Microsoft 365 läuft. Eingerichtet ist es damit nicht.
Bei Microsoft 365 gibt es zwei Zustände, die im Alltag gleich aussehen: „Es läuft“ und „Es ist eingestellt“. Der erste ist schnell erreicht. Der zweite braucht Entscheidungen, die bei der Einrichtung meist niemand getroffen hat.
Ein Betrieb merkt an seiner Microsoft-365-Einrichtung dasselbe wie an seiner Heizung: nichts, solange sie warm macht. Niemand schaut nach der Anlage, wenn die Räume angenehm sind. Auffallen tut erst der Ausfall.
Es geht in diesem Beitrag nicht um Katastrophen. Es geht um Voreinstellungen. Microsoft liefert das System so aus, dass es sofort funktioniert. Genau dafür sind die Standardwerte gemacht: für den schnellen Start. Danach bleiben sie stehen, und weil nichts kaputt ist, schaut niemand mehr hin.
Was „eingerichtet“ meistens heißt
Die übliche Einrichtung läuft so ab: Jemand legt die Postfächer an. Die Mails kommen an. Word und Excel starten, Teams öffnet sich, und die Dateien landen irgendwo, wo man sie wiederfindet. Vielleicht hat das der Anbieter gemacht, vielleicht ein Bekannter, vielleicht Sie selbst an einem Abend.
An diesem Punkt hören die meisten Betriebe auf. Das ist verständlich. Es funktioniert ja, und es gibt genug anderes zu tun.
Niemand hat dabei etwas falsch gemacht. Die Einrichtung ist nur nicht zu Ende gedacht. Sie beantwortet die Frage „Läuft es?“, aber nicht die Fragen „Wer kommt an was heran?“, „Wo liegt was?“ und „Was passiert, wenn sich etwas ändert?“. Diese Fragen stellt das System nicht von selbst. Man muss sie ihm stellen.
Sechs Stellen, an denen es offen bleibt
Die Anmeldung. Ein Kennwort allein reicht als Schutz nicht mehr aus. Gestohlene Kennwörter werden gehandelt, und wer eines hat, meldet sich damit ganz normal an, ohne dass das System etwas Ungewöhnliches sieht. Die Zwei-Faktor-Anmeldung trifft genau diese Ursache: Das Kennwort allein öffnet die Tür nicht mehr. Sie ist der eine Schritt, den jeder Betrieb gehen sollte, unabhängig von allem anderen.
Regeln und Weiterleitungen im Postfach. Ein Postfach kann Mails still nach außen weiterleiten. Das hinterlässt keine Spur im Gesendet-Ordner, und die Regel überlebt einen Kennwortwechsel, weil sie im Postfach sitzt und nicht am Kennwort hängt. Wer nach einem Vorfall nur das Kennwort ändert, lässt die Weiterleitung genau dort, wo sie ist. Wie Sie solche Regeln finden und prüfen, steht in unserem Beitrag zu Weiterleitungsregeln im Postfach.
Wo die Dateien liegen. OneDrive und SharePoint sehen im Alltag gleich aus, gehören aber verschiedenen: OneDrive der Person, SharePoint dem Betrieb. Wer das nicht trennt, hat Angebote, Verträge und Preislisten in persönlichen Ablagen, und beim Austritt hängen sie am falschen Konto. Ob das bei Ihnen so ist, zeigt die Verwaltungsoberfläche nicht auf einen Blick. Es gibt Werkzeuge, die Postfächer und Ordner auf einer Seite zeigen, etwa das PAJO Dashboard.
Was passiert, wenn jemand geht. Beim Austritt hängen Postfach und Dateien an einem Konto, das gelöscht werden soll. Ohne festgelegten Ablauf entscheidet das jemand unter Zeitdruck, oft am letzten Arbeitstag. Dann fehlt eine Mail oder ein Ordner, und es fällt erst auf, wenn jemand danach fragt. Ein kurzer, vorher aufgeschriebener Ablauf nimmt diese Entscheidung aus dem Moment heraus.
Ob Ihre Mails ankommen. Drei Einträge in Ihrer Domain entscheiden mit darüber, ob Ihre Mail im Posteingang landet oder im Spam. Sie heißen SPF, DKIM und DMARC. Dieselben Einträge legen fest, wie leicht jemand in Ihrem Namen schreiben kann, ohne dass der Empfänger das bemerkt. Bei der Einrichtung entsteht selten alles drei von selbst; was fehlt, muss jemand bewusst eintragen.
Die Lizenz. Welcher Plan gebucht ist, entscheidet mit, welche dieser Einstellungen überhaupt möglich sind. Manche Schutzfunktionen gibt es erst ab einer bestimmten Stufe. Das merkt man meist erst, wenn man etwas einstellen will und der Schalter fehlt. Es lohnt sich, das vorher zu wissen und nicht mittendrin.
Was zuerst
Die Reihenfolge ist nicht beliebig. Zuerst die Anmeldung, weil sie die Ursache trifft und nicht die Folge. Solange ein Kennwort allein den Zugang öffnet, steht alles andere auf einem Fundament, das jederzeit wegbrechen kann.
Dann die Regeln und Weiterleitungen. Das ist die Stelle, an der ein bereits geschehener Einbruch weiterwirkt, auch wenn die Tür inzwischen verschlossen ist. Wer diese Prüfung vor die Zwei-Faktor-Anmeldung setzt, muss sie danach wiederholen. Wer sie danach macht, prüft einmal.
Danach der Rest, in Ruhe: die Dateiablage, der Austrittsablauf, die Domain-Einträge, die Lizenz. Das muss keine Sache eines Nachmittags sein. Es ist eine Liste, die Sie über Wochen abarbeiten können, Punkt für Punkt. Wichtig ist nur, dass die Reihenfolge stimmt. In der falschen Reihenfolge fällt Arbeit doppelt an, weil eine spätere Einstellung eine frühere wieder in Frage stellt.
Was wir dabei übernehmen können: aufzeigen, wo Ihre Einrichtung offen ist, Sie und Ihr Team einweisen und eng begrenzte Einstellungen umsetzen. Was das umfasst, steht unter IT-Sicherheit. Ein Testat, eine Zertifizierung oder eine Garantie auf Vollständigkeit ist es nicht, und wir behaupten das auch nicht.
Der Punkt
Sie können heute eine Sache tun, ohne uns und ohne Anleitung: Melden Sie sich bei Microsoft 365 ab und wieder an. Prüfen Sie, ob nach dem Kennwort ein zweiter Schritt kommt, ein Code auf dem Telefon oder eine Bestätigung in einer App. Wenn nichts kommt, wissen Sie, wo Sie anfangen.
Niemand erwartet von einem Betriebsinhaber, dass er das alles selbst einstellen kann. Aber Sie sollten wissen, welche Fragen offen sind. Dann entscheiden Sie, wer sie beantwortet, und nicht der Zufall.