Probleme · Ablage, Dokumente & Zusammenarbeit
Wie plane ich Berechtigungen in Microsoft 365 richtig?
Kurz gesagt
Plane Berechtigungen in Microsoft 365 nach Aufgaben statt nach Namen: Rechte laufen über Gruppen, jeder wichtige Bereich hat mindestens zwei fachliche Eigentümer, Gäste bekommen nur benannte Projektbereiche mit Prüftermin, und Admins erhalten nur die nötigen Rollen. Sensible Bereiche prüfst du in einem festen Rhythmus und bei jedem Eintritt, Rollenwechsel und Austritt.
Für wen das gilt
Für KMU und Dienstleister, die in Microsoft 365 mit Teams, SharePoint und OneDrive arbeiten und den Überblick behalten wollen, wer worauf Zugriff hat. Das Thema gehört zum Zeitdieb Ablage, Dokumente & Zusammenarbeit.
Berechtigungsprobleme entstehen selten, weil jemand absichtlich zu viele Rechte vergibt. Meist beginnt es mit einer schnellen Bitte: Die Buchhaltung soll eine Rechnung prüfen, ein Projektleiter braucht «rasch» einen Ordner, ein externer Treuhänder wartet auf Unterlagen. Die Einzelfreigabe löst das Problem, wird aber später kaum mehr hinterfragt.
Auf einen Blick
| Baustein | Regel |
|---|---|
| Vergabe | nach Aufgaben und über Gruppen, nicht nach Namen |
| Eigentümer | mindestens zwei pro wichtigem Bereich, aus dem Fachbereich |
| Gruppennamen | fachlicher Zweck erkennbar, z. B. «Projekt Alpenblick – Mitglieder» statt «Team 17» |
| Administration | Prinzip der geringsten Rechte, getrennte Rollen, zweites Admin-Konto nur bei Bedarf |
| Gäste | benannte Projektbereiche, Lesen oder Mitarbeiten bewusst wählen, Ablaufdatum oder Prüftermin |
| Prüfung | sensible Bereiche in festem Rhythmus, z. B. vierteljährlich; Projekte bei Meilenstein oder Abschluss |
Vor jeder Freigabe vier Fragen
- Welche Aufgabe soll die Person erledigen, und welche Informationen braucht sie dafür wirklich?
- Wer verantwortet den Bereich fachlich und prüft die Mitgliedschaften?
- Ist der Zugang dauerhaft nötig, oder endet er mit dem Projekt?
- Reicht Lesen, oder muss die Person ändern, teilen oder verwalten können?
Aus der Praxis
Ein typisches Bild aus einem Dienstleistungs-KMU: Das Team für Kundenprojekte braucht Verträge, Pläne und Gesprächsnotizen. Statt alle auf eine gemeinsame Ablage zu lassen, bekommt jedes Projekt einen klar benannten Bereich. Das Projektteam bearbeitet, die Geschäftsleitung liest bei Bedarf mit, die Buchhaltung sieht nur die Unterlagen für die Abrechnung. Nach Projektabschluss wird der Bereich archiviert und die Gäste werden entfernt. Wie Teams und Kanäle dazu passen, zeigt Wie strukturiere ich Microsoft Teams sinnvoll?.
Oder eine Treuhänderin, die während des Jahres Lohnunterlagen prüft: Sie braucht weder das ganze Finanz-Team noch frühere Personalakten. Passender ist eine Gruppe für die laufende Lohnprüfung mit Leserecht. Nach dem Jahresabschluss prüft der Eigentümer, ob die Mitgliedschaft noch nötig ist.
Gerade in kleinen Betrieben trägt oft eine Person mehrere Hüte. Dann sind klar getrennte Administrationsrollen und ein zweites, nur bei Bedarf genutztes Admin-Konto eine praxistaugliche Abwägung zwischen Aufwand und Risiko. Wer Benutzerkonten anlegt, muss nicht automatisch Sicherheitsrichtlinien ändern oder alle Postfächer lesen können.
Ehrlich gesagt
Berechtigungen müssen nicht täglich kontrolliert werden, und nicht jeder Bereich braucht denselben Aufwand. Fang mit den wenigen Bereichen an, in denen ein falscher Zugriff besonders weh täte: Personal, Finanzen, Geschäftsleitung, Administration. Eine einfache, gepflegte Übersicht mit Zweck, Eigentümer und Aufnahmeprozess genügt oft.
So gehst du vor
- Sensible Bereiche bestimmen: Personal, Finanzen, Geschäftsleitung, Administrationsgruppen.
- Gruppen nach Aufgaben bilden und verständlich benennen.
- Zwei Eigentümer je Bereich festlegen und Zweck, Eigentümer und Aufnahmeprozess festhalten.
- Admin-Rollen trennen und nur die nötigen Rechte vergeben.
- Gäste bewusst einladen: benannter Bereich, Lese- oder Bearbeitungsrecht, Ablaufdatum oder Prüftermin.
- Prüfung an Ereignisse koppeln: Eintritt, Rollenwechsel, Austritt. Beim Rollenwechsel ist die alte Gruppe so wichtig wie die neue. Beim Austritt gehören auch Geräte, Postfächer, Weiterleitungen, geteilte Links und externe Mitgliedschaften auf die Liste, siehe Microsoft-365-Offboarding.
Was eine Einführung oder Aufräumaktion kostet, steht auf der Preisseite.
Häufige Fragen
Warum Rechte über Gruppen statt einzeln vergeben?
Weil es im Alltag Zeit spart: Beim Eintritt erhält eine neue Person die passende Rolle, beim Rollenwechsel wird die Mitgliedschaft angepasst, und beim Austritt lässt sich der Zugriff nachvollziehbar entfernen. Einzelfreigaben werden später kaum mehr hinterfragt.
Wie viele Eigentümer braucht ein Team oder eine SharePoint-Site?
Mindestens zwei. So bleibt jemand zuständig, wenn eine Person in den Ferien, krank oder nicht mehr im Betrieb ist. Eigentümer sollten aus dem Fachbereich kommen, weil dieser am besten weiss, wer mitarbeiten muss.
Wie oft sollten Berechtigungen geprüft werden?
Nicht täglich. Für sensible Bereiche wie Personal, Finanzen, Geschäftsleitung und Administrationsgruppen lohnt sich ein fester Rhythmus, zum Beispiel vierteljährlich. Projektbereiche prüfst du bei einem Meilenstein oder beim Projektabschluss.
Ist externe Zusammenarbeit ein Sicherheitsrisiko?
Nicht grundsätzlich. Problematisch wird es, wenn Zugriffe über persönliche OneDrives, weitergeleitete Links oder alte Gastkonten laufen. Nutze bewusst benannte Bereiche mit ausgewählten Gästen, klaren Rechten und einem Ablaufdatum oder Prüftermin.
