Nomad Security technisch erklärt: was wir konfigurieren, warum, und wie wir es prüfen.

• Identität ist der neue Perimeter. Die meisten erfolgreichen Angriffe auf kleine Betriebe beginnen mit einem übernommenen Konto, nicht mit einem Exploit gegen die Firewall. Deshalb kommt die Anmeldung zuerst.
• Standardmäßig verweigern. Zugriff, Netzverkehr und Rechte werden ausdrücklich erlaubt, nicht ausdrücklich verboten.
• Erst messen, dann scharf schalten. Jede Richtlinie läuft zuerst im Audit- oder Berichtsmodus. Wir schalten erst scharf, wenn wir wissen, was sie im Alltag blockiert.
• Ein Backup, das nicht zurückgespielt wurde, gibt es nicht. Wiederherstellung wird geübt und protokolliert.
• Alles ist dokumentiert. Jede Einstellung, jede Ausnahme mit Begründung. Damit Sie, ein Auditor oder ein Nachfolger nachvollziehen können, warum etwas so ist.

Wir bauen auf dem Microsoft-Stack auf, weil ihn die meisten unserer Kunden ohnehin bezahlen. Microsoft 365 Business Premium deckt für Betriebe bis 300 Nutzer den Großteil ab. Was darüber hinausgeht, ergänzen wir gezielt.

Welche Lizenz für welchen Betrieb passt, erklären wir ausführlich auf der Seite Microsoft 365 Business Premium.

Ziel: Ein gestohlenes Passwort allein reicht für nichts mehr, Admin-Rechte sind selten, getrennt und überwacht, und Anmeldungen von unbekannten Geräten oder aus fremden Ländern laufen ins Leere.

Die Conditional-Access-Richtlinien, die wir als Standard setzen

Mit Entra ID P2 kommen risikobasierte Richtlinien dazu: Bei hohem Anmelderisiko (etwa unmöglicher Reise oder bekannten Angreifer-IPs) wird MFA erzwungen oder die Anmeldung gesperrt, bei hohem Benutzerrisiko ein Passwortwechsel.

Admin-Konten und Notfallzugang

• Getrennte Admin-Konten ohne Postfach und ohne Lizenz, nur Cloud-Konten (nicht aus dem lokalen AD synchronisiert).
• Höchstens zwei bis vier globale Administratoren. Alle anderen bekommen nur die Rolle, die sie brauchen, zum Beispiel Exchange- oder Intune-Administrator.
• Mit Entra ID P2: Privileged Identity Management, also Admin-Rechte nur auf Anforderung, zeitlich begrenzt und mit Begründung.
• Zwei Notfallkonten (Break-Glass) auf der .onmicrosoft.com-Domain, mit FIDO2-Schlüsseln, getrennt verwahrt, von Conditional Access ausgenommen. Jede Anmeldung damit löst sofort einen Alarm aus.

Authentifizierungsmethoden

• Microsoft Authenticator mit Nummernabgleich als Standard, Passkeys und FIDO2-Schlüssel für Admins und Vielreisende.
• SMS und Sprachanruf werden abgeschaltet, sobald alle umgestellt sind.
• Neue Mitarbeiter starten mit einem befristeten Zugriffspass (Temporary Access Pass) statt mit einem per Mail verschickten Passwort.

Apps, Gäste und Altlasten

• Benutzer dürfen Drittanbieter-Apps keine Berechtigungen auf Firmendaten erteilen. Stattdessen gibt es einen Freigabe-Workflow für Admins. Das verhindert Angriffe über bösartige OAuth-Apps, die ohne Passwort dauerhaft Zugriff behalten.
• Gastzugriffe werden eingeschränkt und regelmäßig überprüft, verwaiste Gäste entfernt.
• Konten ausgeschiedener Mitarbeiter, ungenutzte Lizenzen und freigegebene Postfächer mit aktivierter Anmeldung werden bereinigt.

Ziel: Niemand kann mit Ihrer Domain Mails fälschen, schädliche Links und Anhänge werden vor dem Öffnen geprüft, und ein übernommenes Postfach kann keine Daten unbemerkt nach außen leiten. Hintergrund für Einsteiger: SPF, DKIM, DMARC einfach erklärt.

SPF, DKIM, DMARC: die Einführung in vier Schritten

beispiel.de.          TXT   "v=spf1 include:spf.protection.outlook.com include:_spf.newsletter-dienst.de -all"
_dmarc.beispiel.de.   TXT   "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@beispiel.de; adkim=r; aspf=r"
selector1._domainkey  CNAME → (von Microsoft für Ihren Tenant vorgegeben)
selector2._domainkey  CNAME → (von Microsoft für Ihren Tenant vorgegeben)

• SPF darf höchstens 10 DNS-Abfragen auslösen. Bei vielen Diensten wird es sonst ungültig, und zwar stillschweigend. Wir zählen nach.
• DKIM aktivieren wir im Defender-Portal mit 2048-Bit-Schlüsseln. Externe Versanddienste bekommen eigene Selektoren.
• Domains, die keine Mails verschicken, bekommen v=spf1 -all, eine DMARC-Reject-Richtlinie und einen Null-MX. Sonst werden genau diese Domains zum Fälschen benutzt.
• Optional: MTA-STS und TLS-Reporting, damit Mails an Sie nur verschlüsselt zugestellt werden.

Google und Yahoo verlangen seit Februar 2024 von Absendern großer Mengen SPF, DKIM und DMARC. Microsoft zieht für Outlook.com seit 2025 nach. Ohne saubere Einträge landen auch normale Rechnungen zunehmend im Spam.

Defender for Office 365 und Exchange Online

• Voreingestellte Sicherheitsrichtlinie „Standard“ oder „Strikt“ als Basis, eigene Richtlinien nur, wo nötig.
• Safe Links prüft Links zum Zeitpunkt des Klicks, Safe Attachments öffnet Anhänge vorher in einer Sandbox.
• Schutz vor Identitätsfälschung für Geschäftsführung, Buchhaltung und die eigenen Domains, dazu Postfachintelligenz.
• Automatische Weiterleitung an externe Adressen ist blockiert. Das ist eines der ersten Dinge, die Angreifer nach einer Postfachübernahme einrichten.
• Hinweis „Externer Absender“ in Outlook, SMTP AUTH nur dort, wo ein Gerät es wirklich braucht.
• Einheitliches Überwachungsprotokoll (Unified Audit Log) aktiv und geprüft, Postfachüberwachung für alle Postfächer.

Ziel: Jedes Gerät, das auf Firmendaten zugreift, ist bekannt, verschlüsselt, aktuell und überwacht. Ein Gerät, das diese Bedingungen nicht erfüllt, bekommt über Conditional Access keinen Zugriff.

Bereitstellung und Konformität

• Neue Windows-Geräte kommen per Windows Autopilot direkt vom Händler in die Verwaltung und sind Entra-ID-gebunden. Kein manuelles Aufsetzen, kein Golden Image.
• Konformitätsrichtlinien: BitLocker aktiv, Secure Boot und TPM, Mindest-Betriebssystemversion, Defender-Echtzeitschutz und Firewall aktiv, Risikostufe aus Defender höchstens „mittel“.
• macOS mit FileVault, iOS und Android entweder vollverwaltet oder als privates Gerät nur mit App-Schutzrichtlinien (kein Kopieren aus Outlook in private Apps).

Härtung

• Intune-Sicherheitsbaselines für Windows, Defender und Edge, abgeglichen mit den CIS-Benchmarks Level 1. Abweichungen dokumentieren wir mit Begründung.
• BitLocker mit Schlüsselsicherung in Entra ID, Wiederherstellungsschlüssel nur für berechtigte Admins sichtbar.
• Windows LAPS: Jedes Gerät hat ein eigenes, regelmäßig wechselndes Passwort für das lokale Admin-Konto. Ein erbeutetes Passwort öffnet nicht alle Rechner.
• Keine lokalen Admin-Rechte im Alltag. Software kommt über Intune, Ausnahmen werden kontrolliert freigegeben.
• Makros aus dem Internet blockiert, Ausführung von Skripten aus Downloads und Temp-Ordnern eingeschränkt.

Attack-Surface-Reduction-Regeln (Auswahl)

ASR-Regeln führen wir immer zuerst im Überwachungsmodus ein, werten zwei bis vier Wochen aus und schalten dann auf Blockieren. Typische Regeln:

• Office-Anwendungen dürfen keine untergeordneten Prozesse starten
• Diebstahl von Anmeldeinformationen aus LSASS blockieren
• Ausführbare Inhalte aus E-Mail und Webmail blockieren
• JavaScript und VBScript dürfen keine heruntergeladenen Programme starten
• Win32-API-Aufrufe aus Office-Makros blockieren
• Nicht vertrauenswürdige und unsignierte Prozesse von USB-Datenträgern blockieren
• Erweiterter Schutz vor Ransomware

Defender for Business

• EDR auf allen Geräten, Manipulationsschutz aktiv, damit Schadsoftware den Virenschutz nicht abschalten kann.
• Automatische Untersuchung und Behebung: Defender isoliert verdächtige Dateien und Prozesse selbstständig.
• Netzwerkschutz und Webinhaltsfilter blockieren bekannte Phishing- und Malware-Seiten, auch außerhalb des Firmennetzes.

Ziel: Wir wissen jederzeit, welche Software mit welcher Version auf welchem Gerät läuft, welche Lücken offen sind, und schließen die gefährlichen zuerst. Laut BSI-Lagebericht 2025 wurden im Schnitt 119 neue Schwachstellen pro Tag bekannt. Ohne Priorisierung ist das nicht zu schaffen.

Update-Ringe für Windows und Office

Mit Fristen und Kulanzzeit: Spätestens nach Ablauf wird neu gestartet, aber nie mitten am Arbeitstag ohne Vorwarnung. Drittanbieter-Software wie Browser, PDF-Reader, Java, 7-Zip oder Zoom aktualisieren wir zentral mit. Dort liegen in der Praxis die meisten offenen Lücken.

Priorisierung

Neben CVSS beziehen wir die Wahrscheinlichkeit einer Ausnutzung (EPSS) und die Erreichbarkeit ein. Eine mittlere Lücke in der VPN-Appliance am Internet ist dringender als eine kritische in einem Programm, das niemand mehr startet. Das sind Richtwerte, keine Garantie; verbindliche Fristen vereinbaren wir bei Bedarf individuell.

Was wir sonst noch scannen

• Defender Vulnerability Management für Software-Inventar, Gefährdungswert und Empfehlungen pro Gerät.
• Firmware von Firewall, VPN-Gateway, Switches, Access Points, NAS und Druckern. Gerade VPN-Appliances sind seit Jahren ein bevorzugtes Ziel.
• Externer Scan Ihrer öffentlichen IP-Adressen und Domains: offene Ports, Dienste, TLS-Versionen, abgelaufene Zertifikate, aus dem Internet erreichbare Verwaltungsoberflächen.
• Geräte ohne Hersteller-Support, zum Beispiel Rechner mit Windows 10 nach Ende der Updates. Dazu unser Artikel Windows 10 ist abgelaufen.

Ziel: Ein Angreifer, der ein Gerät übernimmt, kommt von dort nicht überall hin. Verwaltungsoberflächen sind aus dem Internet nicht erreichbar, und Fernzugriff gibt es nur mit MFA.

Segmentierung: ein typischer VLAN-Plan

Zwischen den Netzen gilt: alles verboten, was nicht ausdrücklich erlaubt ist. Jede Regel hat einen Zweck und einen Verantwortlichen.

Firewall, WLAN und Fernzugriff

• Keine Portweiterleitungen für RDP oder SMB ins Internet. Verwaltungsoberflächen nur aus dem Management-Netz.
• Firewall mit Einbruchserkennung (IPS), DNS-Filter gegen bekannte Schad-Domains und Geo-Blocking für eingehende Verbindungen.
• Firmen-WLAN mit WPA3- oder WPA2-Enterprise und 802.1X, Anmeldung per Zertifikat statt gemeinsamem Passwort. Wo das nicht geht: starkes, regelmäßig gewechseltes Passwort und eigenes VLAN.
• Fernzugriff per VPN mit MFA oder als Zero-Trust-Zugang, bei dem Nutzer nur einzelne Anwendungen erreichen statt das ganze Netz.
• Ungenutzte Switch-Ports abgeschaltet, Standardpasswörter auf allen Geräten ersetzt, SNMPv3 statt v1/v2.

Für Mitarbeiter im Homeoffice gelten dieselben Regeln über Intune und Conditional Access, unabhängig vom heimischen Router. Mehr dazu: Homeoffice sicher einrichten.

Ziel: Nach einem Totalausfall wissen Sie vorher, welches System nach wie vielen Stunden wieder läuft, und das ist getestet.

Die 3-2-1-1-0-Regel

• Der Backup-Server ist nicht Mitglied der Domäne, die Backup-Konsole hat eigene Konten mit MFA. Angreifer mit Domänen-Admin-Rechten kommen so nicht an die Sicherungen.
• Für jedes System legen wir RPO (wie viel Datenverlust ist tragbar) und RTO (wie schnell muss es wieder laufen) fest und wählen danach Intervall und Verfahren.
• Wiederherstellungstests mindestens quartalsweise mit Protokoll: einzelne Dateien, ein Postfach, ein komplettes System.

Microsoft 365 braucht ein eigenes Backup

Microsoft betreibt die Dienste hochverfügbar, eine Sicherung im eigentlichen Sinn ist das nicht. Gelöschte Mails liegen standardmäßig 14 Tage (maximal 30) im Ordner für wiederherstellbare Elemente, der SharePoint-Papierkorb hält 93 Tage. Wer eine Löschung oder Verschlüsselung später bemerkt, hat ohne eigenes Backup verloren. Wir sichern Exchange, OneDrive, SharePoint und Teams mehrmals täglich bei einem Drittanbieter mit Speicherort in der EU. Ausführlich: Warum Microsoft 365 ein eigenes Backup braucht.

Ziel: Ein Angriff wird an typischen Signalen früh erkannt, und im Ernstfall läuft ein abgestimmter Plan ab, kein Improvisieren.

Welche Signale wir überwachen

• Vorfälle und Warnungen aus Microsoft Defender XDR: Endgeräte, E-Mail und Identitäten zusammengeführt.
• Anmeldeprotokolle in Entra ID: Anmeldungen aus neuen Ländern, fehlgeschlagene MFA-Serien, riskante Anmeldungen.
• Neu angelegte Posteingangsregeln, die Mails löschen, verschieben oder weiterleiten. Das ist ein klassisches Zeichen für ein übernommenes Postfach.
• Neue App-Berechtigungen, neu registrierte MFA-Methoden, neue Admin-Rollenzuweisungen.
• Ausfälle oder Fehler bei Backups, deaktivierter Virenschutz, Geräte, die sich lange nicht gemeldet haben.

Entra-Anmeldeprotokolle werden mit P1 nur 30 Tage, das Standard-Überwachungsprotokoll 180 Tage aufbewahrt. Wo eine längere Aufbewahrung nötig ist, etwa für NIS2 oder Forensik, leiten wir die Protokolle in einen eigenen Log-Speicher aus.

Ablauf bei einem übernommenen Konto

1. Konto sperren, alle Sitzungen und Tokens widerrufen
2. Passwort zurücksetzen, vom Angreifer hinzugefügte MFA-Methoden entfernen
3. Posteingangsregeln, Weiterleitungen und Stellvertretungen prüfen und entfernen
4. Erteilte App-Berechtigungen (OAuth) prüfen und widerrufen
5. Gesendete Mails und Zugriffe im Überwachungsprotokoll auswerten
6. Empfänger warnen, falls Phishing aus dem Konto verschickt wurde
7. Ursache klären, Lücke schließen, Bericht und Meldepflichten prüfen

Ablauf bei Malware oder Ransomware

• Betroffene Geräte über Defender isolieren. Sie bleiben für die Untersuchung erreichbar, können aber nicht mehr mit dem Netz sprechen.
• Beweise sichern: Untersuchungspaket aus Defender, Protokolle, betroffene Dateien. Erst dann aufräumen.
• Backups vom Netz trennen und deren Unversehrtheit prüfen, bevor zurückgespielt wird.
• Bei Bedarf Übergabe an Forensiker und Versicherung, Abstimmung mit der Polizei (Zentrale Ansprechstelle Cybercrime des LKA NRW).
• Wiederherstellung nach festgelegter Reihenfolge, danach Nachbesprechung und Maßnahmen.

Für den Fall, dass es Sie ohne uns trifft: Ransomware: was in den ersten 24 Stunden zählt und IT-Notfallplan auf einer Seite.

Phishing-Simulationen, die etwas messen

• Startmessung ohne Vorwarnung, danach monatlich wechselnde, realistische Szenarien: Paketdienst, Rechnung, Microsoft-Anmeldung, Teams-Nachricht, QR-Code.
• Wir messen nicht nur die Klickrate, sondern vor allem die Melderate: Wie viele melden die Mail über den Melde-Button? Das ist der Wert, der im Ernstfall schützt.
• Wer klickt, bekommt eine kurze Lerneinheit, keine Bloßstellung. Auswertung nur nach Abteilung.

Was wir dokumentieren

• Richtlinien-Dokumentation: jede Einstellung, jede Ausnahme mit Begründung und Datum
• Berechtigungskonzept: wer darf auf welche Daten, wer genehmigt Änderungen
• Technische und organisatorische Maßnahmen (TOM) für die DSGVO
• IT-Notfallplan mit Kontakten, Abschaltreihenfolge und Wiederherstellungsplan
• Nachweise für Cyberversicherung, Kunden-Audits und NIS2

Mitarbeiterschulungen zu KI-Tools verbinden wir auf Wunsch mit der KI-Schulung nach EU AI Act.

Jedes Projekt beginnt mit einem Audit und endet mit Messwerten. So sehen Sie, was sich verändert hat, und wir sehen es auch.

Was das Audit prüft

• Microsoft Secure Score mit Einzelauswertung der offenen Empfehlungen
• Alle Conditional-Access-Richtlinien, Admin-Rollen, Notfallkonten, App-Berechtigungen und Gäste
• Exchange: Weiterleitungen, Postfachregeln, SMTP AUTH, SPF, DKIM, DMARC
• Intune: Geräte, Konformität, Verschlüsselung, Update-Stand
• Externer Scan der öffentlichen Angriffsfläche, interner Scan von Clients, Servern und Netzwerkgeräten
• Backup: Konzept, Trennung, letzte erfolgreiche Wiederherstellung

Ergebnis ist ein Bericht mit Befunden, Risiko und Maßnahmen in drei Prioritäten. Penetrationstests, bei denen wir gezielt versuchen einzudringen wie ein Angreifer, bieten wir demnächst ebenfalls selbst an.

Woran wir den Erfolg messen

Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Die Maßnahmen, die betroffene Einrichtungen umsetzen müssen, stehen in § 30 BSIG und folgen Art. 21 Abs. 2 der NIS2-Richtlinie. So decken unsere Bausteine sie ab:

Technische Umsetzung und Nachweise liefern wir. Die rechtliche Einordnung, ob und wie Ihr Unternehmen betroffen ist, ersetzt das nicht. Einen ersten Überblick gibt die Betroffenheitsprüfung des BSI und unser Artikel NIS2 im Mittelstand.