Sicherheitsregeln für Microsoft 365a-Tenants und Azure-Workloads lassen sich über zwei Werkzeuge ausrollen: den Baseline Security Mode im Admin Center und die Sicherheitsbaselines der Azure-Computerkonfiguration. Beide setzen kuratierte Vorgaben per Klick durch, exportieren das Ergebnis als JSON-Artefakt und melden Compliance an die Auswertungsdashboards. Für Unternehmen, die eine konsistente Sicherheitskonfiguration über hybride Umgebungen hinweg anstreben, bieten diese Mechanismen einen direkten Weg, um Schwachstellen zu reduzieren und Prüfanforderungen zu erfüllen.
Baseline Security Mode: Zentrale Sicherheitsvorgaben für Microsoft 365
Der Baseline-Sicherheitsmodus (BSM) im Microsoft 365 Admin Center bündelt vordefinierte Konfigurationsregeln in den Bereichen Authentifizierung, Dateien und Raumgeräte. Administratoren wählen ein oder mehrere Mandantenobjekte aus und wenden die Baseline mit einem Klick an. Ein Simulationsmodus zeigt vorab, welche Nutzer und Anwendungen von den Änderungen betroffen wären – essenziell für Change-Management-Prozesse in komplexen Organisationen. Die Regeln umfassen unter anderem die Aktivierung der mehrstufigen Authentifizierung, das Sperren veralteter Authentifizierungsprotokolle und die Begrenzung von Dateifreigaben auf autorisierte Benutzer. Nach der Aktivierung exportiert BSM ein JSON-Artefakt, das sich in SIEM- oder Ticketingsysteme einbinden lässt. Die Compliance-Ergebnisse fließen direkt in die Microsoft Secure Score-Ansicht und in die Compliance-Manager-Dashboards ein, sodass Sicherheitsverantwortliche den Gesamtstatus auf einen Blick erfassen können.
Azure-Computerkonfiguration: Sicherheitsbaselines für Gastbetriebssysteme
Auf Azure-Seite ergänzt die Computerkonfiguration die Auswertungslogik von Azure Policy um Audit und Erzwingung im Gastbetriebssystem von Windows- und Linux-Maschinen. Die Baselines stützen sich auf die CIS-Benchmarks und die Azure Compute Security Baseline von Microsoft. Für Windows-Server überprüft die Konfiguration beispielsweise die SMB-Härtung, die Virtual Based Security und die Konfiguration von Microsoft Defender. Bei Linux-Systemen werden Berechtigungen, SSH-Konfiguration und Firewall-Regeln erfasst. Der Betriebsmodus kann wahlweise auf „Audit“ (nur Prüfung) oder „Enforce“ (automatische Korrektur) eingestellt werden. Maschinen, die von der Baseline abweichen, erscheinen im Azure Policy-Dashboard als Non-Compliant. Die Telemetrie wird an Log Analytics-Arbeitsbereiche gesendet und kann mit Workbooks visualisiert werden.
Integration in bestehende Compliance-Sichten
Beide Werkzeuge liefern Telemetrie und integrieren sich in bestehende Compliance-Sichten. Der Baseline Security Mode meldet die Ergebnisse direkt an Microsoft 365 Defender und den Compliance Manager, während die Azure-Computerkonfiguration die Daten über Azure Policy an das Azure Security Center und Defender for Cloud weiterleitet. Dadurch entsteht ein einheitliches Bild der Sicherheitslage – von der Benutzerverwaltung über SaaS-Workloads bis hin zu skalaren Compute-Ressourcen. Unternehmen können auf dieser Grundlage Richtlinien für die gesamte Organisation ableiten und Abweichungen automatisiert nachverfolgen.
Voraussetzungen und praktische Umsetzung
Für die Nutzung des Baseline Security Mode ist eine Microsoft 365 E3- oder E5-Lizenz erforderlich. Administratoren benötigen die Rolle des Global Administrators oder Security Administrators. Die Azure-Computerkonfiguration erfordert eine Azure Policy-Ressourcenregistrierung sowie die Berechtigung zum Zuweisen von Initiativen. Beide Dienste sind im Azure-Portal beziehungsweise Admin Center innerhalb weniger Minuten konfiguriert. Ein wichtiger Tipp aus der Praxis: Vor dem Aktivieren des Erzwingungsmodus sollte die Simulation laufen, um unerwartete Auswirkungen auf produktive Workloads zu vermeiden. Gerade im Bereich Authentifizierung kann eine falsch gesetzte Baseline Benutzer blockieren, wenn beispielsweise Legacy-Clients keine moderne Authentifizierung unterstützen.
Mit der zunehmenden Automatisierung von Sicherheitskonfigurationen werden solche Baselines zum Standard. Unternehmen, die BSM und Azure Computer Configuration kombinieren, können ihre Compliance-Lücke signifikant schließen und gleichzeitig manuelle Prüfaufwände reduzieren. Die nächste Stufe der Entwicklung wird die KI-gestützte Anomalieerkennung sein, die Abweichungen von der Baseline nicht nur meldet, sondern präventiv Anpassungen empfiehlt. Für Sicherheitsteams lohnt es sich daher, die vorhandenen Werkzeuge heute zu evaluieren und als Fundament für eine dynamischere Sicherheitsstrategie zu nutzen – denn in hybriden Infrastrukturen ist eine einheitliche Baseline der erste Schritt zu nachhaltiger Resilienz.
