Benutzer und Lizenzen in Entra ID wirken wie Verwaltungskram, bis zwei neue Mitarbeiter keine Mail haben und zwölf deaktivierte Konten weiterhin ein Abo belegen. In gewachsenen Tenants wurde jedes Konto von Hand angelegt, mal mit Nachname zuerst, mal mit einer Privatadresse als Anmeldename. Eine Gruppenzuweisung und ein schriftlicher Austritt machen den Zustand prüfbar, ohne jedes Mal das Admin-Portal zu durchsuchen.

Wo Konten und Abos auseinanderlaufen

Fehlt ein Namensschema, entstehen Dubletten, sobald jemand aus einer lokalen Domäne synchronisiert wird und parallel ein Cloud-Konto existiert. Die Person hat dann zwei Identitäten, Lizenzen liegen auf der falschen, und SharePoint-Rechte zeigen auf das Konto, mit dem sich niemand mehr anmeldet. Das fällt nicht beim Anlegen auf, sondern wenn die Stellvertretung auf ein Postfach nicht funktioniert.

Lizenzen sind an Funktionen gebunden, nicht an Hierarchie. Wer nur Exchange im Browser braucht, muss nicht dasselbe Paket tragen wie jemand mit Desktop-Apps, Intune und bedingtem Zugriff. Pakete stellt Microsoft um; deshalb lesen wir die enthaltenen Dienste im konkreten Tenant, statt eine alte Preisliste als Wahrheit zu behandeln. Gemeinsame Postfächer brauchen oft kein eigenes Abo, solange niemand sich direkt dort anmeldet und die Größen- und Archivgrenzen eingehalten werden.

Gruppen, Namensregeln und ein fester Austritt

  1. Namensschema. Anmeldename, Anzeigename und Mailadresse folgen einer Regel, inklusive Umlaute und Doppelnamen. Bestehende Ausreißer werden umbenannt, bevor neue Konten dazukommen.
  2. Quelle. Entweder kommt die Identität aus dem lokalen Active Directory oder sie wird in der Cloud gepflegt. Beides parallel ohne Abgleich erzeugt Dubletten.
  3. Gruppen. Pro Lizenzpaket gibt es eine Gruppe, die das Abo trägt. Mitgliedschaft ist die einzige normale Art, eine Lizenz zu bekommen.
  4. Austritt. Sperren, Zugriff übergeben, Postfach entscheiden, Lizenz zeitlich nach der Aufbewahrung entfernen. Der Schritt steht in derselben Checkliste wie die Schlüsselrückgabe.
  5. Kontrolle. Einmal im Monat die Gruppe gegen die Personalliste und gegen deaktivierte Konten halten. Differenzen werden im selben Termin bereinigt.

Der Austritt ist der Test der Lizenzpflege. Konto sperren, Weiterleitung nur befristet, Postfach in ein gemeinsames Postfach überführen, wenn die Adresse bleiben soll, Lizenz erst entfernen, wenn kein Archiv und keine Aufbewahrung mehr daran hängt. Diese Reihenfolge verhindert, dass Mail verschwindet, nur weil jemand schnell aufräumen wollte.

Woran Projekte in der Praxis scheitern

  • Für jede neue Person ein Konto nach Gefühl benennen und die Lizenz einzeln durchklicken.
  • Deaktivierte Benutzer mit Lizenz stehen lassen, „falls man das Postfach noch braucht“.
  • Ein gemeinsames Passwort für office@ als normales Benutzerkonto führen.
  • Lokale Active-Directory-Konten und reine Cloud-Konten für dieselbe Person nebeneinander betreiben.

Beispiel aus dem Betriebsalltag

Eine Steuerberatung in Wien vergab Lizenzen einzeln. Beim Monatscheck hingen elf Abos an Konten von Personen, die das Büro verlassen hatten, während zwei Berufsanwärter seit einer Woche mit einem privaten Weiterleitungskonto arbeiteten. Wir haben die aktiven Rollen in drei Gruppen sortiert, die deaktivierten Konten nach Prüfung der Postfächer von den Lizenzen gelöst und die Anmeldung der gemeinsamen Kanzleiadresse abgeschaltet. Die nächste Einstellung war nur noch eine Gruppenmitgliedschaft und ein Postfach, kein Portal-Klick pro Dienst.

Kurze Entscheidungshilfe

  • Entsteht ein neues Konto nur noch nach einer geschriebenen Namensregel?
  • Hängt jede produktive Lizenz an einer Gruppe?
  • Ist der Austritt so beschrieben, dass die Lizenz nicht vor dem Postfach verschwindet?
  • Gibt es eine monatliche Gegenprobe mit der Personalliste?

Wenn Benutzer und Lizenzen in Entra ID bei Ihnen ansteht, klären wir den Umfang unverbindlich: Microsoft 365 und Cloud. Admin-Rechte knapp vergeben Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.