Eine sichere Office-Konfiguration beginnt mit der konkreten Produktversion. Die BSI-Empfehlung für lokal installierte Office-Anwendungen ist kein fertiges Konfigurationspaket für sämtliche Microsoft-365-Dienste. Wer beides trennt, kann Makros, Diagnosedaten und Freigaben gezielt begrenzen, ohne benötigte Arbeitsabläufe unbeabsichtigt abzuschalten. Maßgeblich bleiben der eigene Schutzbedarf und die tatsächlich eingesetzten Funktionen.
Dieser Leitfaden verbindet die am 28. September 2026 geprüfte BSI-Veröffentlichung mit aktueller Microsoft-Dokumentation. Er beschreibt Entscheidungen für Administration und Datenschutzverantwortliche. Die rechtliche Gesamtbewertung der Cloud-Nutzung, einschließlich Verträgen und Rollen, behandelt der gesonderte Beitrag zu Microsoft 365 und DSGVO. Eine erfolgreiche Härtung unterstützt die Sicherheit, bescheinigt aber keine vollständige DSGVO-Konformität.
Welche BSI-Empfehlung ist gemeint?
Die direkt abrufbare BSI-CS 135 „Sichere Konfiguration von Microsoft Office“ trägt die Version 1.3 vom 28. März 2025. Sie bezieht sich auf Office 2021 und 2024 unter Windows, vor allem in Organisationen mit zentraler Gruppenrichtlinienverwaltung. Andere Versionen erfordern einen Abgleich möglicher Abweichungen. Ältere Suchtreffer mit Version 1.2 ersetzen diese Prüfung nicht.
Die Empfehlung verfolgt unter anderem die Begrenzung aktiver Inhalte und unnötiger Herstellerverbindungen. Sie setzt eine abgesicherte Betriebsumgebung voraus und verlangt eine Abwägung von Funktionalität und Schutzbedarf. Einzelne Einstellungen sperren Cloud-Anmeldungen oder verbundene Funktionen. Eine unveränderte Übernahme in einen Betrieb, der gerade diese Funktionen benötigt, kann daher wesentliche Arbeitsabläufe verhindern.
Erstellen Sie eine Zuordnung zwischen Empfehlung, tatsächlicher Office-Ausgabe und lokal angewandter Richtlinie. Ergänzen Sie für Microsoft 365 Apps die Herstellerdokumentation und für Exchange, Teams oder SharePoint die jeweiligen Dienstkontrollen. Das verhindert, dass eine Einstellung für ein Desktopprogramm irrtümlich als Absicherung des gesamten Mandanten behandelt wird. Auch die Härtung des Active Directory bleibt bei einer lokalen Domäne eine eigene Aufgabe.
Zuerst Produktbestand und Support klären
Erfassen Sie installierte Ausgabe, Build, Betriebssystem, Aktualisierungskanal und Verwaltungsweg. Ein Lizenzname wie „Microsoft 365“ sagt allein nicht, welche Clients tatsächlich auf den Geräten laufen. Notieren Sie zusätzlich Add-ins, Makros, eingebundene Fachverfahren und mobile Zugriffe. Gerade ein einzelner alter Exportrechner kann den Sicherheitsstand einer ansonsten aktuellen Umgebung unterlaufen.
Microsoft nennt in seiner Migrationsübersicht den 14. Oktober 2025 als Supportende für Office 2016 und 2019. Office LTSC 2021 erreicht dort am 13. Oktober 2026 sein Supportende. Diese Termine betreffen die genannten Produkte; die Betriebssystemunterstützung ist zusätzlich zu prüfen. Vereinzelte später veröffentlichte Updates verlängern nicht automatisch den regulären Produktlebenszyklus.
Für einen verbleibenden Altclient reicht ein Vermerk „BSI-Einstellungen gesetzt“ deshalb nicht. Legen Sie einen konkreten Migrationsweg fest und prüfen Sie die fachlichen Abhängigkeiten. Benötigt eine Buchhaltung ein altes Makro, sollte dessen Ersatz oder kontrollierte Überarbeitung Teil des Projekts sein. Eine dauerhafte Sicherheitsausnahme allein aus Bequemlichkeit schafft ein Risiko, das durch zusätzliche Cloud-Lizenzen nicht beseitigt wird.
Updates benötigen einen verantworteten Ablauf. Eine kleine Pilotgruppe kann neue Versionen zunächst mit repräsentativen Dokumenten und Fachanwendungen prüfen. Nach Freigabe folgt die Verteilung; fehlgeschlagene Installationen werden sichtbar nachverfolgt. Die sinnvolle Geschwindigkeit hängt insbesondere von der ausnutzbaren Schwachstelle und der Exposition ab. Eine pauschale Frist ab jeder veröffentlichten CVE bildet diesen Unterschied nicht ab.
Makros und vertrauenswürdige Speicherorte kontrollieren
Makros können legitime Arbeit automatisieren, aber auch unerwünschten Code ausführen. Die sichere Ausgangsentscheidung lautet daher: Welche Abläufe benötigen überhaupt VBA oder andere aktive Inhalte? Erfassen Sie deren Eigentümer und Herkunft. Eine Organisation ohne entsprechenden Bedarf kann weiter gehen als eine Fachabteilung mit gepflegten, kontrollierten Automatisierungen.
Die BSI-CS 135 empfiehlt in ihrem Anwendungsbereich unter anderem die Aktivierung der Richtlinie zur Deaktivierung von VBA. Für abweichende betriebliche Anforderungen ist ein begründetes Profil nötig. Dokumentieren Sie, welche Benutzergruppe welche freigegebenen Dateien verwenden darf, wie Änderungen geprüft werden und wann die Ausnahme erneut bewertet wird. Eine Ausnahme für eine Abrechnungsvorlage muss nicht die gesamte Abteilung für beliebige Makrodateien öffnen.
Microsoft erläutert die Blockierung von Internetmakros einschließlich ihrer Grenzen. Vertrauenswürdige Speicherorte und bestimmte Herausgeberfreigaben beeinflussen die Entscheidung, ob ein Makro läuft. Ein großzügig freigegebenes Laufwerk kann die gewünschte Schutzwirkung umgehen. Entscheidend ist deshalb auch, wer Dateien an diesem Ort ablegen oder ersetzen darf.
Prüfen Sie vorhandene Ausnahmen auf ihre Entstehungsgeschichte. Eine vor Jahren eingetragene Netzwerkfreigabe kann heute weit mehr Personen offenstehen. Entfernen Sie nicht nachvollziehbare Freigaben nach fachlicher Abstimmung und sichern Sie notwendige Ablageorte mit engen Schreibrechten. Ergänzende Maßnahmen gegen Angriffsketten, etwa die Kontrolle unerwarteter Kindprozesse von Office, benötigen ebenfalls eine Prüfung auf Funktionsverträglichkeit und verfügbare Lizenzierung.
Diagnosedaten und verbundene Funktionen unterscheiden
Für Microsoft 365 Apps beschreibt Microsoft drei Stufen von Client-Diagnosedaten: Required, Optional und Neither. „Neither“ betrifft diese Diagnosedaten des Office-Clients. Es bedeutet nicht, dass der Rechner überhaupt keine Daten mehr an Microsoft sendet. Die Übersicht der Datenschutzkontrollen weist ausdrücklich auf weiterhin anfallende erforderliche Dienstdaten hin.
Erforderliche Dienstdaten entstehen unter anderem bei verbundenen Funktionen und wesentlichen Diensten. Lizenzierung und Aktualisierung lassen sich nicht durch dieselbe Diagnosedatenentscheidung vollständig abschalten. Für eine Datenflussanalyse müssen deshalb Client-Diagnose, Inhaltsübermittlung, Identitätsdienste und dienstbezogene Protokolle getrennt betrachtet werden. Pseudonyme Kennungen können weiterhin personenbezogen sein.
Legen Sie für jede verbundene Funktion fest, ob sie benötigt wird und welche Daten sie erhält. Eine Inhaltsanalyse zur Sprachunterstützung ist anders zu bewerten als eine bloße lokale Rechtschreibprüfung. Bei vertraulichen Dokumenten kann eine technische Deaktivierung die passende Entscheidung sein; in einem freigegebenen Nutzungsszenario müssen Zweck, Informationen an Beschäftigte und rechtlicher Rahmen nachvollziehbar bleiben.
Überprüfen Sie die wirksame Einstellung am verwalteten Client. Ein Eintrag im zentralen Verwaltungsportal beweist noch nicht, dass die Richtlinie bei einer bestimmten Benutzeranmeldung angekommen ist. Versionsabweichungen, konkurrierende Richtlinien oder Geräte außerhalb der Verwaltung können andere Ergebnisse erzeugen. Führen Sie die Beobachtung mit einem kontrollierten Beispiel durch und dokumentieren Sie die Abweichung, statt aus einer einzigen Oberfläche auf die gesamte Datenverarbeitung zu schließen.
Identitäten und Zugriffe im Mandanten absichern
Für Cloud-Dienste ist der Schutz der Anmeldung ein eigener Arbeitsbereich. Nutzen Sie getrennte Administrationskonten, begrenzen Sie privilegierte Rollen und behandeln Sie technische Identitäten gesondert. Ein Benutzerkonto mit starker Anmeldung verhindert keine unnötig weitreichenden App-Berechtigungen. Prüfen Sie daher auch, welche Anwendungen im Namen von Benutzern oder unabhängig davon auf Informationen zugreifen können.
Microsoft Entra Conditional Access kann Zugriffe etwa von Authentisierungsstärke, Gerät oder Standort abhängig machen. Die Funktion erfordert grundsätzlich Entra ID P1; risikobasierte Entscheidungen mit ID Protection benötigen P2. Weitere angebundene Produkte haben eigene Lizenzbedingungen. Die DSGVO schreibt weder den Erwerb dieser Markenprodukte noch ein bestimmtes Microsoft-Paket für alle Unternehmen vor.
Für einfachere Umgebungen erläutert Microsoft die kostenlos verfügbaren Security Defaults. Sie bieten einen vorkonfigurierten Schutz, erlauben jedoch nicht dieselbe Anpassung wie Conditional Access. Bei einem Wechsel darf keine Schutzlücke entstehen. Planen Sie außerdem überwachte Notfallzugänge, damit eine fehlerhafte Regel nicht sämtliche Administratoren aussperrt.
Aktivieren Sie neue Zugriffsregeln kontrolliert, etwa zunächst im Berichtsmodus und danach für eine Pilotgruppe. Prüfen Sie normale Anmeldung, Gerätewechsel, Reisen und Wiederherstellung eines verlorenen Authentisierungsmittels. Eine Beschränkung auf europäische IP-Adressen kann im Einzelfall ein zusätzliches Signal sein; sie beweist weder den Aufenthaltsort sämtlicher Daten noch die Einhaltung der Regeln für Drittlandübermittlungen.
Private Geräte erfordern eine gesonderte Entscheidung über zulässige Nutzung und Eingriffstiefe. Die BYOD-Richtlinie beschreibt organisatorische Erwartungen, während Mobile Device Management die technische Verwaltung betrifft. Unterscheiden Sie beispielsweise das Entfernen geschäftlicher Inhalte von einer vollständigen Fernlöschung des Geräts. Informieren Sie Beschäftigte über die tatsächlich vorgesehenen Kontrollen.
Freigaben in SharePoint, OneDrive und Teams begrenzen
Eine sichere Anmeldung schützt nicht vor einer zu weit gefassten Freigabe. Prüfen Sie deshalb sowohl die Mandantenregeln als auch die Einstellungen einzelner Websites und Bibliotheken. Microsoft beschreibt das Zusammenspiel in der Dokumentation zum externen Teilen. Eine strengere organisatorische Obergrenze kann nicht durch eine großzügigere Website-Einstellung aufgehoben werden.
Für einen vertraulichen Projektraum ist eine Freigabe an bestimmte identifizierte Personen häufig besser nachvollziehbar als ein frei weiterleitbarer Link. Legen Sie fest, wer Gäste einladen darf und wann deren Zugang überprüft wird. Die bloße Mitgliedschaft in einem Team sollte nicht als Beweis gelten, dass jede Person weiterhin sämtliche darin gespeicherten Unterlagen benötigt.
Ein konkretes Abnahmebeispiel hilft: Eine Projektverantwortliche teilt einen Ordner mit einem externen Berater, versucht anschließend eine Weitergabe an eine unbeteiligte Adresse und beendet zuletzt die Zusammenarbeit. Prüfen Sie, ob die erwarteten Grenzen an allen drei Stellen greifen. Berücksichtigen Sie bereits heruntergeladene Kopien; das Entziehen eines Cloud-Zugangs holt lokale Dateien beim Empfänger nicht automatisch zurück.
Teams-Aufzeichnungen und Transkripte brauchen einen bestimmten Zweck, geregelte Zugriffe und eine Speicherentscheidung. Eine technische Aufnahmeoption stellt keine Rechtsgrundlage bereit. Ebenso wenig ist eine angeklickte Einwilligung in jedem Beschäftigungskontext automatisch freiwillig. Prüfen Sie das konkrete Szenario und stellen Sie sicher, dass die gespeicherten Inhalte nicht länger als erforderlich in Besprechungsablagen verbleiben.
Schutz vor schädlichen Nachrichten und Datenabfluss
E-Mail-Schutz umfasst mehrere Ebenen: die Authentisierung eigener Absenderdomänen, Filterung eingehender Nachrichten, Behandlung von Anhängen und Begrenzung ungewollter Weiterleitung. Ordnen Sie jeder Ebene einen Verantwortlichen zu. Eine technisch korrekt gesetzte Domainregel nützt weniger, wenn niemand die Berichte auswertet oder legitime Versanddienste bei einer Änderung vergessen werden.
Defender for Office 365 ergänzt den Schutz unter anderem um Safe Links und Safe Attachments. Microsoft unterscheidet dabei Funktionen nach Plan und Lizenz. Defender for Endpoint oder Defender for Identity bearbeiten andere Schutzbereiche. Eine Sammelaussage „Defender ist vorhanden“ lässt daher offen, ob die relevante Nachricht, Identität oder Arbeitsstation tatsächlich erfasst wird.
Für Data Loss Prevention braucht es ebenfalls ein bestimmtes Ziel. Beispielsweise soll eine Datei mit besonders vertraulichen Personaldaten nicht an beliebige externe Empfänger weitergegeben werden. Prüfen Sie Erkennungsqualität, Fehlalarme und den Ablauf einer berechtigten Ausnahme. Beginnen Sie mit Beobachtung und fachlicher Auswertung, bevor eine neue Regel geschäftskritische Kommunikation blockiert. Eine gute Kennzahl ist die Zahl ungeklärter Ausnahmen, nicht bloß die Anzahl erzeugter Warnungen.
Aufbewahrung, Protokolle und Datenstandorte
Sicherheitsprotokolle können nötig sein, enthalten aber selbst personenbezogene Daten. Definieren Sie, welche Ereignisse für welchen Untersuchungszweck benötigt werden, wer sie auswertet und wann sie gelöscht werden. Eine unbegrenzte Speicherung sämtlicher Mitarbeiteraktivitäten ist keine notwendige Folge sicherer Administration. Nutzen Sie ein Löschkonzept, das auch Protokolle, Exporte und Aufzeichnungen berücksichtigt.
Aufbewahrungsrichtlinien können eine Löschung absichtlich verhindern, etwa wegen einer einschlägigen gesetzlichen Pflicht oder eines konkret zu sichernden Anspruchs. Das muss zu den betroffenen Daten passen. Versionierung, Papierkorb, Wiederherstellung und rechtliche Aufbewahrung sind unterschiedliche Funktionen. Prüfen Sie für jede, ob sie zum gewünschten Ergebnis beiträgt und wie lange zusätzliche Kopien fortbestehen.
Die EU Data Boundary ist eine geografisch und vertraglich bestimmte Microsoft-Zusage. Die Dokumentation beschreibt erfasste Dienste und begrenzte fortbestehende Übermittlungen außerhalb dieser Grenze. Deshalb lässt sich aus dem Begriff allein kein vollständiger Ausschluss von Drittlandverarbeitung ableiten. Bewerten Sie den tatsächlich verwendeten Dienst, Supportzugriffe und die einschlägigen Vertragsregelungen.
Härtung im Datenschutz- und Sicherheitsmanagement verankern
Artikel 32 DSGVO verlangt risikogerechte technische und organisatorische Maßnahmen sowie Verfahren zur regelmäßigen Prüfung ihrer Wirksamkeit. Er nennt keine allgemeine Pflicht zu E5, einem jährlichen Penetrationstest oder einer festen Mindestzahl von Sicherheitsprodukten. Beschreiben Sie, welches Risiko eine Maßnahme behandelt und wie Sie erkennen, ob sie noch funktioniert.
Die Auftragsverarbeitung, das Verzeichnis der Verarbeitungstätigkeiten und gegebenenfalls eine Datenschutz-Folgenabschätzung müssen die tatsächliche Nutzung abbilden. Eine Folgenabschätzung ist insbesondere bei voraussichtlich hohem Risiko erforderlich; der bloße Produktname entscheidet darüber nicht. Zusätzliche Anforderungen aus NIS2 in Deutschland sind anhand des geltenden Anwendungsbereichs gesondert zu prüfen. Eine Office-Konfiguration ersetzt keinen vollständigen Nachweis dieser Pflichten.
Von der Freigabe in den laufenden Betrieb
Für jede wesentliche Änderung sollten Sollzustand, betroffene Gruppen, erwartete Nebenwirkungen und Rückfallmöglichkeit feststehen. Die technische Administration prüft die Umsetzung, die Fachabteilung den Arbeitsablauf und die zuständige Leitung akzeptiert verbleibende Risiken. Datenschutzbeauftragte können beraten und kontrollieren; die Verantwortung für den Betrieb bleibt bei der Organisation.
Nach der Einführung benötigt das Profil eine Eigentümerin oder einen Eigentümer. Produktupdates, neue Gastmodelle, zusätzliche Anwendungen und geänderte Lizenzen können seine Wirkung verändern. Legen Sie anlassbezogene Überprüfungen fest und ergänzen Sie einen regelmäßigen Termin entsprechend dem Risiko. Erfassen Sie vor allem unverwaltete Geräte, nicht geschlossene Ausnahmen und unerwartete externe Freigaben.
Die Abnahme sollte eine nachvollziehbare Verbindung zwischen Entscheidung und Beobachtung herstellen: Welche Makrodatei wurde blockiert, welche Freigabe verhindert, welche erlaubte Zusammenarbeit blieb möglich? Bewahren Sie dafür geeignete, möglichst datensparsame Nachweise auf. Eine Liste aktivierter Schalter ist hilfreich, gewinnt aber erst durch diese Prüfung Aussagekraft über die Sicherheit der tatsächlichen Office-Nutzung.
Beispiel: eine Makroausnahme ohne allgemeine Freigabe
Eine fiktive Personalabteilung erstellt monatlich eine Abrechnungsdatei mit einem intern gepflegten Makro. Andere Beschäftigte benötigen keine Makros. Die zuständige Administration beginnt daher nicht mit einer organisationsweiten Lockerung, sondern untersucht die einzelne Anwendung: Welche Daten liest sie, wohin schreibt sie Ergebnisse und welche externen Verbindungen verwendet sie? Der fachliche Eigentümer bestätigt den benötigten Ablauf.
Anschließend wird eine eng begrenzte Ausnahme entworfen. Dazu gehören ein kontrollierter Verteilungsweg, Schutz gegen unbefugte Änderungen und eine passende Beschränkung auf die betroffene Benutzergruppe. Auch eine digitale Signatur braucht einen vertrauenswürdigen Freigabeprozess; sie beweist nicht, dass der signierte Code inhaltlich unbedenklich ist. Wer die Signatur oder den Ablageort kontrolliert, erhält damit eine sicherheitsrelevante Rolle.
Bei der Abnahme wird sowohl die erlaubte Datei als auch eine unerwartete Datei aus einem anderen Herkunftskontext betrachtet. Das Ergebnis muss zeigen, dass die gewünschte Arbeit möglich bleibt und die Ausnahme nicht wesentlich weiter reicht. Danach werden Aktualisierung und Ablösung des Makros terminiert. Verlässt der einzige fachkundige Beschäftigte das Unternehmen, darf die technische Ausnahme nicht ohne verantwortliche Betreuung weiterbestehen.
Dasselbe Vorgehen funktioniert für andere Sonderfälle: eine externe Projektfreigabe, einen zusätzlichen Cloud-Dienst oder einen technischen Versandweg. Beschreiben Sie den Bedarf eng, prüfen Sie die Nebenwirkungen und geben Sie der Ausnahme ein überprüfbares Ende. So wird aus der Härtung ein betreuter Betriebszustand, der sich mit der Organisation verändert und seine ursprünglichen Schutzentscheidungen nicht schrittweise verliert.