Microsoft 365 einführen: Welche Grundlagen kleine Unternehmen zuerst sauber einrichten sollten

Bevor in Microsoft 365 die ersten Postfächer, Teams und Dateien entstehen, sollten einige Grundlagen feststehen. Der Tenant muss dem Unternehmen gehören und mit dem richtigen Land angelegt sein, die eigene Domain sollte verifiziert sein, und für die Verwaltung braucht es getrennte Administratorkonten sowie zwei Notfallzugänge. Dazu kommen ein festes Schema für Benutzer, Gruppen und Lizenzen, klare Regeln dafür, wer Teams anlegen und Dateien nach außen teilen darf, aktive Sicherheitsstandards und eine Dokumentation, die all das festhält.

Diese Punkte wirken am Anfang wie Formalitäten, weil Microsoft 365 auch ohne sie sofort funktioniert. Genau das ist das Problem. Einige Entscheidungen lassen sich später gar nicht mehr ändern, andere nur mit erheblichem Aufräumaufwand, sobald zwölf Mitarbeitende seit einem Jahr in der Umgebung arbeiten. Dieser Beitrag beschreibt die Grundeinrichtung für kleine Unternehmen. Lizenzauswahl, Migration und die weitergehende Sicherheitshärtung werden nur so weit angesprochen, wie sie für den Start nötig sind.

Manche Entscheidungen lassen sich später nicht mehr korrigieren

Der Tenant, also die eigene Microsoft-365-Umgebung des Unternehmens, entsteht mit der ersten Registrierung. Dabei werden zwei Dinge festgelegt, die bleiben. Das erste ist das Land der Organisation. Microsoft stellt in der Dokumentation zu den Organisationseinstellungen klar, dass sich Land oder Region nachträglich nicht ändern lassen. Wer es ändern muss, braucht einen neuen Tenant. Für ein Unternehmen mit Sitz in Deutschland sollte deshalb bei der Anmeldung auch Deutschland gewählt werden, selbst wenn die Testphase von einem Notebook mit englischen Spracheinstellungen aus begonnen wird.

Das zweite ist der Name der ersten Domain im Format firmenname.onmicrosoft.com. Laut Microsoft können angelegte onmicrosoft.com-Domains nicht gelöscht werden. Eine neue Fallback-Domain ändert vorhandene SharePoint- und OneDrive-Adressen nicht automatisch. Deren Domainname lässt sich unter bestimmten Voraussetzungen in einem eigenen Verfahren ändern, mit Einschränkungen und zeitweiser Nichterreichbarkeit. Ein sauber gewählter Anfangsname vermeidet diesen Aufwand.

Ebenso wichtig ist die Frage, wem der Tenant gehört. Er sollte vom Unternehmen selbst registriert werden, mit einer geschäftlichen Kontaktadresse, die nicht an eine einzelne Person gebunden ist. Ein Tenant, den ein ehemaliger Mitarbeiter oder ein früherer Dienstleister über eigene Zugangsdaten angelegt hat, lässt sich zwar meist übernehmen, das kostet aber Zeit, die bei einer geplanten Einführung niemand verlieren muss.

Die eigene Domain gehört früh in den Tenant, der Mailumzug nicht zwingend

Die eigene Domain, etwa beispielfirma.de, wird im Microsoft-365-Admin-Center hinzugefügt und über einen DNS-Eintrag als Eigentum bestätigt. Diese Verifizierung ändert noch nichts am bestehenden Mailverkehr. Sie ist aber die Voraussetzung dafür, Benutzer gleich mit ihrer späteren Adresse anzulegen, statt sie zunächst unter der onmicrosoft.com-Domain zu führen und dann umzubenennen.

Dass sich dieser frühe Schritt lohnt, hat auch einen praktischen Grund. Wer über die onmicrosoft.com-Domain versendet, muss laut der oben verlinkten Anleitung mit Grenzen rechnen, die den Versand auf 100 externe Empfänger pro 24 Stunden beschränken können (Stand Oktober 2026). Für den produktiven Versand ist die eigene, verifizierte Domain deshalb Pflicht.

Der eigentliche Umzug der E-Mail, also die Umstellung des MX-Eintrags, kann davon getrennt geplant werden. Welche DNS-Einträge dafür nötig sind und warum der Zeitpunkt sorgfältig gewählt werden sollte, beschreibt unsere Checkliste zur Microsoft-365-Migration. Für die Grundeinrichtung reicht es, früh zu klären, wer Zugriff auf den Domainregistrar und die DNS-Verwaltung hat, und diesen Zugang selbst gut abzusichern.

Administratorkonten sind keine Arbeitskonten

In vielen kleinen Umgebungen ist die Person, die Microsoft 365 eingerichtet hat, mit ihrem normalen Arbeitskonto auch Globaler Administrator. Damit liest sie E-Mails, öffnet Anhänge und surft im Netz mit einem Konto, das nahezu jede Einstellung im Tenant ändern kann. Sinnvoller ist die Trennung: ein normales, lizenziertes Benutzerkonto für die tägliche Arbeit und ein separates Administratorkonto ohne Postfach, das nur für Verwaltungsaufgaben verwendet wird.

Microsoft empfiehlt in der Übersicht über die Administratorrollen, so wenige Globale Administratoren wie möglich zu haben und Rollen nach dem Prinzip der geringsten Rechte zu vergeben. Wer nur Kennwörter zurücksetzen soll, braucht die Rolle Helpdesk-Administrator, nicht den Vollzugriff auf alles. Wer Rechnungen und Abonnements verwaltet, kommt mit der Rolle Abrechnungsadministrator aus. In einem Büro mit zwölf Personen sind das oft nur zwei oder drei Konten mit klar umrissenen Aufgaben.

Externe Dienstleister sollten eigene, namentlich zugeordnete Zugänge erhalten, keine gemeinsam genutzten Konten wie admin@. Nur so bleibt nachvollziehbar, wer welche Änderung vorgenommen hat, und ein Zugang lässt sich gezielt entziehen, wenn sich die Zusammenarbeit ändert. Für alle Administratorkonten ist MFA ohnehin Pflicht. Welche Konten dabei zuerst und mit welchen Verfahren geschützt werden sollten, behandelt der Beitrag MFA richtig priorisieren.

Zwei Notfallzugänge, die im Alltag niemand benutzt

Je besser die Anmeldung abgesichert ist, desto wichtiger wird ein Weg für den Fall, dass genau diese Absicherung versagt: das Smartphone des einzigen Administrators ist verloren, eine neue Zugriffsrichtlinie sperrt versehentlich alle Admins aus, oder der Dienstleister ist nicht erreichbar. Für diesen Fall sieht Microsoft sogenannte Notfallzugriffskonten vor, oft auch Break-Glass-Konten genannt.

Die Microsoft-Dokumentation zu Notfallzugriffskonten empfiehlt mindestens zwei reine Cloud-Konten auf der onmicrosoft.com-Domain. Sie erhalten dauerhaft die Rolle Globaler Administrator und sind keiner einzelnen Person als Alltagskonto zugeordnet. Für die Anmeldung empfiehlt Microsoft phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder zertifikatbasierte Anmeldung, die unabhängig von den üblichen Admin-Anmeldewegen funktionieren. Sperrende Richtlinien für bedingten Zugriff dürfen den Notfallweg nicht blockieren. Anmeldung und administrative Funktion sollten mindestens alle 90 Tage sowie nach relevanten Änderungen getestet werden; jede Nutzung sollte einen Alarm auslösen.

Für ein kleines Unternehmen heißt das ganz praktisch: zwei Sicherheitsschlüssel beschaffen, an getrennten, sicheren Orten aufbewahren und festlegen, wer im Ernstfall darauf zugreifen darf. Die Geschäftsführung sollte wissen, dass diese Zugänge existieren und wo sie liegen, auch wenn sie selbst nie damit arbeitet.

Lizenzen gehören zu Arbeitsplätzen, nicht zu Postfächern

Welche Lizenz zu welchem Arbeitsplatz passt, ist eine eigene Entscheidung, die unser Vergleich von Business Basic, Standard und Premium ausführlich behandelt. Für die Grundeinrichtung kommt es vor allem darauf an, die Zuweisung von Anfang an nachvollziehbar zu halten.

Nicht jedes Objekt braucht eine Lizenz für Office-Anwendungen und ein eigenes Postfach. Gemeinsame Adressen wie info@ oder rechnungen@ werden in der Regel als geteilte Postfächer angelegt und kommen im Standardumfang bis 50 GB ohne eigene Exchange-Lizenz aus; die zugreifenden Personen brauchen ein lizenziertes Exchange-Online-Postfach. Separate Administratorkonten und Notfallzugänge benötigen kein eigenes E-Mail-Postfach. Für verwendete Premium-Funktionen wie Conditional Access gelten aber eigene Lizenzbedingungen, auch bei Administratorkonten. „Keine Office-Lizenz“ bedeutet daher nicht automatisch „keine Lizenz erforderlich“.

Ebenso sinnvoll ist es, Laufzeit, Abrechnungsform und Verlängerungsdatum der Abonnements festzuhalten und zu klären, wer neue Lizenzen bestellen darf. Gerade bei Monatsverträgen und Jahresverträgen mit unterschiedlichen Kündigungsbedingungen entsteht sonst schnell ein Bestand, den niemand mehr überblickt.

Eine Namenskonvention spart später viel Aufräumarbeit

Ein einheitliches Namensschema klingt nach Verwaltungsdetail, entscheidet aber darüber, ob sich Benutzer, Gruppen und Postfächer in einem Jahr noch auseinanderhalten lassen. In Microsoft 365 ist der Anmeldename eines Benutzers üblicherweise identisch mit seiner E-Mail-Adresse. Wer hier mit uneinheitlichen Varianten startet, schleppt sie in Anmeldung, Adressbuch und Dokumentation mit.

Eine einfache Festlegung für den Start könnte zum Beispiel so aussehen:

Die konkreten Präfixe sind weniger wichtig als die Tatsache, dass es überhaupt eine Regel gibt und dass sie aufgeschrieben ist. Bei Namensgleichheit, Doppelnamen oder Umlauten sollte ebenfalls vorab feststehen, wie verfahren wird.

Teams und SharePoint brauchen Regeln, bevor die ersten Teams entstehen

In der Standardeinstellung dürfen alle Benutzer Microsoft-365-Gruppen und damit auch Teams anlegen. Microsoft beschreibt das in der Anleitung zur Steuerung der Gruppenerstellung bewusst als Ansatz, der Zusammenarbeit ohne IT-Abteilung ermöglicht. Wer die Erstellung auf bestimmte Personen beschränken will, braucht dafür laut Microsoft Lizenzen mit Microsoft Entra ID P1, wie sie zum Beispiel in Business Premium enthalten sind.

Ob eine Beschränkung sinnvoll ist, hängt von der Größe und Arbeitsweise ab. In einem kleinen Büro ist es oft praktikabler, die Erstellung offen zu lassen, aber eine einfache Struktur vorzugeben: ein Team je Abteilung oder Bereich, Projektteams nur für längere Vorhaben, und für jedes Team mindestens zwei verantwortliche Besitzer. Wichtig ist, dass diese Struktur vor der Dateimigration feststeht. Sonst landen Daten aus dem alten Dateiserver in spontan angelegten Teams, deren Zuschnitt niemand geplant hat.

Mindestens ebenso wichtig ist die Freigabe nach außen. SharePoint und OneDrive kennen mehrere Stufen, von Links, die ohne Anmeldung für jeden mit dem Link funktionieren, bis zum vollständigen Verzicht auf externe Freigaben. Microsoft beschreibt die Stufen in der Dokumentation zur externen Freigabe und weist darauf hin, dass OneDrive nie freizügiger eingestellt sein kann als SharePoint. Für viele kleine Unternehmen ist eine mittlere Stufe ein guter Ausgangspunkt, bei der Externe sich identifizieren müssen. Entscheidend ist, dass die Einstellung bewusst gewählt wird, bevor die erste Datei mit einem Kunden geteilt wird.

Sicherheitsstandards von Anfang an aktiv lassen

Neue Tenants starten mit aktivierten Sicherheitsstandards von Microsoft Entra ID, im Englischen Security Defaults. Laut der Microsoft-Dokumentation zu den Sicherheitsstandards verlangen sie unter anderem, dass alle Benutzer MFA registrieren, dass Administratoren sich bei jeder Anmeldung mit MFA ausweisen und dass veraltete Anmeldeverfahren ohne MFA-Unterstützung blockiert werden. Die Sicherheitsstandards sind kostenlos und decken für eine kleine Umgebung bereits einen großen Teil der Grundabsicherung ab.

Ein häufiger Fehler bei der Einführung ist, die Sicherheitsstandards abzuschalten, weil ein alter Scanner, eine Fachanwendung oder ein Smartphone mit veraltetem Mailprogramm sich nicht mehr anmelden kann. Das löst das akute Problem, öffnet aber die Umgebung insgesamt. Besser ist es, die betroffene Anwendung gezielt anzupassen oder zu ersetzen. Wer Business Premium oder eine andere Lizenz mit Entra ID P1 einsetzt, kann die Sicherheitsstandards später durch eigene Zugriffsrichtlinien ersetzen, also durch Conditional Access. Microsoft weist darauf hin, dass beides nicht gleichzeitig aktiv sein kann.

Weitergehende Maßnahmen wie Zugriffsrichtlinien nach Gerät und Standort, Schutz vor Phishing-Mails, Geräteverwaltung oder die Auswertung von Anmeldeprotokollen gehören zur Absicherung eines laufenden Tenants. Sie bauen auf der hier beschriebenen Grundeinrichtung auf und sollten als eigener, geplanter Schritt folgen.

Ohne Dokumentation ist die Grundeinrichtung nur eine Momentaufnahme

Eine sauber eingerichtete Umgebung verliert schnell an Wert, wenn nur eine Person weiß, warum etwas so eingerichtet wurde. Die Dokumentation muss nicht umfangreich sein, sollte aber außerhalb von Microsoft 365 selbst erreichbar sein. Für die Grundeinrichtung gehören mindestens diese Angaben hinein:

• Tenant-Name, onmicrosoft.com-Domain, gewähltes Land und verifizierte Domains

• Zugang zu Domainregistrar und DNS-Verwaltung, mit verantwortlicher Person

• Administratorkonten mit Rolle und zuständiger Person

• Notfallkonten, Aufbewahrungsort der Sicherheitsschlüssel und Datum des letzten Tests

• Lizenzübersicht mit Laufzeiten und Bestellberechtigung

• Namenskonvention, Teams-Struktur und gewählte Freigabestufe

• Bewusste Abweichungen von den Sicherheitsstandards und ihre Begründung

Kennwörter gehören nicht in diese Dokumentation, sondern in einen Passwortmanager oder einen anderen geschützten Ort. Die Dokumentation beschreibt, wo sie liegen und wer darauf zugreifen darf.

In welcher Reihenfolge die Einführung sinnvoll ist

Aus den beschriebenen Abhängigkeiten ergibt sich für kleine Unternehmen eine nachvollziehbare Reihenfolge. Zuerst wird der Tenant mit dem richtigen Land und einem dauerhaft passenden Namen angelegt. Danach entstehen die Administrator- und Notfallkonten, bevor irgendjemand produktiv arbeitet. Anschließend wird die Domain verifiziert, die Namenskonvention festgelegt und die Sicherheitsstandards werden auf ihre Wirkung geprüft. Erst dann folgen Benutzer, Lizenzen, geteilte Postfächer und die Teams-Struktur mit den Freigaberegeln.

Die Migration von E-Mails und Dateien kommt bewusst zuletzt. Sie ist leichter zu planen, wenn das Ziel bereits steht. Ob ein gewachsener Tenant weitergeführt oder neu aufgebaut werden sollte, muss anhand von Aufwand und Risiken entschieden werden. Ein falsch gewähltes Organisationsland kann einen neuen Tenant erfordern. Ein unpassender SharePoint-Name oder unübersichtliche Berechtigungen rechtfertigen dagegen nicht automatisch eine komplette Migration: Umbenennung, Bestandsaufnahme und gezielte Bereinigung sind zuerst als Alternativen zu prüfen.

Was Wernecke IT dabei übernehmen kann

Wir richten Microsoft-365-Tenants für kleine Unternehmen ein oder prüfen eine bereits begonnene Einrichtung. Im Rahmen unserer Microsoft-365-Betreuung gehören dazu Tenant und Domain, getrennte Administrator- und Notfallzugänge, Benutzer, Gruppen und Lizenzen, die Grundstruktur für Teams, SharePoint und OneDrive sowie MFA und die grundlegende Sicherheitskonfiguration. Auf Wunsch halten wir die getroffenen Entscheidungen in einer Dokumentation fest, die beim Unternehmen bleibt. Anschließend können wir auch die Migration und die laufende Administration übernehmen.

Wenn Sie in Berlin oder Brandenburg die Einführung von Microsoft 365 planen oder eine bestehende Umgebung auf diese Grundlagen hin prüfen lassen möchten, können wir den aktuellen Stand gemeinsam durchgehen. Kontakt aufnehmen.