Ein ausgeschiedener Mitarbeiter kann sich noch anmelden. Ein Projektteam hat Zugriff auf vertrauliche Personalunterlagen. Oder eine Office-Managerin kann versehentlich Benutzerkonten löschen, obwohl sie nur Lizenzen verwalten sollte. Solche Situationen entstehen selten durch Absicht. Meist wurden Berechtigungen über Jahre ergänzt, aber nicht wieder entzogen. Microsoft 365 Berechtigungen prüfen heißt deshalb nicht, einzelnen Mitarbeitenden zu misstrauen. Es geht darum, Zugriffe nachvollziehbar, angemessen und dauerhaft kontrollierbar zu halten.
Für kleine und mittelständische Unternehmen ist das besonders relevant: Microsoft 365 bündelt E-Mail, Teams, SharePoint, OneDrive und Benutzerverwaltung an einem zentralen Ort. Eine falsche Einstellung kann daher mehr betreffen als einen einzelnen Ordner. Sie kann vertrauliche Daten, die Handlungsfähigkeit im Betrieb und Datenschutzpflichten berühren.
Warum gewachsene Berechtigungen zum Risiko werden
In vielen Unternehmen werden Rechte aus einem konkreten Anlass vergeben: Ein Mitarbeiter hilft kurzfristig in der Buchhaltung, eine externe Agentur benötigt Zugriff auf ein Team oder ein Kollege übernimmt die Vertretung während des Urlaubs. Das ist im Alltag sinnvoll. Kritisch wird es, wenn niemand später prüft, ob der Zugriff noch erforderlich ist.
Besonders häufig sehen wir diese Muster: Ehemalige Mitarbeiter bleiben als Gast in Teams eingebunden, Projektgruppen besitzen Zugriff auf SharePoint-Bereiche, die längst nicht mehr zu ihren Aufgaben gehören, oder mehrere Personen haben globale Administratorrechte. Letzteres ist zwar bequem, aber unnötig riskant. Wer ein globaler Administrator ist, kann Konten zurücksetzen, Sicherheitsvorgaben ändern, Datenzugriffe ermöglichen und Lizenzen verwalten.
Hinzu kommt die indirekte Berechtigungsvergabe. Ein Benutzer hat nicht nur Rechte, die ihm persönlich zugewiesen wurden. Er kann sie auch über Microsoft-365-Gruppen, Sicherheitsgruppen, Teams oder SharePoint-Gruppen erhalten. Wer nur einzelne Benutzerkonten betrachtet, übersieht daher oft den entscheidenden Teil.
Microsoft 365 Berechtigungen prüfen: Die richtige Reihenfolge
Eine Prüfung wird schnell unübersichtlich, wenn Sie bei einzelnen Dateien beginnen. Sinnvoller ist eine feste Reihenfolge: zuerst besonders mächtige Konten, dann Gruppen und sensible Bereiche, anschließend externe Zugriffe. So reduzieren Sie das größte Risiko zuerst und schaffen eine Dokumentation, die auch nach Personalwechseln verständlich bleibt.
1. Administratorrollen auf das Notwendige begrenzen
Starten Sie im Microsoft-365-Admin Center und im Entra Admin Center mit den zugewiesenen Rollen. Prüfen Sie insbesondere globale Administratoren, Exchange-Administratoren, SharePoint-Administratoren, Benutzeradministratoren und Teams-Administratoren. Für jede Rolle sollte klar dokumentiert sein, wer sie innehat, warum sie benötigt wird und wer sie vertritt.
Das Prinzip lautet: so viele Rechte wie nötig, so wenige wie möglich. Eine Person, die neue Mitarbeitende anlegt, benötigt nicht automatisch Zugriff auf sämtliche Sicherheits- oder Exchange-Einstellungen. Für wiederkehrende Aufgaben reichen meist eingeschränkte Rollen aus.
Mindestens zwei verlässliche Personen sollten im Notfall administrative Handlungsfähigkeit sicherstellen. Gleichzeitig sollten Sie vermeiden, dass ein gemeinsames Administratorkonto im Umlauf ist. Persönliche Administratorkonten machen Änderungen nachvollziehbar. Für privilegierte Konten gehören außerdem Multi-Faktor-Authentifizierung und getrennte Arbeits- und Administrationskonten zur Mindestabsicherung.
2. Benutzerkonten mit dem Personalbestand abgleichen
Vergleichen Sie die aktiven Benutzerkonten regelmäßig mit Ihrer Personalübersicht. Dabei geht es nicht nur um ausgeschiedene Mitarbeiter. Prüfen Sie auch längere Abwesenheiten, Rollenwechsel, befristete Beschäftigungen, Praktikanten und externe Dienstleister.
Bei einem Austritt sollte das Konto nicht einfach nur das Kennwort ändern. Der Zugang muss gesperrt werden, Sitzungen sollten beendet werden und die Datenübergabe muss geregelt sein. Je nach Situation kann das Postfach weitergeleitet, in ein freigegebenes Postfach umgewandelt oder für eine definierte Frist aufbewahrt werden. Welche Variante passt, hängt von Arbeitsrecht, Datenschutz, Aufbewahrungspflichten und der tatsächlichen Rolle der Person ab.
Ein häufiger Fehler ist die Lizenz sofort zu entfernen, ohne vorher E-Mails, OneDrive-Dateien und Teamzugehörigkeiten zu prüfen. Das spart kurzfristig Kosten, kann aber den Zugriff auf geschäftlich relevante Daten erschweren. Ein geordneter Offboarding-Prozess verhindert beides: unnötige Lizenzen und Datenverluste.
3. Gruppen als zentrale Berechtigungsebene kontrollieren
Gruppen sind in Microsoft 365 der Schlüssel zu einer wartbaren Rechteverwaltung. Statt zehn Personen einzeln für einen SharePoint-Ordner freizuschalten, sollte eine klar benannte Gruppe die Berechtigung erhalten. Neue Mitarbeiter werden der passenden Gruppe zugeordnet, ausgeschiedene Mitarbeiter daraus entfernt.
Prüfen Sie für jede relevante Gruppe den Zweck, die Eigentümer und die Mitglieder. Gruppen ohne verantwortliche Eigentümer sind problematisch, weil niemand ihre Zusammensetzung pflegt. Auch ähnlich benannte Gruppen verdienen Aufmerksamkeit: Wenn niemand den Unterschied zwischen „Vertrieb“, „Vertrieb intern“ und „Vertrieb Projekt“ erklären kann, ist eine Bereinigung sinnvoll.
Für sensible Bereiche wie Personal, Geschäftsführung, Finanzen oder Vertragsmanagement sollten Zugriffsgruppen besonders klar abgegrenzt sein. Dort ist es meist besser, mit wenigen, gezielt gepflegten Gruppen zu arbeiten, statt breite Standardteams zu verwenden.
4. Teams, SharePoint und OneDrive getrennt bewerten
Microsoft Teams vermittelt leicht den Eindruck, alle Inhalte lägen an einem Ort. Technisch steckt hinter jedem Team in der Regel auch eine Microsoft-365-Gruppe und eine SharePoint-Website. Änderungen an Mitgliedschaften und Berechtigungen können daher Auswirkungen auf Unterhaltungen, Dateien und weitere Dienste haben.
Prüfen Sie bei Teams, wer Besitzer, Mitglied oder Gast ist. Besitzer können Mitglieder verwalten und Einstellungen verändern. Mitglieder arbeiten im Team mit, während Gäste nur den erforderlichen externen Zugriff erhalten sollten. Kontrollieren Sie zusätzlich private und gemeinsam genutzte Kanäle. Diese können eigene Zugriffsregeln haben, die nicht für alle Teammitglieder gelten.
Bei SharePoint sollten Sie besonders auf individuelle Freigaben achten. Sie sind für Ausnahmen hilfreich, werden aber über die Zeit schwer nachvollziehbar. Wenn ein Bereich viele Einzelberechtigungen enthält, ist oft eine Neuordnung über Gruppen wirtschaftlicher als das endlose Nachpflegen einzelner Zugriffe.
OneDrive benötigt ebenfalls klare Regeln. Persönliche Arbeitsdateien gehören dort hin, zentrale Unternehmensdokumente dagegen in einen nachvollziehbar verwalteten SharePoint-Bereich oder ein Team. Sonst hängen wichtige Unterlagen am Konto einzelner Mitarbeiter.
Externe Freigaben nicht pauschal verbieten, sondern steuern
Externe Zusammenarbeit ist für Kanzleien, Agenturen, Handwerksbetriebe und Projektunternehmen normal. Ein vollständiges Verbot kann Arbeitsprozesse unnötig erschweren. Ohne Regeln wird sie jedoch schnell zur Schwachstelle.
Kontrollieren Sie, ob Gäste noch benötigt werden, welche Teams oder Websites extern geteilt werden dürfen und ob anonyme Freigabelinks erlaubt sind. Für vertrauliche Daten sollte ein namentlich zugeordneter Gastzugang mit Ablaufdatum die Regel sein. Links, die jeder mit dem Link öffnen kann, sind zwar bequem, aber nur für Inhalte geeignet, bei denen eine Weitergabe vertretbar ist.
Auch externe Benutzer benötigen einen verantwortlichen internen Ansprechpartner. Dieser sollte bestätigen, dass der Zugriff weiterhin erforderlich ist. Gerade bei abgeschlossenen Projekten bleiben Gastkonten sonst oft unbemerkt bestehen.
Ein Prüfprozess, der im Alltag funktioniert
Eine einmalige Bereinigung ist sinnvoll, ersetzt aber keine laufende Kontrolle. Wie häufig Sie Microsoft 365 Berechtigungen prüfen sollten, hängt von Unternehmensgröße, Fluktuation, Art der Daten und externen Projekten ab. Für die meisten kleinen und mittleren Unternehmen ist ein quartalsweiser Blick auf Administratoren, externe Gäste und sensible Gruppen ein guter Ausgangspunkt. Mindestens jährlich sollte eine umfassendere Prüfung erfolgen.
Damit der Prozess nicht an einer einzelnen Person hängt, braucht er feste Verantwortlichkeiten und eine einfache Dokumentation. Halten Sie für kritische Gruppen fest, welchen Zweck sie erfüllen, wer Eigentümer ist, welche Mitglieder dazugehören und wann zuletzt geprüft wurde. Das kann zunächst eine übersichtliche Tabelle sein. Bei komplexeren Umgebungen helfen Funktionen wie Zugriffsüberprüfungen in Entra ID, sofern Ihre Lizenzierung diese Möglichkeiten umfasst.
Folgende Fragen gehören in jede Prüfung:
- Benötigt diese Person den Zugriff für ihre aktuelle Aufgabe noch?
- Ist die Berechtigung über eine Gruppe statt individuell vergeben?
- Gibt es für die Gruppe mindestens einen fachlich verantwortlichen Eigentümer?
- Sind Gastkonten, Dienstleister und ehemalige Mitarbeiter entfernt oder bewusst befristet?
- Hat jemand mehr Administratorrechte, als seine Aufgabe erfordert?
Wichtig ist auch der Zeitpunkt: Prüfen Sie nicht nur nach Kalender, sondern bei Eintritt, Rollenwechsel, Projektende und Austritt. Diese Ereignisse sind die häufigsten Auslöser für überholte Zugriffe.
Wann externe Unterstützung sinnvoll ist
Wenn unklar ist, wer welche Rechte besitzt, sollten Sie nicht blind Berechtigungen entfernen. Ein voreiliger Entzug kann den Betrieb beeinträchtigen, etwa wenn ein Team plötzlich nicht mehr auf Angebotsvorlagen, E-Mail-Postfächer oder Projektdateien zugreifen kann. Zuerst braucht es Transparenz, dann eine abgestimmte Bereinigung.
Ein erfahrener IT-Partner kann Rollen, Gruppen, Freigaben und Sicherheitsvorgaben strukturiert aufnehmen, Risiken priorisieren und die Umstellung so planen, dass die Arbeit weiterläuft. Für Unternehmen ohne eigene IT-Abteilung gehört genau diese laufende Kontrolle zur verantwortungsvollen Betreuung. PERFUSIONS verbindet dabei die technische Prüfung mit klaren Zuständigkeiten im Unternehmen.
Beginnen Sie mit den globalen Administratoren und den Bereichen Personal, Finanzen sowie Geschäftsführung. Wenn dort nachvollziehbar ist, wer Zugriff hat und warum, ist der wichtigste Schritt bereits getan. Danach lässt sich die Berechtigungsstruktur kontrolliert auf den restlichen Arbeitsalltag übertragen.
