitsbezeichnungen, beschränken Sie die externe Freigabe, aktivieren Sie die Versionsverwaltung und Überwachung, wenden Sie strikt vererbte Berechtigungen an und speichern Sie sensible Inhalte in eigenen Websites mit zusätzlichen Kontrollen. Für persönliche Dateien binden Sie OneDrive for Business ein, gemeinsam genutzte Dokumente bleiben dagegen unter der Governance von SharePoint.

Welche Governance-Richtlinien sollten für SharePoint- und Teams-Websites gelten?

Legen Sie Governance-Richtlinien fest, die die Erstellung, den Lebenszyklus und die Berechtigungsmodelle von Websites regeln sowie festlegen, welche Microsoft-Apps erlaubt sind und wie die externe Freigabe erfolgt. Verwenden Sie automatisierte Richtlinien, um Aufbewahrung, DLP und Kennzeichnung durchzusetzen. Überprüfen Sie die Mitgliedschaften in Arbeitsbereichen regelmäßig und stellen Sie die Einhaltung des IT-Sicherheitsgesetzes sowie der internen KRITIS-Anforderungen sicher.

Fazit

Die Absicherung einer Cloud-Umgebung gegen die strengen Anforderungen von BSI, DORA und NIS2 erfordert sorgfältige Planung, präzise Konfiguration und kontinuierliche Überwachung. Wie wir im heutigen Deep Dive gezeigt haben und in unserer Podcast-Folge Prepare Microsoft 365 for German KRITIS Requirements vertieft haben, bietet Microsoft 365 erstklassige Werkzeuge für Produktivität und Sicherheit. Die Standardeinstellungen reichen für kritische Infrastrukturen jedoch selten aus. Mit Multi-Faktor-Authentifizierung, leistungsfähigen Backup- und Archivierungslösungen sowie proaktiver Governance machen Sie Microsoft 365 zu einer konformen, hochresilienten Grundlage für Ihre Organisation. Bleiben Sie wachsam, halten Sie Ihre Compliance-Frameworks auf dem neuesten Stand und hören Sie in die passende Folge für weitere Expertendiskussionen zur Cloud-Sicherheit rein!