Wenn Dateien in SharePoint Online, OneDrive oder Microsoft Teams abgelegt werden, verlässt man sich schnell darauf, dass Microsoft 365 gefährliche Inhalte automatisch erkennt und blockiert. Das ist grundsätzlich richtig, aber ein Detail wird in der Praxis häufig übersehen: Erkannte Schadsoftware kann zwar blockiert und markiert werden, der Umgang mit dem Download solcher Dateien sollte jedoch bewusst konfiguriert werden.

Genau darum geht es in meinem kleinen PowerShell-Skript im GitHub-Repository „M365-Copilot-Absicherung-und-Administration“. Es setzt die Tenant-Einstellung so, dass erkannte infizierte Dateien nicht mehr heruntergeladen werden dürfen. Das ist keine spektakuläre Änderung, aber eine sinnvolle Basishärtung für Microsoft 365 Umgebungen.

Worum es technisch geht

Microsoft Defender for Office 365 prüft Dateien in SharePoint Online, OneDrive und Microsoft Teams auf Schadsoftware. Wird eine Datei als infiziert erkannt, wird sie entsprechend markiert. Für Administratoren ist dabei wichtig zu verstehen: Die Erkennung allein entscheidet noch nicht jede nachgelagerte Benutzeraktion. Deshalb lohnt sich ein Blick auf die Tenant-Einstellung DisallowInfectedFileDownload.

Diese Einstellung wird über das SharePoint Online PowerShell Modul mit Set-SPOTenant konfiguriert. Ist sie aktiviert, wird der Download von Dateien verhindert, die von Microsoft als infiziert erkannt wurden.

Warum das für Copilot- und KI-Szenarien relevant ist

Bei der Absicherung von Microsoft 365 Copilot wird häufig zuerst an Berechtigungen, Sensitivity Labels, SharePoint-Berechtigungen, Purview und Datenqualität gedacht. Das ist richtig. Trotzdem darf die klassische Sicherheitsbasis nicht fehlen. Copilot arbeitet mit den Inhalten, auf die Benutzer Zugriff haben. Deshalb sollten die zugrunde liegenden Speicherorte sauber abgesichert sein.

Eine infizierte Datei ist nicht automatisch deshalb ungefährlich, weil sie in der Cloud liegt. Gerade in Umgebungen mit vielen Teams, Projektbereichen, externen Freigaben und historisch gewachsenen SharePoint-Strukturen ist es sinnvoll, Schutzmechanismen nicht nur zu aktivieren, sondern auch konsequent in ihrer Wirkung zu prüfen.

Das Skript

Das Skript verbindet sich mit SharePoint Online und setzt anschließend die Tenant-weite Konfiguration. Der Kern ist bewusst einfach gehalten:

Set-SPOTenant -DisallowInfectedFileDownload $true

Damit wird festgelegt, dass Benutzer erkannte infizierte Dateien nicht herunterladen können. Vor der Ausführung sollte geprüft werden, ob das SharePoint Online Management Shell installiert ist und ob die ausführende Person über die notwendigen Administratorrechte verfügt.

Das vollständige Skript mit Inline-Kommentaren findest du hier: GitHub-Link

Wichtige Hinweise vor der Aktivierung

• Testen: Änderungen an Tenant-Einstellungen sollten immer zuerst in einer geeigneten Testumgebung oder zumindest außerhalb kritischer Betriebszeiten bewertet werden.
• Dokumentieren: Halte fest, wann die Einstellung geändert wurde, wer sie geändert hat und warum sie aktiviert wurde.
• Kommunizieren: Helpdesk und Security-Verantwortliche sollten wissen, dass Downloads erkannter infizierter Dateien blockiert werden.
• Berechtigungen prüfen: Die Einstellung ersetzt keine saubere SharePoint- und Teams-Berechtigungsstruktur.
• Ganzheitlich denken: Die Maßnahme ist ein Baustein, aber kein vollständiges Sicherheitskonzept

Einordnung für Administratoren

Aus Administratorensicht ist diese Konfiguration ein gutes Beispiel für pragmatische Baseline-Härtung. Sie ist schnell gesetzt, leicht nachvollziehbar und adressiert ein konkretes Risiko. Gleichzeitig sollte sie nicht isoliert betrachtet werden. Wer Microsoft 365 und Copilot sicher betreiben möchte, braucht zusätzlich Transparenz über Berechtigungen, externe Freigaben, Datenklassifizierung, Auditierung und den Umgang mit sensiblen Informationen.

Mein Ziel mit diesem Skript ist deshalb nicht, eine große Security-Lösung zu bauen. Es soll vielmehr ein kleiner, überprüfbarer Schritt sein, der in eine größere Absicherungsstrategie für Microsoft 365 passt.

Praktische Prüfung nach der Umsetzung

• Prüfe mit Get-SPOTenant, ob die Einstellung wie erwartet gesetzt wurde.
• Dokumentiere die Änderung in deinem Betriebshandbuch oder deiner Admin-Dokumentation.
• Stimme mit Security, IT-Betrieb und Helpdesk ab, wie mit gemeldeten infizierten Dateien umgegangen wird.
• Bewerte, ob ergänzende Defender-, Purview- oder SharePoint-Richtlinien notwendig sind.

Abschluss

Die Einstellung DisallowInfectedFileDownload ist kein Ersatz für ein umfassendes Sicherheitskonzept. Sie ist aber ein sinnvoller und leicht nachvollziehbarer Schritt, um den Umgang mit erkannter Schadsoftware in SharePoint Online, OneDrive und Microsoft Teams konsequenter zu gestalten. Gerade im Kontext von Microsoft 365 Copilot lohnt es sich, solche Grundlagen bewusst zu setzen, bevor man über komplexere Governance- und KI-Sicherheitsmaßnahmen spricht.