Microsoft 365 gehört für viele Unternehmen zum Arbeitsalltag. E-Mails werden über Outlook ausgetauscht, Dokumente in SharePoint gespeichert, Dateien über OneDrive geteilt und Besprechungen in Teams organisiert. Umso wichtiger ist es, die Sicherheit der verwendeten Konten im Blick zu behalten.
Doch was passiert, wenn sich eine fremde Person Zugang zu einem Microsoft-365-Konto verschafft?
Ein solcher Vorfall ist nicht immer sofort erkennbar. Neben offensichtlichen Anzeichen, etwa unbekannten E-Mails im Postausgang, können auch unauffällige Änderungen an Kontoeinstellungen oder Postfachregeln auf einen möglichen Angriff hinweisen.
Wenn Microsoft 365 gehackt wurde oder ein Konto kompromittiert ist, kann das Auswirkungen auf E-Mails, gespeicherte Dateien und weitere verbundene Dienste haben. Nicht jede ungewöhnliche Aktivität bedeutet allerdings automatisch einen erfolgreichen Angriff.
In diesem Artikel erfahren Sie, welche sieben Warnsignale Unternehmen ernst nehmen sollten, wie sich verdächtige Aktivitäten überprüfen lassen und welche Maßnahmen im Ernstfall sinnvoll sind.
Was bedeutet es, wenn Microsoft 365 gehackt wurde?
Von einem kompromittierten Microsoft-365-Konto spricht man, wenn eine unbefugte Person Zugriff auf ein Benutzerkonto erhalten hat oder dessen Berechtigungen missbraucht.
Mögliche Ursachen sind beispielsweise gestohlene Zugangsdaten, Phishing, unsichere Authentifizierungsverfahren oder missbräuchlich erteilte Anwendungsberechtigungen.
Je nach Berechtigungen kann ein Angreifer E-Mails lesen, Nachrichten im Namen eines Mitarbeiters versenden, Dateien aufrufen oder Einstellungen verändern. Bei entsprechend privilegierten Konten können die möglichen Auswirkungen deutlich größer sein.
Wichtig ist die Unterscheidung: Eine fehlgeschlagene Anmeldung oder eine ungewöhnliche Standortanzeige allein beweist noch keinen erfolgreichen Angriff. Entscheidend ist, mehrere Hinweise zusammen mit den verfügbaren Anmelde- und Auditprotokollen zu bewerten.
Die 7 wichtigsten Warnsignale, dass Microsoft 365 gehackt sein könnte
1. Unbekannte Anmeldungen im Microsoft-365-Konto
Ein erster Hinweis können erfolgreiche Anmeldungen sein, die sich nicht dem jeweiligen Mitarbeiter zuordnen lassen. Dazu gehören beispielsweise Zugriffe zu ungewöhnlichen Zeiten, über unbekannte Geräte oder aus Regionen, in denen der Mitarbeiter nicht tätig war.
Unternehmen sollten insbesondere folgende Informationen prüfen:
- Zeitpunkt und Status der Anmeldung
- IP-Adresse und angezeigter Standort
- Verwendeter Browser, Gerät und Anwendung
- Ob die Anmeldung erfolgreich war oder blockiert wurde
Ein fremder Standort ist für sich genommen noch kein Beweis. VPN-Verbindungen, Geschäftsreisen und die Standortbestimmung anhand von IP-Adressen können ebenfalls ungewöhnliche Ergebnisse verursachen.
Was tun? Die Anmeldeaktivitäten lassen sich über das Microsoft-Entra-Portal beziehungsweise die Anmeldeseite des Arbeitskontos überprüfen. Unbekannte erfolgreiche Anmeldungen sollten zeitnah untersucht werden.
Quelle: Microsoft Support – Anmeldeaktivitäten eines Geschäfts- oder Schulkontos überprüfen.
2. E-Mails, die niemand im Unternehmen versendet hat
Wenn Kunden oder Geschäftspartner Nachrichten erhalten, die scheinbar von einem Mitarbeiter stammen, sollte das Unternehmen aufmerksam werden.
Verdächtige Nachrichten können beispielsweise enthalten:
- Ungewöhnliche Zahlungsaufforderungen
- Neue oder geänderte Bankverbindungen
- Unaufgeforderte Links und Anhänge
- Aufforderungen zur Weitergabe vertraulicher Informationen
Auch die Ordner „Gesendete Elemente“ und „Gelöschte Elemente“ können Hinweise enthalten. Allerdings werden bei einem kompromittierten Konto nicht zwangsläufig alle versendeten Nachrichten dort sichtbar sein.
Was tun? Prüfen Sie den Nachrichtenverlauf, die Empfänger und die relevanten Protokolle. Informieren Sie betroffene Empfänger über einen bestätigten Vorfall über einen vertrauenswürdigen Kommunikationsweg. Bei verdächtigen Zahlungsänderungen sollte die Freigabe zusätzlich über einen bereits bekannten Kontakt erfolgen.
3. Unbekannte Regeln zur E-Mail-Weiterleitung
Ein besonders wichtiges Warnsignal sind neu angelegte Postfachregeln, die Nachrichten automatisch an unbekannte Empfänger weiterleiten oder in ungewöhnliche Ordner verschieben.
Solche Regeln können dazu dienen, vertrauliche Kommunikation unbemerkt mitzulesen oder sicherheitsrelevante Nachrichten zu verbergen.
Achten Sie unter anderem auf:
- Automatische Weiterleitungen an externe E-Mail-Adressen
- Regeln, die Nachrichten löschen oder verschieben
- Unbekannte Änderungen an vorhandenen Postfachregeln
- Weiterleitungseinstellungen, die niemand freigegeben hat
Was tun? Überprüfen Sie die Regeln in Outlook und die Weiterleitungseinstellungen in Exchange Online. Administratoren sollten auch Änderungen in den Auditprotokollen nachvollziehen. Entfernen Sie unautorisierte Regeln erst, nachdem Sie die relevanten Informationen für die Untersuchung gesichert haben.
Quelle: Microsoft Learn – Reaktion auf ein kompromittiertes E-Mail-Konto.
4. Dateien in OneDrive oder SharePoint wurden unerwartet verändert
Ein kompromittiertes Konto muss sich nicht ausschließlich auf Outlook auswirken. Abhängig von den Berechtigungen können auch Dateien und gemeinsam genutzte Dokumente betroffen sein.
Mögliche Hinweise sind:
- Unbekannte Änderungen an wichtigen Dokumenten
- Dateien, die plötzlich fehlen oder verschoben wurden
- Unerwartete Freigaben für externe Personen
- Neue Freigabelinks, die niemand eingerichtet hat
Solche Veränderungen können auch durch Synchronisierungsprobleme, versehentliches Löschen oder reguläre Arbeitsabläufe entstehen.
Was tun? Kontrollieren Sie die Versionshistorie, Freigabeberechtigungen und verfügbaren Aktivitätsprotokolle. Prüfen Sie insbesondere, wer eine Freigabe eingerichtet oder geändert hat und ob der Zugriff weiterhin erforderlich ist.
Bei einem bestätigten Vorfall sollten Sie mögliche Auswirkungen auf verbundene Dienste untersuchen, statt nur das E-Mail-Postfach zu betrachten.
5. Unerklärliche Passwortänderungen oder Probleme bei der Anmeldung
Wenn ein Mitarbeiter plötzlich nicht mehr auf sein Konto zugreifen kann oder eine Passwortänderung meldet, die er nicht selbst vorgenommen hat, ist eine Überprüfung erforderlich.
Weitere mögliche Hinweise sind:
- Wiederholte, nicht selbst ausgelöste Kennwortzurücksetzungen
- Unbekannte Sicherheitsinformationen
- Nicht autorisierte Änderungen an registrierten MFA-Methoden
- Ungewöhnliche Kontosperrungen
Ein einzelnes fehlgeschlagenes Login ist noch kein Nachweis für einen Angriff. Anders sieht es aus, wenn gleichzeitig unbekannte erfolgreiche Anmeldungen oder Änderungen an den Sicherheitsinformationen auftreten.
Was tun? Prüfen Sie die Identität des betroffenen Mitarbeiters über einen vertrauenswürdigen Kanal. Bei einem begründeten Verdacht sollten das Kennwort zurückgesetzt, aktive Sitzungen widerrufen und unbekannte Authentifizierungsmethoden entfernt werden.
6. Unbekannte Apps oder neue Berechtigungen
Nicht jeder Angriff erfolgt ausschließlich über gestohlene Passwörter. Auch Anwendungen, denen zu weitreichende Berechtigungen erteilt wurden, können ein Sicherheitsrisiko darstellen.
Achten Sie deshalb auf Anwendungen, die ohne nachvollziehbaren geschäftlichen Grund Zugriff auf E-Mails, Dateien oder andere Unternehmensdaten erhalten haben.
Warnsignale können sein:
- Unbekannte Anwendungen in den Einwilligungs- oder Berechtigungsübersichten
- Nicht autorisierte Zustimmung zu App-Berechtigungen
- Unerwartete Änderungen an administrativen Rollen
- Neue Geräte oder Authentifizierungsmethoden, die niemand zuordnen kann
Was tun? Prüfen Sie die Anwendungsberechtigungen und die zugehörigen Auditprotokolle. Widerrufen Sie unberechtigte Zugriffe und überprüfen Sie, ob weitere Benutzerkonten oder Administratorrollen betroffen sind.
Besondere Aufmerksamkeit verdienen Konten mit administrativen Rechten, da deren Kompromittierung weitreichendere Folgen haben kann.
7. Ungewöhnliche Kontosperren oder auffällige Sicherheitsmeldungen
Ein weiteres Warnsignal sind wiederholte Kontosperrungen, Warnungen vor verdächtigen Anmeldungen oder Hinweise auf ungewöhnliche E-Mail-Aktivitäten.
Auch eine Einschränkung beim E-Mail-Versand kann relevant sein, beispielsweise wenn ein Konto für den Versand verdächtiger Nachrichten verwendet wurde.
Beachten Sie dabei: Sicherheitsmeldungen können auch durch legitime Aktivitäten ausgelöst werden. Umgekehrt bedeutet das Ausbleiben einer Warnung nicht, dass ein Konto sicher ist.
Was tun? Bewerten Sie die Meldungen zusammen mit den Anmeldeprotokollen, dem Nachrichtenverlauf und den Auditdaten. Wenn mehrere Warnsignale zeitlich zusammenfallen, sollte die Untersuchung priorisiert werden.
Microsoft stellt dafür je nach verfügbarer Lizenz und Konfiguration unter anderem Sicherheitsberichte und Werkzeuge im Microsoft-Defender-Portal bereit.
Quelle: Microsoft Learn – E-Mail-Sicherheitsberichte anzeigen.
Was sollten Unternehmen tun, wenn Microsoft 365 gehackt wurde?
Wenn konkrete Hinweise auf eine Kompromittierung vorliegen, kommt es auf eine strukturierte Reaktion an. Ziel ist es, weiteren unbefugten Zugriff zu verhindern, die Ursache zu untersuchen und mögliche Folgen zu begrenzen.
Sofortmaßnahmen bei einem Verdacht
- Betroffenes Konto absichern: Sperren Sie den Zugang vorübergehend, wenn dies zur Eindämmung erforderlich ist und die betrieblichen Auswirkungen berücksichtigt wurden.
- Kennwort zurücksetzen: Verwenden Sie ein neues, einzigartiges Kennwort. Bei synchronisierten Identitäten muss gegebenenfalls auch die lokale Identitätsumgebung berücksichtigt werden.
- Aktive Sitzungen widerrufen: Beenden Sie vorhandene Anmeldesitzungen über die geeigneten Administrationswerkzeuge.
- MFA und Sicherheitsinformationen prüfen: Entfernen Sie nicht autorisierte Methoden und stellen Sie sicher, dass die Mehr-Faktor-Authentifizierung korrekt eingerichtet ist.
- Postfachregeln und Weiterleitungen kontrollieren: Untersuchen Sie unbekannte Regeln, externe Weiterleitungen und verdächtige Nachrichten.
- Anwendungsberechtigungen und Rollen prüfen: Suchen Sie nach unautorisierten App-Zustimmungen und Änderungen an administrativen Rechten.
- Protokolle sichern und Auswirkungen untersuchen: Dokumentieren Sie relevante Zeiträume, Anmeldungen, E-Mail-Aktivitäten und Dateiänderungen. Prüfen Sie auch verbundene Dienste wie SharePoint und OneDrive.
Wenn mehrere Konten betroffen sind, administrative Zugänge infrage stehen oder sensible Unternehmensdaten möglicherweise offengelegt wurden, sollte ein qualifiziertes IT-Sicherheitsteam beziehungsweise ein Incident-Response-Dienstleister hinzugezogen werden.
Die Maßnahmen müssen an die konkrete Umgebung angepasst werden. Insbesondere sollten Protokolle und Beweisinformationen nicht unbedacht gelöscht werden.
Die detaillierte Anleitung von Microsoft finden Sie hier: Respond to a compromised email account.
Wie können Unternehmen Microsoft-365-Konten besser schützen?
Nicht jede Sicherheitsmaßnahme verhindert jeden Angriff. Eine Kombination aus technischen Kontrollen, klaren Prozessen und regelmäßiger Überprüfung reduziert jedoch vermeidbare Risiken.
- Mehr-Faktor-Authentifizierung (MFA): Aktivieren und erzwingen Sie MFA, insbesondere für Administratorkonten. Wo möglich, sollten phishingresistente Verfahren bevorzugt werden.
- Minimale Berechtigungen: Mitarbeitende sollten nur die Rechte erhalten, die sie für ihre Aufgaben benötigen.
- Regelmäßige Überprüfung: Kontrollieren Sie Anmeldungen, Postfachregeln, externe Freigaben und administrative Änderungen.
- Schutz vor Phishing: Schulen Sie Mitarbeitende im Umgang mit verdächtigen Links, unerwarteten Anhängen und Zahlungsaufforderungen.
- Sicherheitsmeldungen nutzen: Richten Sie passende Warnmeldungen ein und legen Sie fest, wer sie bewertet und bearbeitet.
- Notfallplan vorbereiten: Definieren Sie Zuständigkeiten, Kommunikationswege und Schritte für die Wiederherstellung betroffener Konten.
Welche Sicherheitsfunktionen verfügbar sind, hängt unter anderem vom eingesetzten Microsoft-365-Abonnement, den administrativen Einstellungen und den verwendeten Zusatzdiensten ab.
Checkliste: Ist Ihr Microsoft-365-Konto möglicherweise kompromittiert?
Mit dieser kurzen Checkliste können Unternehmen erste Auffälligkeiten systematisch erfassen.
Sicherheits-Schnellcheck
0 von 7 geprüftUnbekannte erfolgreiche Anmeldungen festgestelltE-Mails ohne Wissen des Mitarbeiters versendetUnbekannte Postfachregeln oder Weiterleitungen entdecktUngewöhnliche Dateiänderungen oder externe Freigaben festgestelltNicht autorisierte Passwort- oder MFA-Änderungen bemerktUnbekannte Apps oder Berechtigungen entdecktUngewöhnliche Kontosperren oder Sicherheitsmeldungen erhalten
Fazit: Microsoft 365 gehackt? Warnsignale frühzeitig überprüfen
Ein kompromittiertes Microsoft-365-Konto macht sich nicht immer durch einen offensichtlichen Angriff bemerkbar. Unbekannte Anmeldungen, unerklärliche E-Mails, manipulierte Postfachregeln und ungewöhnliche Dateiänderungen können erste Hinweise sein.
Entscheidend ist, diese Auffälligkeiten nicht isoliert zu betrachten. Erst die Kombination aus Anmeldeinformationen, Auditprotokollen und nachvollziehbaren Änderungen ermöglicht eine fundierte Bewertung.
Unternehmen sollten deshalb nicht erst im Ernstfall reagieren. Eine konsequente Mehr-Faktor-Authentifizierung, angemessene Berechtigungen, regelmäßige Kontrollen und ein vorbereiteter Notfallplan schaffen eine solide Grundlage für den Schutz ihrer Microsoft-365-Umgebung.
Wichtig: Ein einzelnes Warnsignal beweist keinen erfolgreichen Angriff. Bei mehreren übereinstimmenden Hinweisen sollte jedoch zeitnah eine technische Untersuchung erfolgen.
Quellen und weiterführende Informationen
Die folgenden offiziellen Microsoft-Dokumentationen bilden die fachliche Grundlage dieses Artikels. Sie enthalten weiterführende Informationen zur Überprüfung von Konten, zur Analyse von Protokollen und zu geeigneten Reaktionsmaßnahmen.
- Microsoft Learn: Auf ein kompromittiertes E-Mail-Konto reagieren – Symptome erkennen, Zugriff absichern und betroffene Konten untersuchen.
- Microsoft Support: Anmeldeaktivitäten eines Geschäfts- oder Schulkontos überprüfen – Ungewöhnliche Anmeldungen und verwendete Geräte nachvollziehen.
- Microsoft Learn: Auditprotokolle zur Untersuchung häufiger Probleme durchsuchen – Weiterleitungen, Postfachregeln, IP-Adressen und gelöschte Nachrichten untersuchen.
- Microsoft Learn: Aktivitäten im Auditprotokoll – Übersicht über protokollierte Aktivitäten in Microsoft 365.
- Microsoft Learn: E-Mail-Sicherheitsberichte anzeigen – Verfügbare Berichte zur Analyse verdächtiger E-Mail-Aktivitäten.
Redaktioneller Hinweis: Die Verfügbarkeit einzelner Protokolle, Berichte und Sicherheitsfunktionen kann von Lizenz, Konfiguration und Aufbewahrungsdauer abhängen. Die Dokumentation sollte bei technischen Änderungen erneut geprüft werden.
FAQ: Häufige Fragen zu einem gehackten Microsoft-365-Konto
Woran erkenne ich, dass mein Microsoft-365-Konto gehackt wurde?
Mögliche Hinweise sind unbekannte erfolgreiche Anmeldungen, E-Mails, die Sie nicht selbst versendet haben, unerklärliche Änderungen an Postfachregeln oder unbekannte Sicherheitsmethoden. Ein einzelner Hinweis reicht nicht aus, um einen Angriff sicher festzustellen.
Was sollte ich tun, wenn mein Microsoft-365-Konto gehackt wurde?
Sichern Sie das betroffene Konto, setzen Sie das Kennwort zurück und widerrufen Sie aktive Sitzungen. Prüfen Sie außerdem MFA-Methoden, Postfachregeln, Weiterleitungen und Anwendungsberechtigungen. Bei einem bestätigten oder komplexen Vorfall sollte ein qualifiziertes IT-Sicherheitsteam die Untersuchung übernehmen.
Kann ein Angreifer über Microsoft 365 auf OneDrive und SharePoint zugreifen?
Ja, abhängig von den Berechtigungen des kompromittierten Kontos kann ein Angreifer auch auf zugehörige OneDrive-Dateien und SharePoint-Ressourcen zugreifen. Deshalb sollte die Untersuchung nicht auf Outlook beschränkt bleiben.
Reicht eine Passwortänderung aus, um ein gehacktes Microsoft-365-Konto zu sichern?
Nicht unbedingt. Zusätzlich sollten aktive Sitzungen widerrufen, unbekannte MFA-Methoden entfernt und verdächtige App-Berechtigungen, Weiterleitungen sowie Postfachregeln geprüft werden. Bei synchronisierten Identitäten können weitere Schritte in der lokalen Infrastruktur erforderlich sein.
Wie können Unternehmen einen Angriff auf Microsoft 365 verhindern?
Eine vollständige Garantie gibt es nicht. Mehr-Faktor-Authentifizierung, möglichst phishingresistente Anmeldeverfahren, minimale Berechtigungen, regelmäßige Protokollkontrollen und ein klarer Notfallplan helfen, Risiken zu reduzieren und Vorfälle schneller zu erkennen.
