Sicherheit in Office 365 optimal planen und umsetzen

Mit Office 365 bietet Microsoft, parallel zur Microsoft Azure-Umgebung, eine Cloudlösung für Unternehmen an. Neben den bekannten Office-Anwendungen wie Word, Excel und Powerpoint bietet Office 365 auch Dienst wie Exchange, Lync (bald: Skype for Business) und SharePoint Online. Für den Betrieb von Office 365 spielen natürlich auch Sicherheitsfragen eine wichtige Rolle.

Zahlreiche Anwender arbeiten mit der Cloudlösung von verschiedenen Arbeitsgeräten wie PCs, Notebooks, Tablets und Smartphones. Hier muss genau geregelt werden, welcher Anwender Rechte erhält, sich mit verschiedenen Geräten anzumelden und von wo aus das erlaubt ist. Auch die sichere Verwendung muss gewährleistet sein. Alle notwendigen Einstellungen dazu finden Administratoren in der Weboberfläche von Office 365.

Lokale Exchange-Server und Office 365 gemeinsam betreiben

Die sicherlich am meisten genutzte Komponente in Office 365 ist Exchange Online. Auf die spezifischen Sicherheitseinstellungen dieses Dienstes gehen wir in diesem Beitrag nicht genauer ein. Hier lassen sich nämlich alle Sicherheitsfeatures von Exchange Server 2013 nutzen, also Fernlöschen von Tablets/Smartphones, Spam- und Virenschutz, verschiedene Richtlinien für Exchange ActiveSync und mehr. Wir zeigen die wichtigsten Sicherheitseinstellungen, aber Office 365 bietet noch weit mehr Sicherheit, als wir in diesem Beitrag zeigen können. Hier bietet sich ein genauer Blick in der Verwaltungsportal von Office 365 ein sowie die Überprüfung der Standardeinstellungen, die oft nicht ideal gesetzt sind.

Auch wenn Office 365 im Einsatz ist, und kein eigener Exchange-Server, sollten sich Administratoren mit den Sicherheitseinstellungen von Exchange Server 2013 auskennen und diese auch in Office 365 entsprechend setzen. Darüber hinaus bietet Office 365 aber weitere Möglichkeiten, die speziell für den Clouddienst eine Rolle spielen, aber weniger bei lokal betriebenen Exchange-Servern. Natürlich lässt sich Office 365 auch parallel zu lokalen Exchange-Servern betreiben und auch an Exchange-Organisationen anbinden.

Bezüglich Sicherheit und Stabilität, spielen aktuelle kumulative Updates (CUs) eine besonders wichtige Rolle für lokale Exchange-Organisationen. Setzen Unternehmen Exchange und Office 365 gemeinsam ein, sollte auf den lokalen Exchange-Servern das jeweils aktuellste CU installiert sein, mindestens aber das CU7 für Exchange Server 2013, besser das CU8 oder neuer. Dieses bietet für Hybridbereitstellungen angepasste Assistenten und kann auch mehrere Exchange-Organisationen mit einem einzelnen Office 365-Abonnement verbinden. Microsoft stellt dazu auch verschiedene Anleitungen in der Technet zur Verfügung und geht auch genauer auf die Voraussetzungen für den gemeinsamen Betrieb von Office 365 und Exchange ein.

Standard-Einstellungen überprüfen

Generell ist es für jedes Office 365-Abonnement sinnvoll sich die Standardeinstellungen anzusehen und Sicherheitsoptionen möglichst schnell korrekt zu setzen. In der Weboberfläche steht für Administratoren dazu die App „Administrator“ zur Verfügung. Hier sind alle verfügbaren Optionen für das jeweilige Abonnement zu finden.

Die einzelnen Einstellungsmöglichkeiten unterscheiden sich zwischen den Abonnements. Während Administratoren mit Small-Business-Verträgen nur wenige Einstellungen anpassen können, stehen in den großen Verträgen alle Einstellungen zur Verfügung, die zum Beispiel auch im Exchange Admin Center von Exchange Server 2013 verfügbar sind. Sinnvoll ist jedem Fall ein Blick in den Bereich Diensteinstellungen. Hier lassen sich zahlreiche Sicherheitsoptionen setzen, vor allem im Bereich E-Mail. Über diesen Bereich können Administratoren aber auch dann das Exchange Admin Center aufrufen, wenn dieses normalerweise im aktuellen Vertrag nicht notwendig ist.

Im Bereich E-Mail lassen sich in der Administrator-App von Office 365 zahlreiche Sicherheitseinstellungen vornehmen (Screenshot: Thomas Joos).

Bezüglich der Sicherheit spielen zum Beispiel auch die Postfachrichtlinien und der Zugriff auf mobile Geräte eine wichtige Rolle. Hier lässt sich einstellen, welche Art von Geräten auf das Office 365-Abonnement zugreifen dürfen.

E-Mail-Verschlüsselung mit Office 365

Auf Basis von Office 365 lassen sich E-Mails auch verschlüsseln. Alle dazu notwendigen Funktionen sind Bestandteil von Office 365 in Zusammenarbeit mit Microsoft Azure. Unternehmen benötigen auch hier keine lokalen Server. Die Verschlüsselung funktioniert innerhalb und außerhalb der Organisation sowie auch für das Versenden zu anderen E-Mail-Anbietern. Die Technik ist Bestandteil von Microsoft Azure Active Directory Rights Management und in vielen Abonnements standardmäßig dabei. Auf Wunsch lässt sich der Dienst auch einzeln buchen, ohne andere Funktionen in Microsoft Azure.

Die Verschlüsselung von E-Mails wird nicht durch die Benutzer durchgeführt, sondern findet auf Basis der Transportregeln statt. Diese sind auch in Exchange verfügbar. Wenn die Verschlüsselungsfunktion in Office 365 gebucht wurde, können Administratoren Regeln erstellen, auf deren Basis bestimmte E-Mails automatisch verschlüsselt werden. Der Ablauf dazu ist folgender:

1. Klicken Sie in der Weboberfläche auf Administrator, und wählen Sie Exchange aus.
2. Klicken Sie auf Nachrichtenfluss und dann auf Regeln.
3. Erstellen Sie mit dem Pluszeichen eine neue Regel. Wählen Sie dazu Neue Regel erstellen aus.
4. Geben Sie der Regel einen Namen.
5. Wählen Sie bei „Diese Regel anwenden, wenn“ die Kriterien aus, bei denen Office 365 E-Mails verschlüsseln soll.
6. Klicken Sie auf Weitere Optionen.
7. Wählen Sie bei „Folgendermaßen vorgehen aus“: Die Nachrichtensicherheit ändern\Office 365-Nachrichtenverschlüsselung anwenden.

Die Nachrichtenverschlüsselung aktivieren Administratroren über eine neue Transportregel in Office 365 (Screenshot: Thomas Joos).

Mehrwege-Authentifizierung nutzen

Um die Sicherheit der Weboberfläche und die Anmeldung von mobilen Benutzern, auch über Tablets und Smartphones zu verbessern, bietet Office 365 auch eine Mehrwege-Authentifizierung an. Die Konfiguration dieser Technik ist recht einfach in der Weboberfläche zu finden. Dazu müssen Administratoren im Office 365 Admin Center im Bereich Benutzer und Gruppen auf Aktive Benutzer klicken. Hier sind auf der rechten Seite alle angelegten Benutzer zu sehen. Im oberen Bereich finden Administratoren die Option Mehrstufige Authentifizierungsanforderungen festlegen. Sobald sich der Anwender das nächste Mal am Office 365-Portal anmeldet, erhält er eine Meldung, dass die mehrstufige Authentifizierung aktiviert wurde, und er diese für sein Konto einrichten muss. Natürlich lassen sich in der Weboberfläche auch mehrere oder alle Benutzer auf einmal anpassen. Die Benutzer können diese Sicherheitsoption über einen Assistenten einrichten und verschiedene Funktionen nutzen.

Mit der Mehrwege-Authentifizierung erhöhen Administratoren die Sicherheit für Benutzer in Office 365 (Screenshot: Thomas Joos).

Microsoft stellt als Sicherheitsoption für die Mehrstufige Anmeldung Telefonanrufe zu bestimmten Nummern als Bestätigung oder auch eine spezielle Smartphone/Tablet-App zur Verfügung, über welche die Bestätigung der Anmeldung erfolgen soll. Alles ist einfach bedienbar und auch für ungeübte Anwender schnell umsetzbar.

Die Einstellungen für die Mehrwege-Authentifizierung können Anwender selbst in der Weboberfläche von Office 365 anpassen. Große Unternehmen können, neben dieser Technik, auch auf Azure Active Directory setzen und hier noch mehr Optionen für die Anmeldung festlegen.