Wenn ein ehemaliger Mitarbeiter noch Zugriff auf E-Mails, Teams-Dateien oder Kundendaten hat, liegt das selten an einer fehlenden Lizenz. Meist fehlt ein verbindlicher Prozess für die Entra ID Benutzerverwaltung. Gerade in kleinen und mittelständischen Unternehmen wachsen Berechtigungen oft über Jahre: ein neues Projekt, ein zusätzliches Postfach, kurzfristiger Zugriff für eine Vertretung. Was praktisch beginnt, wird schnell unübersichtlich.
Microsoft Entra ID ist die zentrale Identitätsplattform hinter Microsoft 365. Sie entscheidet, wer sich anmelden darf, auf welche Anwendungen und Daten diese Person zugreifen kann und unter welchen Sicherheitsbedingungen. Eine saubere Verwaltung ist deshalb kein reines IT-Thema. Sie schützt Geschäftsprozesse, vereinfacht Ein- und Austritte und schafft nachvollziehbare Verantwortlichkeiten.
Warum Benutzerkonten ein Sicherheits- und Organisationsthema sind
Ein Benutzerkonto ist mehr als eine E-Mail-Adresse. Daran hängen Dateien in SharePoint und OneDrive, Teams-Mitgliedschaften, Softwarelizenzen, Geräte, externe Anwendungen und oft auch administrative Rechte. Wird ein Konto falsch angelegt, zu weitreichend berechtigt oder beim Austritt nicht vollständig geschlossen, entstehen vermeidbare Risiken.
In der Praxis zeigen sich Probleme meist nicht sofort. Ein Mitarbeiter wechselt die Abteilung, behält aber alte Zugriffe. Eine externe Buchhaltung erhält Zugriff auf ein gemeinsames Verzeichnis und dieser wird nie überprüft. Oder ein ehemaliger Administrator ist noch als Notfallkontakt hinterlegt. Solche Fälle sind besonders kritisch, weil sie im Tagesgeschäft kaum auffallen.
Für Geschäftsführung und Office-Management geht es dabei auch um Verlässlichkeit: Wer meldet einen Eintritt? Wer genehmigt Zugriffe? Wer prüft, ob ein Konto wirklich deaktiviert wurde? Ohne klare Abläufe bleibt diese Verantwortung zwischen Personalabteilung, Fachbereich und IT liegen.
Entra ID Benutzerverwaltung beginnt mit einem festen Lebenszyklus
Der wirksamste Ansatz ist kein einzelner Sicherheitsschalter, sondern ein dokumentierter Benutzerlebenszyklus. Jeder Zugang folgt dabei denselben Phasen: anlegen, verändern, regelmäßig prüfen und kontrolliert beenden. Das reduziert Rückfragen und verhindert, dass wichtige Schritte vom Gedächtnis einzelner Personen abhängen.
Eintritt: Konten passend zur Rolle anlegen
Vor dem ersten Arbeitstag sollte feststehen, welche Rolle die neue Person übernimmt, welche Anwendungen erforderlich sind und welches Gerät bereitsteht. Statt Berechtigungen einzeln zu vergeben, empfiehlt sich eine rollenbasierte Struktur. Beispielsweise erhalten Mitarbeiter im Vertrieb andere Gruppenmitgliedschaften als Mitarbeitende in der Buchhaltung oder im technischen Außendienst.
Gruppen machen Zugriffe nachvollziehbar und leichter wartbar. Ändert sich die Besetzung eines Teams, wird die Mitgliedschaft angepasst – nicht jede einzelne Freigabe in mehreren Anwendungen. Das spart Zeit und verhindert unterschiedliche Berechtigungsstände.
Nicht jede Organisation braucht dafür ein komplexes Rollenmodell. Für ein Unternehmen mit 20 Mitarbeitenden reichen oft wenige, klar benannte Gruppen für Abteilungen, Standorte und besondere Funktionen. Entscheidend ist, dass ihre Bedeutung dokumentiert ist und niemand Gruppenmitgliedschaften nach Gefühl vergibt.
Veränderungen: Zugriffe nicht einfach mitnehmen
Bei Abteilungswechseln wird häufig nur ergänzt: Die neue Anwendung kommt hinzu, die alten Rechte bleiben bestehen. Aus Bequemlichkeit entsteht so ein Berechtigungsbestand, den niemand mehr erklären kann. Besser ist eine feste Prüfung bei jeder Rollenänderung: Welche bisherigen Zugriffe werden noch benötigt, welche Lizenz passt künftig und welche Gruppen müssen entfernt werden?
Besondere Aufmerksamkeit verdienen Leitungsfunktionen, Vertretungen und Projektrollen. Diese benötigen gelegentlich erweiterten Zugriff, aber oft nur für einen begrenzten Zeitraum. Hier kann ein Ablaufdatum oder eine termingebundene Wiedervorlage sinnvoller sein als eine dauerhafte Freigabe. Der zusätzliche Verwaltungsaufwand lohnt sich insbesondere bei sensiblen Daten, etwa in Kanzleien, Praxen oder Unternehmen mit Personal- und Finanzdaten.
Austritt: Sofort sperren, dann geordnet übergeben
Beim Austritt zählt die Reihenfolge. Das Konto muss zum vereinbarten Zeitpunkt gesperrt werden, damit keine Anmeldung mehr möglich ist. Anschließend werden Sitzungen beendet, Geräte aus der Verwaltung entfernt oder gesichert, Weiterleitungen geprüft und geschäftliche Daten an die zuständige Stelle übergeben.
Ein Konto sofort zu löschen ist nicht immer die beste Entscheidung. E-Mails, OneDrive-Dateien oder Teams-Inhalte können für laufende Vorgänge noch erforderlich sein. Deshalb sollte zuerst geklärt werden, wer die Daten übernimmt, wie lange das Konto aus Compliance- oder Dokumentationsgründen aufbewahrt wird und welche Lizenz danach noch notwendig ist. Nach einer definierten Frist kann das Konto endgültig entfernt werden.
Anmeldung absichern: Passwort allein reicht nicht
Die sicherste Berechtigungsstruktur hilft wenig, wenn ein Konto durch ein gestohlenes Passwort übernommen wird. Mehrstufige Anmeldung sollte daher für alle Benutzer eingerichtet sein. Dabei genügt nicht, die Funktion technisch bereitzustellen. Mitarbeitende brauchen eine verständliche Einführung und einen klaren Weg, falls sie ihr Smartphone wechseln oder eine Anmeldeanfrage nicht einordnen können.
Für administrative Konten gelten strengere Regeln. Wer Microsoft 365, Geräte oder Sicherheitsrichtlinien verwaltet, sollte nicht mit dem gewöhnlichen Tageskonto administrieren. Ein separates Administratorkonto begrenzt den Schaden, falls das normale Benutzerkonto kompromittiert wird. Diese Trennung erzeugt etwas mehr Aufwand, ist aber eine der sinnvollsten Sicherheitsmaßnahmen im Microsoft-365-Betrieb.
Zusätzliche Regeln können Anmeldungen aus ungewöhnlichen Ländern, von nicht verwalteten Geräten oder bei auffälligem Risiko einschränken. Welche Richtlinien angemessen sind, hängt vom Arbeitsmodell ab. Ein Unternehmen mit ausschließlich stationären Arbeitsplätzen kann strenger vorgehen als ein Vertriebsteam, das regelmäßig international unterwegs ist. Sicherheitsvorgaben müssen zum Geschäft passen, sonst werden sie im Alltag umgangen.
Administratorrechte konsequent begrenzen
Globale Administratorrechte sind kein Standardzugriff für IT-affine Mitarbeitende. Sie erlauben weitreichende Änderungen an Benutzern, Sicherheitsrichtlinien, Anwendungen und Daten. Solche Rechte sollten nur wenige, benannte Personen erhalten und regelmäßig überprüft werden.
Für wiederkehrende Aufgaben gibt es meist engere Rollen. Wer lediglich Benutzerkonten anlegen oder Lizenzen zuweisen soll, benötigt keine vollständige Kontrolle über die gesamte Umgebung. Das Prinzip lautet: so viele Rechte wie nötig, so wenige wie möglich.
Ebenso wichtig ist ein belastbarer Notfallzugang. Mindestens zwei besonders geschützte Konten sollten für den Fall vorgesehen sein, dass die regulären Administratoren nicht mehr auf die Umgebung zugreifen können. Diese Konten werden nicht im Alltag genutzt, ihre Zugangsdaten werden sicher verwahrt und ihre Funktion wird regelmäßig geprüft. Ein Notfallkonto, das nie getestet wurde, ist im Ernstfall keine Absicherung.
Regelmäßige Prüfungen machen Zugriffe beherrschbar
Auch ein gut eingerichtetes System verändert sich. Neue Projekte, externe Partner, Umstrukturierungen und Softwareeinführungen schaffen fortlaufend neue Berechtigungen. Deshalb sollte die Entra ID Benutzerverwaltung in einen festen Kontrollrhythmus eingebunden werden.
Mindestens quartalsweise sollten Unternehmen prüfen, ob ehemalige Mitarbeitende, inaktive Konten, externe Gäste oder nicht mehr benötigte Administratoren vorhanden sind. Bei sensiblen Bereichen kann eine monatliche Prüfung sinnvoll sein. Fachverantwortliche sollten bestätigen, ob Zugriffe auf ihre Datenbereiche weiterhin erforderlich sind. Die IT kann technisch prüfen – die Fachabteilung weiß jedoch am besten, wer die Daten tatsächlich benötigt.
Auch Lizenzverwaltung gehört dazu. Nicht jedes deaktivierte oder kaum genutzte Konto braucht weiterhin dieselbe Microsoft-365-Lizenz. Eine strukturierte Prüfung verhindert unnötige Kosten, ohne vorschnell Daten oder wichtige Funktionen zu entfernen.
Typische Fehler, die Unternehmen vermeiden sollten
Gemeinsame Benutzerkonten sind ein häufiger Schwachpunkt. Ein Konto wie „empfang@“ oder „buchhaltung@“ wirkt zunächst praktisch, verhindert aber eine klare Zuordnung von Aktionen. Besser sind persönliche Konten mit passenden Berechtigungen sowie gemeinsam genutzte Postfächer für Funktionsadressen.
Ein weiterer Fehler ist die Vergabe von Zugriffsrechten direkt an einzelne Personen. Das mag bei wenigen Mitarbeitenden überschaubar erscheinen, wird aber bei Wachstum, Vertretungen und Personalwechseln schnell fehleranfällig. Gruppen und dokumentierte Rollen sind langfristig einfacher zu kontrollieren.
Problematisch ist außerdem eine rein reaktive Betreuung: Erst wenn ein Mitarbeiter nicht mehr auf eine Datei zugreifen kann oder ein Sicherheitsvorfall entsteht, wird die Konfiguration betrachtet. Identitätsverwaltung braucht feste Prozesse, Prüfungen und eine nachvollziehbare Dokumentation – nicht nur schnelle Einzelkorrekturen.
So wird aus Microsoft 365 ein kontrollierbarer Arbeitsbereich
Eine gute Benutzerverwaltung verbindet Technik mit Zuständigkeiten. Personal oder Office-Management meldet Eintritte, Änderungen und Austritte rechtzeitig. Fachverantwortliche definieren den notwendigen Zugriff. Die IT setzt die Regeln um, dokumentiert Ausnahmen und kontrolliert die Sicherheitsmaßnahmen. Damit ist für jede Seite klar, was wann zu tun ist.
PERFUSIONS unterstützt Unternehmen dabei, diese Abläufe passend zur eigenen Organisation aufzubauen und dauerhaft zu betreuen – von der Berechtigungsstruktur über mehrstufige Anmeldung bis zur regelmäßigen Kontrolle von Konten und Administratorrechten. Ihre IT-Abteilung sind wir, wenn intern keine vollständigen Ressourcen für diese Aufgabe vorhanden sind.
Der erste sinnvolle Schritt ist keine große Umstellung, sondern ein ehrlicher Überblick: Welche Konten existieren, wer hat administrative Rechte, welche externen Gäste sind aktiv und wie läuft ein Austritt heute tatsächlich ab? Aus diesen Antworten entsteht ein Prozess, der Ihre Mitarbeitenden nicht ausbremst und Ihr Unternehmen dauerhaft besser schützt.
