Microsoft 365 · Sicherheit
Sicherheit und Governance in Microsoft 365: Regeln, die im Alltag halten
Ein Sicherheitsproblem braucht keinen raffinierten Angriff: Ein Konto ohne zweiten Faktor, eine Freigabe, die niemand mehr im Blick hat, oder ein gelöschtes Team reicht schon. Wer versteht, wie Konten, Gruppen und Dienste zusammenhängen, trifft bessere Regeln. Wir prüfen Ihre Umgebung und erarbeiten mit Ihnen die Regeln – auf Anfrage.
Anmeldung: Die App fordert bei Entra ID ein Token an. Geprüft werden Kennwort, zweiter Faktor und – falls eingerichtet – Richtlinien des bedingten Zugriffs. Erst dann greift die App auf Teams, Postfach oder Dateien zu.
Illustrative Beispielarchitektur eines Microsoft-365-Mandanten – wählen Sie einen Ablauf, um den Weg durch die Dienste zu sehen.
Zusammenspiel
Ein Mandant, viele Dienste – und eine Identität dahinter
Teams, SharePoint, OneDrive und Exchange Online sind keine getrennten Inseln: Alle melden über Microsoft Entra ID an, und die Mitgliedschaft in einer Microsoft-365-Gruppe entscheidet, wer Team, Website, Postfach und Plan nutzen darf. Wählen Sie einen Baustein – die Karte zeigt, was er braucht und wer ihn braucht.
Microsoft Entra ID · Besitzer & Mitglieder
Gruppe (M365)
Die Microsoft-365-Gruppe ist der Mitgliedschaftsdienst hinter der Zusammenarbeit: Wer Mitglied ist, erhält automatisch Zugriff auf das Team, die SharePoint-Website, den freigegebenen Posteingang mit Kalender und den Plan. Besitzer verwalten Mitglieder und Einstellungen. Berechtigungen einzeln zu vergeben, ist dafür nicht nötig.
- Läuft auf
- Wird gebraucht von
Passende Leistungen
Illustrative Beispielarchitektur. Vereinfachtes Modell eines Microsoft-365-Mandanten nach der Dokumentation von Microsoft Learn (Stand Oktober 2026): keine reale Kundenumgebung, keine Live-Daten. Nicht abgebildet sind u. a. private und freigegebene Kanäle, Sicherheitsgruppen, Lizenzierung im Detail, Geräteverwaltung und Aufbewahrungsrichtlinien. Microsoft 365, Microsoft Entra ID, Teams, SharePoint, OneDrive und Exchange sind Marken der Microsoft Corporation.
Beispielarchitektur als Text
- Lokales Active Directory (Außerhalb des Mandanten) – Werden Konten weiterhin im eigenen Active Directory gepflegt, lassen sie sich mit Microsoft Entra Connect bzw. Cloud Sync nach Entra ID synchronisieren. Mit der Kennworthash-Synchronisierung melden sich Mitarbeitende in Microsoft 365 mit demselben Kennwort an. Im Modell ist das lokale Verzeichnis optional: Wo es fehlt, entstehen die Konten direkt in der Cloud.
- Externe Person (Außerhalb des Mandanten) – Partner, Kundinnen oder Dienstleister erhalten Zugriff entweder als Gast im Verzeichnis oder über einen Freigabelink auf einzelne Dateien. Was möglich ist, legen die Freigabeeinstellungen für Organisation und Website fest – probieren Sie es weiter unten im Freigabe-Simulator aus. Braucht: SharePoint-Website.
- Mitarbeitende (Arbeitsplatz) – Aus Sicht der Mitarbeitenden ist Microsoft 365 eine Oberfläche. Dahinter stehen ein Konto, eine Anmeldung mit Richtlinien und mehrere Dienste, die auf Gruppenmitgliedschaften aufbauen. Fällt einer dieser Bausteine aus, bemerkt man es zuerst hier. Braucht: Gerät & Apps, Benutzerkonto, Anmeldung, Team, OneDrive, Persönliches Postfach.
- Gerät & Apps (Arbeitsplatz) – Ob Desktop-App, Smartphone oder Browser: Jede App holt sich bei Microsoft Entra ID ein Anmeldetoken und greift damit auf die Dienste zu. Richtlinien können dabei auch den Zustand des Geräts berücksichtigen. Wird gebraucht von: Mitarbeitende.
- Verzeichnis des Mandanten (Microsoft Entra ID) – Microsoft Entra ID ist der Verzeichnisdienst, in dem die Benutzerkonten von Microsoft 365 gespeichert sind – und ebenso die Microsoft-365-Gruppen. Hier wenden Administratoren auch Regeln auf Konten an, etwa die mehrstufige Authentifizierung. Wird gebraucht von: Benutzerkonto, Gruppe (M365), Anmeldung.
- Benutzerkonto (Microsoft Entra ID) – Das Konto ist der Schlüssel zu allem, was einer Person gehört: persönliches Postfach, OneDrive, Mitgliedschaften. Wird es gelöscht, bleiben Konto und Daten 30 Tage wiederherstellbar; danach beginnt die endgültige Löschung. Läuft auf: Verzeichnis des Mandanten. Wird gebraucht von: Mitarbeitende, OneDrive, Persönliches Postfach.
- Gruppe (M365) (Microsoft Entra ID) – Die Microsoft-365-Gruppe ist der Mitgliedschaftsdienst hinter der Zusammenarbeit: Wer Mitglied ist, erhält automatisch Zugriff auf das Team, die SharePoint-Website, den freigegebenen Posteingang mit Kalender und den Plan. Besitzer verwalten Mitglieder und Einstellungen. Berechtigungen einzeln zu vergeben, ist dafür nicht nötig. Läuft auf: Verzeichnis des Mandanten. Wird gebraucht von: Team, Planner-Plan, SharePoint-Website, Gruppenpostfach.
- Anmeldung (Microsoft Entra ID) – Jeder Zugriff auf einen Dienst beginnt mit einer Anmeldung, die Entra ID prüft: Kennwort, zweiter Faktor und – je nach Lizenz – Richtlinien des bedingten Zugriffs. Die Sicherheitsstandards verlangen ohne Zusatzlizenz von allen Benutzern die Registrierung für die mehrstufige Authentifizierung; abgefragt wird sie bei Administratorrollen bei jeder Anmeldung, bei den übrigen Konten dann, wenn Microsoft es anhand von Ort, Gerät, Rolle und Aufgabe für nötig hält. Bedingter Zugriff setzt mindestens Microsoft Entra ID P1 voraus. Läuft auf: Verzeichnis des Mandanten. Wird gebraucht von: Mitarbeitende, Team, Planner-Plan, SharePoint-Website, Gruppenpostfach, OneDrive, Persönliches Postfach.
- Team (Zusammenarbeit) – Jedes Team ist mit einer Microsoft-365-Gruppe verbunden, in der die Teammitgliedschaft gespeichert ist. Was auf der Registerkarte „Dateien“ eines Standardkanals liegt, liegt tatsächlich auf der SharePoint-Website des Teams. Private und freigegebene Kanäle haben jeweils eine eigene Website – das bildet das Modell nicht ab. Braucht: Gruppe (M365), SharePoint-Website, Anmeldung. Wird gebraucht von: Mitarbeitende.
- Planner-Plan (Zusammenarbeit) – Ein Plan in Planner ist der Microsoft 365-Gruppe zugeordnet; eine Gruppe kann mehrere Pläne haben. Wird die Gruppe gelöscht, ist auch der Plan nicht mehr verfügbar – und kommt mit der Wiederherstellung der Gruppe zurück. Braucht: Gruppe (M365), Anmeldung.
- SharePoint-Website (Dateien & Postfächer) – Die mit dem Team verbundene Website wird beim Anlegen des Teams automatisch erstellt. Teambesitzer und -mitglieder landen automatisch in den Berechtigungsgruppen der Website. Einzelne Dateien und Ordner lassen sich zusätzlich per Link teilen – innerhalb der Grenzen, die die Freigabeeinstellungen setzen. Braucht: Gruppe (M365), Anmeldung. Wird gebraucht von: Externe Person, Team.
- Gruppenpostfach (Dateien & Postfächer) – Zur Gruppe gehören ein freigegebener Posteingang und ein freigegebener Kalender in Exchange Online. Sie sind kein persönliches Postfach und keinem einzelnen Konto zugeordnet. Braucht: Gruppe (M365), Anmeldung.
- OneDrive (Dateien & Postfächer) – OneDrive gehört zum Konto einer Person, nicht zu einer Gruppe. Dateien, die dort liegen, sind nur so lange gut aufgehoben, wie das Konto besteht – beim Austritt einer Person müssen sie deshalb bewusst übergeben werden. Braucht: Benutzerkonto, Anmeldung. Wird gebraucht von: Mitarbeitende.
- Persönliches Postfach (Dateien & Postfächer) – Das persönliche Postfach mit E-Mail, Kalender und Kontakten hängt am Benutzerkonto. Gemeinsame Adressen wie info@ gehören dagegen besser in ein freigegebenes Postfach oder eine Gruppe. Braucht: Benutzerkonto, Anmeldung. Wird gebraucht von: Mitarbeitende.
Typische Abläufe
- Anmeldung: Mitarbeitende → Gerät & Apps → Anmeldung → Benutzerkonto – Die App fordert bei Entra ID ein Token an. Geprüft werden Kennwort, zweiter Faktor und – falls eingerichtet – Richtlinien des bedingten Zugriffs. Erst dann greift die App auf Teams, Postfach oder Dateien zu.
- Datei im Kanal öffnen: Mitarbeitende → Gerät & Apps → Team → SharePoint-Website – Die Registerkarte „Dateien“ eines Standardkanals zeigt einen Ordner der Dokumentbibliothek auf der SharePoint-Website des Teams. Wer eine Datei im Kanal öffnet, arbeitet also in SharePoint.
- Mitgliedschaft wird Berechtigung: Benutzerkonto → Gruppe (M365) → SharePoint-Website – Wird ein Konto Mitglied der Gruppe, gehört es automatisch zur Mitgliedergruppe der Website. Verwaltet man den Zugriff über das Team statt direkt auf der Website, bleibt er nachvollziehbar.
- Freigabe nach außen: Team → SharePoint-Website → Externe Person – Eine Datei aus dem Kanal wird per Link mit einer externen Person geteilt. Ob das geht und mit welcher Linkart, bestimmen die Freigabeeinstellungen von Organisation und Website.
- Konten aus dem lokalen AD: Lokales Active Directory → Benutzerkonto – Bei einer hybriden Umgebung werden Konten im lokalen Active Directory gepflegt und nach Entra ID synchronisiert. Wird ein Konto dort gelöscht, kommt auch die Löschung per Synchronisation in der Cloud an.
Ernstfälle
Was passiert, wenn an der falschen Stelle gelöscht oder gesperrt wird?
Drei typische Governance-Pannen – keine Angriffe, sondern alltägliche Verwaltungsschritte mit großer Wirkung. Die Karte berechnet aus dem Modell, was betroffen ist und was weiterläuft; danach führt eine nachvollziehbare Analyse zurück zum Normalbetrieb.
Gruppe (M365) fällt aus. Betroffen: Team, Planner-Plan, SharePoint-Website, Gruppenpostfach, Externe Person, Mitarbeitende.
Ein Teambesitzer räumt auf und löscht ein vermeintlich altes Team – oder eine Ablaufrichtlinie löscht eine Gruppe, die niemand verlängert hat. Mit der Gruppe verschwinden Team, Website, Postfach und Plan.
Was Sie bemerken
- Team Das Team verschwindet für alle Mitglieder gleichzeitig aus Teams.
- SharePoint-Website Die Teamwebsite mit allen Kanaldateien ist nicht mehr erreichbar.
- Gruppenpostfach Freigegebener Posteingang und Gruppenkalender sind weg.
- Planner-Plan Der Plan mit seinen Aufgaben ist nicht mehr verfügbar.
- Externe Person Auch externe Personen verlieren den Zugriff auf geteilte Dateien der Website.
- OneDrive – läuft weiter Persönliche Dateien im OneDrive bleiben erhalten – sie gehören zum Konto, nicht zur Gruppe.
- Persönliches Postfach – läuft weiter Persönliche Postfächer arbeiten normal weiter.
Analyse und Wiederherstellung
Vereinfachtes Beispiel auf Grundlage des Mandantenmodells oben, nach Microsoft Learn (Stand Oktober 2026). Fristen sind Standardwerte von Microsoft und können durch Einstellungen oder Aufbewahrungsrichtlinien abweichen. Keine Live-Daten, keine vollständige Fehlerdiagnose, keine Aussage zu Wiederherstellungszeiten in Ihrer Umgebung. Bedingter Zugriff setzt mindestens Microsoft Entra ID P1 voraus.
Alle Szenarien als Text
Microsoft-365-Gruppe gelöscht – Ursache: Gruppe (M365); betroffen laut Beispielmodell: Team, Planner-Plan, SharePoint-Website, Gruppenpostfach, Externe Person, Mitarbeitende.
- Symptom einordnen – Fehlen Team, Website und Plan bei allen gleichzeitig, liegt die Ursache nicht in Teams, sondern in der gemeinsamen Grundlage: der Gruppe.
- Gelöschte Gruppen prüfen – Im Microsoft 365 Admin Center unter „Gruppen“ › „Gelöschte Gruppen“ nachsehen; Besitzer finden eigene gelöschte Gruppen auch in Outlook im Web. Gelöschte Gruppen bleiben standardmäßig 30 Tage wiederherstellbar.
- Ursache klären – Wer hat gelöscht – ein Besitzer, eine Administration oder eine Ablaufrichtlinie? Bei Ablaufrichtlinien erhalten Besitzer vorher Hinweise; Gruppen ohne Verlängerung werden automatisch gelöscht.
- Gruppe wiederherstellen – Innerhalb der 30 Tage die Gruppe wiederherstellen. Damit kommen Mitglieder, Team, SharePoint-Website mit Dateien, freigegebener Posteingang und Kalender sowie Planner zurück. Das kann bis zu 24 Stunden dauern.
- Funktion bestätigen – Team, Kanaldateien und Plan stichprobenartig prüfen und Mitglieder informieren. E-Mails an die Gruppe frühestens eine Stunde nach der Wiederherstellung senden, sonst können sie mit einer Unzustellbarkeitsmeldung zurückkommen.
- Vorbeugen – Zwei verantwortliche Besitzer je Team, eine bewusste Entscheidung zu Ablaufrichtlinien und eine kurze Regel, wer Teams löschen darf. Wie Ablaufrichtlinie und besitzerlose Teams zusammenspielen, zeigt „Wenn sich niemand mehr um ein Team kümmert“.
Konto beim Austritt zu früh gelöscht – Ursache: Benutzerkonto; betroffen laut Beispielmodell: Mitarbeitende, OneDrive, Persönliches Postfach.
- Gelöschte Benutzer prüfen – Im Microsoft 365 Admin Center unter „Benutzer“ › „Gelöschte Benutzer“: Innerhalb von 30 Tagen lassen sich Konto und alle zugehörigen Daten wiederherstellen, das Postfach vollständig.
- OneDrive-Zugriff klären – Hat die vorgesetzte Person oder ein sekundärer Besitzer die E-Mail zum OneDrive-Zugriff erhalten? Ohne hinterlegte Person hat niemand automatisch Zugriff.
- Hybride Umgebung beachten – Wurde das Konto im lokalen Active Directory gelöscht, kommt die Löschung per Synchronisation in der Cloud an – die Wiederherstellung beginnt dann ebenfalls dort.
- Konto wiederherstellen – Konto wiederherstellen, neues Kennwort setzen und bei Bedarf wieder eine Lizenz zuweisen – damit sind OneDrive und Postfach wieder erreichbar.
- Übergabe nachholen – Benötigte Dateien gezielt ins Team oder an die Nachfolge übergeben, E-Mail-Weiterleitung bzw. Zugriff auf das Postfach regeln.
- Ablauf festlegen – Beim Austritt zuerst die Anmeldung sperren, dann übergeben, zuletzt löschen. Das Sperren der Anmeldung startet die OneDrive-Bereinigung noch nicht – erst das Löschen des Kontos.
Neue Richtlinie sperrt alle aus – Ursache: Anmeldung; betroffen laut Beispielmodell: Mitarbeitende, Team, Planner-Plan, SharePoint-Website, Gruppenpostfach, OneDrive, Persönliches Postfach, Externe Person.
- Muster erkennen – Alle scheitern gleichzeitig, kurz nach einer Änderung an Richtlinien: Das spricht gegen eine Dienststörung und für die Anmeldung.
- Anmeldeprotokolle lesen – Jedes Anmeldeereignis zeigt, welche Richtlinien angewendet wurden und welche die Anmeldung blockiert hat.
- Mit dem Notfallzugriff anmelden – Ein reines Cloudkonto für den Notfallzugriff, das von blockierenden Richtlinien ausgenommen ist, meldet sich an; die fehlerhafte Richtlinie wird korrigiert oder abgeschaltet.
- Funktion bestätigen – Anmeldung mit einem normalen Konto testen und die Nutzung des Notfallkontos dokumentieren.
- Künftig erst testen – Neue oder geänderte Richtlinien zuerst im Modus „Nur Bericht“ betreiben: Sie werden ausgewertet und protokolliert, aber nicht erzwungen.
Grundlagen
Was jede Umgebung braucht
Diese Punkte empfiehlt Microsoft selbst – sie sind kein Spezialwissen, und es lohnt sich zu prüfen, ob sie umgesetzt sind.
Anmeldung mit mehreren Faktoren für alle
Alle Konten bestätigen die Anmeldung zusätzlich, zum Beispiel per Authenticator-App. Die „Sicherheitsstandards“ von Microsoft Entra ID sind ein Einstieg ohne Zusatzlizenz: Alle registrieren sich, Administratorrollen bestätigen jede Anmeldung, übrige Konten dann, wenn Microsoft es für nötig hält. Wer die zusätzliche Bestätigung verbindlich für alle oder für bestimmte Anwendungen festlegen will, braucht bedingten Zugriff (ab Entra ID P1).
Administratorkonten schützen
Getrennte Konten für Verwaltung und Alltag, so wenige globale Administratoren wie möglich, Notfallzugänge dokumentiert.
Veraltete Anmeldeverfahren abschalten
Ältere Protokolle unterstützen keinen zweiten Faktor und sind deshalb ein bekannter Angriffsweg.
Externe Freigaben bewusst regeln
Festlegen, ob und mit wem Dateien nach außen geteilt werden dürfen – und Gastzugänge regelmäßig prüfen.
Regeln für Teams und Websites
Wer Teams anlegen darf, wie sie benannt werden und wer als Besitzer verantwortlich ist.
Freigaben verstehen
Wer kommt an die Datei? Mitgliedschaft, Link und Einstellung
Eine Datei liegt im Kanal eines Teams. Wählen Sie, wer sie öffnen möchte, wie sie geteilt wurde und was die Website nach außen erlaubt. Das Modell zeigt, welche Regel greift – und warum ein Link etwas anderes ist als eine Mitgliedschaft.
Ergebnis
Zugriff nur auf diese Datei
Der Link öffnet genau das geteilte Element. Team, Kanal und übrige Dateien bleiben verschlossen.
- Ein Freigabelink gewährt Berechtigungen für die Datei oder den Ordner – nicht für das Team oder die Website.
Vereinfachtes Lernmodell. Die Regeln folgen der Dokumentation von Microsoft zu Freigabelinks und Freigabeeinstellungen in SharePoint und OneDrive (Stand Oktober 2026). Nicht berücksichtigt sind u. a. private und freigegebene Kanäle, direkt auf der Website vergebene Berechtigungen, Domänenbeschränkungen, Einstellungen für die externe Zusammenarbeit in Entra ID, Vertraulichkeitsbezeichnungen und Richtlinien des bedingten Zugriffs. Es gilt die strengste zutreffende Folge. Welche Einstellungen für Sie passen, ist eine Entscheidung Ihres Unternehmens – keine Rechtsberatung.
Modellregeln als Text
Alle Regeln werden geprüft; es gilt die strengste zutreffende Folge (Zugriff über die Mitgliedschaft → Zugriff nur auf diese Datei → Zugriff nach Identitätsnachweis → Kein Zugriff).
- Zugriff über die Mitgliedschaft, wenn Wer öffnet?: Mitglied des Teams – Teambesitzer und -mitglieder sind automatisch in den Berechtigungsgruppen der Website. Ein zusätzlicher Link ändert an ihrem Zugriff nichts.
- Kein Zugriff, wenn Wer öffnet?: Kollegin oder Kollege, nicht im Team oder Gast, bereits im Verzeichnis oder Externe Person, noch kein Gast und Wie geteilt?: Gar nicht – nur über die Teammitgliedschaft – Ohne Mitgliedschaft und ohne Freigabe kein Zugriff: Die Website erhält ihre Berechtigungen im Modell ausschließlich über die Gruppe.
- Zugriff nur auf diese Datei, wenn Wer öffnet?: Kollegin oder Kollege, nicht im Team oder Gast, bereits im Verzeichnis oder Externe Person, noch kein Gast und Wie geteilt?: Link für bestimmte Personen oder Link für Personen in der Organisation oder Link „Jeder mit dem Link“ – Ein Freigabelink gewährt Berechtigungen für die Datei oder den Ordner – nicht für das Team oder die Website.
- Kein Zugriff, wenn Wer öffnet?: Gast, bereits im Verzeichnis oder Externe Person, noch kein Gast und Wie geteilt?: Link für Personen in der Organisation – Links für Personen in der Organisation funktionieren nur für Mitglieder des Verzeichnisses – nicht für Gäste und nicht für Externe, auch wenn der Link weitergeleitet wird.
- Kein Zugriff, wenn Externe Freigabe: Nur Personen in Ihrer Organisation oder Vorhandene Gäste oder Neue und vorhandene Gäste und Wer öffnet?: Kollegin oder Kollege, nicht im Team oder Gast, bereits im Verzeichnis oder Externe Person, noch kein Gast und Wie geteilt?: Link „Jeder mit dem Link“ – „Jeder“-Links stehen nur zur Verfügung, wenn die externe Freigabe auf „Jeder“ steht. Mit dieser Einstellung lässt sich der Link nicht erstellen.
- Zugriff nur auf diese Datei, wenn Externe Freigabe: Jeder und Wer öffnet?: Kollegin oder Kollege, nicht im Team oder Gast, bereits im Verzeichnis oder Externe Person, noch kein Gast und Wie geteilt?: Link „Jeder mit dem Link“ – Wer den Link hat, öffnet die Datei ohne Anmeldung. Der Link lässt sich weiterleiten, und wer zugegriffen hat, ist nicht nachvollziehbar – sinnvoll nur für nicht vertrauliche Inhalte, idealerweise mit Ablaufdatum.
- Kein Zugriff, wenn Externe Freigabe: Nur Personen in Ihrer Organisation und Wer öffnet?: Gast, bereits im Verzeichnis und Wie geteilt?: Link für bestimmte Personen – „Nur Personen in Ihrer Organisation“ schaltet die externe Freigabe für die Website ab – auch für Gäste, die bereits im Verzeichnis sind.
- Kein Zugriff, wenn Externe Freigabe: Nur Personen in Ihrer Organisation oder Vorhandene Gäste und Wer öffnet?: Externe Person, noch kein Gast und Wie geteilt?: Link für bestimmte Personen – Neue externe Personen lassen sich nur einladen, wenn die Website „Neue und vorhandene Gäste“ oder „Jeder“ erlaubt.
- Zugriff nach Identitätsnachweis, wenn Externe Freigabe: Neue und vorhandene Gäste oder Jeder und Wer öffnet?: Externe Person, noch kein Gast und Wie geteilt?: Link für bestimmte Personen – Die eingeladene Person meldet sich mit ihrem Geschäfts- oder Microsoft-Konto an oder bestätigt ihre Identität mit einem Code. Mit aktivierter Entra-B2B-Integration wird dabei ein Gastkonto angelegt.
Vereinfachtes Lernmodell. Die Regeln folgen der Dokumentation von Microsoft zu Freigabelinks und Freigabeeinstellungen in SharePoint und OneDrive (Stand Oktober 2026). Nicht berücksichtigt sind u. a. private und freigegebene Kanäle, direkt auf der Website vergebene Berechtigungen, Domänenbeschränkungen, Einstellungen für die externe Zusammenarbeit in Entra ID, Vertraulichkeitsbezeichnungen und Richtlinien des bedingten Zugriffs. Es gilt die strengste zutreffende Folge. Welche Einstellungen für Sie passen, ist eine Entscheidung Ihres Unternehmens – keine Rechtsberatung.
Governance
Governance ist vor allem Absprache
Technische Einstellungen sind schnell gesetzt. Schwieriger ist die Frage, was im Unternehmen gelten soll: Darf jede Person ein Team anlegen? Wer räumt verwaiste Teams auf? Dürfen Projektpartner Dateien sehen, und wie lange?
Ein gutes Regelwerk ist kurz, wird erklärt und lässt sich in Microsoft 365 abbilden. Und es braucht Menschen, die es kennen: Die beste Freigaberegel nützt nichts, wenn Mitarbeitende nicht wissen, welchen Link sie wählen sollen. Deshalb gehören Regeln und Schulung zusammen.
Informationsschutz
Informationsschutz: Inhalte nach Vertraulichkeit kennzeichnen
Freigaben und Berechtigungen regeln, wer an eine Ablage kommt. Informationsschutz setzt am Inhalt selbst an: In Microsoft Purview legt Ihr Unternehmen Vertraulichkeitsbezeichnungen fest, etwa Öffentlich, Allgemein, Vertraulich und Streng vertraulich. Die Bezeichnung steht in den Metadaten der Datei oder E-Mail und bleibt beim Inhalt, gleich wo er gespeichert wird.
Eine Bezeichnung kann Inhalte verschlüsseln und so einschränken, was bestimmte Personen damit tun dürfen, und Kopf- und Fußzeilen oder Wasserzeichen setzen. Vergeben wird sie von Hand, als Standard oder automatisch beziehungsweise als Empfehlung, wenn vertrauliche Informationen erkannt werden. Für Teams, Microsoft-365-Gruppen und SharePoint-Websites steuert sie zum Beispiel den Zugriff externer Personen und von nicht verwalteten Geräten. Auch Microsoft 365 Copilot erkennt die Bezeichnungen.
Welche Stufen Sie brauchen und was sie bewirken, legen wir mit Ihnen fest und richten es ein; welche Funktionen Ihre Lizenzen umfassen, prüfen wir dabei. Ob die Einstufung rechtlichen Anforderungen genügt, bewerten Ihr Datenschutz und Ihre Rechtsberatung.
Nach Microsoft Learn, abgerufen am 2. November 2026.
Angebot
Was wir für Sie tun
Alle Bausteine lassen sich einzeln oder zusammen beauftragen.
Benutzer und Berechtigungen im Betrieb
Konten anlegen, ändern, entfernen und Zugriffsrechte nachvollziehbar halten – im Rahmen der IT-Systembetreuung.
Sicher arbeiten lernen
In unseren Microsoft-365-Schulungen gehören Freigaben und der Umgang mit Dateien zum Alltag dazu.
Sicherheits- und Anmeldeprüfung
Bestandsaufnahme von Anmeldung, Administratorrollen und Sicherheitsempfehlungen.
Berechtigungs- und Freigabeanalyse
Wer sieht was – intern und extern? Auf Wunsch räumen wir gewachsene Rechte als eigenes Vorhaben mit Ihnen auf.
Governance-Regelwerk
Regeln für Teams, SharePoint, Gäste und Lebenszyklus gemeinsam erarbeiten und im Mandanten einrichten – bis hin zu Zugriffsüberprüfungen und Zugriffspaketen.
Informationsschutz
Vertraulichkeitsstufen mit Ihnen festlegen und in Microsoft Purview einrichten.
Häufige Fragen
Reichen die Sicherheitsstandards von Microsoft aus?
Für kleinere Umgebungen können sie eine solide Grundlage sein: Alle registrieren sich für die mehrstufige Authentifizierung, Administratoren müssen sie immer nutzen, ältere Anmeldeverfahren werden blockiert. Wer feinere Regeln braucht, etwa Ausnahmen für bestimmte Standorte, nutzt den bedingten Zugriff – dafür ist mindestens eine Lizenz Microsoft Entra ID P1 nötig.
Wie sehe ich, wo unsere Umgebung steht?
Einen ersten Anhaltspunkt gibt die Microsoft-Sicherheitsbewertung im Microsoft Defender-Portal. Sie zeigt umgesetzte und offene Empfehlungen – ist aber keine Garantie und ersetzt keine Prüfung.
Sieht jede Person im Unternehmen eine Datei, wenn ich einen Organisationslink erstelle?
Nein. Ein Link für Personen in der Organisation gewährt keinen organisationsweiten Zugriff und macht die Datei nicht in der Suche oder für Copilot sichtbar. Zugriff erhält, wer den Link besitzt und ihn öffnet – auch, wenn er weitergeleitet wurde. Für Gäste und Externe funktioniert er nicht.
Was passiert mit Dateien, wenn jemand das Unternehmen verlässt?
Dateien im Teamkanal liegen auf der SharePoint-Website und bleiben. Dateien im OneDrive hängen am Konto: Nach dem Löschen des Kontos hat standardmäßig die vorgesetzte Person – sofern hinterlegt – 30 Tage Zugriff, danach wird das OneDrive gelöscht. Deshalb gehört die Übergabe vor das Löschen – siehe IT-Offboarding.
Bieten Sie einen Sicherheitscheck an?
Ja. Wir prüfen Anmeldung, Administratorrollen, Berechtigungen und Freigaben Ihres Mandanten und besprechen das Ergebnis mit Ihnen – auf Anfrage, Umfang nach Vereinbarung. Schildern Sie uns Ihr Anliegen über die Kontaktseite.
Was hat Governance mit Copilot zu tun?
Copilot findet Inhalte im Rahmen der Berechtigungen einer Person. Zu weit gefasste Freigaben werden dadurch sichtbarer – aufgeräumte Berechtigungen sind deshalb eine wichtige Vorbereitung. Mehr dazu unter Microsoft Copilot.
Weiterlesen
Microsoft Copilot
Warum Berechtigungen die erste Copilot-Vorbereitung sind.
OneDrive for Business
Freigabelinks im Alltag richtig wählen.
Microsoft 365 Beratung
Bestandsaufnahme aus sechs Blickwinkeln.
Identity Lifecycle Management
Konten und Rechte beim Eintritt, Wechsel und Austritt geordnet steuern.
Berechtigungs- und Zugriffskonzepte
Wer worauf zugreifen darf – nachvollziehbar dokumentiert.
Aufbewahrung und Löschung
Wie Aufbewahrungs- und Löschregeln technisch wirksam werden – auch in Teams und SharePoint.
Technischer Datenschutz
Technisch-organisatorische Grundlagen im Dialog mit Ihrer Datenschutzberatung.
Fragen zur Sicherheit Ihrer Umgebung?
Schildern Sie uns Ihr Anliegen – wir schlagen Ihnen vor, wie wir Ihre Umgebung prüfen und die Regeln mit Ihnen festlegen. Telefon 07131-618726-0.