Microsoft 365 übernehmen: Was beim Wechsel des IT-Dienstleisters geprüft werden sollte

Beim Wechsel des IT-Dienstleisters muss eine Microsoft-365-Umgebung in vielen Fällen nicht technisch umgezogen werden. Der bestehende Microsoft-365-Mandant kann weiterlaufen. Entscheidend ist vielmehr, dass das Unternehmen die administrative Kontrolle über den Mandanten, seine Domains, Lizenzen und Sicherheitskonfigurationen behält und der neue Dienstleister sauber arbeitsfähig wird.

Problematisch wird ein Dienstleisterwechsel deshalb vor allem dort, wo Zuständigkeiten über Jahre gewachsen sind: Ein Administratorkonto gehört dem bisherigen Dienstleister, Bestätigungscodes landen auf dessen Mobiltelefon, Lizenzen werden über seinen Partnervertrag abgerechnet oder niemand weiß mehr genau, welche DNS-Einträge und Mailregeln für den laufenden Betrieb erforderlich sind.

Eine gute Übernahme beginnt daher nicht mit dem Entfernen des alten Dienstleisters, sondern mit einer kontrollierten Bestandsaufnahme. Erst wenn die eigenen Zugänge funktionieren und die Abhängigkeiten bekannt sind, sollten alte Berechtigungen entzogen werden.

Was bei Microsoft 365 tatsächlich übernommen wird

Microsoft 365 besteht nicht nur aus Postfächern und Office-Lizenzen. Im Hintergrund gehören dazu unter anderem Microsoft Entra ID für Identitäten und Berechtigungen, Exchange Online für E-Mail, Teams, SharePoint, OneDrive sowie je nach Lizenz weitere Sicherheits- und Geräteverwaltungsfunktionen.

Für den Dienstleisterwechsel ist eine Unterscheidung wichtig: Der Microsoft-365-Mandant sollte dem Unternehmen gehören, nicht dem IT-Dienstleister. Wenn das bereits sauber umgesetzt ist, bleibt der Mandant beim Wechsel bestehen. Benutzer, E-Mails, Teams und Dateien müssen nicht allein deshalb in einen neuen Mandanten migriert werden.

Übernommen werden stattdessen die Verantwortung und die administrativen Zugriffswege. Der neue Dienstleister muss nachvollziehen können, wie die Umgebung aufgebaut ist, welche Rechte erforderlich sind und welche externen Abhängigkeiten bestehen. Genau darauf zielt auch unsere Microsoft 365 Betreuung: bestehende Umgebungen strukturiert übernehmen und anschließend nachvollziehbar administrieren.

Unternehmenseigene Admin-Zugänge sind die Grundlage

Der wichtigste Punkt ist ein funktionierender administrativer Zugang, der unter Kontrolle des Unternehmens steht. Es reicht nicht, wenn ausschließlich der bisherige IT-Dienstleister Global-Administrator ist oder die Wiederherstellung eines Administratorkontos nur über dessen Telefonnummer oder E-Mail-Adresse möglich wäre.

Vor der Übergabe sollte daher geprüft werden, welche Konten administrative Rollen besitzen und wem diese Konten tatsächlich gehören. Besonders privilegierte Rollen sollten nur dort vergeben sein, wo sie benötigt werden. Microsoft empfiehlt selbst, die Zahl globaler Administratoren möglichst gering zu halten und für Aufgaben nach Möglichkeit weniger weitreichende Rollen zu verwenden.

Für die Übergabe bedeutet das praktisch: Mindestens ein unternehmenseigener Administrationsweg muss getestet sein, bevor Berechtigungen des bisherigen Dienstleisters entfernt werden. Auch die zugehörigen MFA-Methoden und Wiederherstellungswege müssen unter eigener Kontrolle stehen. Ein Passwort allein ist kein belastbarer Übergabenachweis.

Wichtig ist außerdem, nicht vorschnell aufzuräumen. Wird der alte Dienstleister entfernt, bevor der neue Zugang vollständig getestet wurde, kann aus einer eigentlich unkomplizierten Übergabe ein Zugriffsproblem mit unnötigem Zeitdruck werden.

Partnerbeziehungen und Fremdzugriffe nicht übersehen

Ein IT-Dienstleister muss nicht zwingend mit einem normalen Benutzerkonto im Mandanten auftauchen. Microsoft-Partner können Kundenumgebungen über delegierte Administratorbeziehungen verwalten. Heute geschieht das typischerweise über sogenannte Granular Delegated Admin Privileges, kurz GDAP. Damit können Partner zeitlich begrenzte und auf bestimmte Rollen beschränkte Verwaltungsrechte erhalten.

Beim Dienstleisterwechsel sollte deshalb nicht nur die Benutzerliste geprüft werden. Ebenso wichtig sind bestehende Partnerbeziehungen, delegierte Administratorrechte und weitere externe Identitäten. Sonst kann ein ehemaliger Dienstleister trotz gelöschtem lokalen Admin-Konto weiterhin über eine Partnerbeziehung auf Teile der Umgebung zugreifen.

Dasselbe gilt für Anwendungen und Automatisierungen. Backup-Lösungen, Signaturdienste, Security-Produkte, CRM-Systeme oder andere Cloud-Anwendungen können über App-Berechtigungen und Dienstkonten mit Microsoft 365 verbunden sein. Solche Verbindungen dürfen nicht pauschal gelöscht werden. Zuerst muss geklärt werden, wofür sie gebraucht werden und wer sie künftig betreibt.

Domains, DNS und Mailfluss gehören zur Übergabe

Ein Microsoft-365-Mandant kann technisch vollständig erreichbar sein und trotzdem innerhalb weniger Minuten Probleme bekommen, wenn beim DNS etwas schiefgeht. Die Unternehmensdomain verbindet Microsoft 365 mit der Außenwelt. Über DNS-Einträge wird unter anderem gesteuert, wohin E-Mails zugestellt werden und welche Systeme berechtigt sind, im Namen der Domain E-Mails zu versenden.

Deshalb gehört zur Microsoft-365-Übernahme immer die Frage: Wer kontrolliert die Domain und den DNS-Zugang? Liegt der Domainvertrag beim bisherigen Dienstleister oder kennt nur dieser die Zugangsdaten zum Registrar, besteht weiterhin eine zentrale Abhängigkeit außerhalb des Microsoft-365-Mandanten.

Neben den üblichen MX-Einträgen sollten auch SPF, DKIM und DMARC sowie weitere Microsoft-365-relevante DNS-Einträge dokumentiert werden. Besonders wichtig ist, vorhandene Einträge nicht einfach durch vermeintliche Standardwerte zu ersetzen. Häufig versenden zusätzlich Newsletter-Systeme, Multifunktionsdrucker, Webseiten oder Fachanwendungen E-Mails über die Unternehmensdomain.

Auch innerhalb von Exchange Online kann der Mailfluss angepasst sein. Weiterleitungen, Transportregeln, Connectoren, freigegebene Postfächer, Aliase und SMTP-Lösungen für Geräte oder Anwendungen sind typische Beispiele. Werden solche Sonderfälle bei der Übernahme übersehen, treten die Probleme oft erst später im Tagesgeschäft auf.

Domains, DNS-Einträge und der Mailflow sind ein eigener Teil der Übergabe. Unsere E-Mail-Lösungen umfassen unter anderem Einrichtung, DNS, SPF, DKIM, DMARC, Migration und Fehleranalyse. Bei einer Übernahme geht es deshalb nicht nur darum, dass Outlook am ersten Tag funktioniert, sondern dass die Abhängigkeiten dokumentiert und anschließend wartbar sind.

Lizenzen und Abrechnung separat prüfen

Auch die Lizenzierung kann an den bisherigen Dienstleister gebunden sein. Microsoft-365-Lizenzen können direkt oder über einen Cloud Solution Provider bezogen werden. Ein Wechsel des IT-Dienstleisters bedeutet daher nicht automatisch, dass bestehende Abonnements unverändert beim alten Partner weiterlaufen oder sofort gekündigt werden sollten.

Vor dem Wechsel sollte klar sein, welche Produkte gebucht sind, wie viele Lizenzen tatsächlich benötigt werden, über wen sie abgerechnet werden und welche Laufzeiten oder Verlängerungsbedingungen gelten. Zusätzlich können einzelne Add-ons oder Sicherheitsprodukte vorhanden sein, die im normalen Benutzerüberblick leicht übersehen werden.

Der richtige Ablauf hängt vom bestehenden Vertragsmodell ab. Ziel ist eine nahtlose Lizenzversorgung ohne unnötige Doppelzahlungen und ohne das Risiko, dass benötigte Dienste auslaufen. Deshalb sollten technische Übergabe und kaufmännische Lizenzübernahme miteinander abgestimmt werden.

Sicherheitskonfigurationen dürfen nicht beim Wechsel verloren gehen

Ein häufiger Fehler bei Übernahmen ist, nur zu prüfen, ob sich Benutzer anmelden und E-Mails senden können. Damit wäre die Oberfläche funktionsfähig, aber die eigentliche Sicherheitskonfiguration noch nicht verstanden.

Je nach Umgebung können beispielsweise MFA-Vorgaben, Conditional-Access-Richtlinien, Sicherheitsstandards, privilegierte Rollen, Geräteverwaltung über Intune, Defender-Einstellungen oder besondere Regeln für Gastkonten eingerichtet sein. Auch legitime Ausnahmen sind möglich, etwa für technische Konten oder ältere Anwendungen.

Der neue Dienstleister sollte diese Einstellungen nicht einfach neu bauen, solange nicht klar ist, warum sie existieren. Zuerst wird der Ist-Zustand dokumentiert und bewertet. Danach lässt sich entscheiden, welche Konfiguration beibehalten, verbessert oder entfernt werden sollte.

Besonders kritisch sind dauerhaft weitreichende Administratorrechte und unklare Ausnahmen von Sicherheitsregeln. Eine Übernahme ist deshalb ein guter Zeitpunkt für eine Berechtigungsprüfung und die Bewertung grundlegender Schutzmaßnahmen. Solche Themen gehören auch in den Bereich IT-Sicherheit für KMU. Sie sollten aber kontrolliert geprüft und nicht als unkoordinierte Aufräumaktion während des Dienstleisterwechsels umgesetzt werden.

Benutzer, Gruppen und gemeinsam genutzte Ressourcen dokumentieren

Microsoft 365 bildet oft mehr Geschäftsprozesse ab, als auf den ersten Blick sichtbar ist. Neben normalen Benutzerkonten gibt es häufig freigegebene Postfächer, Verteiler, Microsoft-365-Gruppen, Teams, SharePoint-Seiten und gemeinsam genutzte Dateien in OneDrive oder SharePoint.

Für den laufenden Betrieb muss der neue Dienstleister verstehen, welche dieser Ressourcen aktiv genutzt werden und wer dafür verantwortlich ist. Besonders bei gemeinsam genutzten Postfächern und Gruppen können historisch gewachsene Berechtigungen bestehen, die sich nicht allein aus den Namen erklären.

Hinzu kommen Geräte und Anwendungen. Wenn Endgeräte über Intune verwaltet werden, wenn Mobilgeräte besondere Richtlinien erhalten oder wenn Anwendungen mit Microsoft 365 gekoppelt sind, gehört auch das zur Bestandsaufnahme. Dasselbe gilt für technische Konten und Dienste, die E-Mails versenden oder Daten aus SharePoint und Teams abrufen.

So sollte die Übernahme ablaufen

Ein sauberer Wechsel lässt sich in einer klaren Reihenfolge durchführen. Dabei muss nicht jeder Schritt einen eigenen Projekttag bekommen, aber die Reihenfolge reduziert das Risiko erheblich.

1. Ist-Zustand aufnehmen: Mandant, Benutzer, Rollen, Partnerbeziehungen, Domains, Lizenzen, Sicherheitsrichtlinien und wichtige Integrationen erfassen.
2. Eigene Kontrolle sicherstellen: Unternehmenseigene Admin-Zugänge, MFA und Wiederherstellungswege testen sowie Domain- und DNS-Zugänge prüfen.
3. Neuen Dienstleister anbinden: Benötigte Rollen und Partnerzugriffe gezielt einrichten und die praktische Administration testen.
4. Abhängigkeiten übergeben: Lizenzbezug, Dokumentation, technische Konten, Mailfluss, Geräteverwaltung und Drittanbieter-Verbindungen nachvollziehbar übergeben.
5. Alte Zugriffe entfernen und nachprüfen: Nicht mehr benötigte Konten und Partnerrechte des bisherigen Dienstleisters entziehen und anschließend kontrollieren, ob Betrieb, Mailfluss und Administration weiterhin funktionieren.

Bei einem geordneten Wechsel können alter und neuer Dienstleister für eine kurze Übergangsphase parallel Zugriff haben. Das ist meist sicherer, als am Stichtag zuerst alle alten Berechtigungen zu entfernen und anschließend herauszufinden, welche Informationen oder Rechte noch fehlen. Soll nach der Übernahme auch Wartung, Monitoring und Dokumentation dauerhaft übernommen werden, ist das eher Teil unserer Managed IT Services.

Kompakte Checkliste für den Microsoft-365-Dienstleisterwechsel

Vor Abschluss der Übergabe sollten mindestens folgende Punkte eindeutig geklärt sein:

• Unternehmenseigener administrativer Zugang funktioniert und MFA ist unter eigener Kontrolle.
• Administrative Rollen wurden geprüft und unnötige privilegierte Konten sind bekannt.
• Bestehende Partnerbeziehungen und delegierte Administratorrechte sind dokumentiert.
• Domainregistrar und DNS-Verwaltung sind für das Unternehmen oder den neuen Dienstleister erreichbar.
• MX, SPF, DKIM, DMARC und weitere relevante DNS-Einträge sind nachvollziehbar dokumentiert.
• Mailregeln, Connectoren, Weiterleitungen, Aliase und technische SMTP-Nutzung sind bekannt.
• Microsoft-365-Lizenzen, Zusatzprodukte, Bezugsweg, Laufzeiten und Abrechnung sind geklärt.
• Sicherheitsrichtlinien und wesentliche Ausnahmen wurden geprüft, bevor Änderungen vorgenommen werden.
• Freigegebene Postfächer, Gruppen, Teams, SharePoint-Bereiche und wichtige Integrationen sind erfasst.
• Der neue Dienstleister hat seine Zugriffe praktisch getestet, bevor alte Berechtigungen entfernt werden.
• Nicht mehr benötigte Zugänge des bisherigen Dienstleisters werden nach erfolgreicher Übergabe gezielt entzogen.

Fazit: Kontrolle zuerst, Dienstleister danach wechseln

Eine Microsoft-365-Übernahme ist meistens keine klassische Datenmigration. Wenn der Mandant bereits dem Unternehmen gehört, geht es vor allem darum, administrative Kontrolle, Wissen und Verantwortlichkeiten sauber vom bisherigen auf den neuen Dienstleister zu übertragen.

Die wichtigsten Fragen lauten deshalb nicht nur „Funktioniert Outlook?“, sondern: Wer kann den Mandanten unabhängig administrieren? Wer kontrolliert Domain und DNS? Welche Partner und Anwendungen haben Zugriff? Wie werden Lizenzen bezogen? Und sind Sicherheitsregeln sowie Sonderkonfigurationen dokumentiert?

Wer diese Punkte vor dem Entzug alter Zugänge klärt, reduziert das Risiko von Aussperrungen, Mailproblemen und später entdeckten Abhängigkeiten erheblich.

Wenn Sie Ihre Microsoft-365-Umgebung in Berlin oder Brandenburg von einem anderen IT-Dienstleister übernehmen lassen möchten, können wir den bestehenden Mandanten zunächst strukturiert prüfen und einen Übergabepfad festlegen. Sprechen Sie uns dazu unverbindlich an.