Jede Person in Ihrem Unternehmen braucht ein eigenes Benutzerkonto, um Microsoft 365 zu nutzen. Dieses Konto begleitet sie vom ersten Arbeitstag bis zum Austritt. Dieser Beitrag beschreibt den Ablauf aus Sicht der Verwaltung: Konto anlegen, absichern, pflegen und am Ende geordnet schließen. Wie der Tenant als Ganzes aufgebaut ist und welche Administratorrollen es gibt, erklärt unser Beitrag Microsoft 365 Tenant: Aufbau, Region, Admin-Rollen und Notfallkonten.
Geschäftskonto oder privates Microsoft-Konto?
Microsoft unterscheidet zwei Arten von Konten:
- Microsoft-Konto: ein privates Konto, etwa für Outlook.com, das private OneDrive oder Xbox.
- Geschäfts- oder Schulkonto: ein Konto in Microsoft Entra ID, das ein Administrator in Ihrer Organisation anlegt. Entra ID ist der Verzeichnisdienst von Microsoft 365.
Mit einem privaten Microsoft-Konto kann man sich laut Microsoft nicht bei einem Geschäftsdienst anmelden; es erscheint eine Fehlermeldung. Zwischen beiden Kontoarten werden keine Kontoinformationen abgeglichen. Wir empfehlen, Firmendaten ausschließlich mit Geschäftskonten zu bearbeiten. Nur dann behalten Sie beim Austritt einer Person die Kontrolle über die Daten.
Ein neues Konto anlegen
Vor dem Anlegen sollten genügend Lizenzen gekauft sein. Anlegen dürfen laut Microsoft Personen mit der Rolle Lizenz- oder Benutzeradministrator. Microsoft rät, Rollen mit möglichst wenigen Rechten zu verwenden und die Rolle des globalen Administrators nur im Notfall zu nutzen.
Im Microsoft 365 Admin Center läuft das Anlegen in diesen Schritten ab:
- Grunddaten: Vorname, Nachname, Anzeigename und Benutzername. Dazu wählen Sie die Domain, also zum Beispiel den Teil hinter dem @ in der Anmeldeadresse.
- Kennwort: Standardmäßig erzeugt Microsoft ein Kennwort automatisch und verlangt, dass die Person es bei der ersten Anmeldung ändert.
- Lizenz: Sie weisen eine Lizenz zu und können einzelne Apps abwählen.
- Optional: Rollen und Profilangaben wie Abteilung oder Vorgesetzte.
- Abschluss: Das Startkennwort lässt sich ausdrucken oder als PDF speichern. Geben Sie es auf einem sicheren Weg weiter, nicht in derselben Mail wie den Benutzernamen.
Mehrere Konten lassen sich über eine CSV-Datei anlegen. Wenn Ihr Unternehmen Konten mit Microsoft Entra Connect aus einem lokalen Active Directory synchronisiert, entstehen die Konten dort. Die Lizenzen müssen Sie den synchronisierten Konten trotzdem zuweisen.
Tragen Sie die Vorgesetzten im Profil ein. Microsoft nutzt diese Angabe später, um beim Löschen eines Kontos den Zugriff auf dessen OneDrive automatisch weiterzugeben.
Das Konto absichern
Mehrfaktor-Anmeldung
Bei der Mehrfaktor-Anmeldung (MFA) bestätigt eine Person die Anmeldung zusätzlich zum Kennwort, etwa über eine App auf dem Smartphone. Microsoft schaltet die Sicherheitsstandards von Microsoft Entra ID bei neuen Tenants standardmäßig ein; in Tenants ab dem 22. Oktober 2019 können sie also schon aktiv sein. Sie verlangen, dass sich alle Nutzer für MFA registrieren. Eine Schonfrist von 14 Tagen für die Registrierung hat Microsoft zum 29. Juli 2024 abgeschafft. Die Registrierung erfolgt in der Regel mit der App Microsoft Authenticator; bei der Anmeldung tippt die Person eine angezeigte Zahl in die App ein.
Die Sicherheitsstandards sperren außerdem ältere Anmeldeverfahren, zum Beispiel über IMAP, POP3 oder SMTP. Prüfen Sie vorher, ob Drucker, Scanner oder Fachprogramme auf diesem Weg Mails versenden. Mehr zu Verfahren und Einführung lesen Sie in unserem Beitrag zur Multi-Faktor-Authentifizierung.
Mit Business Premium steht statt der Sicherheitsstandards der bedingte Zugriff zur Verfügung. Damit lassen sich Anmelderegeln genauer festlegen. Unser Beitrag Microsoft 365 Sicherheit vergleicht beide Wege. Welche Funktionen in welchem Plan enthalten sind, zeigt unser Beitrag Microsoft 365 Business-Pläne im Vergleich.
Kennwort selbst zurücksetzen
Ein vergessenes Kennwort selbst zurückzusetzen, ist laut Microsoft ab Business Standard möglich, ebenso mit Business Premium und Microsoft Entra ID P1 oder P2. Soll das neue Kennwort auch in ein lokales Active Directory zurückgeschrieben werden, ist Business Premium oder Entra ID P1 nötig. Für sinnvolle Kennwortregeln verweisen wir auf unseren Beitrag zu Passwort-Richtlinien.
Administratoren getrennt führen
Microsoft empfiehlt getrennte Konten für die Verwaltung und für die tägliche Arbeit. Wer als Administrator tätig ist, liest Mails also mit einem normalen Konto und meldet sich nur zum Verwalten mit dem Administratorkonto an.
Im laufenden Betrieb
Unsere Empfehlungen für die Pflege der Konten:
- Lizenzen anpassen, wenn sich Aufgaben ändern, statt Lizenzen nur hinzuzufügen.
- Für gemeinsam genutzte Adressen wie info@ ein freigegebenes Postfach verwenden statt eines gemeinsamen Kontos mit bekanntem Kennwort.
- Profilangaben wie Abteilung und Vorgesetzte aktuell halten.
- Regelmäßig prüfen, welche Konten Administratorrechte haben und welche Konten seit längerer Zeit nicht genutzt wurden.
Austritt: das Konto geordnet schließen
Microsoft beschreibt für ausscheidende Mitarbeitende eine Folge von sieben Schritten. Die Reihenfolge ist wichtig, weil einige Schritte Daten nur für begrenzte Zeit aufbewahren.
- Anmeldung verhindern: Kennwort zurücksetzen und „Von allen Sitzungen abmelden“ wählen. Laut Microsoft wird die Person innerhalb einer Stunde abgemeldet. Zusätzlich lässt sich die Anmeldung sperren. Das kann laut Microsoft bis zu 24 Stunden dauern, deshalb zuerst das Kennwort zurücksetzen.
- Postfachinhalte sichern, wenn jemand die Aufgaben übernimmt oder rechtliche Gründe es verlangen.
- Mobilgeräte löschen und sperren, damit Firmendaten nicht auf Smartphone oder Tablet bleiben.
- Mails weiterleiten oder das Postfach umwandeln: Ein Benutzerpostfach lässt sich in ein freigegebenes Postfach umwandeln. Dafür muss es zum Zeitpunkt der Umwandlung noch eine Lizenz haben. Danach kann die Lizenz entfernt werden, solange das Postfach nicht größer als 50 GB ist. Das Benutzerkonto darf dann nicht gelöscht werden, weil das freigegebene Postfach daran hängt. Setzen Sie das Kennwort zurück, sonst funktionieren laut Microsoft die alten Anmeldedaten weiter.
- Zugriff auf OneDrive und Outlook weitergeben an die Person, die übernimmt. Was dabei mit den Dateien im OneDrive geschieht, beschreibt unser Beitrag OneDrive for Business.
- Lizenz entfernen: Mails, Kontakte und Kalender werden danach laut Microsoft 30 Tage aufbewahrt und dann endgültig gelöscht, sofern das Postfach nicht vorher umgewandelt wurde. OneDrive-Konten ohne gültige Lizenz werden am 93. Tag ohne Lizenz automatisch in ein kostenpflichtiges Archiv verschoben.
- Konto löschen: Ein gelöschtes Konto lässt sich laut Microsoft 30 Tage lang wiederherstellen. Die OneDrive-Inhalte bleiben standardmäßig ebenfalls 30 Tage erhalten. Die Vorgesetzten erhalten dann automatisch Zugriff, wenn diese Funktion eingeschaltet und im Profil eine vorgesetzte Person eingetragen ist.
Werden Konten aus einem lokalen Active Directory synchronisiert, müssen Sie sie laut Microsoft dort löschen und wiederherstellen, nicht in Microsoft 365.
Besteht der Verdacht, dass ein Konto übernommen wurde, rät Microsoft, die Anmeldung zu sperren. Ein solcher Fall ist ein Sicherheitsvorfall und gehört in die Abläufe Ihres Incident-Response-Plans.
Kurze Checkliste
- Gibt es für jede Person ein eigenes Geschäftskonto, und werden keine privaten Konten für Firmendaten genutzt?
- Sind alle Konten für MFA registriert?
- Sind Vorgesetzte im Profil eingetragen?
- Gibt es eine schriftliche Austrittsliste mit Reihenfolge und Verantwortlichen?
- Ist festgelegt, wie lange Postfach- und OneDrive-Inhalte ausgeschiedener Personen aufbewahrt werden?
Wie wir Sie unterstützen
Die GSL Groß GmbH betreut kleine und mittelständische Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Mit unseren Managed Services übernehmen wir den laufenden Betrieb Ihrer IT zum monatlichen Festpreis. Im Rahmen unserer Cloud-Lösungen beraten wir Sie zu Microsoft 365. Bei Fragen im Alltag erreichen Sie unseren Support.
Sie möchten Ihre Abläufe für Eintritt und Austritt prüfen lassen? Nehmen Sie Kontakt mit uns auf.