Für viele kleine und mittlere Unternehmen ist Microsoft 365 der zentrale Arbeitsplatz: E-Mail, Teams, Dateien und die Anmeldung an Anwendungen. Die Plattform selbst betreibt Microsoft. Benutzerkonten, Berechtigungen, Geräte, Freigaben und Sicherheitsregeln muss aber jemand im Unternehmen pflegen, und zwar jeden Tag.
Bei Microsoft 365 Managed Services übernimmt ein IT-Dienstleister vertraglich festgelegte Teile dieser Arbeit. Dieser Beitrag erklärt, wie sich die Verantwortung zwischen Microsoft, Dienstleister und Ihrem Unternehmen aufteilt, welche Aufgaben ein solcher Service abdecken kann, was NIS2 damit zu tun hat und worauf Sie bei Angebot und Vertrag achten sollten.
Wer ist bei Microsoft 365 wofür verantwortlich?
Microsoft beschreibt die Aufgabenteilung in der Cloud als Modell der gemeinsamen Verantwortung. Microsoft 365 zählt dort zu den SaaS-Angeboten. SaaS (Software as a Service) bedeutet: Sie nutzen eine fertige Anwendung aus der Cloud. In diesem Modell kümmert sich Microsoft um Rechenzentren, Server, das physische Netz und die Betriebssysteme.
Unabhängig von der Art des Cloud-Dienstes bleiben nach Microsoft diese Aufgaben beim Kunden:
- Daten: Einstufung, Schutz und Einhaltung von Vorgaben.
- Endgeräte: Schutz der Notebooks, Desktop-PCs und Mobilgeräte, die auf die Dienste zugreifen.
- Konten: Benutzerzugänge anlegen, verwalten und entfernen.
- Zugriffsverwaltung: Rollen, Multi-Faktor-Authentifizierung und Regeln für den bedingten Zugriff.
Genau diese Aufgaben machen im Alltag die meiste Arbeit. Ein Managed-Service-Vertrag kann sie ganz oder teilweise auf einen Dienstleister übertragen. Die Entscheidungen über Ihre Daten, Ihre Risiken und Ihre Ausnahmen bleiben bei Ihrem Unternehmen.
Woran Sie merken, dass der Betrieb nebenbei nicht mehr reicht
Ein typischer Verlauf: Microsoft 365 wird von einer Person betreut, die eigentlich andere Aufgaben hat. Probleme fallen erst auf, wenn sich jemand meldet. Ein Postfach ist nicht erreichbar, ein Kennwort muss zurückgesetzt werden, eine Freigabe für „jeden mit dem Link“ ist noch offen. Alles wird gelöst, aber niemand fragt nach der Ursache.
Diese Anzeichen sprechen dafür, den Betrieb neu zu ordnen:
- Konten ausgeschiedener Mitarbeitender bleiben länger aktiv als nötig.
- Niemand kann sagen, wann welche Einstellung geändert wurde und wer sie freigegeben hat.
- Bei Urlaub oder Krankheit der zuständigen Person gibt es keine Vertretung.
- Sicherheitsregeln gelten nur für einen Teil der Belegschaft oder der Geräte.
- Lizenzen werden zugewiesen, aber nicht regelmäßig geprüft.
Treffen mehrere Punkte zu, fehlt meist kein weiteres Werkzeug, sondern ein verbindlicher Betriebsablauf mit klaren Zuständigkeiten.
Was ein Microsoft 365 Managed Service umfassen kann
Der Leistungsumfang ist Vertragssache. Achten Sie darauf, dass diese Bereiche ausdrücklich geregelt sind:
- Identitäten und Zugriff: Ein- und Austritte, Gruppen, Administratorrollen, Multi-Faktor-Authentifizierung und Regeln für den bedingten Zugriff (Conditional Access). Für den bedingten Zugriff ist laut Microsoft mindestens eine Lizenz für Microsoft Entra ID P1 nötig. Wie Sie MFA schrittweise einführen, beschreibt unser Beitrag zur Multi-Faktor-Authentifizierung.
- E-Mail und Zusammenarbeit: Exchange Online, Teams, SharePoint und OneDrive. Dazu gehören Regeln für Gastzugriff, externe Freigaben und die Besitzer von Teams.
- Endgeräte: Mit Microsoft Intune lassen sich Geräte registrieren, konfigurieren, schützen und aktualisieren. Eine Einführung bietet unser Beitrag Was ist Microsoft Intune?
- Lizenzen: Zuweisung, Überblick und regelmäßige Prüfung. Was das Paket Microsoft 365 Business Premium enthält, lesen Sie in unserem Praxisleitfaden zu Business Premium.
- Überwachung und Support: Anfragen annehmen, Warnmeldungen auswerten, Störungen bearbeiten und an die richtige Stelle weitergeben.
- Datensicherung: Klären Sie ausdrücklich, ob Daten aus Microsoft 365 zusätzlich gesichert werden, wie lange Sicherungen aufbewahrt werden und wer die Wiederherstellung testet.
- Dokumentation: Konfigurationen, Änderungen und Ausnahmen werden nachvollziehbar festgehalten.
Wie ein Microsoft-365-Tenant aufgebaut ist, also die eigene Umgebung Ihres Unternehmens in der Microsoft-Cloud, und wie Sie ihn sicher betreiben, erklärt unser Beitrag Microsoft 365 Tenant verstehen.
Eigenbetrieb oder Managed Service?
Beide Wege können passen. Die folgende Gegenüberstellung hilft bei der Einordnung:
| Kriterium | Eigenbetrieb | Managed Service |
|---|---|---|
| Kosten | Personalzeit, Schulungen, Werkzeuge, unregelmäßige Projektaufwände | vertraglich vereinbarte monatliche Leistung, Projekte getrennt ausgewiesen |
| Erreichbarkeit | abhängig von der zuständigen Person und ihrer Vertretung | im Vertrag mit Servicezeiten und Eskalationsweg geregelt |
| Sicherheitsregeln | abhängig von Erfahrung und verfügbarer Zeit | nach vereinbarten Standards, mit regelmäßiger Prüfung |
| Verantwortung | vollständig im Unternehmen | technische Aufgaben geteilt, Entscheidungen bleiben im Unternehmen |
| Ansprechpartner intern | Administration, Vertretung und Weiterbildung nötig | weiterhin nötig, aber für Freigaben und Entscheidungen statt für den Tagesbetrieb |
Eigenbetrieb kann sinnvoll bleiben, wenn eine qualifizierte Person mit ausreichend Zeit und geregelter Vertretung zur Verfügung steht und die Umgebung überschaubar ist. Ein Managed Service lohnt eine Prüfung, wenn mehrere Standorte, viele mobile Geräte, hohe Anforderungen an den Datenschutz oder eine starke Abhängigkeit von E-Mail und Teams zusammenkommen.
NIS2: Was sich für den Betrieb ändert
NIS2 ist eine EU-Richtlinie zur Cybersicherheit. In Deutschland ist sie im BSI-Gesetz (BSIG) umgesetzt, das in dieser Fassung seit dem 6. Dezember 2025 gilt. Ob Ihr Unternehmen als wichtige oder besonders wichtige Einrichtung betroffen ist, sollten Sie gesondert prüfen.
Betroffene Einrichtungen müssen nach § 30 BSIG geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen ergreifen. Das Gesetz nennt unter anderem:
- Bewältigung von Sicherheitsvorfällen,
- Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall,
- Sicherheit der Lieferkette, auch in den Beziehungen zu Dienstleistern,
- Konzepte für die Zugriffskontrolle und die Verwaltung von IT-Systemen,
- Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung.
Nach § 38 BSIG muss die Geschäftsleitung diese Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Erhebliche Sicherheitsvorfälle sind nach § 32 BSIG in Stufen an das BSI zu melden: eine frühe Erstmeldung spätestens nach 24 Stunden, eine Meldung spätestens nach 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung.
Für den Microsoft-365-Betrieb heißt das: Legen Sie im Vertrag fest, wer einen Vorfall erkennt, wer die Geschäftsleitung informiert, wer Belege sichert und wer über eine Meldung entscheidet. Der Dienstleister kann dabei unterstützen. Die Pflichten richtet das Gesetz an die Einrichtung und ihre Geschäftsleitung. Einen Einstieg bietet unsere Seite NIS2 und Risikomanagement.
Wo liegen die Daten? Die EU-Datengrenze
Microsoft hat sich mit der EU-Datengrenze verpflichtet, Kundendaten und personenbezogene Daten seiner Unternehmens-Onlinedienste, darunter Microsoft 365, innerhalb der Länder der EU und der EFTA zu speichern und zu verarbeiten. Für Microsoft 365 gilt das für Kunden, deren Mandant in einem Land der EU oder EFTA registriert ist. Kunden mit Multi-Geo-Funktionen sind ausgenommen. Microsoft nennt außerdem begrenzte Fälle, in denen Daten weiterhin außerhalb der EU-Datengrenze übertragen werden.
Die Frage lautet daher nicht nur „Liegt Microsoft 365 in der EU?“, sondern: Welche Dienste, Funktionen und Supportwege nutzt Ihr Tenant tatsächlich? Diese Prüfung gehört in die Einführung und in den laufenden Betrieb.
Einführung und Übergabe in den Betrieb
Wir empfehlen, den Wechsel in einen Managed Service wie ein kleines Projekt mit klarer Reihenfolge anzugehen:
- Bestandsaufnahme: Benutzer, Gruppen, Lizenzen, Postfächer, Teams, SharePoint-Seiten, Freigaben, Geräte und Administratorkonten erfassen. Offene Risiken und fehlende Unterlagen festhalten.
- Zielbild festlegen: Welche Sicherheitsregeln gelten für wen? Wie läuft externe Zusammenarbeit? Welche Geräte werden verwaltet?
- Pilot: Neue Regeln zuerst mit einer kleinen Gruppe aus verschiedenen Bereichen testen, etwa Verwaltung, Vertrieb und Produktion.
- Schrittweise Umstellung: Die übrigen Gruppen in Wellen umstellen, jeweils mit Termin, Verantwortlichen und einer Prüfung danach.
- Übergabe in den Regelbetrieb: Ansprechpartner, Freigabewege, Berichte und Eskalationswege sind dokumentiert. Der Betrieb läuft ohne Projektteam.
Wie lange das dauert, hängt von Ausgangslage, Datenmenge und Sicherheitsanforderungen ab. Lassen Sie sich einen Zeitplan für Ihre Umgebung geben statt einer Pauschalangabe.
Worauf Sie im Angebot achten sollten
Ein Service-Level-Agreement (SLA) ist die vertragliche Vereinbarung über Leistungen und Zeiten. Es sollte eindeutig sein. Prüfen Sie diese Punkte:
- Zeiten: Wann beginnt die Zeitmessung? Ist eine Reaktion gemeint oder die Wiederherstellung? Welche Priorität hat ein Ausfall, welche ein Sicherheitsvorfall?
- Leistungsgrenzen: Was ist im Monatspreis enthalten, was wird getrennt berechnet? Typische Grenzfälle sind Migration, Schulung, Sonderkonfigurationen und Anbindung fremder Anwendungen.
- Lizenzen: Herstellerkosten und Dienstleistung getrennt ausweisen lassen, ebenso Laufzeiten und Regeln für Ein- und Austritte.
- Sicherheitsfunktionen: Sind die Funktionen, die Sie für Ihre Risikolage brauchen, Teil des Angebots oder nur gegen Aufpreis verfügbar?
- Nachweise: Welche Berichte, Änderungsprotokolle und Unterlagen erhalten Sie, und wie oft?
- Mitwirkung: Welche Freigaben und Entscheidungen erwartet der Dienstleister von Ihnen? Wie sind Datenschutz und Auftragsverarbeitung geregelt?
Fragen für das Erstgespräch
- Wer genehmigt neue Benutzer, Gruppen, Freigaben und Ausnahmen?
- Wie werden Multi-Faktor-Authentifizierung, bedingter Zugriff und Administratorrollen kontrolliert?
- Wer erkennt einen Angriff, wer informiert die Geschäftsleitung, und wer dokumentiert die Maßnahmen?
- Wie werden Daten gesichert, und wann wurde die Wiederherstellung zuletzt getestet?
- Was passiert bei Vertragsende mit Zugängen, Dokumentation und Konfigurationen?
Bewerten Sie Angebote nicht nur nach dem Monatspreis. Halten Sie fest, welche Aufgaben Sie abgeben, welche Risiken dadurch kleiner werden und welche Pflichten in Ihrem Unternehmen bleiben.
Microsoft 365 im Betrieb: Wir unterstützen Sie
Die GSL Groß GmbH betreut Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Informationen zu Microsoft 365 und Azure finden Sie auf unserer Seite zu Cloud-Lösungen. Den laufenden Betrieb Ihrer IT übernehmen wir im Rahmen unserer Managed Services zum monatlichen Festpreis.
Sie möchten wissen, welche Aufgaben in Ihrer Microsoft-365-Umgebung zuerst geregelt werden sollten? Sprechen Sie uns an. Wir besprechen Ihre Ausgangslage und die nächsten Schritte.