Mit Microsoft 365 Business Premium bezahlst du jeden Monat für Sicherheitsfunktionen, die in vielen KMU nie jemand eingerichtet hat. Defender for Business, Conditional Access, Anti-Phishing-Richtlinien: alles in der Lizenz enthalten, vieles davon inaktiv oder auf Standardwerten. In unserer Erfahrung ist das der Normalzustand, nicht die Ausnahme, und meistens weiss es der IT-Verantwortliche sogar. Ihm fehlen nur Zeit und Spezialwissen, um die Business Premium Sicherheitsfunktionen sauber zu betreiben. Bevor du also über zusätzliche Security-Produkte nachdenkst, lohnt sich ein nüchterner Blick auf das, was du längst besitzt.
Microsoft 365 Business Premium enthält einen vollwertigen Sicherheits-Stack: Defender for Business mit EDR, Defender for Office 365 gegen Phishing, Entra ID P1 mit Conditional Access und Intune für die Geräte. In vielen KMU ist davon nur ein Teil aktiv, und die Warnungen liest niemand systematisch. Die Lücke ist selten das Werkzeug. Sie ist der Betrieb dahinter: einrichten, lesen, bewerten, reagieren.
Welche Sicherheitsfunktionen stecken in Business Premium?
Business Premium enthält Defender for Business für die Endpoints (inklusive EDR), Defender for Office 365 Plan 1 mit Anti-Phishing, Safe Links und Safe Attachments, Microsoft Entra ID P1 mit Conditional Access sowie Intune für die Geräteverwaltung. Das ist im Kern derselbe Baukasten, mit dem Grossfirmen arbeiten, zugeschnitten auf Unternehmen bis 300 Benutzer.
Microsoft positioniert die Lizenz ausdrücklich als Kombination aus Produktivität und Sicherheit für kleine und mittlere Unternehmen; die offizielle Übersicht dazu findest du in der Microsoft-Dokumentation zu Business Premium. Auf dem Papier deckt die Lizenz damit die vier Flächen ab, über die Angreifer bei einem KMU hereinkommen: E-Mail, Identitäten, Geräte und Cloud-Daten.
| Funktion | Was sie kann | Was wir typischerweise antreffen |
|---|---|---|
| Defender for Business | Erkennt verdächtiges Verhalten auf Geräten und kann sie isolieren (EDR) | Läuft mit, die Warnungen liest niemand |
| Defender for Office 365 | Prüft Links und Anhänge, erkennt Phishing-Muster | Standardrichtlinien, seit der Einrichtung nie angepasst |
| Entra ID P1 mit Conditional Access | Steuert, wer sich von wo und mit welchem Gerät anmelden darf | MFA teilweise erzwungen, Conditional Access leer |
| Intune | Verwaltet Geräte und erzwingt Mindeststandards | Für den Mail-Zugriff eingerichtet, nicht für Sicherheit |
Die dritte Spalte ist keine Statistik, sondern das Bild aus unseren Tenant Reviews. Es wiederholt sich zuverlässig, ziemlich unabhängig von Branche und Grösse. Der Grund dafür ist unspektakulär: Viele Firmen haben Business Premium gar nicht wegen der Sicherheit gekauft, sondern wegen der Office-Apps oder weil der Mail-Zugriff auf privaten Handys eine Geräteverwaltung brauchte. Die Sicherheitshälfte der Lizenz kam als Beifang mit, und Beifang richtet niemand ein.
Warum nutzt diese Funktionen kaum jemand?
Weil das Betreiben dieser Funktionen ein eigener Beruf ist, und diesen Beruf gibt es in einer Firma mit 20 bis 150 Mitarbeitenden nicht. Mit Nachlässigkeit hat das wenig zu tun. Der IT-Verantwortliche macht Support, Beschaffung, Projekte und oft nebenbei noch das ERP. Conditional-Access-Richtlinien so zu entwerfen, dass sie schützen, ohne die Geschäftsleitung im falschen Moment auszusperren, ist keine Aufgabe für den Freitagnachmittag.
Dazu kommt der unangenehmere Teil: Diese Funktionen erzeugen Arbeit. Ein aktivierter Defender meldet sich, und zwar regelmässig. Jede Warnung will gelesen, bewertet und abgeschlossen werden. Wer das Portal öffnet und dreissig offene Meldungen sieht, schliesst es gerne wieder; warum genau das passiert und was dabei liegen bleibt, haben wir im Artikel über Defender-Warnungen, die niemand liest beschrieben. Eine Sicherheitsfunktion, die Arbeit macht, verliert im Alltag gegen jedes Tagesgeschäft. Das ist Betriebsrealität.
Wie das in der Praxis aussieht
Ein Dienstleistungsunternehmen mit rund 70 Mitarbeitenden, vollständig auf Microsoft 365, Business Premium seit über zwei Jahren. Verantwortlich: ein IT-Leiter, der daneben das ERP und die Telefonie betreut. Beim Tenant Review zeigte sich das übliche Muster. MFA war für gut die Hälfte der Konten erzwungen, mit Ausnahmen ausgerechnet bei der Geschäftsleitung. Conditional Access: keine einzige Richtlinie. Im Defender-Portal lagen Warnungen aus vier Monaten, darunter zwei riskante Anmeldungen aus Ländern ohne jeden Geschäftsbezug. Passiert war, soweit rekonstruierbar, nichts. Aber gemerkt hätte es auch niemand. Die Firma bezahlte seit zwei Jahren für Werkzeuge, die genau solche Fälle erkennen. Am Werkzeug hat es nie gefehlt.
Mehr Sicherheit ist für dich vermutlich kein Einkaufsthema. Solange die bezahlten Funktionen brachliegen, verschiebt jedes zusätzliche Produkt das Problem nur. Es vergrössert sogar den Stapel der Meldungen, die niemand liest. Bevor du kaufst, kläre, wer betreibt, was du hast.
Reicht es nicht, die Funktionen einmal zu aktivieren?
Aktivieren ist der richtige erste Schritt und bringt real etwas: Erzwungene MFA ohne Ausnahmen, die voreingestellten Sicherheitsrichtlinien von Defender for Office 365 und einige grundlegende Conditional-Access-Regeln heben die Hürde für Angreifer spürbar an. Nur bleibt danach eine Eigenschaft bestehen: Erkennung ist keine Reaktion. Aktivierte Funktionen verlagern die Frage von "Sehen wir etwas?" zu "Wer schaut hin, wenn wir etwas sehen?"
Am deutlichsten zeigt sich das beim Phishing. Angriffe auf Zugangsdaten per Mail, Telefon oder SMS gehören zu den Methoden, vor denen das Bundesamt für Cybersicherheit BACS laufend warnt, und sie zielen auf den Punkt, den keine Standardrichtlinie abdeckt: einen Menschen mit einem Passwort. Defender erkennt die riskante Anmeldung nach einem erbeuteten Passwort und kann sie automatisch unterbrechen. Ob dahinter ein Angriff steckt, ob weitere Konten betroffen sind, ob die Anmeldung aus Lissabon der Aussendienst in den Ferien war: Das entscheidet kein Schalter. Das entscheidet jemand mit Kontext zu deinem Betrieb.
Ehrlicherweise gilt auch die Gegenrichtung. Für einen Betrieb mit zehn Benutzern kann sauberes Aktivieren plus ein aufmerksamer IT-Partner genügen. Mit jeder Person, jedem Gerät und jedem Cloud-Dienst wächst aber die Menge an Signalen, und irgendwann wächst sie schneller als die Zeit, sie zu lesen. Ab diesem Punkt ist die Frage nicht mehr, ob deine Lizenz genug kann. Sie kann fast immer genug. Dann zählt, wessen Arbeitszeit fürs Lesen und Bewerten reserviert ist.
Was kostet es, die Sicherheitsfunktionen zu nutzen?
Die Funktionen selbst kosten nichts zusätzlich, sie sind Teil deiner bestehenden Lizenz. Kosten entstehen beim Einrichten und vor allem im laufenden Betrieb. Realistisch hast du drei Optionen: selbst betreiben, den IT-Partner beauftragen oder einen spezialisierten Dienst dazunehmen.
Selbst betreiben heisst konkret: Jemand im Haus baut Defender-Wissen auf und bekommt täglich geschützte Zeit dafür, auch in Ferien- und Krankheitswochen. Wer diese Rolle neu besetzen will, rechnet mit dem Jahreslohn eines Spezialisten, der trotzdem nur zu Bürozeiten arbeitet und irgendwann kündigt. Der IT-Partner ist die naheliegende zweite Option, verdient aber eine ehrliche Prüfung: Support und Security-Monitoring sind zwei verschiedene Berufe, und viele Partnerverträge decken den zweiten schlicht nicht ab. Die dritte Option ist ein SOC in KMU-Grösse. Bei uns beginnt das bei CHF 1'850 pro Monat, abgestuft nach Risikolevel, mit vertraglichen Reaktionszeiten zu Bürozeiten; die Stufen stehen transparent auf der Preisübersicht. Wer zuerst nur wissen will, wo der eigene Tenant heute steht, startet mit dem einmaligen Tenant Review für CHF 990. Zum Vergleich: Klassische 24/7-MDR-Angebote rechnen in Enterprise-Kategorien, für eine Nachtschicht, die ein Büro-KMU kaum je braucht.
Welche Option passt, ist eine Dimensionierungsfrage, keine Glaubensfrage. Ein Zehn-Personen-Betrieb ohne besondere Anforderungen braucht kein SOC, und ein Betrieb mit Nachtproduktion braucht mehr als Bürozeiten-Monitoring. Wie du die passende Grösse findest, haben wir separat aufgeschrieben.
Womit du anfangen kannst, ohne etwas zu kaufen
Für eine Standortbestimmung brauchst du weder Budgetfreigabe noch Projektauftrag. Drei Blicke genügen, und jeder davon tut vermutlich ein bisschen weh:
- Der Blick ins Defender-Portal. Wie alt ist die älteste offene Warnung? Ihr Datum sagt mehr über deine Überwachung aus als jedes Konzeptpapier.
- Der Blick auf die MFA-Ausnahmen. Ausnahmen sammeln sich erfahrungsgemäss bei den Konten mit den weitreichendsten Rechten, weil dort das Nachfragen am unbequemsten ist.
- Der Blick auf Conditional Access. Steht dort keine einzige Richtlinie, entscheidet heute allein das Passwort darüber, wer sich von wo anmeldet.
Was du danach tust, hängt vom Befund ab. Aber du diskutierst dann über deine eigene Lage statt über Produktbroschüren, und das allein verändert das Gespräch mit Geschäftsleitung, IT-Partner oder Versicherung. Auch der Fragebogen der Cyberversicherung lässt sich mit diesen drei Antworten deutlich gelassener ausfüllen.
Häufige Fragen
Brauche ich zusätzliche Security-Software zu Business Premium?
Für einen Büro-Betrieb auf Microsoft 365 in den seltensten Fällen. Die Lizenz deckt die vier grossen Flächen ab: E-Mail, Identitäten, Geräte, Cloud-Daten. Zusätzliche Produkte lohnen sich erst, wenn das Vorhandene ausgeschöpft ist oder wenn spezielle Anforderungen dazukommen, etwa Produktionsanlagen oder branchenspezifische Auflagen. Erst nutzen, was bezahlt ist, dann gezielt ergänzen.
Was unterscheidet Business Standard und Business Premium bei der Sicherheit?
Business Standard bringt den Basisschutz von Exchange Online mit und lässt dich MFA aktivieren. Business Premium ergänzt Defender for Business, Defender for Office 365, Conditional Access über Entra ID P1 und die Geräteverwaltung mit Intune. Sobald Kunden oder Versicherer Sicherheitsnachweise verlangen, ist Premium der realistische Ausgangspunkt, weil erst diese Werkzeuge belegbare Antworten ermöglichen.
Kann unser IT-Partner die Funktionen nicht einfach mitbetreuen?
Einrichten: oft ja, und das ist wertvoll. Laufend betreiben: selten, und genau dort entsteht die Lücke. Monitoring braucht tägliche Aufmerksamkeit und Urteilsvermögen bei der Triage, nicht nur Reaktion auf Zuruf. Frag deinen Partner konkret, wer eure Defender-Incidents innerhalb welcher Frist anschaut. An der Antwort erkennst du schnell, ob Monitoring Teil des Vertrags ist oder guter Wille.
Uns beschäftigt an diesem Thema vor allem eine Frage: Warum fällt es leichter, ein weiteres Produkt zu kaufen, als das bezahlte zu betreiben? Vermutlich, weil Kaufen sich nach Fortschritt anfühlt und Betreiben nach Arbeit aussieht. Dabei ist die Reihenfolge eindeutig: Erst braucht es jemanden, der hinschaut. Wie viel ungenutzte Sicherheit in deinem Tenant steckt, lässt sich mit überschaubarem Aufwand herausfinden.