Microsoft 365 ist in vielen Unternehmen die zentrale Arbeitsplattform: E-Mails, Teams-Chats, Dateien, Kalender und Zugänge laufen darüber. Gerade deshalb können 8 Fehler bei Microsoft 365 schnell spürbare Folgen haben. Ein ehemaliger Mitarbeiter behält Zugriff auf Daten, ein gestohlenes Passwort reicht für einen Angriff oder wichtige Dateien sind nach einer Löschung nicht mehr wiederherstellbar. Die meisten Probleme entstehen nicht durch die Software selbst, sondern durch fehlende Regeln und eine Betreuung, die erst beginnt, wenn etwas schiefläuft.
Warum kleine Konfigurationsfehler große Folgen haben
Microsoft 365 lässt sich schnell einrichten. Für den produktiven und sicheren Betrieb reicht es jedoch nicht, Benutzer anzulegen und Lizenzen zuzuweisen. Unternehmen brauchen klare Verantwortlichkeiten, saubere Prozesse beim Ein- und Austritt von Mitarbeitern sowie einen Überblick über Geräte, Rechte und Daten.
Das gilt besonders für kleine und mittelständische Unternehmen ohne eigene IT-Abteilung. Hier übernimmt häufig das Office-Management nebenbei administrative Aufgaben. Das ist nachvollziehbar, führt aber leicht zu Ausnahmen, unklaren Zuständigkeiten und Einstellungen, die über Jahre nicht überprüft werden.
Die 8 häufigsten Fehler bei Microsoft 365
1. Multifaktor-Authentifizierung nicht konsequent einsetzen
Ein Passwort allein schützt keinen Microsoft-365-Zugang zuverlässig. Phishing-Mails, wiederverwendete Passwörter und Schadsoftware können Zugangsdaten abgreifen. Ohne zusätzliche Bestätigung kann ein Angreifer dann auf E-Mails, OneDrive-Dateien und interne Kommunikation zugreifen.
Multifaktor-Authentifizierung sollte deshalb für alle Benutzer verpflichtend sein, insbesondere für Administratoren. Entscheidend ist auch die Umsetzung: Private, unkontrollierte Wiederherstellungsmethoden oder gemeinsam genutzte Telefonnummern schaffen neue Risiken. Für sensible Rollen sind moderne, phishing-resistente Anmeldeverfahren sinnvoll. Welche Methode passt, hängt von Arbeitsalltag, vorhandenen Geräten und Schutzbedarf ab.
2. Zu viele globale Administratoren vergeben
Der globale Administrator besitzt weitreichende Rechte über den gesamten Microsoft-365-Mandanten. Diese Rolle sollte nicht aus Bequemlichkeit an mehrere Personen verteilt werden. Je mehr Konten solche Rechte haben, desto größer wird die Angriffsfläche – und desto schwieriger ist es, Änderungen nachzuvollziehen.
Im Alltag reichen meist abgestufte Rollen aus, etwa für Benutzerverwaltung, Lizenzzuweisung oder Exchange-Aufgaben. Globale Administratorrechte sollten auf wenige, dokumentierte Notfall- und Administrationskonten begrenzt sein. Diese Konten benötigen besonders strenge Absicherung, separate Passwörter und eine regelmäßige Prüfung.
3. Benutzerkonten ehemaliger Mitarbeiter bestehen lassen
Ein Mitarbeiter verlässt das Unternehmen, sein Konto bleibt aber aktiv, weil noch E-Mails eingehen oder Dateien benötigt werden. Das ist einer der häufigsten organisatorischen Fehler. Das Konto kann weiterhin missbraucht werden, verursacht Lizenzkosten und sorgt für Unsicherheit darüber, wer Zugriff auf welche Daten hat.
Ein geregelter Offboarding-Prozess löst dieses Problem. Am letzten Arbeitstag wird der Zugang gesperrt, aktive Sitzungen werden beendet und geschäftliche Daten werden an eine zuständige Person übergeben. Danach sollte klar entschieden werden, ob das Postfach zeitlich begrenzt weitergeführt, archiviert oder gelöscht wird. Auch Weiterleitungen sind kritisch: Sie sollten nur bewusst, befristet und datenschutzkonform eingerichtet werden.
4. Dateien wahllos in persönlichen OneDrive-Konten ablegen
OneDrive ist ideal für persönliche Arbeitsdateien. Projektunterlagen, Vorlagen, Verträge oder Prozessdokumentationen gehören jedoch häufig in Teams beziehungsweise SharePoint. Werden geschäftskritische Dateien ausschließlich im persönlichen OneDrive eines Mitarbeiters gespeichert, entstehen Probleme bei Vertretung, Austritt oder Rechtewechsel.
Die Lösung ist keine komplizierte Ordnerstruktur, sondern eine klare Regel: Persönliche Entwürfe bleiben in OneDrive, gemeinsam verantwortete Inhalte liegen in einem Team oder einer SharePoint-Dokumentbibliothek. Dort lassen sich Berechtigungen nach Abteilungen oder Projekten verwalten. Weniger Sonderfreigaben bedeuten dabei meist mehr Übersicht und weniger Fehlzugriffe.
5. Externe Freigaben nicht steuern
Der schnelle Dateiaustausch mit Steuerkanzleien, Kunden, Lieferanten oder freien Mitarbeitern ist praktisch. Ohne Regeln werden Freigabelinks aber oft zu weit geöffnet, zu lange gültig oder an falsche Empfänger weitergeleitet. Besonders problematisch sind anonyme Links, bei denen nicht eindeutig nachvollziehbar ist, wer tatsächlich auf Inhalte zugreift.
Externe Zusammenarbeit sollte deshalb bewusst eingerichtet werden. Unternehmen sollten festlegen, welche Teams oder Personen externe Gäste einladen dürfen, wie lange Freigaben gelten und welche Daten niemals extern geteilt werden dürfen. Für manche Bereiche, etwa Personal, Geschäftsführung oder vertrauliche Mandantendaten, ist eine externe Freigabe grundsätzlich nur nach vorheriger Prüfung sinnvoll.
6. Microsoft 365 mit einer vollständigen Datensicherung verwechseln
Microsoft schützt die Verfügbarkeit seiner Plattform. Das bedeutet nicht automatisch, dass Ihr Unternehmen für jede versehentliche Löschung, fehlerhafte Synchronisierung oder Ransomware-Situation eine unabhängige, langfristig verfügbare Kopie aller Daten hat. Papierkörbe und Aufbewahrungsfristen helfen in vielen Fällen, ersetzen aber kein abgestimmtes Backup-Konzept.
Relevant sind je nach Nutzung Exchange-Postfächer, OneDrive, SharePoint und Teams-Daten. Ein professionelles Backup muss nicht nur erstellt, sondern auch regelmäßig getestet werden. Die entscheidende Frage lautet: Können Sie eine einzelne E-Mail, einen Ordner oder eine ganze Datenablage innerhalb der benötigten Zeit wiederherstellen? Erst ein dokumentierter Wiederherstellungstest gibt darauf eine verlässliche Antwort.
7. Firmenzugriffe von privaten oder unverwalteten Geräten zulassen
Homeoffice, Außendienst und private Smartphones gehören für viele Unternehmen zum Alltag. Problematisch wird es, wenn auf diesen Geräten keine Mindeststandards gelten. Ein verlorenes Smartphone ohne Bildschirmsperre oder ein privater PC mit veraltetem Betriebssystem kann dann zum Zugangstor für Unternehmensdaten werden.
Nicht jedes Unternehmen muss jedes private Gerät vollständig verwalten. Das hängt von Branche, Datenarten und Arbeitsmodell ab. Mindestens sollten jedoch Anforderungen an Geräteschutz, Verschlüsselung, aktuelle Updates und sichere Anmeldung definiert sein. Bei Firmengeräten schafft eine zentrale Geräteverwaltung zusätzlich Transparenz: Sie zeigt, welche Geräte aktiv sind, ob Sicherheitsupdates fehlen und ob geschäftliche Daten im Verlustfall entfernt werden können.
8. Lizenzen, Richtlinien und Änderungen nicht regelmäßig prüfen
Microsoft 365 verändert sich laufend. Neue Funktionen, Sicherheitsoptionen und Lizenzbedingungen kommen hinzu, während Mitarbeiter wechseln und sich Arbeitsweisen verändern. Wer die Konfiguration einmal einrichtet und dann jahrelang nicht mehr kontrolliert, zahlt oft für ungenutzte Lizenzen oder übersieht Sicherheitslücken.
Eine regelmäßige Prüfung sollte Benutzerkonten, Administratorrollen, Gruppen, externe Gäste, Lizenzzuweisungen, Geräte und zentrale Sicherheitsrichtlinien umfassen. Auch Änderungen sollten nachvollziehbar dokumentiert werden. Das ist nicht nur für Audits hilfreich. Im Störungsfall spart eine aktuelle Dokumentation Zeit, weil sofort klar ist, welche Systeme, Konten und Zuständigkeiten betroffen sind.
So werden aus Einzelmaßnahmen verlässliche Prozesse
Die größten Verbesserungen entstehen selten durch eine einzelne Einstellung. Wirksam wird Microsoft 365, wenn Sicherheitsmaßnahmen und Arbeitsabläufe zusammenpassen. Ein neuer Mitarbeiter braucht zum ersten Arbeitstag ein passendes Konto, die richtigen Gruppen und ein vorbereitetes Gerät. Beim Austritt müssen Zugänge zuverlässig entzogen, Daten übergeben und Berechtigungen überprüft werden.
Ebenso wichtig ist ein fester Prüfturnus. Monatliche Kontrollen für neue Administratoren, externe Gäste und auffällige Anmeldungen sind für viele Unternehmen sinnvoll. Quartalsweise lassen sich Lizenzen, Berechtigungen und Gerätebestand prüfen. Mindestens einmal im Jahr sollten Sicherheitskonzept, Backup-Wiederherstellung und Notfallabläufe auf den Prüfstand.
Für die Geschäftsführung geht es dabei nicht darum, jede Microsoft-365-Einstellung selbst zu verstehen. Entscheidend ist, dass ein Verantwortlicher benannt ist, Prozesse dokumentiert sind und die Ergebnisse nachvollziehbar vorliegen. Eine sauber betreute Umgebung reduziert Sicherheitsrisiken, verhindert unnötige Kosten und erspart Mitarbeitern viele kleine Reibungsverluste im Alltag.
Microsoft 365 soll Zusammenarbeit erleichtern, nicht zusätzliche Unsicherheit schaffen. Wenn Zugriffe, Geräte, Daten und Wiederherstellung klar geregelt sind, kann sich Ihr Team auf die Arbeit konzentrieren – und Ihre IT bleibt planbar, auch wenn sich Mitarbeiter, Projekte oder Anforderungen ändern.
