Inhalt
Kurzantwort
Die Bürocloud bündelt E-Mail, Dateien und Kalender – und damit einen Großteil des Betriebs. Die wichtigsten Schritte sind meist ohne Zusatzprodukte möglich: MFA für alle, getrennte Admin-Konten, kontrollierte Freigaben und ein sauberes Offboarding. Welche Funktionen genau verfügbar sind, hängt vom gebuchten Tarif ab.
Warum ist das für kleine Unternehmen relevant?
Ein übernommenes Cloud-Konto öffnet Postfach, Dateien und oft weitere verknüpfte Dienste. Gleichzeitig wachsen Freigaben über die Zeit unbemerkt: Links, die öffentlich zugänglich sind, oder ehemalige Partner mit Zugriff.
Was gehört dazu?
MFA für alle Konten
Pflicht für alle Nutzer, nicht nur Admins. Alte Anmeldeverfahren ohne MFA abschalten, soweit möglich.
Basis
Getrennte Admin-Konten
Administration über eigene Konten ohne E-Mail-Alltag, mit starkem zweiten Faktor; mindestens zwei Admins für den Notfall.
Basis
Freigaben und Berechtigungen
Regeln für externe Freigaben, regelmäßige Prüfung offener Links und Gruppenrechte.
Basis
Sitzungsschutz und Phishing
Warnungen bei ungewöhnlichen Anmeldungen, Sitzungen nach Vorfällen beenden, Weiterleitungsregeln überwachen.
Sinnvoll bei wachsender IT
Protokolle
Anmelde- und Aktivitätsprotokolle aktivieren und Aufbewahrungsdauer kennen – teils tarifabhängig.
Sinnvoll bei wachsender IT
Backup-Einordnung
Aufbewahrung und Papierkorb des Anbieters sind kein vollständiger Ersatz für ein unabhängiges Backup.
Sinnvoll bei wachsender IT
Offboarding
Konto sperren, Daten übertragen, Sitzungen und App-Zugriffe beenden, Lizenz erst danach entfernen.
Basis
Was schützt die Maßnahme?
- Kontoübernahme durch Passwortdiebstahl
- Unbeabsichtigte öffentliche Freigaben
- Zugriffe ehemaliger Mitarbeitender und Partner
Was schützt sie nicht?
- Mitarbeitende, die auf echten Anmeldeseiten getäuscht werden und Freigaben erteilen
- Datenverlust ohne eigenes Backup
- Fehlkonfigurationen, die niemand prüft
Welche Basismaßnahmen reichen oft?
- 01MFA für alle Konten und Admin-Konten getrennt
- 02Externe Freigaben einschränken und regelmäßig prüfen
- 03Automatische Weiterleitungen nach extern blockieren oder überwachen
- 04Offboarding-Ablauf dokumentieren
Wann wird eine weitergehende Lösung sinnvoll?
Bedingter Zugriff (nur von verwalteten Geräten oder bestimmten Regionen), erweiterte Protokollierung, Data-Loss-Prevention und unabhängige Cloud-Backups werden sinnvoll bei sensiblen Daten, vielen Mitarbeitenden oder Compliance-Anforderungen. Diese Funktionen sind häufig nur in höheren Tarifen enthalten.
Typische Fehler
- Admin-Rechte für das tägliche Arbeitskonto
- Nur einen einzigen Admin, der krank oder ausgeschieden sein kann
- Öffentliche Links für Kundendaten
- Lizenz löschen, bevor Daten gesichert wurden
Checkliste
- MFA für alle Konten erzwungen
- Mindestens zwei getrennte Admin-Konten
- Externe Freigaben geprüft
- Anmeldewarnungen aktiv
- Offboarding-Liste vorhanden
- Backup-Bedarf für Cloud-Daten geklärt
Häufige Fragen
Sind diese Funktionen in jedem Tarif enthalten?
Nein. Grundfunktionen wie MFA sind breit verfügbar; erweiterte Zugriffskontrolle, Protokollierung oder Aufbewahrung sind teils tarifabhängig. Prüfen Sie die aktuelle Dokumentation Ihres Anbieters.
Wer sollte Admin sein?
Möglichst wenige, vertrauenswürdige Personen mit eigenen Admin-Konten. Ein externer Dienstleister kann ergänzen, sollte aber nicht der einzige Admin sein.
Nächster sinnvoller Schritt
Prüfen Sie in der Admin-Oberfläche, ob MFA für alle Konten erzwungen ist und wer Admin-Rechte hat.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- CISA – Cybersecurity and Infrastructure Security Agency
- ENISA – European Union Agency for Cybersecurity
Geprüft am 06.10.2026.
Allgemeine Orientierung – ersetzt keine individuelle technische Sicherheitsprüfung, Rechts- oder Datenschutzberatung.