Berechtigungen in Microsoft 365 sauber halten

Nach zwei Jahren Microsoft 365 sieht es in den meisten Unternehmen ähnlich aus: Es gibt mehr Teams als Abteilungen, mehrere Ablagen für dieselben Dokumente und Freigaben, deren Ursprung niemand mehr kennt. Das ist kein technisches Problem — es ist die Folge fehlender Zuständigkeit.

Dieser Beitrag beschreibt ein Berechtigungskonzept, das im Alltag gepflegt werden kann. Nicht das strengste, sondern das, das nach einem Jahr noch gilt.

1. Bestand aufnehmen

Am Anfang steht eine Übersicht, die vier Fragen beantwortet:

• Welche Teams und SharePoint-Websites existieren?
• Wer ist jeweils Besitzer — und ist diese Person noch im Unternehmen?
• Welche Freigaben gehen nach außen, an wen, seit wann?
• Wo liegen Dokumente mehrfach?

Diese Aufnahme ist selten angenehm, aber sie ist die Grundlage jeder weiteren Entscheidung. Ohne sie wird ein Konzept auf einen Zustand geschrieben, den niemand kennt.

2. Über Gruppen steuern, nicht über Personen

Berechtigungen werden über Gruppen vergeben. Das bedeutet mehr Aufwand bei der Einrichtung und deutlich weniger im Betrieb — vor allem beim Ein- und Austritt von Mitarbeitern.

• Eine Gruppe pro Rolle, nicht pro Person und nicht pro Projekt-Ausnahme
• Direktberechtigungen für einzelne Benutzer als Ausnahme behandeln und dokumentieren
• Beim Austritt wird die Gruppenmitgliedschaft entfernt, nicht das Postfach durchsucht

Die Praxis, „schnell mal" einer Person Zugriff auf einen Ordner zu geben, ist der Hauptgrund, warum Berechtigungsstrukturen nach zwei Jahren nicht mehr nachvollziehbar sind.

3. Pro Team ein benannter Besitzer

Jedes Team und jede Website braucht eine verantwortliche Person — idealerweise zwei, damit Urlaub und Wechsel abgedeckt sind. Der Besitzer entscheidet über Mitglieder und Freigaben. Teams ohne Besitzer sind der Regelfall für verwaiste Ablagen: Sie werden nicht gelöscht, weil niemand entscheiden darf, und nicht gepflegt, weil niemand zuständig ist.

4. Externe Freigaben begrenzen

Externe Zusammenarbeit ist notwendig, dauerhafte externe Zugriffe sind es selten. Drei Regeln genügen in den meisten Unternehmen:

• Freigaben mit Ablaufdatum versehen
• Freigabelinks personenbezogen statt „für alle mit dem Link" vergeben
• Nach Projektende die Freigabe entfernen, nicht nur den Ordner umbenennen

Die Konfigurationsmöglichkeiten dazu beschreibt Microsoft in der SharePoint-Dokumentation zur externen Freigabe.

5. Ablage einmal entscheiden

Was in OneDrive gehört, was in ein Team und was in eine SharePoint-Website, wird einmal festgelegt und kommuniziert. Ohne diese Entscheidung wandern Dokumente dorthin, wo gerade Platz ist — und liegen anschließend dreifach vor.

• OneDrive: persönliche Arbeitsdateien, Entwürfe, nichts Gemeinsames
• Teams: laufende Zusammenarbeit einer festen Gruppe
• SharePoint: abteilungs- oder unternehmensweite Ablage mit längerer Lebensdauer

Die häufigste Fehlnutzung ist geteilte Arbeit im OneDrive einer Person. Verlässt diese Person das Unternehmen, ist die Ablage weg.

6. Regelmäßig prüfen

Ein halbjährlicher Durchgang genügt in den meisten Unternehmen — vorausgesetzt, jemand ist dafür zuständig und hat den Termin im Kalender:

• Externe Freigaben: noch aktuell?
• Teams ohne Aktivität in sechs Monaten: archivieren oder löschen?
• Teams ohne Besitzer: neu zuweisen
• Direktberechtigungen: noch begründet?

7. Dokumentieren

Das Konzept wird schriftlich festgehalten — welche Gruppen es gibt, wer sie pflegt, wie eine neue Ablage angelegt wird. Zwei Seiten genügen. Ein Konzept im Kopf einer Person ist kein Konzept, sondern ein Risiko mit Urlaubsanspruch.