In kleinen Firmen ist das erste Microsoft-Konto oft gleichzeitig Geschäftsführung, Postfach und globaler Administrator. Das ist bei der Einrichtung bequem und im Alltag der kürzeste Weg, einen ganzen Mandanten zu verlieren. Eine Mail mit einem präparierten Anhang läuft dann mit denselben Rechten, mit denen man Benutzer löschen und Weiterleitungen setzen kann.

Ein Konto, das alles darf und alles öffnet

Das Muster wiederholt sich auf Firewalls, Hypervisoren und beim Domain-Registrar. Überall heißt der Benutzer „admin“ oder schlicht der Name der Inhaberin, und das Kennwort steht zusätzlich im Chat. Ein zweiter Mensch kann nicht helfen, ohne dasselbe Konto zu benutzen. Fällt die Person aus, fällt auch der einzige Schlüssel aus.

Der ruhige Aufbau kennt drei Dinge. Ein normales Konto für Mail und Dateien, ohne Admin-Rechte. Ein eigenes Admin-Konto ohne Postfach, nur für die Verwaltung, mit zweitem Faktor. Ein Notfallkonto, dessen Kennwort nicht täglich benutzt wird und an zwei Personen im Tresor liegt. Die Betreuung bekommt ein eigenes Admin-Konto, das Sie entziehen können, wenn der Vertrag endet.

Alltagsmail, Admin-Konto und ein Notfallkonto

  1. Trennen. Alltagsmail von der Rolle „Globaler Administrator“ lösen.
  2. Faktor. Zweiten Faktor nur am Admin-Konto erzwingen, bevor die Rolle umzieht.
  3. Notfall. Ein Break-Glass-Konto ohne tägliche Mail, Kennwort im Firmentresor, mit Vertretung.
  4. Namen. Kein Konto „admin“, das in jedem Ratgeber als Erstes probiert wird.
  5. Partner. Eigene Konten für den Dienstleister, keine Weitergabe Ihres persönlichen Kontos.

Wir legen diese Konten an und entfernen die Dauerrechte vom Alltagskonto, sobald der zweite Faktor funktioniert. Vorher nicht, sonst sperren wir Sie aus dem eigenen Mandanten aus.

Woran Projekte in der Praxis scheitern

  • Das Admin-Kennwort per Mail an den neuen Dienstleister schicken.
  • Den zweiten Faktor auf eine einzelne private Handynummer legen, die niemand sonst entsperren kann.
  • Das Notfallkonto für die tägliche Arbeit benutzen, bis es genauso exponiert ist.
  • Dienstkonten von Scannern mit Global-Admin-Rechten laufen lassen, weil die Einrichtung dann nicht meckert.

Beispiel aus dem Betriebsalltag

Ein Mandant mit 40 Postfächern hing an einem Konto, das auch die private Mail der Geschäftsführung war. Nach der Trennung las sie weiter im gewohnten Postfach. Das Admin-Konto wird nur geöffnet, wenn Lizenzen oder Regeln geändert werden, und verlangt den zweiten Faktor. Ein Notfallkennwort liegt im Tresor, zusammen mit dem Hinweis, wann es benutzt werden darf. Der Scanner, der bisher als Administrator sendete, hat ein Konto ohne Rollen und darf nur über den dafür gebauten Connector.

Kurze Entscheidungshilfe

  • Kann das Alltagskonto noch globale Einstellungen ändern?
  • Gibt es ein Notfallkonto, das zwei Personen erreichen?
  • Hat der Dienstleister ein eigenes Konto statt Ihres persönlichen?
  • Hängt ein zweiter Faktor am Admin-Konto, nicht nur an der Mail?

Wenn getrennte Administratorkonten bei Ihnen ansteht, klären wir den Umfang unverbindlich: Microsoft 365. Admin-Rechte sparsam vergeben Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.