Eine gemeinsame Adresse wie info@, buchhaltung@ oder bewerbung@ wirkt zunächst unkompliziert. Kritisch wird es, wenn mehrere Personen darüber sensible Kunden-, Vertrags- oder Personaldaten bearbeiten, Zugriffe über Jahre bestehen bleiben und niemand mehr genau weiß, wer welche Berechtigung hat. Wer eine Shared Mailbox sicher einrichten möchte, sollte sie deshalb nicht wie ein normales Postfach behandeln, sondern als Teil der Zugriffs- und Sicherheitsstruktur im Unternehmen.
Gerade in kleinen und mittelständischen Unternehmen entstehen Risiken meist nicht durch einen einzelnen technischen Fehler. Es sind fehlende Regeln, zu weit gefasste Rechte und nicht entfernte ehemalige Mitarbeitende. Mit einer sauberen Konfiguration in Microsoft 365 lässt sich das ohne unnötige Komplexität vermeiden.
Warum eine Shared Mailbox besondere Regeln braucht
Eine Shared Mailbox ist ein gemeinsames Postfach in Microsoft 365 beziehungsweise Exchange Online. Mehrere berechtigte Personen können E-Mails lesen, beantworten und Termine verwalten, ohne dass dafür ein gemeinsames Passwort verwendet werden muss. Das ist der entscheidende Sicherheitsvorteil gegenüber dem noch immer verbreiteten Ansatz, Zugangsdaten für ein normales Benutzerkonto zu teilen.
Ein gemeinsames Passwort verhindert eindeutige Nachvollziehbarkeit. Verlässt eine Person das Unternehmen, muss das Passwort geändert und allen anderen erneut mitgeteilt werden. Mehrstufige Anmeldung lässt sich kaum sauber umsetzen, weil die zweite Sicherheitsstufe ebenfalls bei mehreren Personen landet. Eine korrekt eingerichtete Shared Mailbox funktioniert anders: Jede Person meldet sich mit ihrem eigenen Microsoft-365-Konto an. Berechtigungen steuern, was sie im gemeinsamen Postfach tun darf.
Das verbessert nicht nur die Sicherheit. Es erleichtert auch Vertretungen, das strukturierte Ausscheiden von Mitarbeitenden und die Prüfung von Vorgängen. Allerdings gilt: Eine Shared Mailbox ersetzt kein Ticketsystem, wenn Anfragen verbindlich zugeordnet, Fristen überwacht oder Bearbeitungszeiten gemessen werden müssen. Für zentrale allgemeine Kommunikation ist sie sehr gut geeignet. Für komplexe Serviceprozesse kann ein Ticketsystem die bessere Wahl sein.
Voraussetzungen vor der Einrichtung
Bevor Sie das Postfach anlegen, sollten Sie festlegen, wofür es genutzt wird und wer fachlich verantwortlich ist. Für bewerbung@ gelten andere Anforderungen als für info@. Ein Personalpostfach enthält oft besonders schutzwürdige Daten. Der Zugriff sollte hier deutlich enger sein als bei einer allgemeinen Kontaktadresse.
Jede zugreifende Person benötigt ein eigenes, aktiv verwaltetes Benutzerkonto. Mehrstufige Authentifizierung muss für diese Konten verpflichtend sein. In Microsoft 365 sollte dies über passende Sicherheitsvorgaben und bedingte Zugriffsrichtlinien geregelt werden, nicht nur als unverbindliche Empfehlung. Auch ein sicherer Login allein reicht nicht, wenn ein ehemaliger Mitarbeiter weiterhin berechtigt bleibt.
Klären Sie außerdem diese drei Punkte vorab: Wer ist fachlicher Eigentümer des Postfachs, wer darf Berechtigungen freigeben und wie oft werden Zugriffe überprüft? Diese Entscheidungen gehören in Ihre IT-Dokumentation. Sie verhindern Diskussionen, wenn sich Zuständigkeiten ändern oder ein Sicherheitsvorfall untersucht werden muss.
Shared Mailbox sicher einrichten: die wichtigsten Schritte
Postfach eindeutig benennen und verantworten
Legen Sie die Shared Mailbox im Microsoft-365-Admincenter oder Exchange Admin Center mit einer eindeutigen Adresse und Bezeichnung an. Namen wie „Team 1“ oder „Allgemein“ werden mit der Zeit unverständlich. Besser sind sprechende Bezeichnungen wie „Buchhaltung Eingangsrechnungen“ oder „Personal Bewerbungen“.
Benennen Sie mindestens einen fachlichen Verantwortlichen. Diese Person muss nicht selbst Administrator sein. Sie sollte aber entscheiden können, wer aus geschäftlichen Gründen Zugriff braucht. Die IT setzt Berechtigungen um, dokumentiert sie und prüft die technische Konfiguration.
Shared Mailboxes benötigen unter bestimmten Voraussetzungen keine eigene Exchange-Online-Lizenz, etwa bei begrenzter Postfachgröße und ohne Zusatzfunktionen wie Onlinearchiv. Die genauen Lizenzbedingungen können sich ändern. Entscheidend ist: Die Mitarbeitenden, die zugreifen, benötigen passende Lizenzen, und Sonderfunktionen sollten vorab geprüft werden. Eine Lizenzentscheidung sollte nie dazu führen, dass aus Bequemlichkeit ein gemeinsames Benutzerkonto entsteht.
Berechtigungen gezielt vergeben
In der Praxis werden drei Berechtigungsarten häufig verwechselt. Mit Vollzugriff kann eine Person Inhalte lesen und verwalten. Das Recht „Senden als“ erlaubt Antworten, die für Empfänger direkt von der gemeinsamen Adresse stammen. Bei „Senden im Auftrag von“ wird dagegen sichtbar, welche Person im Auftrag der Adresse geschrieben hat.
Für zentrale Funktionsadressen ist „Senden als“ oft sinnvoll, weil Kunden eine einheitliche Absenderadresse sehen. Intern kann „Senden im Auftrag von“ mehr Transparenz schaffen. Es hängt vom Prozess ab. Für vertrauliche Postfächer sollte Vollzugriff nur an die Personen gehen, die ihn tatsächlich benötigen.
Vergeben Sie Rechte möglichst über klar definierte Gruppen statt einzeln an viele Konten. Das vereinfacht Ein- und Austritte. Voraussetzung ist eine saubere Gruppenverwaltung: Gruppenmitgliedschaften müssen ebenfalls dokumentiert und regelmäßig geprüft werden. Für besonders kritische Postfächer kann die direkte, namentliche Berechtigung sinnvoller sein, weil sie auf einen Blick nachvollziehbar bleibt.
Der Grundsatz lautet: so wenig Zugriff wie möglich, so viel wie nötig. Eine Assistenz benötigt beispielsweise möglicherweise die Berechtigung, Termine zu verwalten, aber keinen Zugriff auf ein Bewerbungs- oder Vertragsarchiv.
Anmeldung des Shared Mailbox-Kontos unterbinden
Eine Shared Mailbox braucht normalerweise kein eigenes Kennwort und sollte nicht als eigenständiges Benutzerkonto verwendet werden. Der Zugriff erfolgt durch Delegierung über die persönlichen Benutzerkonten. Prüfen Sie deshalb, ob für die zugrunde liegende Identität eine Anmeldung blockiert ist und keine unnötige Lizenz oder Anmeldemethode aktiv bleibt.
Das verhindert einen typischen Umweg: Jemand meldet sich direkt als gemeinsames Postfach an, weil es kurzfristig einfacher erscheint. Damit gehen individuelle Nachvollziehbarkeit und der Nutzen von MFA verloren. Wenn ein Dienst oder Gerät zwingend ein eigenes Konto benötigt, sollte dies als separater technischer Anwendungsfall geplant und abgesichert werden – nicht über die Shared Mailbox.
Weiterleitungen und Regeln begrenzen
Automatische Weiterleitungen sind bequem, aber riskant. Eine Regel, die E-Mails an private Adressen oder externe Empfänger weiterleitet, kann vertrauliche Informationen unbemerkt aus dem Unternehmen bringen. In vielen Fällen sollte externe automatische Weiterleitung organisationsweit blockiert und nur nach dokumentierter Freigabe erlaubt werden.
Prüfen Sie auch die Regeln innerhalb des Postfachs. Regeln können Nachrichten löschen, verschieben oder weiterleiten. Besonders bei Finanz- und Personalpostfächern sollte es einen festen Prozess geben, um neue Regeln zu kontrollieren. Auffällige Regeln gehören zu den ersten Dingen, die bei einem Verdacht auf kompromittierte Konten geprüft werden.
Sichere Nutzung in Outlook und auf Mobilgeräten
Das gemeinsame Postfach kann in Outlook meist automatisch erscheinen, wenn Vollzugriff korrekt vergeben wurde. Mitarbeitende sollten es dort als zusätzliches Postfach nutzen und niemals dessen Zugangsdaten speichern. Wenn die automatische Einbindung nicht passt, etwa bei sehr großen Postfächern oder besonderen Outlook-Konfigurationen, kann die IT sie gezielt einrichten.
Auf Smartphones und Tablets gilt derselbe Grundsatz: Zugriff nur über verwaltete Anwendungen und persönliche Konten. Gerade bei Geräten mit geschäftlichen E-Mails sollten Displaysperre, Gerätevollverschlüsselung und die Möglichkeit zur Fernlöschung geregelt sein. Ob private Geräte erlaubt sind, ist eine unternehmerische Entscheidung. Wenn sie erlaubt sind, braucht es klare Mindeststandards und eine technische Durchsetzung, nicht nur eine formlose Vereinbarung.
Bei sensiblen Informationen empfiehlt sich zusätzlich, den Zugriff von nicht verwalteten Geräten zu beschränken. Das ist nicht in jedem Betrieb notwendig. Eine Kanzlei oder Praxis wird hier meist strenger vorgehen als eine Agentur mit überwiegend allgemeinen Projektanfragen. Die Schutzklasse der Daten sollte die Regel bestimmen.
Protokollierung, Aufbewahrung und Backup mitdenken
Microsoft 365 bietet Protokollierungsfunktionen, mit denen sich relevante Aktivitäten nachvollziehen lassen. Diese Daten helfen, wenn Nachrichten unerwartet verschwinden, verdächtige Regeln auftauchen oder Zugriffe überprüft werden müssen. Entscheidend ist, dass die Protokollierung aktiviert ist, Verantwortliche wissen, wo sie prüfen können, und Aufbewahrungsfristen zu Ihren Anforderungen passen.
Auch die Aufbewahrung von E-Mails sollte bewusst festgelegt werden. Rechnungen, Bewerbungen oder Vertragskorrespondenz unterliegen unterschiedlichen geschäftlichen und rechtlichen Anforderungen. Eine pauschale Regel für alle Shared Mailboxes ist selten sinnvoll. Löschen Mitarbeitende Nachrichten manuell, weil das Postfach unübersichtlich ist, kann das später zu Problemen führen. Besser sind klare Ordnerstrukturen, geregelte Archivierung und passende Aufbewahrungsrichtlinien.
Ein Backup ist davon getrennt zu betrachten. Aufbewahrung schützt vor definiertem oder versehentlichem Löschen innerhalb der Plattform. Ein eigenständiges Backup kann zusätzlich nötig sein, wenn Sie Daten unabhängig wiederherstellen und Wiederherstellungszeiten verbindlich planen möchten. Welche Lösung angemessen ist, hängt von Datenmenge, Schutzbedarf und Folgen eines Verlusts ab.
Regelmäßige Prüfung ist Teil der Einrichtung
Sicher eingerichtet bleibt eine Shared Mailbox nur, wenn sie gepflegt wird. Prüfen Sie mindestens quartalsweise bei sensiblen Postfächern und mindestens jährlich bei allen anderen: Wer hat Zugriff? Werden alle Berechtigungen noch benötigt? Gibt es unbekannte Regeln, Weiterleitungen oder nicht mehr verwendete Freigaben?
Besonders wirksam ist die Kopplung an Ihren Eintritts- und Austrittsprozess. Neue Mitarbeitende erhalten Rechte erst nach fachlicher Freigabe. Beim Austritt werden Konten gesperrt, Gruppenmitgliedschaften entfernt und Zugriffe dokumentiert. Dieser Ablauf muss auch bei externen Buchhaltungen, Praktikanten und Vertretungen funktionieren.
Typische Schwachstellen sind zu viele Personen mit Vollzugriff, ehemalige Beschäftigte in Gruppen, fehlende MFA und ein gemeinsames Passwort für eine angebliche Shared Mailbox. Auch nicht dokumentierte Weiterleitungen und unklare Verantwortlichkeiten gehören dazu. Diese Punkte lassen sich mit einem strukturierten Microsoft-365-Betrieb zuverlässig kontrollieren.
Eine gut konfigurierte gemeinsame Mailadresse fällt im Alltag kaum auf – genau das ist ihr Zweck. Sie unterstützt die Zusammenarbeit, ohne ein neues Sicherheitsrisiko zu schaffen. Wenn Ihre IT-Abteilung nicht intern besetzt ist, sollte ein verlässlicher IT-Partner die Einrichtung, Dokumentation und regelmäßige Prüfung übernehmen. So können Sie sich darauf konzentrieren, Ihr Unternehmen zu führen, statt bei jeder personellen Änderung den Überblick über kritische Postfächer neu herstellen zu müssen.
