Ein Microsoft-365-Tenant sammelt über Jahre Gäste, Postfachregeln, Enterprise-Apps und Admin-Rollen, die zu einem Projekt gehörten und nie zurückgebaut wurden. Das Aufräumen ist kein Redesign. Es ist eine befristete Inventur, bei der jedes Konto mit globalen Rechten, jede Weiterleitung nach außen und jede Website ohne Eigentümer eine Entscheidung bekommt: behalten, einschränken oder entfernen.
Welche Reste im Tenant niemand mehr zuordnen kann
Gefährlich sind die stillen Wege. Eine Transportregel oder eine Postfachregel schickt Kopien an eine private Adresse, ein ehemaliger Praktikant ist noch Gast in einem Team mit Angeboten, eine Agentur hat vor zwei Jahren einer App zugestimmt, die Postfächer lesen darf. Nichts davon erzeugt ein Ticket, solange der Alltag läuft. Sichtbar wird es, wenn Daten außerhalb ankommen oder eine Anmeldung aus einem unerwarteten Land auftaucht.
Parallel dazu kosten ungenutzte Lizenzen Geld und verdecken den echten Bedarf. Websites abgeschlossener Projekte bleiben beschreibbar, ihre Besitzerkonten sind deaktiviert, und neue Mitarbeiter kopieren alte Berechtigungen, weil niemand den Mut hat, eine Bibliothek nur noch lesbar zu stellen. Aufräumen heißt hier, Eigentümer zu ersetzen, bevor Konten gelöscht werden, sonst stehen Bibliotheken ohne Besitzer da.
Rollen, Regeln, Gäste und Lizenzen in einer Runde
- Rollen. Globale Administratoren, Exchange-, SharePoint- und Anwendungsadmins werden Personen zugeordnet. Konten ohne Person werden entfernt oder durch benannte Konten ersetzt.
- Regeln. Postfachregeln und Transportregeln, die nach außen senden, werden einzeln gelesen. Was niemand erklären kann, wird abgeschaltet und notiert.
- Gäste. Jeder Gast braucht einen aktuellen internen Eigentümer und ein Team oder eine Website. Gäste ohne Gegenstelle werden entfernt.
- Apps. Zustimmungen zu Anwendungen werden gelesen. Apps ohne bekannten Zweck verlieren den Zugriff, statt im Tenant weiter Postfächer sehen zu dürfen.
- Reste. Deaktivierte Lizenzen, Websites ohne Besitzer und ungenutzte Domains bekommen eine Entscheidung. Löschen folgt erst, wenn ein Eigentümer bestätigt, dass nichts mehr gebraucht wird.
Wir ändern in dieser Runde keine Fachstruktur der Warenwirtschaft und schalten nicht nebenbei bedingten Zugriff scharf. Beides wäre ein eigenes Vorhaben. Der Aufräumtermin endet mit einer kurzen Liste: entfernt, behalten, später. Was später ist, bekommt ein Datum, sonst wird es der nächste Altlastenhaufen.
Woran Projekte in der Praxis scheitern
- Globale Admins löschen, bevor ein zweites handlungsfähiges Administratorkonto geprüft ist.
- Alle Gäste an einem Tag entfernen und damit die externe Buchhaltung aussperren.
- Weiterleitungen nur im Postfach suchen und Transportregeln übersehen.
- Websites löschen, deren einziger Besitzer schon deaktiviert ist, ohne den Inhalt zu sichten.
Beispiel aus dem Betriebsalltag
Bei einer Spedition in Niederösterreich fiel in der Nachrichtenverfolgung auf, dass jede ausgehende Rechnung zusätzlich an eine private Mailadresse ging. Die Regel stammte von einer früheren Buchhalterin und war als „Kopie für mich“ angelegt worden. Wir haben die Regel entfernt, die letzten Wochen auf weitere externe Ziele geprüft und anschließend drei Globaladmins auf benannte Rollen reduziert. Die Agentur, die nur einen DNS-Eintrag brauchte, verlor den Dauerzugang und bekam ein befristetes Konto für den nächsten konkreten Auftrag.
Kurze Entscheidungshilfe
- Ist jedes Globaladmin-Konto einer Person und einem Zweck zugeordnet?
- Gibt es eine Liste externer Weiterleitungen mit Entscheidung?
- Hat jeder verbliebene Gast einen internen Ansprechpartner?
- Wurden App-Zustimmungen gelesen, nicht nur die Benutzerliste?
Wenn das Aufräumen eines gewachsenen Tenants bei Ihnen ansteht, klären wir den Umfang unverbindlich: Microsoft 365 und Cloud. Gäste und externe Freigaben Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.