Microsoft-365-Tenant-Verwaltung: Aufgaben, Rollen und sichere Prozesse

Ein Microsoft-365-Tenant ist die zentrale Cloud-Umgebung eines Unternehmens. Darin liegen nicht nur Postfächer und Lizenzen, sondern auch Identitäten, Gruppen, Domains, Freigaben, Gerätebezüge und administrative Rollen. Wer den Tenant verwaltet, trägt deshalb Verantwortung für einen wesentlichen Teil der digitalen Arbeitsfähigkeit.

Was gehört zur Tenant-Verwaltung?

Zum Tagesgeschäft zählen Benutzer anlegen und sperren, Lizenzen zuweisen, Gruppen pflegen, gemeinsame Postfächer verwalten und Servicezustände kontrollieren. Hinzu kommen Änderungen an Domains und DNS, Gastzugänge, administrative Rollen, Sicherheitsmeldungen sowie die Abstimmung mit Exchange Online, SharePoint, OneDrive, Teams, Entra ID, Intune und Defender.

Diese Aufgaben wirken einzeln klein. Ohne feste Prozesse entstehen jedoch verwaiste Konten, unnötige Lizenzen, übermäßige Berechtigungen oder Abhängigkeiten von einer einzigen administrierenden Person.

Rollen statt eines gemeinsam genutzten Administratorkontos

Administrative Rechte sollten nach Aufgaben getrennt und nach dem Prinzip der geringsten Berechtigung vergeben werden. Ein Helpdesk benötigt andere Rechte als die Person, die Domains oder Abonnements verwaltet. Globale Administratorrechte sollten nur für wenige, gesondert geschützte Konten verwendet werden.

Mindestens zwei funktionierende Notfall- beziehungsweise Administrationswege reduzieren das Risiko, sich bei einer Fehlkonfiguration selbst auszusperren. Administratoren sollten MFA verwenden; alltägliche E-Mail-Arbeit gehört nicht in ein hochprivilegiertes Administratorkonto.

Onboarding und Offboarding als kontrollierter Ablauf

Beim Eintritt werden Identität, Lizenz, Gruppen, Postfach, Dateien, Geräte und gegebenenfalls Telefonnummern miteinander verknüpft. Beim Austritt muss dieser Zusammenhang geordnet zurückgebaut werden: Anmeldung sperren, Sitzungen beenden, Gerätezugriff bewerten, Gruppen entfernen, Daten übergeben, Weiterleitungen zeitlich begrenzen und die Lizenz erst danach freigeben.

Ein dokumentierter Ablauf verhindert, dass einzelne Schritte vergessen werden. Besonders wichtig sind eindeutige Freigaben durch das Unternehmen, weil IT-Verwaltung nicht selbst entscheiden kann, wer auf fachliche Daten zugreifen darf.

Domains, DNS und E-Mail-Sicherheit

Eine eigene Domain verbindet technische DNS-Einträge mit E-Mail und Anmeldung. Änderungen an MX, Autodiscover, SPF, DKIM oder DMARC können den gesamten Nachrichtenfluss beeinflussen. Sie sollten geplant, geprüft und nach einer Umstellung beobachtet werden.

Ein Tenant-Check umfasst daher nicht nur sichtbare Benutzerkonten, sondern auch Domainstatus, DNS, gemeinsam genutzte Ressourcen, Gastbenutzer, inaktive Konten und administrative Rollen.

Laufende Kontrolle statt Einmalprojekt

Microsoft ändert Dienste, Funktionen und Sicherheitsempfehlungen regelmäßig. Tenant-Verwaltung benötigt deshalb feste Prüfpunkte: Service Health, auslaufende Lizenzen, nicht mehr benötigte Konten, Rollen, Gäste, Sicherheitsmeldungen und Änderungen an zentralen Richtlinien. Ein Ansprechpartner führt diese Aufgaben zusammen und stimmt Auswirkungen auf Geräte, Netzwerk und Arbeitsabläufe ab.

Das können Sie selbst prüfen

• Erfassen Sie alle Administratorrollen und prüfen Sie, ob globale Rechte wirklich erforderlich sind.
• Definieren Sie einen freigegebenen Onboarding- und Offboarding-Prozess.
• Prüfen Sie Domains, DNS-Einträge, Gastkonten, Gruppen und gemeinsam genutzte Postfächer.
• Planen Sie regelmäßige Reviews für Lizenzen, Rollen, Sicherheitsmeldungen und Servicezustände.

Diese Fragen helfen bei der Einordnung

• Wer darf Benutzer, Gruppen, Domains und Abonnements verändern?
• Gibt es einen zweiten geschützten Administrationsweg für Notfälle?
• Wer gibt Datenübergaben und Weiterleitungen beim Austritt frei?

Wenn mehrere Punkte offen sind: Dann lohnt sich zuerst eine Bestandsaufnahme. So sehen Sie, welche Baustelle dringend ist und was später warten kann.