Sicherheit & Datenschutz für deine Geschäftsdaten

Manche Unternehmer:innen sind immer noch zögerlich, wenn es darum geht, die Vorteile von Cloudplattformen für sich zu nutzen. Du auch? Ein häufig gehörtes Argument ist, dass Cloudplattformen in Bezug auf Sicherheit und Datenschutz Schwierigkeiten mit sich bringen können. Natürlich gibt es keine hundertprozentig sicheren Lösungen – übrigens auch nicht außerhalb der Cloud – aber viele Bedenken lösen sich auf, sobald man sich mit Sicherheit und Datenschutz in der Cloud einmal näher beschäftigt.

Hier schauen wir uns konkret Sicherheit und Datenschutz auf der Cloudplattform Microsoft 365 an. Diese ist eine der am weitesten verbreiteten und zugleich eine, die so vielfältig einsetzbar ist, dass du auf jeden Fall von ihr profitieren kannst – egal, ob du Einzelunternehmer:in bist oder der Kopf eines großen Unternehmens.

Wie du sehen wirst, stellt Microsoft 365 eine umfangreiche Palette an Sicherheits- und Datenschutzfunktionen bereit, die das sichere und DSGVO-konforme Arbeiten in deinem Unternehmen unterstützen können.

Datenverschlüsselung mit Microsoft 365: Schutz auf allen Ebenen

Ein grundlegendes Sicherheitsprinzip in Microsoft 365 ist die durchgängige Verschlüsselung von Daten. Diese erfolgt sowohl im Ruhezustand (Data at Rest) als auch während der Übertragung (Data in Transit). Für die Übertragung von Daten setzt Microsoft auf das etablierte TLS-Protokoll (Transport Layer Security), das eine sichere Kommunikation zwischen deinen Endgeräten und den Microsoft-Servern gewährleistet. Die gespeicherten Daten wiederum werden aktuell mit dem Verfahren AES (Advanced Encryption Standard) in einer 256-Bit-Verschlüsselung gesichert (Stand Mai 2025) – einem der robustesten und am weitesten anerkannten Verschlüsselungsverfahren. Und es ist davon auszugehen, das mit weiterem Fortschreiten der Sicherheitstechnologien das Verschlüsselungsverfahren regelmäßig aktualisiert wird.

Darüber hinaus bietet Microsoft zusätzliche Optionen für besonders sicherheitsbewusste Organisationen. Mit dem Feature "Customer Key" können Unternehmen ihre eigenen Schlüssel nutzen, um Daten in Ruhe (Data at Rest) zu verschlüsseln. Dies bietet einen zusätzlichen Schutz, der auch dann hält, wenn Microsoft selbst Ziel eines Angriffs wird (oder US-Behörden auf die Daten zugreifen wollen – in diesem Falle wäre Microsoft gemäß US-Recht zur Herausgabe verpflichtet). Allerdings ist dieses Feature aufwendiger zu nutzen – beispielsweise ist ein separates Hardware-Security-Modul auf deiner Seite empfehlenswert. Du kannst selbst entscheiden, ob dieses Sicherheitsniveau für dich notwendig und sinnvoll ist.

Rollenbasierte Zugriffskontrolle: Nur berechtigte Personen erhalten Zugriff

Ein weiterer Grundpfeiler der IT-Sicherheit in Microsoft 365 ist das IAM (Identity and Access Management), also die Verwaltung von Zugriffsrechten und Benutzerrollen. Microsoft 365 setzt nämlich auf ein rollenbasiertes Zugriffskontrollmodell (Role-Based Access Control, RBAC), das dir die Möglichkeit gibt, den Zugriff auf Daten, Systeme und Anwendungen detailliert zu steuern, man sagt auch: feingranular.

Statt pauschale Zugriffsrechte zu vergeben, kannst du detaillierte Rollen vorgeben, die den jeweiligen Verantwortlichkeiten und Aufgaben der Mitarbeitenden entsprechen. So kann beispielsweise ein Mitarbeiter im Vertrieb lediglich Leserechte auf bestimmte SharePoint-Ordner erhalten, während der zuständige Teamleiter umfassendere Rechte wie das Bearbeiten oder Löschen von Inhalten erhält. Auch administrative Rollen kannst du aufgabenabhängig zuweisen, etwa für das Benutzer- oder Lizenzmanagement, ohne dass die jeweilige Rolle Rechte für weitreichende Systemzugriffe bekommen muss.

Zusätzlich empfiehlt Microsoft die Aktivierung der Multi-Faktor-Authentifizierung (MFA), um die Identität der Nutzer zuverlässig zu verifizieren. Damit wird selbst bei gestohlenen Passwörtern der unbefugte Zugriff erheblich erschwert. Noch einen Schritt weiter gehst du mit sogenanntem Conditional Access: Hier kannst du sogar zusätzlich noch weitere Regeln dafür definieren, wann einem Nutzer oder einer Nutzerin der Zugriff erlaubt wird, und diesen beispielsweise von seinem Ort oder ihrem Gerät abhängig machen.

Sensible Daten erkennen und schützen: Data Loss Prevention (DLP)

Wenn dein Unternehmen mit besonders sensiblen Daten arbeitet, dann kann es sinnvoll sein, dass du die Microsoft-Lösung Purview hinzu buchst. Hierbei handelt es sich um eine Sammlung von Tools speziell für den Schutz und die rechtskonforme Verarbeitung sensibler Daten.

Ein wichtiges Tool innerhalb von Purview, das du auf der ganzen Microsoft-365-Plattform einsetzen kannst, ist Data Loss Prevention (DLP), die in Microsoft 365 integriert ist. DLP ist in der Lage, bestimmte Datenarten zu erkennen und automatisch zu schützen. Dabei kann es sich um personenbezogene Informationen wie etwa Finanzdaten, Gesundheitsdaten oder andere vertrauliche Inhalte handeln.

Über vorgefertigte oder von dir definierte Regeln analysiert das System Inhalte in E-Mails, Dokumenten oder Chatnachrichten in Echtzeit. Wird eine potenzielle Datenschutzverletzung festgestellt, können automatisch Maßnahmen ergriffen werden: von Warnmeldungen für den Benutzer über das Blockieren der Aktion bis hin zur automatischen Verschlüsselung. So kann beispielsweise verhindert werden, dass eine Excel-Datei mit Kundendaten versehentlich per E-Mail an einen externen Empfänger gesendet oder in einem öffentlichen SharePoint-Ordner gespeichert wird.

DLP funktioniert plattformweit in Outlook, SharePoint, OneDrive for Business und Microsoft Teams. Dies ermöglicht dir eine konsistente Sicherheitsstrategie über sämtliche Kommunikations- und Speicherkanäle hinweg und verhindert, dass durch Unaufmerksamkeit sensible Daten versehentlich in unbefugte Hände geraten.

E-Mail-Verschlüsselung aktivieren: Kommunikation absichern

Trotz vieler Alternativen kommt praktisch kein Unternehmen ohne E-Mail aus, und E-Mail-Kommunikation ist nach wie vor ein beliebtes Einfallstor für Datenlecks und Angriffe. Mit Office 365 Message Encryption (OME) bietet Microsoft 365 eine leistungsfähige Lösung zur Verschlüsselung von E-Mails. Diese ermöglicht es dir und deinen Mitarbeitenden, Nachrichten direkt aus Outlook heraus zu verschlüsseln, sodass nur der beabsichtigte Empfänger sie lesen kann. Das funktioniert sowohl für interne als auch für externe Empfänger:innen.

Ein großer Vorteil von OME liegt in der Benutzerfreundlichkeit – und mangelnde Benutzerfreundlichkeit anderer Lösungen ist oft der Grund, warum E-Mails nicht verschlüsselt werden. Mit OME könnene auch externe Empfänger, die keinen Microsoft-Account haben, verschlüsselte Nachrichten über ein sicheres Webportal lesen und beantworten. Zusätzlich lässt sich OME mit DLP-Richtlinien kombinieren, sodass E-Mails mit sensiblen Inhalten automatisch verschlüsselt werden.

Du kannst mit OME außerdem vordefinierte Verschlüsselungsrichtlinien erstellen, etwa für bestimmte Empfängergruppen oder Schlüsselwörter. Die nahtlose Integration dieses Verfahrens in Outlook macht verschlüsselte E-Mail-Kommunikation so zu einem intuitiven Teil des Alltags in deinem Unternehmen.

Backup-Strategien mit OneDrive & SharePoint: Datenverluste vermeiden

Ob durch versehentliches Löschen, Cyberangriffe oder Systemfehler – Datenverluste sind ein realistisches Risiko, mit dem du immer wieder konfrontiert werden wirst. Früher sagte man verzweifelten Nutzer:innen im Falle eines Datenverlustes: „Kein Backup, kein Mitleid“ – in anderen Worten, Nutzer:innen müssen sich um Sicherheitskopien selbst kümmern. Microsoft sieht das etwas weicher: Im Rahmen des sogenannten "Shared Responsibility Models" liegt die Verantwortung für die Sicherung und Wiederherstellung von Daten sowohl bei Nutzer:innen als auch bei Microsoft.

In der Realität sieht das so aus: Microsoft 365 bietet mit OneDrive und SharePoint bereits leistungsfähige Funktionen zur Datensicherung und -wiederherstellung. Du kannst auf ältere Versionen von Dokumenten zugreifen, gelöschte Dateien aus dem Papierkorb wiederherstellen oder ganze Bibliotheken aus einem früheren Zustand rekonstruieren. Für die Wiederherstellung nach Ransomware oder versehentlichen Datenverlusten sind diese Bordmittel in vielen Fällen schon ausreichend – aber nicht immer.

Für besonders geschäftskritische Daten empfiehlt sich dennoch der Einsatz zusätzlicher Backup-Lösungen von Drittanbietern. Diese ermöglichen beispielsweise Langzeitarchivierung, automatische Berücksichtigung gesetzlicher Aufbewahrungsfristen und ähnliches und können als zusätzliche Sicherheitsebene dienen.

DSGVO-konforme Nutzung von Microsoft 365: Datenschutz von Anfang an

Das hat sich mittlerweile herumgesprochen: Für Unternehmen in der EU ist die Einhaltung der Datenschutz-Grundverordnung (DSGVO) Pflicht. Obwohl Microsoft ein US-Unternehmen ist, wurde Microsoft 365 auch mit Blick auf regulatorische Anforderungen entwickelt und bietet zahlreiche Funktionen, die eine DSGVO-konforme Nutzung erleichtern.

Hierzu zählen: Ddie Speicherung der Daten in europäischen Rechenzentren, rollenbasierte Zugriffskontrollen und die Möglichkeit, mit dem Compliance Manager (ebenfalls Teil von Purview) als zentralem Werkzeug auch eigene oder nationale bzw. lokale Datenschutzregeln zu überwachen, Risikobewertungen durchzuführen und Umsetzungsmaßnahmen zu dokumentieren.

Trotzdem genügen die von Microsoft zur Verfügung gestellten Unterlagen nicht immer den EU-Standards, beispielsweise im Rahmen der Auftragsdatenverarbeitung. Mehr dazu liest du in dieser Handreichung des Bayrischen Landesbeauftragten für Datenschutz. Empfohlen wird hier unter anderem der Abschluss einer Zusatzvereinbarung zu Microsofts eigenen Vertragstexten. Auch Maßnahmen zum Schutz der eigenen personenbezogenen Daten vor Microsofts Zugriff sollten laut BayLfD und Kollegen ergriffen werden, beispielsweise pseudonyme Mailadressen und die Anonymisierung von Metadaten.

Microsoft 365 ist also insgesamt eine moderne und leistungsstarke Plattform, mit der du auch in der Cloud sicher und datenschutzkonform tätig sein kannst. Durch den klugen Einsatz integrierter Sicherheitsfunktionen wie Datenverschlüsselung (optimalerweise mit eigenen kryptografischen Schlüsseln), rollenbasierte Zugriffskontrolle, Data Loss Prevention und E-Mail-Verschlüsselung lassen sich sowohl technische als auch organisatorische Risiken minimieren.

Behalte im Auge, dass Microsoft ein US-Unternehmen ist, und recherchiere Spezialfälle im Datenschutz besser selbst – so kannst du rechtzeitig mit eigenen Maßnahmen nachbessern, wenn deine Geschäftstätigkeit oder die Daten, mit denen du umgehst, es erforderlich machen.