M365-Security als Managed Service
Mailfilter, Archiv, Verschlüsselung und Backup aus einer Hand.
Wir konsolidieren die Schutz- und Sicherungsschicht rund um Microsoft 365 auf eine Plattform und betreiben sie für Sie: Mail-Gateway, Advanced Threat Protection, Archiv, Verschlüsselung und die Sicherung von Exchange Online, Teams, OneDrive und SharePoint. Umgestellt in Phasen und mit Rückweg, betrieben nach vereinbartem Service-Level, mit Lizenzen aus einer Hand und einem Ausstieg, der von Anfang an geregelt ist.
Microsoft 365: derzeit nur in Deutschland. Leistungen rund um Microsoft 365 (Beratung, Migration, Betrieb, Security und Workshops) bieten wir derzeit ausschliesslich für Organisationen in Deutschland an. In der Schweiz übernehmen wir keine Microsoft-365-Mandate. Für Schweizer Kunden: Software & KI, Infrastruktur und Projekt-Recovery.
Typische Ausgangslagen
Gewachsen aus Einzelentscheidungen, betrieben von niemandem so richtig
Die Schutzschicht vor Microsoft 365 ist selten geplant. Sie entsteht, weil vor Jahren eine Appliance gekauft wurde, später ein Backup-Produkt dazukam und die Verschlüsselung irgendwo zwischen Outlook-Add-in und Zertifikatsablage hängt.
Zwei Hersteller, zwei Welten
Ein klassisches Mail-Gateway filtert, ein separates Produkt sichert Microsoft 365. Zwei Konsolen, zwei Verträge, zwei Supportwege, und bei einem Vorfall die Frage, wer zuständig ist.
Die Appliance will Pflege
Ein Mail-Gateway als virtuelle oder physische Appliance braucht Updates, Zertifikate, Kapazität und jemanden, der die Regeln versteht. Läuft der Wartungsvertrag aus, steht ein Hardware- oder Lizenzwechsel an.
Backup ohne Restore-Probe
Die Sicherung läuft, das Dashboard ist grün. Ob sich ein ganzes Team, ein gelöschter SharePoint-Ordner oder ein Postfach eines ausgeschiedenen Mitarbeiters zurückholen lässt, wurde nie ausprobiert.
Verschlüsselung am Einzelplatz
S/MIME-Zertifikate liegen auf einzelnen Rechnern, laufen unbemerkt ab und gehen mit dem Mitarbeitenden. Wer verschlüsselt antworten will, muss wissen, wie.
Quarantäne als Blackbox
Mails verschwinden in einer Quarantäne, auf die nur zwei Administratoren Zugriff haben. Fachbereiche rufen an, Freigaben dauern, und niemand weiss, was die Filter eigentlich zurückhalten.
Rund um die Uhr gefordert
Eine Ausschreibung oder der Betrieb selbst verlangt Schutz und Sicherung «24/7». Gemeint ist meist: Die Plattform arbeitet ohne Pause, Störungen werden erkannt und innerhalb vereinbarter Zeiten bearbeitet.
Bausteine
Was zur Schutz- und Sicherungsschicht gehört
Jeder Baustein hat eine eigene Seite mit den technischen Details. Hier sehen Sie, wie sie zusammenhängen: Mail kommt über den Filter herein, wird bei Bedarf entschlüsselt, archiviert und an Exchange Online zugestellt. Die Sicherung erfasst danach, was in Postfächern, Teams, OneDrive und SharePoint liegt.
Mailfilter & Advanced Threat Protection
Spam- und Malwarefilter vor Exchange Online, Sandbox für Anhänge, Umschreiben von Links, Schutz vor CEO-Fraud, Quarantäne-Berichte und ausgehende Filterung.
Mehr erfahrenE-Mail-Verschlüsselung
TLS erzwingen, S/MIME und PGP zentral am Gateway, Portalzustellung für Empfänger ohne Zertifikat und Entschlüsselung eingehender Mails vor Filter und Archiv.
Mehr erfahrenE-Mail-Archivierung
Revisionssichere Archivierung mit Fristen, Vier-Augen-Zugriff für Prüfer, Übernahme von Altbeständen und einem Export, der vor Vertragsende getestet ist.
Mehr erfahrenMicrosoft-365-Backup
Sicherung von Postfächern, Teams-Chats, OneDrive und SharePoint ausserhalb von Microsoft, mit granularer Wiederherstellung und regelmässig geprobtem Restore.
Mehr erfahrenExchange & Mailflow
Exchange Server, Hybrid und Exchange Online, Connectors, Transportregeln, Gateways und SPF, DKIM und DMARC. Das Fundament, auf dem jede Schutzschicht aufsetzt.
Mehr erfahrenKrankenhaus & Gesundheitswesen
Mehrere Standorte, Mails aus Fachanwendungen, Betrieb ohne Wochenende und Anforderungen aus B3S, NIS2 und Datenschutz für Gesundheitsdaten.
Mehr erfahrenPlattform
Eine Plattform für Filter, Archiv, Verschlüsselung und Backup
Mehrere Hersteller bündeln diese Funktionen inzwischen in einem Dienst. Ein verbreitetes Beispiel ist Hornetsecurity 365 Total Protection, seit Dezember 2025 Teil von Proofpoint. Die Pläne bauen aufeinander auf, jeder enthält den vorherigen. Funktionsumfang laut Herstellerangaben, Stand Oktober 2026.
Plan 1 · Business
- Spam- und Malwareschutz
- E-Mail-Verschlüsselung
- Signaturen und Disclaimer
Plan 2 · Enterprise
- Advanced Threat Protection
- E-Mail-Archivierung
- Email Continuity Service für Ausfälle
Plan 3 · Enterprise Backup
- automatische Sicherung von Microsoft 365
- granulare Wiederherstellung mit Self-Service
- Speicher ohne Mengengrenze
Plan 4 · Compliance & Awareness
- Security Awareness Service
- 365 Permission Manager
- DMARC Manager
- Teams Protection und weitere KI-Funktionen
Was eine Plattform nicht ersetzt
- einen sauberen Mailflow in Exchange Online: Connectors, Transportregeln und DNS bleiben Ihre Konfiguration
- die Microsoft-eigenen Schutzfunktionen: Defender for Office 365 und Exchange Online Protection laufen weiter und müssen abgestimmt sein
- Identitätsschutz: Ein kompromittiertes Konto ohne MFA hilft auch der beste Mailfilter nicht
- Entscheidungen zu Fristen, Freigaben und Zuständigkeiten, die nur Sie treffen können
Wie wir eine Plattform auswählen
- Abgleich Ihrer Anforderungen gegen den tatsächlichen Funktionsumfang im Pilot, nicht gegen Datenblätter
- Rechenzentrumsstandort, Auftragsverarbeitung und Unterauftragnehmer nach DSGVO geprüft
- Export- und Ausstiegswege für Archiv und Backup vor Vertragsschluss geklärt
- offene Aussage, wo eine Plattform eine Anforderung nicht oder nur teilweise erfüllt
- vergleichbare Plattformen anderer Hersteller, wenn sie besser passen
Migration
Vom Altbestand zur Plattform, ohne dass eine Mail verloren geht
Die Ablösung eines Mail-Gateways und eines separaten M365-Backups ist kein Schalter, den man umlegt. Mailfluss und Sicherung laufen in jeder Phase weiter, und die Altsysteme gehen erst vom Netz, wenn die neue Plattform nachweislich trägt.
Jede Phase hat ein Abnahmekriterium und einen Rückweg. Änderungen an MX, Connectors und Transportregeln führen wir ausserhalb der Kernzeiten durch, mit gesenkter DNS-TTL und einem Runbook, das auch jemand anderes ausführen könnte.
- 1
Bestandsaufnahme
Gateway-Regeln, Policies, Inhaltsfilter, Routen und Allowlists auslesen. Connectors, Transportregeln und DNS in Exchange Online prüfen. Sicherungsumfang, Aufbewahrung und Repositories des bisherigen Backups erfassen. Alle Systeme, die Mails versenden, inventarisieren.
- 2
Zielbild & Zuständigkeiten
Welche Prüfung macht die Plattform, welche Microsoft? Wer gibt Quarantäne frei, wer stellt wieder her, wer genehmigt Änderungen? Fristen für Archiv und Backup, Verschlüsselungsregeln je Partner und Abnahmekriterien schriftlich festlegen.
- 3
Plattform aufsetzen
Domains und Benutzer anbinden, Filter- und Verschlüsselungsregeln aus dem Altsystem bereinigt übertragen, Archivfristen und Rollen konfigurieren. In Exchange Online die Connectors für den neuen Weg anlegen, zunächst ohne den alten zu stören.
- 4
Parallelbetrieb & Pilot
Ausgehende Mails einer Pilotgruppe laufen über die neue Plattform, eingehende Tests mit Testdomänen und externen Absendern. Das neue Backup sichert bereits parallel zum alten. Erkennungsraten, Fehlalarme und Zustellwege werden protokolliert.
- 5
MX-Umstellung
TTL vorab gesenkt, MX auf die neue Plattform, SPF erweitert. Das alte Gateway nimmt noch Nachzügler an und stellt weiter zu, bis kein Verkehr mehr ankommt. Erst danach wird der Inbound-Connector in Exchange Online auf die neuen Absender-IPs beschränkt.
- 6
Backup-Erstsicherung
Die erste Vollsicherung aller Postfächer, Teams, OneDrive-Konten und SharePoint-Bibliotheken dauert je nach Datenmenge und Drosselung durch Microsoft Tage bis Wochen. Erst wenn sie vollständig ist und ein Restore-Test bestanden ist, gilt die Sicherung als übernommen.
- 7
Altdaten & Archiv
Bestehende Archive und PST-Bestände werden mit Mengen- und Stichprobenabgleich übernommen. Für alte Sicherungen entscheiden wir: lesbar halten, bis die Aufbewahrung abläuft, oder exportieren. Keine Altdaten verschwinden mit dem Vertragsende.
- 8
Rückbau der Altsysteme
Alte Connectors, Allowlists, SPF-Einträge, App-Registrierungen und Firewall-Regeln entfernen, Appliances abschalten, Lizenzen kündigen. Dokumentation, Runbooks und Betriebshandbuch übergeben.
Betriebsmodell
Was im laufenden Betrieb tatsächlich anfällt
Ein Managed Service ist mehr als eine Lizenz mit Support-Hotline. Diese Tätigkeiten übernehmen wir im Betrieb, mit klarer Abgrenzung zu dem, was Ihre IT selbst entscheidet.
Monitoring & Alarmierung
Zustellung, Warteschlangen, Backup-Läufe, Zertifikatslaufzeiten und Plattformmeldungen werden automatisch überwacht. Auffälligkeiten erzeugen einen Alarm mit definiertem Empfänger, nicht nur einen Eintrag im Dashboard.
Quarantäne & Freigaben
Quarantäne-Berichte für Mitarbeitende, Freigaberechte je Bereich, Eskalation bei verdächtigen Mails. Wiederkehrende Fehlalarme werden analysiert und die Regeln angepasst, statt Absender pauschal zu erlauben.
Wiederherstellungen
Einzelne Mails, Dateien, Chats oder ganze Postfächer und Sites zurückholen, auf Wunsch an einen anderen Ort. Dazu ein geplanter Restore-Test in festen Abständen, mit Protokoll.
Change & Konfiguration
Neue Domains, Partnerregeln, Verschlüsselungspflichten, Fristen und Ausnahmen werden als Change mit Freigabe umgesetzt. Jede Änderung ist dokumentiert und lässt sich zurücknehmen.
Reporting
Regelmässiger Bericht zu Bedrohungslage, Quarantäne, Zustellproblemen, Sicherungsstatus und Restore-Tests. Verständlich für die IT-Leitung, belastbar für Revision und Informationssicherheit.
Lizenzmanagement
Die Lizenzen der Plattform stellen wir als Teil des Service bei. Wir gleichen sie mit den tatsächlich lizenzierten Microsoft-365-Konten ab, melden Abweichungen und passen sie bei Ein- und Austritten an.
Service-Level
Was «24/7» bei uns konkret heisst
Rund um die Uhr zu schützen und zu sichern ist Aufgabe der Plattform. Rund um die Uhr zu reagieren ist eine Frage des vereinbarten Service-Levels. Wir trennen beides sauber, damit im Vertrag steht, was im Ernstfall auch passiert.
Die Plattform arbeitet ohne Pause
Filterung, Sandbox-Analyse, Archivierung und Sicherung laufen beim Hersteller in redundanten Rechenzentren rund um die Uhr. Fällt Exchange Online aus, hält ein Continuity-Dienst Mails vor, sofern Ihr Plan ihn enthält.
Erkennen geschieht automatisch
Monitoring und Alarmierung warten nicht auf Bürozeiten. Was ausserhalb der Servicezeit auffällt, landet je nach Priorität sofort in der Bereitschaft oder am nächsten Morgen ganz oben.
Reaktion nach vereinbartem SLA
Servicezeiten, Prioritäten, Reaktions- und Wiederherstellungszeiten, Bereitschaft und Eskalation zum Herstellersupport legen wir gemeinsam fest. Was nicht im SLA steht, versprechen wir nicht.
Prioritäten mit Beispielen
Wir definieren Störungsklassen anhand echter Fälle: «keine eingehenden Mails an einem Standort» ist etwas anderes als «ein Newsletter in der Quarantäne». Jede Klasse hat ihre eigene Reaktionszeit und ihren eigenen Meldeweg.
Ein Ansprechpartner
Sie melden an uns, wir koordinieren mit dem Hersteller und mit Microsoft. Kein Pingpong zwischen Gateway-Support, Backup-Support und Microsoft-Ticket.
Wartung mit Ansage
Geplante Änderungen am Mailfluss in vereinbarten Wartungsfenstern, mit Vorankündigung und Rückweg. Herstellerwartungen geben wir weiter und bewerten sie für Ihren Betrieb.
Nachweisbar erbracht
Ein Service-Level ist nur so viel wert wie seine Messung. Reaktionszeiten, Verfügbarkeit und Restore-Tests werden im Reporting ausgewiesen, auch wenn ein Wert einmal nicht eingehalten wurde.
Mehrere Standorte
Ein Verbund, eine Plattform, klare Rechte je Standort
Verbünde mit mehreren Häusern oder Gesellschaften haben oft einen gemeinsamen Tenant, aber getrennte Domains, eigene Fachanwendungen und unterschiedliche Zuständigkeiten. Die Plattform muss das abbilden, statt alles über einen Kamm zu scheren.
Wir legen fest, welche Regeln für alle gelten und wo ein Standort abweichen darf. Das gilt für Filter, Verschlüsselungspflichten, Archivfristen und für die Frage, wer Mails eines Standorts freigeben oder wiederherstellen darf.
Was wir bei mehreren Standorten berücksichtigen
- mehrere Domains und Absenderadressen, jeweils mit SPF, DKIM und DMARC
- delegierte Administration und Quarantäne-Freigabe je Standort oder Gesellschaft
- Fachanwendungen und Geräte je Standort, die Mails per SMTP versenden
- getrennte Auswertungen und Berichte, wo Budgets oder Verantwortung getrennt sind
- Mitbestimmung durch mehrere Betriebs- oder Personalräte bei Archiv und Protokollierung
- gestaffelte Umstellung Standort für Standort, wenn das Risiko es verlangt
Exit-Strategie
Der Ausstieg wird geplant, bevor der Einstieg unterschrieben ist
Wer Filter, Archiv und Backup bei einem Anbieter bündelt, gewinnt Übersicht und gibt Unabhängigkeit ab. Das ist vertretbar, wenn der Rückweg technisch und vertraglich geregelt ist.
Mailfilter: schnell gewechselt
Ein Filter lässt sich mit MX, Connectors und SPF in Stunden umstellen, wenn die Regeln dokumentiert sind. Wir halten die Konfiguration so, dass sie auf eine andere Plattform übertragbar bleibt.
Archiv: der kritische Teil
Archivdaten müssen über Jahre lesbar bleiben. Vollständiger Export mit Metadaten wird vertraglich zugesichert und vor Vertragsende einmal getestet, inklusive Übergangszugriff.
Backup: Fristen überbrücken
Nach einem Wechsel braucht es die alten Sicherungen noch, bis ihre Aufbewahrung abläuft. Wir regeln, wie lange sie lesbar bleiben oder wohin sie exportiert werden.
Dokumentation, die Ihnen gehört
Mailflow, Regelwerk, Fristen, Rollen und Runbooks liegen bei Ihnen, nicht nur bei uns. Ein Nachfolger, intern oder extern, kann damit weiterarbeiten.
Übergabe mit Mitwirkung
Endet unser Mandat, unterstützen wir die Übergabe aktiv: Wissenstransfer, Parallelbetrieb und Umstellung auf den Nachfolger, zu vorher vereinbarten Bedingungen.
Löschung mit Nachweis
Nach dem Ausstieg werden die beim Anbieter verbliebenen Daten nachweislich gelöscht, sobald keine Aufbewahrungspflicht mehr dagegensteht.
Ausschreibungen
Wenn Sie den Service öffentlich vergeben
Leistungsverzeichnisse für M365-Security fassen oft Lizenzbeistellung, Migration und mehrjährigen Betrieb in einem Los zusammen. Wir beantworten jede Position einzeln und sagen offen, wo eine Anforderung nicht oder nur teilweise erfüllt wird.
Hinter dem Angebot steht Nils Lappenbusch als technischer Verantwortlicher: Microsoft Certified Trainer, Microsoft 365 Enterprise Administrator Expert und Messaging Administrator Associate, mit langjähriger Praxis in Exchange Server, Hybrid und Exchange Online.
Was ein Angebot von uns enthält
- Zuordnung jeder Anforderung zu Plattformfunktion, Konfiguration oder Betriebsleistung
- Migrationskonzept mit Phasen, Abnahmekriterien und Rückweg
- Betriebskonzept mit Servicezeiten, Prioritäten und Eskalation
- Lizenzbeistellung mit klarer Mengen- und Laufzeitlogik
- Unterlagen zu Auftragsverarbeitung, Rechenzentrumsstandort und Unterauftragnehmern
- Exit-Konzept für Archiv- und Sicherungsdaten
Wissen
Passende Artikel
FAQ
Häufige Fragen zum Managed Service
Lohnt sich die Konsolidierung auf eine Plattform überhaupt?
Oft ja, aber nicht immer. Eine Plattform spart Schnittstellen, Verträge und Supportwege und macht Zuständigkeiten eindeutig. Dafür steigt die Abhängigkeit von einem Anbieter. Wir rechnen beides gegeneinander, inklusive der Laufzeiten bestehender Verträge, und raten auch vom Wechsel ab, wenn er sich nicht trägt.
Bieten Sie eine eigene 24/7-Leitstelle?
Nein, und wir behaupten das auch nicht. Die Plattform filtert, archiviert und sichert rund um die Uhr, Monitoring und Alarmierung laufen automatisch. Bereitschaft, Reaktionszeiten und Eskalation zum Herstellersupport vereinbaren wir im Service-Level, und genau das wird dann auch erbracht und berichtet.
Brauchen wir Microsoft Defender for Office 365 dann noch?
Das hängt von Ihren Lizenzen und Anforderungen ab. Exchange Online Protection läuft immer mit. Defender for Office 365 bringt Schutz für Dateien in SharePoint, OneDrive und Teams und Funktionen wie Zero-hour Auto Purge. Wichtig ist, dass beide Ebenen aufeinander abgestimmt sind, damit Mails nicht doppelt umgeschrieben oder widersprüchlich bewertet werden.
Was passiert mit den Daten im bisherigen Backup?
Sie bleiben verfügbar, bis ihre Aufbewahrung abgelaufen ist. Je nach Produkt halten wir das alte Repository lesbar oder exportieren die benötigten Stände. Das Altsystem wird erst abgeschaltet, wenn klar ist, wie auf diese Daten weiter zugegriffen wird.
Können die Lizenzen Teil des Service sein?
Ja. Wir stellen die Lizenzen der Plattform als Teil des Managed Service bei, gleichen die Menge mit Ihren Microsoft-365-Konten ab und passen sie bei Veränderungen an. Microsoft-365-Lizenzen selbst bleiben in der Regel in Ihrem bestehenden Vertrag.
Arbeiten Sie auch für Einrichtungen in Deutschland und bei öffentlichen Vergaben?
Ja. Microsoft-365- und Exchange-Leistungen erbringen wir derzeit ausschliesslich für Auftraggeber in Deutschland, remote und vor Ort. Anforderungen aus Leistungsverzeichnissen bilden wir im Angebot Punkt für Punkt ab, und wo eine Anforderung nicht oder nur teilweise erfüllt wird, sagen wir das offen.
Mehrere Hersteller, mehrere Verträge, niemand mit dem Gesamtbild?
In 30 Minuten gehen wir Ihren Mailfluss, Ihre Sicherung und die Vertragslaufzeiten durch. Sie erhalten eine ehrliche Einschätzung, ob eine Konsolidierung lohnt und wie der Umstieg ohne Mailverlust abläuft.