M365-Security als Managed Service

Mailfilter, Archiv, Verschlüsselung und Backup aus einer Hand.

Wir konsolidieren die Schutz- und Sicherungsschicht rund um Microsoft 365 auf eine Plattform und betreiben sie für Sie: Mail-Gateway, Advanced Threat Protection, Archiv, Verschlüsselung und die Sicherung von Exchange Online, Teams, OneDrive und SharePoint. Umgestellt in Phasen und mit Rückweg, betrieben nach vereinbartem Service-Level, mit Lizenzen aus einer Hand und einem Ausstieg, der von Anfang an geregelt ist.

Typische Ausgangslagen

Gewachsen aus Einzelentscheidungen, betrieben von niemandem so richtig

Die Schutzschicht vor Microsoft 365 ist selten geplant. Sie entsteht, weil vor Jahren eine Appliance gekauft wurde, später ein Backup-Produkt dazukam und die Verschlüsselung irgendwo zwischen Outlook-Add-in und Zertifikatsablage hängt.

Zwei Hersteller, zwei Welten

Ein klassisches Mail-Gateway filtert, ein separates Produkt sichert Microsoft 365. Zwei Konsolen, zwei Verträge, zwei Supportwege, und bei einem Vorfall die Frage, wer zuständig ist.

Die Appliance will Pflege

Ein Mail-Gateway als virtuelle oder physische Appliance braucht Updates, Zertifikate, Kapazität und jemanden, der die Regeln versteht. Läuft der Wartungsvertrag aus, steht ein Hardware- oder Lizenzwechsel an.

Backup ohne Restore-Probe

Die Sicherung läuft, das Dashboard ist grün. Ob sich ein ganzes Team, ein gelöschter SharePoint-Ordner oder ein Postfach eines ausgeschiedenen Mitarbeiters zurückholen lässt, wurde nie ausprobiert.

Verschlüsselung am Einzelplatz

S/MIME-Zertifikate liegen auf einzelnen Rechnern, laufen unbemerkt ab und gehen mit dem Mitarbeitenden. Wer verschlüsselt antworten will, muss wissen, wie.

Quarantäne als Blackbox

Mails verschwinden in einer Quarantäne, auf die nur zwei Administratoren Zugriff haben. Fachbereiche rufen an, Freigaben dauern, und niemand weiß, was die Filter eigentlich zurückhalten.

Rund um die Uhr gefordert

Eine Ausschreibung oder der Betrieb selbst verlangt Schutz und Sicherung „24/7“. Gemeint ist meist: Die Plattform arbeitet ohne Pause, Störungen werden erkannt und innerhalb vereinbarter Zeiten bearbeitet.

Bausteine

Was zur Schutz- und Sicherungsschicht gehört

Jeder Baustein hat eine eigene Seite mit den technischen Details. Hier sehen Sie, wie sie zusammenhängen: Mail kommt über den Filter herein, wird bei Bedarf entschlüsselt, archiviert und an Exchange Online zugestellt. Die Sicherung erfasst danach, was in Postfächern, Teams, OneDrive und SharePoint liegt.

Plattform

Eine Plattform für Filter, Archiv, Verschlüsselung und Backup

Mehrere Hersteller bündeln diese Funktionen inzwischen in einem Dienst. Ein verbreitetes Beispiel ist Hornetsecurity 365 Total Protection, seit Dezember 2025 Teil von Proofpoint. Die Pläne bauen aufeinander auf, jeder enthält den vorherigen. Funktionsumfang laut Herstellerangaben, Stand Oktober 2026.

Plan 1 · Business

  • Spam- und Malwareschutz
  • E-Mail-Verschlüsselung
  • Signaturen und Disclaimer

Plan 2 · Enterprise

  • Advanced Threat Protection
  • E-Mail-Archivierung
  • Email Continuity Service für Ausfälle

Plan 3 · Enterprise Backup

  • automatische Sicherung von Microsoft 365
  • granulare Wiederherstellung mit Self-Service
  • Speicher ohne Mengengrenze

Plan 4 · Compliance & Awareness

  • Security Awareness Service
  • 365 Permission Manager
  • DMARC Manager
  • Teams Protection und weitere KI-Funktionen

Was eine Plattform nicht ersetzt

  • einen sauberen Mailflow in Exchange Online: Connectors, Transportregeln und DNS bleiben Ihre Konfiguration
  • die Microsoft-eigenen Schutzfunktionen: Defender for Office 365 und Exchange Online Protection laufen weiter und müssen abgestimmt sein
  • Identitätsschutz: Ein kompromittiertes Konto ohne MFA hilft auch der beste Mailfilter nicht
  • Entscheidungen zu Fristen, Freigaben und Zuständigkeiten, die nur Sie treffen können

Wie wir eine Plattform auswählen

  • Abgleich Ihrer Anforderungen gegen den tatsächlichen Funktionsumfang im Pilot, nicht gegen Datenblätter
  • Rechenzentrumsstandort, Auftragsverarbeitung und Unterauftragnehmer nach DSGVO geprüft
  • Export- und Ausstiegswege für Archiv und Backup vor Vertragsschluss geklärt
  • offene Aussage, wo eine Plattform eine Anforderung nicht oder nur teilweise erfüllt
  • vergleichbare Plattformen anderer Hersteller, wenn sie besser passen

Migration

Vom Altbestand zur Plattform, ohne dass eine Mail verloren geht

Die Ablösung eines Mail-Gateways und eines separaten M365-Backups ist kein Schalter, den man umlegt. Mailfluss und Sicherung laufen in jeder Phase weiter, und die Altsysteme gehen erst vom Netz, wenn die neue Plattform nachweislich trägt.

Jede Phase hat ein Abnahmekriterium und einen Rückweg. Änderungen an MX, Connectors und Transportregeln führen wir außerhalb der Kernzeiten durch, mit gesenkter DNS-TTL und einem Runbook, das auch jemand anderes ausführen könnte.

Nils Lappenbusch im Studio vor grauem Hintergrund
  1. 1

    Bestandsaufnahme Lagebild

    Gateway-Regeln, Policies, Inhaltsfilter, Routen und Allowlists auslesen. Connectors, Transportregeln und DNS in Exchange Online prüfen. Sicherungsumfang, Aufbewahrung und Repositories des bisherigen Backups erfassen. Alle Systeme, die Mails versenden, inventarisieren.

  2. 2

    Zielbild & Zuständigkeiten Entscheidung

    Welche Prüfung macht die Plattform, welche Microsoft? Wer gibt Quarantäne frei, wer stellt wieder her, wer genehmigt Änderungen? Fristen für Archiv und Backup, Verschlüsselungsregeln je Partner und Abnahmekriterien schriftlich festlegen.

  3. 3

    Plattform aufsetzen Aufbau

    Domains und Benutzer anbinden, Filter- und Verschlüsselungsregeln aus dem Altsystem bereinigt übertragen, Archivfristen und Rollen konfigurieren. In Exchange Online die Connectors für den neuen Weg anlegen, zunächst ohne den alten zu stören.

  4. 4

    Parallelbetrieb & Pilot Test

    Ausgehende Mails einer Pilotgruppe laufen über die neue Plattform, eingehende Tests mit Testdomänen und externen Absendern. Das neue Backup sichert bereits parallel zum alten. Erkennungsraten, Fehlalarme und Zustellwege werden protokolliert.

  5. 5

    MX-Umstellung Cutover

    TTL vorab gesenkt, MX auf die neue Plattform, SPF erweitert. Das alte Gateway nimmt noch Nachzügler an und stellt weiter zu, bis kein Verkehr mehr ankommt. Erst danach wird der Inbound-Connector in Exchange Online auf die neuen Absender-IPs beschränkt.

  6. 6

    Backup-Erstsicherung Sicherung

    Die erste Vollsicherung aller Postfächer, Teams, OneDrive-Konten und SharePoint-Bibliotheken dauert je nach Datenmenge und Drosselung durch Microsoft Tage bis Wochen. Erst wenn sie vollständig ist und ein Restore-Test bestanden ist, gilt die Sicherung als übernommen.

  7. 7

    Altdaten & Archiv Übernahme

    Bestehende Archive und PST-Bestände werden mit Mengen- und Stichprobenabgleich übernommen. Für alte Sicherungen entscheiden wir: lesbar halten, bis die Aufbewahrung abläuft, oder exportieren. Keine Altdaten verschwinden mit dem Vertragsende.

  8. 8

    Rückbau der Altsysteme Abschluss

    Alte Connectors, Allowlists, SPF-Einträge, App-Registrierungen und Firewall-Regeln entfernen, Appliances abschalten, Lizenzen kündigen. Dokumentation, Runbooks und Betriebshandbuch übergeben.

Betriebsmodell

Was im laufenden Betrieb tatsächlich anfällt

Ein Managed Service ist mehr als eine Lizenz mit Support-Hotline. Diese Tätigkeiten übernehmen wir im Betrieb, mit klarer Abgrenzung zu dem, was Ihre IT selbst entscheidet.

Monitoring & Alarmierung

Zustellung, Warteschlangen, Backup-Läufe, Zertifikatslaufzeiten und Plattformmeldungen werden automatisch überwacht. Auffälligkeiten erzeugen einen Alarm mit definiertem Empfänger, nicht nur einen Eintrag im Dashboard.

Quarantäne & Freigaben

Quarantäne-Berichte für Mitarbeitende, Freigaberechte je Bereich, Eskalation bei verdächtigen Mails. Wiederkehrende Fehlalarme werden analysiert und die Regeln angepasst, statt Absender pauschal zu erlauben.

Wiederherstellungen

Einzelne Mails, Dateien, Chats oder ganze Postfächer und Sites zurückholen, auf Wunsch an einen anderen Ort. Dazu ein geplanter Restore-Test in festen Abständen, mit Protokoll.

Change & Konfiguration

Neue Domains, Partnerregeln, Verschlüsselungspflichten, Fristen und Ausnahmen werden als Change mit Freigabe umgesetzt. Jede Änderung ist dokumentiert und lässt sich zurücknehmen.

Reporting

Regelmäßiger Bericht zu Bedrohungslage, Quarantäne, Zustellproblemen, Sicherungsstatus und Restore-Tests. Verständlich für die IT-Leitung, belastbar für Revision und Informationssicherheit.

Lizenzmanagement

Die Lizenzen der Plattform stellen wir als Teil des Service bei. Wir gleichen sie mit den tatsächlich lizenzierten Microsoft-365-Konten ab, melden Abweichungen und passen sie bei Ein- und Austritten an.

Service-Level

Was „24/7“ bei uns konkret heißt

Rund um die Uhr zu schützen und zu sichern ist Aufgabe der Plattform. Rund um die Uhr zu reagieren ist eine Frage des vereinbarten Service-Levels. Wir trennen beides sauber, damit im Vertrag steht, was im Ernstfall auch passiert.

Die Plattform arbeitet ohne Pause

Filterung, Sandbox-Analyse, Archivierung und Sicherung laufen beim Hersteller in redundanten Rechenzentren rund um die Uhr. Fällt Exchange Online aus, hält ein Continuity-Dienst Mails vor, sofern Ihr Plan ihn enthält.

Erkennen geschieht automatisch

Monitoring und Alarmierung warten nicht auf Bürozeiten. Was außerhalb der Servicezeit auffällt, landet je nach Priorität sofort in der Bereitschaft oder am nächsten Morgen ganz oben.

Reaktion nach vereinbartem SLA

Servicezeiten, Prioritäten, Reaktions- und Wiederherstellungszeiten, Bereitschaft und Eskalation zum Herstellersupport legen wir gemeinsam fest. Was nicht im SLA steht, versprechen wir nicht.

Prioritäten mit Beispielen

Wir definieren Störungsklassen anhand echter Fälle: „keine eingehenden Mails an einem Standort“ ist etwas anderes als „ein Newsletter in der Quarantäne“. Jede Klasse hat ihre eigene Reaktionszeit und ihren eigenen Meldeweg.

Ein Ansprechpartner

Sie melden an uns, wir koordinieren mit dem Hersteller und mit Microsoft. Kein Pingpong zwischen Gateway-Support, Backup-Support und Microsoft-Ticket.

Wartung mit Ansage

Geplante Änderungen am Mailfluss in vereinbarten Wartungsfenstern, mit Vorankündigung und Rückweg. Herstellerwartungen geben wir weiter und bewerten sie für Ihren Betrieb.

Nachweisbar erbracht

Ein Service-Level ist nur so viel wert wie seine Messung. Reaktionszeiten, Verfügbarkeit und Restore-Tests werden im Reporting ausgewiesen, auch wenn ein Wert einmal nicht eingehalten wurde.

Mehrere Standorte

Ein Verbund, eine Plattform, klare Rechte je Standort

Verbünde mit mehreren Häusern oder Gesellschaften haben oft einen gemeinsamen Tenant, aber getrennte Domains, eigene Fachanwendungen und unterschiedliche Zuständigkeiten. Die Plattform muss das abbilden, statt alles über einen Kamm zu scheren.

Wir legen fest, welche Regeln für alle gelten und wo ein Standort abweichen darf. Das gilt für Filter, Verschlüsselungspflichten, Archivfristen und für die Frage, wer Mails eines Standorts freigeben oder wiederherstellen darf.

Was wir bei mehreren Standorten berücksichtigen

  • mehrere Domains und Absenderadressen, jeweils mit SPF, DKIM und DMARC
  • delegierte Administration und Quarantäne-Freigabe je Standort oder Gesellschaft
  • Fachanwendungen und Geräte je Standort, die Mails per SMTP versenden
  • getrennte Auswertungen und Berichte, wo Budgets oder Verantwortung getrennt sind
  • Mitbestimmung durch mehrere Betriebs- oder Personalräte bei Archiv und Protokollierung
  • gestaffelte Umstellung Standort für Standort, wenn das Risiko es verlangt

Exit-Strategie

Der Ausstieg wird geplant, bevor der Einstieg unterschrieben ist

Wer Filter, Archiv und Backup bei einem Anbieter bündelt, gewinnt Übersicht und gibt Unabhängigkeit ab. Das ist vertretbar, wenn der Rückweg technisch und vertraglich geregelt ist.

Mailfilter: schnell gewechselt

Ein Filter lässt sich mit MX, Connectors und SPF in Stunden umstellen, wenn die Regeln dokumentiert sind. Wir halten die Konfiguration so, dass sie auf eine andere Plattform übertragbar bleibt.

Archiv: der kritische Teil

Archivdaten müssen über Jahre lesbar bleiben. Vollständiger Export mit Metadaten wird vertraglich zugesichert und vor Vertragsende einmal getestet, inklusive Übergangszugriff.

Backup: Fristen überbrücken

Nach einem Wechsel braucht es die alten Sicherungen noch, bis ihre Aufbewahrung abläuft. Wir regeln, wie lange sie lesbar bleiben oder wohin sie exportiert werden.

Dokumentation, die Ihnen gehört

Mailflow, Regelwerk, Fristen, Rollen und Runbooks liegen bei Ihnen, nicht nur bei uns. Ein Nachfolger, intern oder extern, kann damit weiterarbeiten.

Übergabe mit Mitwirkung

Endet unser Mandat, unterstützen wir die Übergabe aktiv: Wissenstransfer, Parallelbetrieb und Umstellung auf den Nachfolger, zu vorher vereinbarten Bedingungen.

Löschung mit Nachweis

Nach dem Ausstieg werden die beim Anbieter verbliebenen Daten nachweislich gelöscht, sobald keine Aufbewahrungspflicht mehr dagegensteht.

Ausschreibungen

Wenn Sie den Service öffentlich vergeben

Leistungsverzeichnisse für M365-Security fassen oft Lizenzbeistellung, Migration und mehrjährigen Betrieb in einem Los zusammen. Wir beantworten jede Position einzeln und sagen offen, wo eine Anforderung nicht oder nur teilweise erfüllt wird.

Hinter dem Angebot steht Nils Lappenbusch als technischer Verantwortlicher: Microsoft Certified Trainer, Microsoft 365 Enterprise Administrator Expert und Messaging Administrator Associate, mit langjähriger Praxis in Exchange Server, Hybrid und Exchange Online.

Was ein Angebot von uns enthält

  • Zuordnung jeder Anforderung zu Plattformfunktion, Konfiguration oder Betriebsleistung
  • Migrationskonzept mit Phasen, Abnahmekriterien und Rückweg
  • Betriebskonzept mit Servicezeiten, Prioritäten und Eskalation
  • Lizenzbeistellung mit klarer Mengen- und Laufzeitlogik
  • Unterlagen zu Auftragsverarbeitung, Rechenzentrumsstandort und Unterauftragnehmern
  • Exit-Konzept für Archiv- und Sicherungsdaten

FAQ

Häufige Fragen zum Managed Service

Lohnt sich die Konsolidierung auf eine Plattform überhaupt?

Oft ja, aber nicht immer. Eine Plattform spart Schnittstellen, Verträge und Supportwege und macht Zuständigkeiten eindeutig. Dafür steigt die Abhängigkeit von einem Anbieter. Wir rechnen beides gegeneinander, inklusive der Laufzeiten bestehender Verträge, und raten auch vom Wechsel ab, wenn er sich nicht trägt.

Bieten Sie eine eigene 24/7-Leitstelle?

Nein, und wir behaupten das auch nicht. Die Plattform filtert, archiviert und sichert rund um die Uhr, Monitoring und Alarmierung laufen automatisch. Bereitschaft, Reaktionszeiten und Eskalation zum Herstellersupport vereinbaren wir im Service-Level, und genau das wird dann auch erbracht und berichtet.

Brauchen wir Microsoft Defender for Office 365 dann noch?

Das hängt von Ihren Lizenzen und Anforderungen ab. Exchange Online Protection läuft immer mit. Defender for Office 365 bringt Schutz für Dateien in SharePoint, OneDrive und Teams und Funktionen wie Zero-hour Auto Purge. Wichtig ist, dass beide Ebenen aufeinander abgestimmt sind, damit Mails nicht doppelt umgeschrieben oder widersprüchlich bewertet werden.

Was passiert mit den Daten im bisherigen Backup?

Sie bleiben verfügbar, bis ihre Aufbewahrung abgelaufen ist. Je nach Produkt halten wir das alte Repository lesbar oder exportieren die benötigten Stände. Das Altsystem wird erst abgeschaltet, wenn klar ist, wie auf diese Daten weiter zugegriffen wird.

Können die Lizenzen Teil des Service sein?

Ja. Wir stellen die Lizenzen der Plattform als Teil des Managed Service bei, gleichen die Menge mit Ihren Microsoft-365-Konten ab und passen sie bei Veränderungen an. Microsoft-365-Lizenzen selbst bleiben in der Regel in Ihrem bestehenden Vertrag.

Arbeiten Sie auch für Einrichtungen in Deutschland und bei öffentlichen Vergaben?

Ja. Microsoft-365- und Exchange-Leistungen erbringen wir derzeit ausschließlich für Auftraggeber in Deutschland, remote und vor Ort. Anforderungen aus Leistungsverzeichnissen bilden wir im Angebot Punkt für Punkt ab, und wo eine Anforderung nicht oder nur teilweise erfüllt wird, sagen wir das offen.

Mehrere Hersteller, mehrere Verträge, niemand mit dem Gesamtbild?

In 30 Minuten gehen wir Ihren Mailfluss, Ihre Sicherung und die Vertragslaufzeiten durch. Sie erhalten eine ehrliche Einschätzung, ob eine Konsolidierung lohnt und wie der Umstieg ohne Mailverlust abläuft.