Die Sicherheit von Unternehmensdaten erfordert mehr als gute Absichten. Sie erfordert systematische Kontrollen, regelmäßige Audits und ein klares Verständnis dafür, wo Schwachstellen verborgen sind. SharePoint, Microsofts Plattform für Zusammenarbeit und Dokumentenverwaltung, verarbeitet täglich Millionen von sensiblen Dateien in Organisationen weltweit. Die Sicherheitsarchitektur der Plattform geht über einfache Dateispeicherung hinaus und integriert Authentifizierungsebenen, granulare Berechtigungen und Verschlüsselungsprotokolle, die zusammenwirken, um Organisationsdaten zu schützen.
Jüngste Ereignisse unterstreichen, warum SharePoint-Sicherheit jetzt wichtiger denn je ist. Im Juli 2025 nutzten Angreifer aktiv Sicherheitslücken in SharePoint Server-Installationen aus und zwangen Microsoft, Notfall-Patches und detaillierte Abhilfemaßnahmen zu veröffentlichen. Diese Angriffe zielten speziell auf lokale Bereitstellungen ab, ließen SharePoint Online-Kunden unbeeinträchtigt, hoben aber die kritischen Unterschiede zwischen Cloud- und selbst gehosteten Sicherheitsmodellen hervor.
Dieser Leitfaden untersucht SharePoints Sicherheitsmechanismen, identifiziert häufige Konfigurationsfehler, die Schwachstellen erzeugen, und bietet spezifische Schritte zum Schutz Ihrer Umgebung. Sie erfahren, wie Sie Zugriffskontrollmechanismen ordnungsgemäß konfigurieren, Microsofts neueste Sicherheitsfunktionen implementieren und die Fehler vermeiden, die zu Datenverletzungen führen. Die hier aufgeführten Empfehlungen gelten für sowohl SharePoint Online als auch für SharePoint Server-Bereitstellungen, wobei klare Unterscheidungen vorgenommen werden, wo sich ihre Sicherheitsanforderungen unterscheiden.
Wir werden uns auch mit den praktischen Herausforderungen befassen, denen sich Organisationen gegenübersehen: Verwaltung des externen Freigabe ohne Sicherheitslücken, Ausgleich von Zusammenarbeitsbedarf mit Datenschutzanforderungen und Aufrechterhaltung der Sicherheit mit dem Wachstum Ihrer SharePoint-Umgebung. Jeder Abschnitt enthält praktische Schritte, die Sie sofort implementieren können, zusammen mit Anleitungen zur Verwendung spezialisierter Tools, um SharePoints native Sicherheitsfunktionen zu verbessern.
Was ist SharePoint-Sicherheit?
SharePoint-Sicherheit umfasst die organisatorischen und technischen Maßnahmen, die Unternehmensdaten schützen, Benutzerzugriffe kontrollieren und Integrationen im Microsoft 365-Ökosystem sichern. Statt Sicherheit als Add-on-Funktion zu behandeln, baut SharePoint Schutz direkt in seine Architektur durch mehrere defensive Ebenen ein, die zusammenwirken, um Informationsbestände zu schützen.
Auf seiner Kern schützt SharePoint-Sicherheit drei kritische Elemente:
- Sie sichert Unternehmensdaten einschließlich Dateien, Dokumente und gesamte Bibliotheken vor unbefugtem Zugriff oder Änderung.
- Sie verwaltet den Benutzerzugriff auf Websites und Arbeitsbereiche durch granulare Berechtigungssysteme.
- Sie schützt Integrationen mit anderen Microsoft 365-Diensten und externen Anwendungen und stellt sicher, dass Daten beim Wechsel zwischen Systemen sicher bleiben.
Microsoft implementiert diesen Schutz durch ein mehrschichtiges Sicherheitsmodell.
- Authentifizierung verifiziert die Benutzeridentität durch Kennwörter, mehrstufige Authentifizierung und Single Sign-On über Microsoft Entra ID (ehemals Azure Active Directory) für Cloud-Bereitstellungen oder Active Directory für lokale Installationen.
- Autorisierung bestimmt dann, was authentifizierte Benutzer tatsächlich tun können, und verteilt Zugriffsrechte auf mehreren Ebenen: Websites, Bibliotheken, Ordner und einzelne Dokumente. Jede Aktion wird durch umfassende Audits- und Überwachungssysteme aufgezeichnet, die Benutzeraktivitäten, Dokumentänderungen und Zugriffversuche protokollieren.
- Schließlich schützt Verschlüsselung Daten während der Übertragung mithilfe von SSL/TLS-Protokollen und im Ruhezustand durch Datenbankverschlüsselung und Dateispeicherschutz.
Dieser geschichtete Ansatz bedeutet, dass auch wenn eine Sicherheitsmaßnahme fehlschlägt, andere weiterhin Ihre Daten schützen. Ein kompromittiertes Kennwort wird durch mehrstufige Authentifizierung gestoppt. Ein autorisierter Benutzer, der versucht, auf eingeschränkte Inhalte zuzugreifen, wird durch granulare Berechtigungen blockiert. Verdächtige Aktivitätsmuster lösen Benachrichtigungen durch das Überwachungssystem aus, bevor Schaden entstehen kann.
Wie sicher ist SharePoint?
SharePoint bietet Sicherheit auf Unternehmensebene, wenn es ordnungsgemäß konfiguriert und gemäß Microsofts Empfehlungen gepflegt wird. Die Sicherheit der Plattform hängt stark von Implementierungsentscheidungen ab. Organisationen, die mehrstufige Authentifizierung aktivieren, angemessene Berechtigungsstufen konfigurieren und regelmäßig Zugriff audieren, erreichen starke Sicherheitsergebnisse. Diejenigen, die diese Schritte überspringen oder Einstellungen falsch konfigurieren, schaffen Schwachstellen, die Angreifer ausnutzen können.
Ist SharePoint sicherer als OneDrive?
SharePoint und OneDrive verwenden identische Microsoft-Datenschutztechnologien, einschließlich der gleichen Verschlüsselungsstandards und Authentifizierungsmechanismen. Der Unterschied liegt in ihren administrativen Fähigkeiten und beabsichtigten Anwendungsfällen. SharePoint bietet anspruchsvollere Tools für Zugriffskontrolle, Automatisierung und Zusammenarbeitsverwaltung. Administratoren können komplexe Berechtigungshierarchien erstellen, bedingte Zugriffskontrollrichtlinien implementieren und Datengovernance-Regeln über ganze Abteilungen erzwingen. Diese Fähigkeiten machen SharePoint besser für Organisationen geeignet, die sensible Projekte verwalten, Compliance-Anforderungen erfüllen oder großmaßstäbliche Zusammenarbeit ermöglichen. OneDrive zeichnet sich bei persönlicher Dateispeicherung und kleiner Teamfreigabe aus, verfügt aber nicht über die granularen Kontrollen, die für unternehmensweite Datengovernance notwendig sind.
Die Effektivität des Sicherheitsmodells wird beim Betrachten einer Echtzeit-Nutzung deutlich:
- Finanzinstitute verwenden SharePoints Berechtigungsvererbung und Umbruchfunktionen, um sicherzustellen, dass Deal-Dokumente nur für spezifische Teams zugänglich bleiben.
- Gesundheitsorganisationen nutzen seine Audit-Logs, um HIPAA-Compliance nachzuweisen.
- Bildungseinrichtungen wenden unterschiedliche Sicherheitsrichtlinien auf Schülerdatensätze gegenüber öffentlichen Inhalten an.
Diese Szenarien erfordern SharePoints erweiterte Sicherheitsfunktionen, die über OneDrives einfacheres Freigabemodell hinausgehen.
| Funktion | SharePoint | OneDrive |
| Berechtigungsstufen | Granular (Website, Bibliothek, Ordner, Element) | Einfach (nur Datei und Ordner) |
| Steuerelemente für externe Freigabe | Erweiterte Richtlinien, Verfallsdaten, Gastgruppen | Einfache Freigabelinks |
| Audit-Funktionen | Umfassende Logs, detaillierte Berichte | Begrenzte Aktivitätsverfolgung |
| Compliance-Tools | DLP-Richtlinien, Aufbewahrungsregeln, eDiscovery | Nur grundlegende Aufbewahrung |
| Beste für | Unternehmensweite Zusammenarbeit, regulierte Daten | Persönliche Dateien, kleine Teamfreigabe |
💡 Erfahren Sie mehr über SharePoint vs OneDrive in einem dedizierten Artikel: OneDrive vs SharePoint: Wichtige Unterschiede erklärt
Wichtige SharePoint-Sicherheitsfunktionen
SharePoints Sicherheits-Framework stützt sich auf mehrere miteinander verbundene Funktionen, die Daten auf verschiedenen Ebenen schützen. Jede Komponente adressiert spezifische Schwachstellen und trägt gleichzeitig zur gesamten defensiven Position der Plattform bei.
Benutzer-Authentifizierung
Die Sicherheit in SharePoint beginnt mit der Überprüfung der Benutzeridentität durch Authentifizierungsmechanismen auf Unternehmensebene.
- SharePoint Online nutzt Microsoft Entra ID (ehemals Azure Active Directory) zur Bereitstellung von Single Sign-On (SSO), mehrstufiger Authentifizierung (MFA) und bedingten Zugriffskontrollrichtlinien. Diese Funktionen arbeiten zusammen, um sicherzustellen, dass nur legitime Benutzer Systemzugriff erhalten.
- Lokale Bereitstellungen integrieren sich mit Active Directory zur Verwaltung von Konten innerhalb der bestehenden Infrastruktur der Organisation.
Administratoren können Authentifizierungsanforderungen basierend auf Risikostufen konfigurieren. Der Zugriff auf alltägliche Dokumente erfordert möglicherweise nur Standardauthentifizierung, während die Anzeige vertraulicher Finanzdaten zusätzliche Verifizierungsschritte auslöst. Richtlinien für bedingten Zugriff fügen eine weitere Ebene hinzu, indem sie Faktoren wie Benutzerstandort, Gerätecompliance und Netzwerksicherheit bewerten, bevor Zugriff gewährt wird. Ein Anmeldeversuch von einem unbekannten Gerät oder verdächtigem geografischen Standort löst automatisch erhöhte Authentifizierungsanforderungen aus oder blockiert den Zugriff vollständig.
👉Ist SharePoint sicher? SharePoint bietet Sicherheitsfunktionen auf Unternehmensebene, einschließlich Verschlüsselung, granularer Berechtigungen und umfassender Audits, aber seine tatsächliche Sicherheit hängt vollständig von ordnungsgemäßer Konfiguration und Wartung ab. SharePoint Online bietet stärkeren Standardschutz durch automatische Patches und Microsofts Sicherheitsinfrastruktur, während lokale Bereitstellungen erhebliche Fachkompetenz erfordern, um vergleichbare Sicherheitsstufen zu erreichen. Die Plattform ist sicher, wenn Organisationen MFA aktivieren, angemessene Berechtigungen konfigurieren, aktuelle Patches verwalten und Benutzer ordnungsgemäß schulen; ohne diese Maßnahmen kann selbst SharePoints robuste Sicherheitsarchitektur nicht vor Verletzungen schützen.
Flexible Zugriffsverwaltung
SharePoints Berechtigungssystem funktioniert über drei miteinander verbundene Komponenten: Berechtigungen, Rollen und Scopes:
- Einzelne Berechtigungen kontrollieren spezifische Aktionen wie Anzeigen, Bearbeiten oder Löschen von Inhalten.
- Rollen kombinieren mehrere Berechtigungen in logischen Gruppen wie Besucher (Schreibschutz), Mitglieder (Beitrag und Bearbeitung) und Besitzer (vollständige Kontrolle einschließlich Berechtigungsverwaltung).
- Scopes bestimmen, wo diese Berechtigungen gelten - von ganzen Websitesammlungen bis zu einzelnen Dokumenten.
Diese granulare Kontrolle unterscheidet SharePoint von einfacheren Speicherlösungen.
- Eine Rechtsabteilung kann beispielsweise Partnern Lesezugriff auf spezifische Vertragsordner gewähren und dabei Downloads sensibler Anhänge verhindern.
- Projektmanager können Teammitgliedern die Bearbeitung von Projektdokumenten gestatten, während sie den Zugriff auf Budgetdateien in der gleichen Bibliothek einschränken.
Das System unterstützt sowohl vererbte Berechtigungen, die von übergeordneten zu untergeordneten Objekten fließen, als auch Berechtigungen für außergewöhnliche Fälle.
Das Brechen der Berechtigungsvererbung sollte sparsam und strategisch erfolgen. Jede einzigartige Berechtigung schafft zusätzliche administrativen Aufwand und erhöht das Risiko von Zugriffskontrollfehlern. Organisationen erreichen bessere Sicherheitsergebnisse, indem sie ihre SharePoint-Architektur so strukturieren, dass Vererbungsumbrüche minimiert werden, indem sie separate Websites oder Bibliotheken für Inhalte mit unterschiedlichen Zugriffsebenen verwenden.
Versionskontrolle und Benutzer-Auditing
SharePoint verwaltet automatisch Dokumentversionsverlauf, erstellt Schnappschüsse jedes Mal, wenn Benutzer Änderungen speichern. Dieses Versionssystem dient mehreren Sicherheitszwecken über einfaches Revisions-Tracking hinaus. Wenn Ransomware-Angriffe Dateien verschlüsseln oder Benutzer Inhalte versehentlich löschen, können Administratoren sofort auf frühere Versionen zurückgreifen. Versionsbeschränkungen verhindern Speicherverschwendung, während ausreichende Historie für Wiederherstellung und Compliance-Anforderungen erhalten bleibt.
Das Audit-Logging-System zeichnet umfangreiche Details über Benutzeraktivitäten auf. Jeder Dokumentzugriff, jede Änderung, jeder Download und jede Berechtigungsänderung wird mit Zeitstempel und Benutzeridentifikation protokolliert. SharePoint erfasst wer spezifische Dokumente öffnete, welche Änderungen sie vornahmen, wann sie Inhalte extern teilten und welche Berechtigungen sie änderten. Organisationen, die SharePoint Advanced Management verwenden, können jetzt die Remediation von OverSharings an Site-Besitzer durch Site-Access-Reviews delegieren, wobei die Sicherheitsüberwachungslast verteilt wird, während zentrale Aufsicht erhalten bleibt.
Diese Audit-Funktionen sind für Regulatory Compliance und Sicherheitsermittlungen unverzichtbar.
- Gesundheitsorganisationen demonstrieren HIPAA-Compliance durch das Zeigen, wer auf Patientendatensätze zugegriffen hat.
- Finanzinstitute verfolgen Dokumentzugriff für Insiderhandelsermittlungen.
- Bildungseinrichtungen überwachen Schülerdaten-Zugriff, um Datenschutz-Compliance sicherzustellen.
Verschlüsselung von Daten im Ruhezustand und während der Übertragung
SharePoint implementiert Verschlüsselung auf mehreren Ebenen zum Schutz von Daten unabhängig ihrem Zustand. Bei der Übertragung verwenden alle Verbindungen TLS-Verschlüsselung, um Abfangung oder Manipulation zu verhindern. Dieser Schutz gilt, ob Benutzer über Web-Browser, mobile Apps oder Desktop-Clients auf SharePoint zugreifen.
Bei ruhenden Daten verschlüsselt SharePoint Online alle Dateien mithilfe einzigartiger Pro-Datei-Schlüssel exklusiv für jeden Mandanten, wobei BitLocker zusätzliche Festplattenverschlüsselung bereitstellt. Organisationen, die zusätzliche Kontrolle benötigen, können Customer Key implementieren, das ihnen die Verwaltung der Stammverschlüsselungsschlüssel ermöglicht, die vom Dienst verwendet werden.
Lokale Bereitstellungen müssen manuell SSL-Zertifikate konfigurieren und SQL Server Transparent Data Encryption aktivieren, um ähnliche Schutzebenen zu erreichen.
Die Verschlüsselungsarchitektur stellt sicher, dass selbst wenn Angreifer physischen Zugriff auf Microsofts Rechenzentren erlangen oder Backup-Medien stehlen, die Daten ohne entsprechende Verschlüsselungsschlüssel unlesbar bleiben. Microsofts Schlüsselverwaltungssystem trennt Schlüssel von Daten, speichert sie in gehärteten Schlüsseltresoren und rotiert sie regelmäßig gemäß Sicherheits-Best-Practices.
Konfigurieren Sie Datenaufbewahrungs- und Löschrichtlinien
SharePoints Aufbewahrungsfunktionen helfen Organisationen, Datenschutzanforderungen mit Sicherheits- und Compliance-Anforderungen auszugleichen. Administratoren können Richtlinien konfigurieren, die veraltete Dokumente nach festgelegten Zeiträumen automatisch löschen und dabei die Angriffsfläche reduzieren und potenzielle Verletzungsgefährdung einschränken. Umgekehrt können Richtlinien rechtlich bedeutsame Dokumente für erforderliche Aufbewahrungszeiträume beibehalten und frühes Löschen verhindern, das zu Compliance-Verstößen führen könnte.
Das Microsoft Purview-Portal (ehemals Compliance Center) bietet zentrale Aufbewahrungsverwaltung über SharePoint und andere Microsoft 365-Dienste hinweg. Organisationen können Richtlinien basierend auf Inhaltstypen, Sensitivitätskennzeichnungen oder bestimmten Metadatenwerten erstellen.
- Ein Gesundheitsanbieter könnte Patientendatensätze sieben Jahre aufbewahren und Administrative Dokumente automatisch nach zwei Jahren bereinigen.
- Anwaltskanzleien können Rechtsschutzbestimmungen auf fallbezogene Dokumente anwenden, während routine Korrespondenz normalen Löschzeitplänen folgen kann.
Aufbewahrungsrichtlinien funktionieren neben Sensitivitätskennzeichnungen, um umfassende Informations-Governance zu schaffen. Wenn Organisationen Unterstützung für Sensitivitätskennzeichnungen für SharePoint und OneDrive aktivieren, können sie verschlüsselte Office- und PDF-Dateien verarbeiten, während volle Indizierungs- und Auditing-Funktionen erhalten bleiben. Bibliotheken können automatisch Standard-Sensitivitätskennzeichnungen anwenden, sodass neue Dokumente konsistente Sicherung gewährleistet. Das Funktion "Berechtigungen beim Download erweitern" behält SharePoint-Zugriffskontrolle auch nach lokalen Dateidownloads bei und reduziert das Risiko unbefugter Freigabe.
👉 Was sind die größten Bedrohungen für SharePoint-Datensicherheit? Die gefährlichsten Bedrohungen sind falsch konfigurierte Berechtigungen - besonders "Jeder mit dem Link"-Freigabe und unterbrochene Vererbung, die sich über die Zeit ansammelt - was sensible Daten weit über die beabsichtigte Zielgruppe hinaus offenlegt. Ungepatchte lokale Server erzeugen kritische Schwachstellen, die Angreifer aktiv ausnutzen. Kompromittierte Benutzer-Anmeldeinformationen von Phishing-Angriffen umgehen technische Kontrollen vollständig und geben Angreifern legitimen Zugriff zum Exfiltrieren von Daten, Modifizieren von Berechtigungen für persistenten Zugriff und Starten von internen Angriffen, die glaubwürdig erscheinen, weil sie von vertrauenswürdigen Konten stammen.
SharePoint Online und lokale Sicherheitsfunktionen
Die Wahl zwischen SharePoint Online und lokalen Bereitstellungen prägt grundlegend die Sicherheitsverantwortung und Fähigkeiten einer Organisation. Jedes Modell bietet unterschiedliche Vorteile, und das Verständnis ihrer Unterschiede hilft Organisationen, die für ihre Sicherheitsanforderungen geeignete Plattform auszuwählen.
SharePoint Online-Sicherheit: Cloud-basierter Schutz
SharePoint Online funktioniert als vollständig verwalteter Dienst innerhalb von Microsofts Cloud-Infrastruktur, wobei Microsoft die zugrundeliegenden Sicherheitsoperationen verwaltet. Sicherheitsupdates und Patches werden automatisch ohne administrative Intervention installiert, oft innerhalb von Stunden nach der Entdeckung. Diese schnelle Reaktion war bei der Entdeckung jüngster Sicherheitslücken entscheidend, da SharePoint Online-Kunden geschützt blieben, während lokale Installationen manuelle Patches benötigten.
Microsofts Infrastruktur setzt Defense-in-Depth-Strategien ein, einschließlich Netzwerksegmentierung, Intrusion Detection and Prevention Systems (IDS/IPS) und kontinuierlicher Sicherheitsüberwachung über alle Rechenzentren hinweg. Die Plattform unterliegt regelmäßigen Audits durch Drittparteien auf Compliance-Zertifizierungen einschließlich ISO 27001, SOC 2 und FedRAMP, was unabhängige Überprüfung von Sicherheitskontrollen bietet.
Integrierte Sicherheitsmechanismen gehen über grundlegenden Schutz hinaus. Data Loss Prevention (DLP)-Richtlinien identifizieren und blockieren Übertragung sensibler Informationen wie Kreditkartennummern, Sozialversicherungsnummern oder benutzerdefinierte Datenmuster. Das Microsoft Purview-Portal zentralisiert Compliance-Verwaltung und ermöglicht Organisationen, Aufbewahrungsrichtlinien, eDiscovery-Holds und Regulatory Compliance-Kontrollen von einer einzigen Schnittstelle zu implementieren. Bedingter Zugriff wertet mehrere Signale aus, bevor Zugriff gewährt wird, einschließlich Benutzerrisikostufe, Gerätecompliance-Status, Anwendungsempfindlichkeit und Netzwerkstandort.
Mehrstufige Authentifizierung ist Standard für alle Microsoft 365-Benutzer und erfordert minimale Konfiguration zum Aktivieren. Organisationen können MFA selektiv basierend auf Benutzerrollen erzwingen und die Abdeckung schrittweise erweitern, um Störungen zu minimieren. Erweiterte Authentifizierungsmethoden beinhalten passwortlose Optionen mit Windows Hello, FIDO2-Sicherheitsschlüsseln oder der Microsoft Authenticator-App und bieten sowohl verbesserte Sicherheit als auch verbessertes Benutzererlebnis.
Die Vorteile für Organisationen sind erheblich. IT-Abteilungen vermeiden die Komplexität der Verwaltung von Server-Infrastruktur, Anwendung von Sicherheits-Patches und Aufrechterhaltung hoher Verfügbarkeit. Schnelle Bereitstellung ermöglicht es Organisationen, sichere Zusammenarbeitsumgebungen in Tagen statt Monaten einzurichten. Microsofts globale Infrastruktur bietet integrierte Redundanz, verteilte Rechenzentren und einen 99,9%-Uptime-SLA, den die meisten Organisationen nicht unabhängig erreichen können.
Neueste Verbesserungen ermöglichen granulare Kontrolle über nicht verwaltete Geräte, mit Richtlinien, die jetzt Block- oder begrenzte Zugriffsoptionen nach Benutzer, Gruppe und einzelner Website unterstützen. Organisationen können Downloads von persönlichen Geräten einschränken, während Web-only-Zugriff erlaubt bleibt und Datenschutz mit Produktivität ausbalanciert wird.
SharePoint lokale Sicherheit: Kontrolle bewahren
SharePoint lokale Bereitstellungen laufen auf von der Organisation verwalteten Servern und bieten vollständige Kontrolle über die Sicherheitskonfiguration. Administratoren bestimmen Patch-Zeitpläne, konfigurieren Firewalls und implementieren Sicherheitsrichtlinien nach Anforderungen der Organisation. Diese Kontrolle kommt mit bedeutender Verantwortung, wie durch die Juli 2025-Angriffe demonstriert wurde, die ungepatchte SharePoint Server-Installationen über CVE-2025-53770 und CVE-2025-53771 ausnutzten.
Die Flexibilität lokaler Bereitstellungen ermöglicht umfangreiche Anpassung. Organisationen können luftdicht isolierte Netzwerke implementieren, völlig vom Internet getrennt, benutzerdefinierte Authentifizierungsanbieter, die mit proprietären Systemen integriert sind, oder spezialisierte Verschlüsselungsmechanismen, die von Regulatory Frameworks benötigt werden. Sicherheitsteams haben direkten Zugriff auf Logs, Datenbanken und Konfigurationsdateien und ermöglichen detaillierte forensische Analysen und benutzerdefinierte Überwachungslösungen.
Diese Flexibilität erfordert jedoch erhebliche Fachkompetenz und Ressourcen. Sicherheitsteams müssen Microsofts Sicherheitsbulletins aktiv überwachen, Patches in Entwicklungsumgebungen testen und Wartungsfenster für Produktionsupdates koordinieren. Die Juli 2025-Vorfälle hoben diese Herausforderungen hervor, als Organisationen kämpften, Microsofts Notfall-Patches zu implementieren, ASP.NET-Maschinenschlüssel zu rotieren, AMSI (Anti-Malware Scan Interface) im vollständigen Modus zu aktivieren und IIS-Dienste über ihre Serverfarms neu zu starten.
Über SharePoint hinaus müssen Administratoren den gesamten Stack sichern. Dies umfasst Härtung von Windows Server, Konfiguration von SQL Server-Verschlüsselung, Verwaltung von SSL-Zertifikaten, Implementierung von Netzwerksegmentierung und Wartung von Backup-Systemen. Jede Komponente stellt einen potenziellen Angriffsvektor dar, wenn falsch konfiguriert oder nicht aktualisiert. Neuere Sicherheitslücken umfassten CVE-2024-30044, gepatcht im Mai 2024, CVE-2024-38094, behoben im Juli 2024, und CVE-2024-49070, behoben im Dezember 2024 - alle erfordern manuelle Eingriffe zum Schutz lokaler Installationen.
Wann verwendet man welches Bereitstellungsmodell
SharePoint lokale ist für Organisationen mit spezifischen Regulatory Requirements, die Datenlokalisierung innerhalb nationaler Grenzen oder vollständiger Infrastrukturkontrolle erfordern. Regierungsbehörden, die mit klassifizierten Informationen umgehen, Gesundheitsorganisationen, die sensible Patientendaten in Jurisdiktionen mit strikten Lokalisierungsgesetzen verarbeiten, und Finanzinstitute mit Legacy-Systemabhängigkeiten benötigen häufig lokale Bereitstellungen. Rüstungsunternehmer, die mit ITAR-kontrollierten Daten arbeiten, können unabhängig von ihren Sicherheitszertifizierungen keine Cloud-Services verwenden.
Das lokale Modell passt auch zu Organisationen mit bestehenden Investitionen in Rechenzentrum-Infrastruktur, spezialisierte Sicherheitsgeräte oder benutzerdefinierte Lösungen, die nicht in die Cloud migriert werden können. Einige Fertigungsunternehmen funktionieren an Standorten mit unzuverlässiger Internet-Konnektivität, was Cloud-Services unpraktisch für den täglichen Betrieb macht.
SharePoint Online erfüllt besser Organisationen, die schnelle Bereitstellung, vorhersehbare Kosten und geringere administrative Overhead priorisieren. Startups und wachsende Unternehmen profitieren von Sicherheit auf Unternehmensebene ohne interner Fachkompetenz-Aufbau. Multinationalkonzerne nutzen Microsofts globale Infrastruktur, um konsistente Performance über geografische Regionen hinweg zu bieten. Organisationen, die sich auf Kerngeschäftsaktivitäten konzentrieren statt IT-Infrastruktur-Verwaltung, finden das verwaltete Dienstmodell kostengünstiger, wenn man Gesamtbetriebskosten einschließlich Hardware, Software, Personal und laufende Wartung betrachtet.
Die Sicherheitsauswirkungen beider Modelle gehen über technische Überlegungen hinaus. SharePoint Online-Kunden profitieren von Microsofts massiven Sicherheitsinvestitionen, Threat Intelligence-Netzwerken und schneller Reaktion auf auftauchende Bedrohungen. Lokale Bereitstellungen bieten vollständige Kontrolle, benötigen aber äquivalente Sicherheits-Fachkompetenz und operative Disziplin, um vergleichbare Schutzebenen zu erreichen. Organisationen müssen ihre Fähigkeiten ehrlich bewerten, bevor sie das Bereitstellungsmodell auswählen, das ihre Sicherheitsanforderungen mit verfügbaren Ressourcen beste ausbalanciert.
| Bereich | Aktualisierung | Warum es wichtig ist | Effektiv / Veröffentlicht | Was zu tun ist | Weitere Informationen |
| SharePoint Server (lokal) | "ToolShell" Zero-Days: CVE-2025-53770 & CVE-2025-53771 aktiv ausgenutzt | Echte Kompromisse gegen Internet-facing Farms; Microsoft lieferte Notfall-Updates plus Härtungsleitlinien | 19.-22. Juli, 2025 | Sofort patchen; AMSI (vollständigen Modus) aktivieren; ASP.NET machineKey rotieren; EDR bereitstellen | Microsoft MSRC-Leitlinien & Microsoft Security Blog. (Microsoft Security Response Center, Microsoft) |
| SharePoint Server (lokal) | 2024 Post-Auth RCE (CVE-2024-38094) in der Wildnis ausgenutzt | Langzeitrisiko für ungepatchte 2016/2019/SE-Farms | Jul 2024 (Patch); Ausnutzung im Oktober 2024 notiert | Überprüfen Sie, dass Juli 2024 CU angewendet wird; überprüfen Sie Logs auf Web-Shells | CISA/Brancheneigene Ratschläge. (SecurityWeek, broadcom.com) |
| SharePoint Server (lokal) | AMSI-Integration & Admin-UI (SE 25H1) | Ermöglicht Ihrer AV, HTTP/S-Request-Body zu inspizieren und bösartige Payloads zu blockieren, bevor SharePoint sie verarbeitet | März 2025 (SE 25H1 UI); Standardaktivierung in 2025 MSRC-Post erwähnt | Bestätigen Sie AMSI auf allen Web-Apps aktiviert; verwenden Sie "vollständigen Modus"; validieren Sie Zustand | Microsoft Learn (AMSI-Konfiguration) & MSRC-Leitlinien. (Microsoft Learn, Microsoft Security Response Center) |
| SharePoint Online | OTP-externe Freigabelinks außer Betrieb genommen zugunsten von Entra ID B2B | Legacy-OTP-Links funktionieren nicht mehr; Gäste müssen sich als B2B anmelden | 1. Juli 2025 | Betroffene Links Inventur; über B2B weitergeben; Benutzer-Kommunikation aktualisieren | Microsoft Learn (Entra B2B Integration FAQ) & Microsoft Community-Notiz. (Microsoft Learn, TECHCOMMUNITY.MICROSOFT.COM) |
| SharePoint Online | Klassische Benachrichtigungen werden pensioniert (Wechsel zu Regeln/Power Automate) | Alte Benachrichtigungsmethode wird schrittweise eingestellt; potenzielle Benutzerverwirrung, wenn nicht geplant | Zeitplan: neue Mandanten blockiert Jul 2025; alle Mandanten blockiert Jan 2026; Feature entfernt Jul 2026 | Mit Regeln/Power Automate ersetzen; Training/Helpdesk aktualisieren | Microsoft Support-Pensionsmitteilung. (Microsoft Support) |
| SharePoint Online | Sensitivitätskennzeichnungen für verschlüsselte Office- & PDFs vollständig in SPO/OneDrive verarbeitet | Ermöglicht gemeinsame Bearbeitung, eDiscovery, Suche & DLP auch wenn Inhalte beschriftungsverschlüsselt sind | Aktualisiert 7. August 2025 | Aktivieren Sie Beschriftungsunterstützung für Office/PDF; überprüfen Sie Clients; planen Sie automatische Kennzeichnung | Microsoft Learn. (Microsoft Learn) |
| SharePoint Online | Standardbibliotheks-Bezeichnung + Schutz bei Download/Kopie/Verschiebung erweitern | Ermöglicht Site-Besitzern automatische Kennzeichnung von Inhalten und führt Site-Berechtigungen mit Dateien außerhalb von SharePoint mit | Standard-Beschriftungs-Dok. aktualisiert 10. Juni 2025; "Schutz erweitern"-Feature | Standard-Bezeichnung setzen; berücksichtigen Sie "Schutz erweitern" für sensible Libs | Microsoft Learn (Standard-Beschriftung & Schutz erweitern). (Microsoft Learn) |
| SharePoint Online | Nicht verwaltete Gerätesteuerungen (blockieren oder nur Web) mit feiner Scoping | Begrenzt Datenausgang von persönlichen Geräten; kann auf spezifische Benutzer/Sites abzielen | Leitlinien aktualisiert 17. April 2025 | Mit bedingtem Zugriff koppeln; auf hochriskante Sites zuerst anwenden | Microsoft Learn. (Microsoft Learn) |
| SharePoint Online (Governance) | SharePoint Advanced Management (SAM): Daten-Zugriffs-Governance Berichte & Site-Access-Bewertungen | Besitzer-getriebene Remediation für Oversharing; kontinuierliche Risiko-Reduktion | SAM-Übersicht aktualisiert 30. Juni 2025; Site-Bewertungs-Doku 28. August 2025 | DAG-Berichte ausführen; Access-Bewertungen auf overschareden Sites initiieren | Microsoft Learn (SAM & Bewertungen). (Microsoft Learn) |
| SharePoint/OneDrive/Teams | Safe Attachments für SPO/OneDrive/Teams-Verbesserungen | Detoniert & sperrt bösartige Dateien in Bibliotheken; integriert mit Defender-Berichten | Doku aktualisiert Jul-Aug 2025 | Aktivieren Sie Safe Attachments; optional Downloads erkannter Dateien blockieren | Microsoft Learn. (Microsoft Learn) |
| Microsoft Purview (Endpoints) | Endpoint DLP Just-in-Time (JIT) Schutz | Blockiert vorübergehend Ausgang während die Richtlinie bewertet - schließt DLP "Wettrennen" | Doku aktualisiert 31. März 2025 & 11. Juli 2025 | Aktivieren Sie JIT für geschlossene Benutzer/Geräte; testen Sie Benutzererlebnis | Microsoft Learn. (Microsoft Learn) |
| Microsoft Purview (DLP) | Neue Daten-Klassifizierungs-Content-Download-Rolle für Beweise | Strengere RBAC für Download-Beweise von Activity Explorer/DLP-Warnungen | Rollout Mar-Apr 2025 | Nur Ermittlern zuweisen; Beweise-Behandlungs-SOPs überprüfen | Microsoft Learn & Rollout-Mitteilung. (Microsoft Learn) |
SharePoint-Schwachstellen und Risiken
SharePoints Sicherheit hängt ebenso von ordnungsgemäßer Konfiguration und Wartung ab wie von seinen integrierten Schutzmaßnahmen. Die meisten Verletzungen entstehen durch vermeidbare Fehler statt Plattformfehler, was es entscheidend macht, zu verstehen, wo Schwachstellen typischerweise entstehen.
Falsch konfigurierte Zugriffsrechte
Übermäßige Berechtigungen bleiben die häufigste Sicherheitsbedrohung in SharePoint-Bereitstellungen. Benutzer erhalten häufig Bearbeitungszugriff, wenn Nur-Lesen-Berechtigungen ausreichen würden, oder Administratoren gewähren volle Kontrollrechte für temporäre Aufgaben, ohne sie danach zu widerrufen. Diese angesammelten Berechtigungen schaffen Pfade für Datengefährdung, die sich über die Zeit gefährlicher werden.
Fehler der Berechtigungsvererbung verschärfen das Problem. Ein Site-Besitzer könnte Vererbung brechen, um den Zugriff auf eine sensible Bibliothek einzuschränken, während unwissentlich breitere Berechtigungen auf Site-Ebene gewährt, die nach unten zu vermeintlich geschütztem Inhalt kaskadieren. Externe Freigabe verstärkt diese Risiken exponentiell. "Jeder mit dem Link"-Freigabeoptionen sind zwar praktisch für Zusammenarbeit, können aber Unternehmensdokumente dem ganzen Internet offenlegen, wenn URLs durch weitergeleitete E-Mails, kompromittierte Konten oder einfache Benutzer-Fehler lecken.
Microsoft sprach einen Aspekt dieses Risikos an, als Legacy-Einmalpasswort (OTP) externe Freigabelinks am 1. Juli 2025 aufhörten zu funktionieren, was Organisationen zwang, Inhalte mithilfe sicherer Entra ID B2B-Gastzugriff weiterzuteilen. Viele Organisationen entdeckten jedoch, dass sie Tausende aktiver externer Shares hatten, die sie nicht verfolgten, was die Größe der ungverwalteten Zugriffs-Ausbreitung hervorhob.
💡Erfahren Sie mehr über sichere Freigabe in SharePoint in unseren dedizierten Artikeln:
- SharePoint mit externen Benutzern freigeben: Best Practices für Zusammenarbeit
- SharePoint sichere Dateisicherung: Methoden, Best Practices und erweiterte Tipps
Veraltete Versionen von SharePoint lokal
Lokale SharePoint-Installationen sind kontinuierlichen Sicherheitsbedrohungen durch ungepatchte Schwachstellen ausgesetzt. Wie bereits erwähnt, demonstrierten die Juli 2025-Angriffe, die CVE-2025-53770 und CVE-2025-53771 ausnutzten, wie schnell Gegner offengelegte Schwachstellen weaponisieren. Organisationen hatten nur wenige Tage zwischen Microsofts Sicherheitsempfehlung und aktiver Ausnutzung in der Wildnis. Diejenigen ohne robuste Patch-Management-Prozesse fanden sich dabei wieder, Fixes anzuwenden, während möglicherweise bereits kompromittiert.
Die Angriffskette erstreckt sich oft über SharePoint hinaus. Schwachstellen in zugrundeliegenden Komponenten wie IIS, SQL Server oder .NET Framework können initialen Zugriff bieten, den Angreifer zu SharePoint-Kompromittierung eskalieren. Legacy-Authentifizierungsprotokolle, veraltete SSL-Zertifikate und falsch konfigurierte Firewall-Regeln erzeugen zusätzliche Einstiegspunkte. Jede Komponente benötigt einzelne Aufmerksamkeit, was Patch-Management zu eine komplexen Orchestrierungs-Herausforderung macht.
Historische Daten zeigen ein Muster eskalie
