Microsoft 365 Berechtigungen richtig planen: Sicherheit ohne Arbeitsblockaden

Berechtigungen in Microsoft 365 klar strukturieren

Berechtigungsprobleme entstehen selten, weil jemand absichtlich zu viele Rechte vergibt. Häufig beginnt es mit einer schnellen Bitte: Eine Kollegin aus der Buchhaltung soll eine Rechnung prüfen, ein Projektleiter braucht noch «rasch» Zugriff auf einen Ordner oder ein externer Treuhänder wartet auf Unterlagen. Einzelne Freigaben lösen das unmittelbare Problem, werden aber später kaum mehr hinterfragt. Sicherheit ohne Arbeitsblockaden braucht deshalb eine Struktur, die die normale Zusammenarbeit einfach macht und Ausnahmen sichtbar hält.

Vor einer Freigabe sollte klar sein:

• Welche Aufgabe soll die Person erledigen, und welche Informationen braucht sie dafür tatsächlich?
• Wer verantwortet den Bereich fachlich und prüft die Mitgliedschaften?
• Ist der Zugang dauerhaft nötig oder soll er nach einem Projekt wieder enden?
• Reicht Lesen aus, oder muss die Person Inhalte ändern, teilen oder verwalten können?

Gehen Sie von Aufgaben aus, nicht von Namen. Buchhaltung, Projektteam und Geschäftsleitung arbeiten mit unterschiedlichen Informationen und brauchen deshalb unterschiedliche Gruppen. Rechte über Gruppen zu vergeben, wirkt zunächst weniger direkt als eine einzelne Freigabe. Im Alltag spart es jedoch Zeit: Beim Eintritt erhält eine neue Fachperson die passende Rolle, beim Rollenwechsel wird die Mitgliedschaft angepasst und beim Austritt lässt sich der Zugriff nachvollziehbar entfernen. Für KMU und Dienstleister verhindert diese Ordnung, dass Wissen und vertrauliche Daten über Jahre in unübersichtlichen Einzelberechtigungen stecken bleiben.

Eigentümer, Gruppen und Rollen

Jede wichtige SharePoint-Site, Microsoft-365-Gruppe und jedes Team braucht mindestens zwei Eigentümer. Sie kennen Zweck, Mitgliederkreis und Regeln für die externe Zusammenarbeit. Zwei Personen sind sinnvoll, damit Ferien, Krankheit oder ein Stellenwechsel nicht dazu führen, dass niemand mehr zuständig ist. Eigentümerschaft ist dabei keine reine IT-Aufgabe: Die verantwortliche Fachabteilung weiss am besten, wer in einem Projekt oder Prozess wirklich mitarbeiten muss.

Ein Beispiel aus einem Dienstleistungs-KMU: Das Team für Kundenprojekte benötigt Verträge, Pläne und Gesprächsnotizen. Statt alle Mitarbeitenden auf eine gemeinsame Ablage zu lassen, erhält jedes Projekt einen klar benannten Bereich. Mitglieder des Projektteams dürfen bearbeiten, die Geschäftsleitung liest bei Bedarf mit, und die Buchhaltung sieht nur die für die Abrechnung nötigen Unterlagen. Sobald das Projekt abgeschlossen ist, wird der Bereich archiviert und die externen Gäste werden entfernt. Microsoft Teams richtig strukturieren zeigt, wie Teams und Kanäle zu dieser Struktur passen.

Gruppennamen sollen den fachlichen Zweck verständlich machen, etwa «Projekt Alpenblick – Mitglieder» statt «Team 17». Halten Sie bei sensiblen Gruppen mindestens Zweck, Eigentümer und Aufnahmeprozess fest. Das kann in einer einfachen Übersicht genügen, solange sie gepflegt wird. So kann auch eine Vertretung beurteilen, ob eine Anfrage berechtigt ist.

Beim Administrationszugriff gilt das Prinzip der geringsten Rechte: Jede Person erhält nur die Berechtigungen, die sie für ihre Aufgabe braucht. Wer Benutzerkonten anlegt, muss nicht automatisch Sicherheitsrichtlinien verändern oder auf sämtliche Postfächer zugreifen können. Gerade in kleineren Unternehmen trägt oft eine Person mehrere Hüte. Dann sind klar getrennte administrative Rollen und ein zweites, nur bei Bedarf verwendetes Administrationskonto eine praxistaugliche Abwägung zwischen Aufwand und Risiko.

Externe Zugriffe bewusst steuern

Externe Zusammenarbeit ist nicht grundsätzlich ein Risiko. Architekturbüro, Treuhand, Lieferant oder temporäre Projektmitarbeitende müssen oft effizient auf gemeinsame Unterlagen zugreifen können. Problematisch wird es, wenn der Zugriff über persönliche OneDrives, weitergeleitete Links oder alte Gastkonten läuft. Nutzen Sie für ein Projekt bewusst benannte Bereiche mit ausgewählten Gastkonten. Legen Sie beim Einladen fest, ob die Person nur lesen oder mitarbeiten darf, und vereinbaren Sie ein Ablaufdatum oder einen Prüftermin.

Stellen Sie sich eine Treuhänderin vor, die während des Jahres Lohnunterlagen prüft. Sie braucht keinen Zugriff auf das gesamte Finanz-Team und auch nicht auf frühere Personalakten. Eine Gruppe für die laufende Lohnprüfung mit klarer Leseberechtigung ist passender. Nach dem Jahresabschluss prüft der Eigentümer, ob die Mitgliedschaft noch nötig ist. Datenschutz in Microsoft 365 ordnet die organisatorische Seite solcher Freigaben ein.

Regelmässig prüfen, nicht nur beim Problem

Berechtigungen müssen nicht täglich kontrolliert werden. Für sensible Bereiche wie Personal, Finanzen, Geschäftsleitung und Administrationsgruppen lohnt sich aber ein fester Rhythmus, beispielsweise vierteljährlich. Die Eigentümer bestätigen dann, welche Personen noch dazugehören. Bei weniger kritischen Projektbereichen kann die Prüfung an einen Meilenstein oder den Projektabschluss gekoppelt sein.

Verknüpfen Sie diese Prüfung mit Eintritten, Rollenwechseln und Austritten. Beim Austritt gehören neben dem Benutzerkonto auch Geräte, Postfächer, Weiterleitungen, geteilte Links und externe Mitgliedschaften auf die Checkliste. Beim Rollenwechsel ist die alte Gruppe genauso wichtig wie die neue: Wer von der Buchhaltung in den Verkauf wechselt, soll nicht aus Bequemlichkeit beide Berechtigungssets behalten.

Eine gute Berechtigungsplanung ist damit kein Hindernis für die Zusammenarbeit. Sie macht nachvollziehbar, wer warum Zugriff hat, und gibt Fachverantwortlichen eine einfache Möglichkeit, Entscheidungen zu überprüfen. Beginnen Sie mit den wenigen Bereichen, in denen die Folgen eines falschen Zugriffs besonders spürbar wären. Daraus lässt sich eine Struktur entwickeln, die zu Ihrem Arbeitsalltag passt und auch bei Wachstum tragfähig bleibt.