Microsoft 365 | Datenschutz auf einen Blick

Microsoft 365 lässt sich nicht „out of the box“ datenschutzkonform betreiben, es erfordert aktives Customizing. Microsoft liefert die Werkzeuge (Technical & Organizational Measures), konfigurieren musst du sie als Admin selbst (Shared Responsibility).

Diese Checkliste führt dich durch die entscheidenden Ebenen: vom Vertraglichen über die Tenant-Härtung bis zu Copilot, KI und der Brücke zu NIS2.

Bevor du Regler im Admin Center schiebst, muss das fundamentale Papierwerk stimmen. Ohne diese Dokumente ist der Betrieb in der EU faktisch untersagt. Hier legst du das Fundament für die Accountability (Rechenschaftspflicht) nach Art. 5 Abs. 2 DSGVO.

Die Zeiten, in denen man im Admin Center einfach einen Haken bei „Ja, ich will“ gesetzt hat, sind vorbei. Microsoft regelt dies über das zentrale Data Protection Addendum (DPA), das Teil der Volumenlizenzverträge und des Microsoft Customer Agreements (MCA) ist.

Microsoft aktualisiert dieses Dokument regelmäßig, oft zum Jahresbeginn. Es enthält die EU-Standardvertragsklauseln (SCCs) der EU-Kommission von 2021, die als Rückfallebene dienen, sollte der aktuelle Angemessenheitsbeschluss kippen.

To-Do für Admins:

M365 ist kein "Selbstläufer". Du musst im Verarbeitungsverzeichnis (Art. 30 DSGVO) genau dokumentieren, welche Daten in der Cloud landen. Ein Eintrag "Wir nutzen Office 365" ist für Prüfer ein rotes Tuch.

Hier hat sich die Lage im Juli 2023 grundlegend geändert, aber Vorsicht ist weiterhin geboten.

To-Do: Erstelle ein kurzes Dokument, das auf den Angemessenheitsbeschluss verweist, aber zusätzlich deine technischen Schutzmaßnahmen (Verschlüsselung, 2FA) auflistet.

Hier liegt die eigentliche Arbeit für Administratoren. Microsofts Philosophie lautet Productivity first, weshalb Standardeinstellungen oft auf maximale Datenübermittlung ausgelegt sind. Um dem Prinzip Privacy by Default (Art. 25 DSGVO) näherzukommen, müssen wir die Chattiness (Geschwätzigkeit) der Clients massiv einschränken.

Es reicht nicht mehr, nur auf den Speicherort der Mailbox zu schauen. Microsoft hat die EU Data Boundary (EUDB) am 26. Februar 2025 mit Phase 3 abgeschlossen. Seitdem bleiben nicht nur die Speicherung (Data at Rest), sondern auch die Verarbeitung personenbezogener Daten und sogar Support-Logs weitgehend innerhalb der EU- und EFTA-Grenzen.

Die Grenze der EUDB: Microsoft behält sich vor, in eng begrenzten Sicherheitsfällen, die eine koordinierte globale Reaktion erfordern, Daten mit Schutzmaßnahmen auch außerhalb der EU zu verarbeiten. Bei einzelnen Azure-Diensten sind zudem zusätzliche Schritte nötig, damit der Support-Datenschutz greift. Die EUDB ist also stark, aber kein Nullwert beim US-Transfer. Sie gilt automatisch für europäische Tenants, du musst nur sicherstellen, dass deine Lizenzverträge in einer EU-Region geschlossen wurden.

Dies ist der Hauptkritikpunkt der Datenschutzkonferenz (DSK). Office-Anwendungen senden Telemetriedaten (Systemzustand, Absturzberichte, Feature-Nutzung) an Microsoft. Die Herausforderung: Microsoft hat die Bezeichnungen geändert. Was früher „Basic“ war, heißt heute meist „Erforderlich“ (Required).

To-Do über Intune, GPO oder Cloud Policy: Konfiguriere die Richtlinie „Konfigurieren der Ebene von an Microsoft gesendeten Clientsoftware-Diagnosedaten“.

Hier wird es juristisch komplex: Bei vielen dieser Features (etwa Übersetzer, 3D-Karten, Smart Lookup) agiert Microsoft nicht mehr als Auftragsverarbeiter, sondern als eigener Verantwortlicher (Controller). Die Daten verlassen also den streng geschützten Tenant-Bereich.

Die Unterscheidung:

Entscheidungshilfe: Für Hochsicherheitsbereiche (HR, Forschung, KRITIS) deaktivierst du die inhaltsanalysierenden Dienste per Richtlinie („Verbundene Erfahrungen, die Ihre Inhalte analysieren“). Rechne mit Beschwerden, da beliebte Komfort-Features wie der Design-Assistent in PowerPoint verschwinden. Hier ist eine Abwägung zwischen Produktivität und Datensparsamkeit nötig. Pro-Tipp: Wenn du diese Dienste zulässt, informiere die Nutzer in der Datenschutzerklärung explizit darüber, dass bei Nutzung des Übersetzers Daten an Microsoft gesendet werden.

Art. 32 DSGVO fordert geeignete technische und organisatorische Maßnahmen (TOMs), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Für Microsoft 365 bedeutet das: Standard-Einstellungen reichen nicht. Ein ungehärteter Tenant ist anfällig für Ransomware und Datenabfluss und damit ein potenzieller Datenschutzverstoß.

Zugriffskontrolle ist der wichtigste Hebel. Eine Kompromittierung (Identity Theft) gilt als meldepflichtiger Data Breach (binnen 72 Stunden). Die Strategie: Aktiviere Multi-Faktor-Authentifizierung (MFA) für 100 % der Nutzer, Admins eingeschlossen.

Wichtig: Blockiere Legacy Authentication (POP3, IMAP, SMTP). Diese Protokolle umgehen MFA oft und sind das Einfallstor Nr. 1 für Password-Spraying-Attacken.

Daten horten widerspricht dem Grundsatz der Speicherbegrenzung (Art. 5 DSGVO). Viele Admins verwechseln Backup mit Retention. Die Lösung: Nutze Microsoft Purview Data Lifecycle Management (ehemals Information Governance) und erstelle Aufbewahrungsrichtlinien (Retention Policies) im Purview Portal.

Der Vorteil: Automatisierung verhindert menschliche Fehler und stellt sicher, dass Altdaten fristgerecht vernichtet werden (Recht auf Vergessenwerden).

Verhindere, dass interne Daten über anonyme Links („Jeder mit dem Link“) im Internet landen. Im SharePoint- und OneDrive-Admin-Center:

Gäste-Management: Gäste (Guest Users) verbleiben oft ewig im System. Nutze Access Reviews (Zugriffsüberprüfungen) in Entra ID, um Gruppenbesitzer regelmäßig zu fragen, ob ein Gast noch Zugriff braucht. Für automatisierte Access Reviews wird eine Entra ID P2 Lizenz benötigt. Alternativ prüfst du halbjährlich per PowerShell-Skript.

Ohne Logs kannst du im Ernstfall nicht feststellen, welche Daten abgeflossen sind (Art. 33/34 DSGVO). Unified Audit Log: Stelle sicher, dass die Überwachung (Audit Log Search) im Purview Compliance Portal aktiviert ist. Seit Oktober 2023 ist das Logging in neuen Tenants standardmäßig an, bei Altbeständen lohnt die Kontrolle trotzdem.

Aufbewahrungsdauer:

To-Do: Prüfe regelmäßig stichprobenartig die Logs auf Anomalien, etwa Massen-Download von Dateien oder Logins aus ungewöhnlichen Ländern.

Die größte neue Baustelle hat sich verschoben: weg von der reinen Office-Nutzung, hin zu Microsoft 365 Copilot. Copilot ändert die Datenschutzlage nicht, weil er neue Daten erzeugt, sondern weil er vorhandene Daten sichtbar macht. Jede Zugriffsberechtigung, die über Jahre schludrig vergeben wurde, wird mit Copilot zur durchsuchbaren Abfrage. Deshalb gehört KI in dieselbe Checkliste wie AVV und MFA.

Copilot für Microsoft 365 greift über den Microsoft Graph auf genau die Inhalte zu, die der anmeldende Nutzer ohnehin sehen darf: E-Mails, Teams-Chats, SharePoint-Bibliotheken, OneDrive. Copilot hebt keine Rechte aus, aber er findet in Sekunden, was ein Mensch nie manuell geöffnet hätte. Eine SharePoint-Site, die versehentlich für alle Mitglieder freigegeben ist, wird so zur Fundgrube. Microsoft nennt dieses Problem Oversharing.

Copilot verarbeitet potenziell personenbezogene Daten in großem Umfang. Damit greift Art. 35 DSGVO: Vor dem Einsatz ist eine Datenschutz-Folgenabschätzung (DSFA) zu prüfen. Wenn bereits eine DSFA für Microsoft 365 existiert, ergänzt du sie um den Copilot-Teil, statt bei null zu beginnen.

Seit dem 2. Februar 2025 verlangt Art. 4 der KI-Verordnung (AI Act), dass Unternehmen für ausreichende KI-Kompetenz der Beschäftigten sorgen, die KI-Systeme einsetzen. Für Copilot heißt das: Schulung und eine interne KI-Richtlinie sind keine Kür, sondern Vorgabe. Erstelle eine interne KI-Richtlinie und dokumentiere Schulungsnachweise. Beides ist zugleich ein Baustein für TISAX und ISO 27001. Copilot für Microsoft 365 liegt innerhalb der EU Data Boundary: Prompts, Antworten und die über Microsoft Graph abgerufenen Daten bleiben grundsätzlich in der EU-Infrastruktur. Das entlastet dein TIA, ersetzt es aber nicht.

Die Punkte oben beschreiben, was eingestellt sein soll. Dieser Abschnitt zeigt, wie du den Ist-Zustand prüfst, ohne etwas zu ändern. Alle Befehle sind lesend (reine Get-Abfragen) und verändern nichts am Tenant. Für einen vollständigen, wiederholbaren Lauf nutzt du besser ein dediziertes Audit-Skript statt Einzelbefehle.

Lies die im Tenant erlaubten Authentifizierungsmethoden und den Zustand deiner Conditional-Access-Policies aus. Benötigte Berechtigung: Policy.Read.All (lesend).

Merke: Eine Policy im Status enabledForReportingButNotEnforced (Report-only) wird protokolliert, aber nicht erzwungen. Sie ist kein Schutz, sondern ein Test.

Prüfe die tenantweiten Freigabeeinstellungen. Benötigt die SharePoint Online Management Shell und eine SharePoint-Administratorrolle (lesend).

Soll-Zustand: SharingCapability auf ExternalUserSharingOnly (oder restriktiver), DefaultSharingLinkType auf Internal und ein gesetztes Ablaufdatum für anonyme Links.

Ein einziger Wert verrät, ob überhaupt protokolliert wird. Benötigt Exchange Online PowerShell. Wichtig: Die Abfrage muss in Exchange Online PowerShell laufen, in Security & Compliance PowerShell liefert UnifiedAuditLogIngestionEnabled immer False.

Ergebnis True heißt: Das Logging läuft. Bei False fehlt dir im Ernstfall die Nachweisgrundlage nach Art. 33 DSGVO.

Externe Weiterleitungen sind ein klassischer Exfiltrationsweg nach einem kompromittierten Konto. Diese Abfrage listet alle Postfächer mit SMTP-Weiterleitung, ohne Mailinhalte zu lesen.

Für den Datenstandort je Workload gibt es keinen sauberen Lese-Befehl. Prüfe ihn im Microsoft 365 Admin Center unter Einstellungen, Organisationseinstellungen, Organisationsprofil, Datenstandort. Länderzuordnung und Tenant-Stammdaten liest du ergänzend mit Get-MgOrganization.

Diese Stichproben ersetzen kein strukturiertes Audit. Sie sind Momentaufnahmen, und die Existenz einer Policy beweist nicht ihre Wirksamkeit. Wer regelmäßig und revisionssicher prüfen muss (TISAX, ISO 27001, NIS2), braucht einen reproduzierbaren Collector, der Evidenzen sammelt, hasht und versioniert.

Wer die Härtung aus Ebene 2 und 3 umgesetzt hat, erfüllt große Teile der NIS2-Pflichten bereits, ohne es zu wissen. Seit dem 6. Dezember 2025 gilt in Deutschland das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Es verpflichtet nach Schätzungen rund 29.000 Unternehmen zu Risikomanagement, Vorfallsmeldung und Registrierung beim BSI. Eine Übergangsfrist sieht das Gesetz nicht vor.

§ 30 BSIG verlangt Risikomanagement in zehn Bereichen, von Risikoanalyse über Backup-Management und Kryptografie bis Multi-Faktor-Authentifizierung. Das deckt sich fast vollständig mit den TOMs, die Art. 32 DSGVO fordert. MFA, Löschkonzepte, Logging und Zugriffskontrolle zahlen auf beide Regime ein. Unternehmen mit einem ISMS nach ISO 27001 erfüllen damit bereits einen Großteil der NIS2-Anforderungen.

Drei Dinge kennt die DSGVO nicht: die Registrierung beim BSI über das MUK-Portal (Frist war der 6. März 2026, Nachfrist bis 31. Juli 2026), das 24-Stunden-Meldeverfahren und die persönliche Geschäftsleitungshaftung. Prüfe zuerst die Betroffenheit nach § 28 BSIG: in der Regel ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz in einem der von der NIS2-Richtlinie erfassten 18 Sektoren (11 Sektoren hoher Kritikalität plus 7 sonstige kritische Sektoren; im deutschen BSIG in den Anlagen 1 und 2 gelistet).

Die Antwort lautet: Es ist kompliziert, aber machbar. Eine pauschale Aussage („Alles verboten“ oder „Alles erlaubt“) ist fachlich falsch. Die Bewertung ist dynamisch und hängt davon ab, ob du die Hausaufgaben aus den Härtungs-Maßnahmen oben gemacht hast. Die folgende Zeitleiste ordnet die wichtigsten Entwicklungen ein.

Die Frage, ob Microsoft 365 DSGVO-konform ist, lässt sich heute deutlich differenzierter beantworten als noch zu Zeiten des Schrems-II-Urteils. Die rechtliche Grauzone ist durch das EU-US Data Privacy Framework (2023, im September 2025 gerichtlich bestätigt) und die technische Umsetzung der EU Data Boundary deutlich kleiner geworden.

Dennoch gilt für Administratoren: Vertrauen ersetzt keine Konfiguration. Microsoft liefert mit M365 eine Plattform, die im Standard (Out of the Box) auf Komfort und Datenaustausch optimiert ist, nicht auf Datensparsamkeit. Ein ungehärteter Tenant ist daher nicht nur ein Sicherheitsrisiko, sondern auch ein Compliance-Verstoß.

Deine Strategie für den rechtssicheren Betrieb:

Wer diese Punkte beachtet, verlässt den Bereich der Fahrlässigkeit und betreibt Microsoft 365 nach aktuellem Stand der Technik verantwortungsvoll und sicher.