Microsoft rückt Baseline Security Mode stärker in den Mittelpunkt der Microsoft-365-Sicherheitskonfiguration. Im Security Blog vom 6. Oktober 2026 empfiehlt Microsoft, nicht nur schneller zu patchen, sondern die eigenen Basiskontrollen so aufzubauen, dass ein ungepatchter Fehler weniger Schaden anrichten kann. Die Microsoft-Learn-Dokumentation vom 30. September 2026 beschreibt dafür einen Weg direkt im Microsoft 365 Admin Center.
Was Baseline Security Mode leistet
Baseline Security Mode bündelt sicherheitsrelevante Einstellungen für Microsoft 365 Apps, SharePoint und OneDrive, Teams, Exchange Online und die Microsoft-Entra-Identitätsplattform. Microsoft beschreibt das Ziel klar: Geschäftsdaten schützen, Unterbrechungen vermeiden, unsichere Endbenutzerpraktiken blockieren, interne Konten absichern und Zusammenarbeit sicherer machen. Entscheidend für kleinere IT-Teams ist, dass viele Einstellungen nicht mehr nur per PowerShell erreichbar sind, sondern im Admin Center geprüft und aktiviert werden können. Microsoft Digital beschreibt außerdem, dass die erste Welle intern über mehrere Workloads validiert wurde und dass Ausnahmen, Telemetrie und verständliche Fehlermeldungen Teil der Einführung waren.
Warum das für KMU zählt
Unternehmen mit 10 bis 250 Arbeitsplätzen betreiben selten ein eigenes Security Engineering, müssen aber dieselben Microsoft-365-Risiken beherrschen: Legacy-Anmeldung, alte Dateiformate, unsichere Protokolle und zu breite App-Berechtigungen. Baseline Security Mode ersetzt keine individuelle Prüfung, macht aber sichtbar, welche Standardhärtungen Microsoft inzwischen zusammenführt. Gerade für KMU ist diese Bündelung hilfreich, weil sie aus einer abstrakten Härtungsliste einen überprüfbaren Ablauf macht: Bericht ansehen, Abhängigkeit verstehen, Pilot durchführen und erst danach produktiv aktivieren.
- Administratoren können für jede Einstellung zunächst Auswirkungsberichte prüfen.
- Eine Einstellung mit null erkannten Auswirkungen kann laut Microsoft eingeschaltet werden.
- Bei kritischen Abhängigkeiten soll die Umstellung geplant und nicht blind aktiviert werden.
- Ausnahmen und Gruppen helfen, Sonderfälle kontrolliert statt dauerhaft offen zu halten.
Fristen und aktuelle Prüfpunkte
Es gibt keine einzelne Abschaltfrist, die für alle Mandanten gilt. Der aktuelle Anlass ist trotzdem konkret: Microsoft hat die Learn-Seite zu Baseline Security Mode am 30. September 2026 aktualisiert und den Ansatz am 6. Oktober im Security Blog als Maßnahme gegen schneller ausnutzbare Schwachstellen hervorgehoben. Zusätzlich nennt die Dokumentation einzelne Zeitbezüge, etwa dass die Änderung für einige SharePoint- und OneDrive-Protokolle bis zu 24 Stunden brauchen kann und Microsoft Publisher ab Oktober 2026 nicht mehr in Microsoft 365 enthalten sein wird. Für ein Unternehmen ist der sinnvolle Prüfpunkt daher jetzt, bevor alte Abhängigkeiten erst im Störfall auffallen.
Welche Kontrollen zuerst geprüft werden sollten
Für viele Mandanten beginnt die Prüfung bei Identität und Dateien. Dazu passen Microsoft Entra ID und Conditional Access: Baseline Security Mode enthält Einstellungen gegen Legacy-Authentifizierung, Basic Authentication, unsichere App-Geheimnisse und schwache Administratoranmeldungen. Auf Dateiebene geht es unter anderem um ActiveX, DDE in Excel, alte Office-Formate, unsichere HTTP- oder FTP-Dateiöffnungen und Exchange Web Services. Microsoft weist ausdrücklich auf Abhängigkeiten hin, etwa bei Exchange-Add-ins, Power Query, Kalenderfreigaben über Mandanten hinweg oder hybriden Exchange-Szenarien. Diese Hinweise sollten nicht als Bremse verstanden werden, sondern als Arbeitsliste für eine saubere Einführung.
Vorgehen ohne unnötige Ausfälle
Microsoft empfiehlt keinen Alles-auf-einmal-Schalter, sondern eine gestufte Einführung. Das passt zu kleinen Umgebungen, weil sich Risiken reduzieren lassen, ohne Fachanwendungen oder gewachsene Abläufe überraschend zu blockieren. Wichtig ist dabei, jede aktivierte Einstellung als Änderung mit Rückweg zu behandeln: vorher messen, Pilot dokumentieren, Ausnahmegruppen vorbereiten und nach der Aktivierung die betroffenen Arbeitsabläufe im Helpdesk gezielt erneut testen.
- BSM-Seite im Microsoft 365 Admin Center öffnen und Zuständigkeiten für Entra, SharePoint, Exchange und Teams klären.
- Auswirkungsberichte je Einstellung sichern und besonders Legacy-Anmeldung, EWS, ActiveX und alte Dateiformate markieren.
- Pilotgruppe auswählen, Helpdesk-Rückmeldungen sammeln und Kommunikationshinweise für betroffene Benutzer vorbereiten.
- Ausnahmen nur über benannte Gruppen abbilden und mit Ablaufdatum oder Review-Termin dokumentieren.
- Nach jeder Aktivierung prüfen, ob Anmeldung, Office-Dateien, Teams-Räume, Power Query und Kalenderfreigaben weiter funktionieren.
Offizielle Microsoft-Quellen
- Microsoft Security Blog: CISO perspectives on managing vulnerability risks in the age of AI
- Microsoft Learn: Baseline security mode settings
- Microsoft Inside Track: Hardening our digital defenses with Microsoft Baseline Security Mode
Ob Baseline Security Mode in Ihrem Mandanten sofort aktivierbar ist oder zuerst Abhängigkeiten gelöst werden müssen, prüfen wir im Rahmen eines Microsoft Security Assessments und ordnen die Ergebnisse in Ihre Microsoft-365-Planung ein – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
