Microsoft 365 vereint E-Mail, Zusammenarbeit, Dokumentenmanagement und Sicherheitsfunktionen in einer zentralen Cloud-Plattform — die richtige Lizenz und Tenant-Konfiguration entscheiden über Funktionsumfang, Kosten und Schutzlevel.
Grundlagen & Lizenzierung
Microsoft 365 (ehemals Office 365) ist Microsofts cloudbasierte Produktivitätssuite, die Exchange Online, SharePoint Online, Microsoft Teams, OneDrive for Business und — je nach Lizenz — die klassischen Office-Desktopanwendungen (Word, Excel, PowerPoint, Outlook) umfasst. Der zentrale Verwaltungsbaustein ist der Tenant: eine dedizierte Instanz im Microsoft-Cloud-Ökosystem, die sämtliche Benutzer, Lizenzen, Richtlinien und Daten einer Organisation zusammenfasst. Jeder Tenant ist einer Azure Active Directory (Entra ID)-Instanz zugeordnet, die als Identitäts- und Zugriffsverwaltung dient. Bei der Ersteinrichtung wählen Sie die Rechenzentrumsregion — für deutsche Unternehmen empfehlen sich die Standorte Deutschland, Niederlande oder Irland innerhalb der EU Data Boundary, um Compliance-Anforderungen der DSGVO zu erfüllen.
Die Lizenzwahl ist die wichtigste strategische Entscheidung bei der M365-Einführung. Die Business-Pläne (Basic, Standard, Premium) richten sich an Unternehmen mit bis zu 300 Benutzern. Business Basic bietet die Web- und Mobilversionen der Office-Apps sowie Exchange Online, Teams und SharePoint — ideal für Unternehmen, die keine Desktop-Apps benötigen. Business Standard ergänzt die vollständigen Desktop-Anwendungen und eignet sich für die meisten KMU. Business Premium ist der Sicherheits-Champion für den Mittelstand: Er enthält zusätzlich Intune (Geräteverwaltung), Azure AD Premium P1 (Conditional Access), Defender for Business und Azure Information Protection. Für Organisationen mit mehr als 300 Benutzern oder erweiterten Compliance-Anforderungen stehen die Enterprise-Pläne E3 und E5 zur Verfügung: E3 bietet ein breites Sicherheits- und Compliance-Paket, während E5 die Premium-Stufe mit Defender for Office 365 Plan 2, Phone System, eDiscovery Premium und Microsoft Sentinel-Integration darstellt.
Nach der Lizenzwahl folgt die Tenant-Grundeinrichtung: Registrierung der benutzerdefinierten Domäne im Admin Center, Konfiguration der DNS-Einträge (MX für E-Mail-Routing, CNAME für Autodiscover, TXT für SPF/DKIM/DMARC-Verifizierung) und Anlage der ersten Benutzerkonten mit Lizenzzuweisung. Gerade die DNS-Konfiguration wird häufig unterschätzt: Fehlerhafte MX-Einträge führen zu E-Mail-Verlust, fehlende SPF- und DKIM-Records erhöhen die Wahrscheinlichkeit, dass ausgehende E-Mails im Spam-Ordner des Empfängers landen. Ein sauberes DNS-Setup mit SPF, DKIM und DMARC ist daher keine optionale Maßnahme, sondern eine zwingende Grundvoraussetzung für den produktiven Betrieb.
- Business Basic (ca. 5,60 €/Nutzer/Monat): Web- und Mobilversionen von Word, Excel, PowerPoint und Outlook, Exchange Online (50 GB Postfach), SharePoint Online, OneDrive (1 TB), Microsoft Teams — ausreichend für Unternehmen, die primär im Browser arbeiten und keine lokalen Desktop-Apps benötigen.
- Business Standard (ca. 11,70 €/Nutzer/Monat): Alle Funktionen von Business Basic plus vollständige Desktop-Anwendungen (Word, Excel, PowerPoint, Outlook, Access, Publisher), Webinar-Hosting in Teams und Microsoft Loop — der Standardplan für die meisten mittelständischen Unternehmen.
- Business Premium (ca. 20,60 €/Nutzer/Monat): Alle Funktionen von Business Standard plus Microsoft Intune (Mobile Device Management), Azure AD Premium P1 (Conditional Access, Self-Service Password Reset), Defender for Business (Endpoint Detection & Response), Azure Information Protection P1 und automatische Sensitivity Labels — die empfohlene Lizenz für sicherheitsbewusste KMU.
- Enterprise E3 (ca. 34,40 €/Nutzer/Monat): Keine Benutzerbegrenzung, Microsoft Purview Compliance (Retention, DLP, eDiscovery Standard), Windows Autopilot, erweitertes Audit-Logging, Information Barriers und Rights Management — für Unternehmen mit über 300 Nutzern oder regulatorischen Anforderungen an Datenaufbewahrung und Compliance.
- Enterprise E5 (ca. 57,50 €/Nutzer/Monat): Alle Funktionen von E3 plus Defender for Office 365 Plan 2 (Attack Simulation, Automated Investigation), Microsoft Defender for Identity, Cloud App Security, Phone System (Telefonie), eDiscovery Premium, Advanced Compliance und Microsoft Sentinel-Anbindung — das Komplettpaket für maximale Sicherheit und Compliance.
Administration & Sicherheit
Die Administration eines M365-Tenants erfolgt primär über das Microsoft 365 Admin Center (admin.microsoft.com) sowie über spezialisierte Portale: das Exchange Admin Center für E-Mail-Konfiguration, das SharePoint Admin Center für Sites und Speicher, das Teams Admin Center für Kommunikationsrichtlinien und das Microsoft Entra Admin Center (ehemals Azure AD) für Identitäts- und Zugriffsverwaltung. Entscheidend ist die konsequente Umsetzung des Least-Privilege-Prinzips bei der Rollenvergabe: Der Globale Administrator hat Vollzugriff auf alle Dienste und sollte maximal zwei Konten zugewiesen werden — idealerweise als dedizierte Admin-Konten ohne E-Mail-Postfach und mit Phishing-resistenter MFA (FIDO2 oder Certificate-based Authentication). Für den Tagesbetrieb stehen über 30 spezialisierte Administratorrollen zur Verfügung: Exchange-Administrator, SharePoint-Administrator, Teams-Administrator, Sicherheitsadministrator, Compliance-Administrator und viele mehr.
Die Sicherheits-Baseline eines M365-Tenants beginnt mit der Aktivierung von Security Defaults oder — bei Business Premium und höher — der Konfiguration von Conditional Access Policies. Security Defaults erzwingen MFA für alle Benutzer, blockieren Legacy-Authentifizierung und erfordern eine erneute Authentifizierung bei Administratoraktionen — ein sinnvoller Mindestschutz für Tenants ohne Azure AD Premium. Conditional Access bietet deutlich granularere Kontrolle: Richtlinien können auf Basis von Benutzergruppen, Standorten, Gerätezustand, Anmelderisiko und App-Typ definiert werden. Typische Policies sind: MFA für alle Benutzer erzwingen, Legacy-Protokolle blockieren, Zugriff nur von verwalteten Geräten erlauben und risikobasierte Anmeldung blockieren. Zusätzlich sollte Data Loss Prevention (DLP) konfiguriert werden, um zu verhindern, dass sensible Daten wie Kreditkartennummern, Personalausweisnummern oder vertrauliche Dokumente versehentlich per E-Mail oder Teams-Chat nach extern geteilt werden.
Aufbewahrungsrichtlinien (Retention Policies) und Audit-Logging bilden das Compliance-Rückgrat eines professionell verwalteten Tenants. Retention Policies definieren, wie lange E-Mails, Teams-Nachrichten, SharePoint-Dokumente und OneDrive-Dateien aufbewahrt werden und wann sie automatisch gelöscht werden — essenziell für die Einhaltung von GoBD, DSGVO und branchenspezifischen Aufbewahrungspflichten. Das Unified Audit Log zeichnet alle administrativen und Benutzeraktivitäten auf: Anmeldungen, Dateizugriffe, Berechtigungsänderungen, E-Mail-Weiterleitungsregeln und Postfach-Delegierungen. Für die Erkennung kompromittierter Konten ist die Überwachung von Postfach-Weiterleitungsregeln und App-Registrierungen besonders wichtig, da Angreifer häufig automatische Weiterleitungen einrichten oder bösartige OAuth-Apps registrieren, um dauerhaften Zugriff auf Unternehmensdaten zu erhalten.
- Globaler Administrator: Vollzugriff auf alle Microsoft-365-Dienste und -Einstellungen. Maximal zwei Konten zuweisen, ausschließlich als dedizierte Admin-Konten ohne E-Mail-Nutzung, geschützt durch Phishing-resistente MFA (FIDO2-Schlüssel oder zertifikatsbasierte Authentifizierung). Break-Glass-Konten für Notfälle vorhalten.
- Security Defaults vs. Conditional Access: Security Defaults bieten kostenlosen Basisschutz (MFA-Pflicht, Legacy-Auth-Blockierung) für Tenants ohne Azure AD Premium. Conditional Access (ab Business Premium / Azure AD P1) ermöglicht granulare Richtlinien basierend auf Benutzer, Standort, Gerät und Risikostufe — ein Upgrade, das sich für jeden professionellen Tenant lohnt.
- Multi-Faktor-Authentifizierung (MFA): MFA muss für alle Benutzer ohne Ausnahme aktiviert werden — laut Microsoft verhindert MFA 99,9 % der kontobasierten Angriffe. Bevorzugte Methoden: Microsoft Authenticator App (Number Matching), FIDO2-Sicherheitsschlüssel oder Windows Hello for Business. SMS-basierte MFA nur als Fallback, da anfällig für SIM-Swapping.
- Data Loss Prevention (DLP): DLP-Richtlinien erkennen und blockieren die Weitergabe sensibler Informationen (Kreditkartennummern, Steuer-IDs, Gesundheitsdaten) über Exchange Online, SharePoint, OneDrive und Teams. Vordefinierte Templates für DSGVO und deutsche Finanzregulierung beschleunigen die Einrichtung erheblich.
- Retention Policies (Aufbewahrung): Konfigurieren Sie organisationsweite Aufbewahrungsrichtlinien für E-Mails (z. B. 7 Jahre gemäß GoBD), Teams-Chats, SharePoint-Bibliotheken und OneDrive-Konten. Retention Labels ermöglichen zusätzlich eine dokumentenspezifische Klassifizierung und können automatisch auf Basis von Sensitivity Labels oder Inhaltsprüfung angewendet werden.
- Unified Audit Log & Alerting: Aktivieren Sie das Unified Audit Log und konfigurieren Sie Alerts für kritische Ereignisse: neue Postfach-Weiterleitungsregeln, OAuth-App-Registrierungen durch Benutzer, Massen-Downloads aus SharePoint, Änderungen an Administratorrollen und fehlgeschlagene Anmeldeversuche. Die Audit-Daten werden standardmäßig 90 Tage aufbewahrt (E5: 365 Tage).
Optimierung & Migration
Die Migration von On-Premises-Exchange zu Exchange Online ist für viele mittelständische Unternehmen der Hauptgrund für die M365-Einführung. Je nach Ausgangslage stehen verschiedene Migrationspfade zur Verfügung: Die Cutover-Migration eignet sich für kleine Umgebungen mit bis zu 150 Postfächern und migriert alle Postfächer in einem Durchgang. Die Staged Migration erlaubt die schrittweise Migration größerer Umgebungen. Die Hybrid-Konfiguration ist der empfohlene Weg für Unternehmen, die einen längeren Koexistenzzeitraum zwischen On-Premises und Cloud benötigen — sie ermöglicht die nahtlose Zusammenarbeit beider Welten mit gemeinsamer Frei/Gebucht-Suche, Cross-Premises-Mailverlauf und schrittweiser Postfach-Verschiebung. Für Migrationen von Drittanbieter-Systemen (Zimbra, Lotus Notes, Google Workspace) stehen spezialisierte Tools wie BitTitan MigrationWiz oder Quest On Demand Migration zur Verfügung.
Über E-Mail und Dokumentenmanagement hinaus bietet Microsoft 365 mit der Power Platform erhebliches Automatisierungspotenzial. Power Automate (ehemals Microsoft Flow) ermöglicht die Erstellung von Workflows ohne Programmierkenntnisse: automatische Genehmigungsprozesse, Benachrichtigungen bei SharePoint-Änderungen, E-Mail-Verarbeitung nach Regeln oder die Integration mit Drittanbieter-Diensten über hunderte vorgefertigte Konnektoren. Power Apps erlaubt die Entwicklung einfacher Geschäftsanwendungen (Inventarverwaltung, Urlaubsanträge, Besuchermanagement) direkt auf Basis von SharePoint-Listen oder Dataverse-Tabellen. Beide Dienste sind in den meisten M365-Lizenzen mit eingeschränktem Funktionsumfang enthalten und bieten einen niedrigschwelligen Einstieg in die Digitalisierung von Geschäftsprozessen — ohne zusätzliche Infrastruktur oder Entwicklungsressourcen.
Die Kostenoptimierung eines M365-Tenants beginnt mit der regelmäßigen Überprüfung der Lizenzauslastung: Das Admin Center zeigt unter „Lizenzen“ detailliert, wie viele Lizenzen zugewiesen und tatsächlich aktiv genutzt werden. Ungenutzte Lizenzen — etwa für ausgeschiedene Mitarbeiter oder inaktive Konten — sollten zeitnah freigegeben werden. Der Microsoft 365 Usage Report gibt Aufschluss über die tatsächliche Nutzung einzelner Dienste: Wenn Benutzer nur E-Mail und Teams nutzen, reicht möglicherweise Business Basic statt Standard. Der Microsoft Secure Score bewertet die Sicherheitskonfiguration Ihres Tenants auf einer Skala von 0 bis 100 und gibt priorisierte Empfehlungen zur Verbesserung — von der MFA-Aktivierung über die DLP-Konfiguration bis zur Einrichtung von Attack Simulation Training. Ein Secure Score von über 70 gilt als guter Richtwert für mittelständische Unternehmen.
- Cutover-Migration (bis 150 Postfächer): Alle Postfächer, Kontakte und Verteilerlisten werden in einem einzelnen Migrationsbatch von On-Premises-Exchange (2010 oder neuer) zu Exchange Online verschoben. Ideal für kleine Umgebungen mit einem Wochenend-Wartungsfenster — typische Dauer 24 bis 72 Stunden je nach Datenvolumen. Nach Abschluss werden die MX-Einträge umgestellt.
- Hybrid-Konfiguration: Der Hybrid Configuration Wizard richtet die Koexistenz zwischen On-Premises-Exchange und Exchange Online ein: gemeinsamer Adressraum, zentralisierter Mailtransport, Frei/Gebucht-Freigabe und nahtlose Postfach-Verschiebung per Move-Request. Empfohlen für Unternehmen mit über 150 Postfächern oder Anforderungen an einen längeren Migrationszeitraum.
- Power Automate — Workflows ohne Code: Erstellen Sie automatisierte Abläufe direkt im Browser: Genehmigungsworkflows, SharePoint-Benachrichtigungen, E-Mail-Klassifizierung, Datenübertragung zwischen Systemen. Über 500 vorgefertigte Konnektoren ermöglichen die Integration mit Drittanbieter-Diensten wie SAP, Salesforce oder Slack — in der Basisversion bereits in Business Standard enthalten.
- Lizenz-Kostenoptimierung: Prüfen Sie monatlich die Lizenzauslastung im Admin Center unter „Abrechnung → Lizenzen“. Kombinieren Sie verschiedene Pläne (z. B. Business Basic für Frontline-Mitarbeiter, Business Premium für IT und Führungskräfte), nutzen Sie Jahresabonnements für 15–20 % Rabatt und deaktivieren Sie nicht benötigte Dienste innerhalb zugewiesener Lizenzen, um Ressourcenverbrauch zu minimieren.
- Microsoft Secure Score: Der Secure Score im Microsoft 365 Defender Portal (security.microsoft.com) bewertet die aktuelle Sicherheitskonfiguration Ihres Tenants und liefert eine priorisierte Empfehlungsliste: MFA-Abdeckung, DLP-Richtlinien, Mailbox-Audit-Einstellungen, Safe Attachments, Anti-Phishing-Policies und mehr. Zielwert für KMU: über 70 von 100 Punkten — jede umgesetzte Empfehlung verbessert die Gesamtsicherheit messbar.
Sie benötigen Unterstützung?
Die professionelle Einrichtung und Verwaltung eines Microsoft-365-Tenants erfordert fundiertes Know-how — von der Lizenzberatung über die DNS-Konfiguration und E-Mail-Migration bis zur Sicherheits-Baseline. Unsere Experten begleiten Sie durch den gesamten Prozess: Tenant-Setup, Lizenzoptimierung, Exchange-Migration, Conditional-Access-Konfiguration und Secure-Score-Optimierung — praxisnah und auf Ihre Unternehmensanforderungen zugeschnitten.
E-Mail & Microsoft 365 ansehen →
