Microsoft 365 im Mittelstand einführen: die ersten 90 Tage

Microsoft 365 lässt sich in einem Nachmittag buchen. Genau das ist das Problem: Die Einrichtung beginnt, bevor jemand entschieden hat, wie gearbeitet werden soll. Zwei Jahre später gibt es dann mehr Teams als Abteilungen, dieselben Dokumente an drei Stellen und Berechtigungen, die niemand begründen kann.

Für Unternehmen mit 10 bis 250 Arbeitsplätzen hat sich eine Reihenfolge über drei Monate bewährt. Nicht weil die Technik so lange braucht, sondern weil die Entscheidungen Zeit brauchen.

Tag 1 bis 30: entscheiden, nicht einrichten

Der erste Monat gehört drei Festlegungen, die später nur mit Aufwand zu korrigieren sind.

Lizenzmodell nach Nutzertypen

Nicht jeder braucht denselben Plan. Verwaltung, Vertrieb und Produktion arbeiten unterschiedlich, und der Unterschied ist bezifferbar. Wer allen dasselbe gibt, zahlt monatlich für ungenutzte Funktionen — was den Kostenblock treibt, steht im Beitrag Was Microsoft 365 kostet.

Namenskonventionen

Wie heißen Benutzerkonten, Gruppen, Teams und SharePoint-Websites? Diese Frage klingt nebensächlich und ist die wirksamste Einzelentscheidung des Projekts. Ohne Konvention entstehen innerhalb eines Jahres Gruppen mit ähnlichem Namen und unterschiedlichem Inhalt.

Ablagekonzept

Was gehört in OneDrive, was in ein Team, was in eine SharePoint-Website? Diese Entscheidung wird einmal getroffen und kommuniziert. Wird sie übersprungen, wandern Dokumente dorthin, wo gerade Platz ist — und liegen danach dreifach vor.

• OneDrive: persönliche Arbeitsdateien und Entwürfe
• Teams: laufende Zusammenarbeit einer festen Gruppe
• SharePoint: abteilungsweite Ablage mit längerer Lebensdauer

Tag 31 bis 60: Postfächer, Sicherheit, Geräte

Erst jetzt beginnt die technische Umsetzung — mit den Entscheidungen aus Monat eins im Rücken.

• Postfächer: Migration nach dem passenden Weg. Bis etwa 50 Postfächer genügt ein Cutover-Wochenende; die Wege vergleicht der Beitrag Exchange Server ablösen.
• Sicherheit: MFA für alle Konten, administrative Rechte von Alltagskonten trennen, veraltete Anmeldeverfahren blockieren.
• DNS und Mailflow: SPF vervollständigen, DKIM aktivieren, DMARC zunächst im Berichtsmodus setzen.
• Geräte: Outlook-Profile, Mobilgeräte, Multifunktionsgeräte und alles, was per SMTP versendet — die häufigste Ursache für Störungen nach dem Umschalten.

Die Sicherheit gehört bewusst in diesen Monat und nicht später. Nachträglich MFA einzuführen ist derselbe Aufwand, erzeugt aber zusätzlich Widerstand, weil die Belegschaft sich schon eingerichtet hat.

Tag 61 bis 90: Zusammenarbeit und Übergabe

Der dritte Monat entscheidet, ob die Umgebung gepflegt wird oder wächst.

• Teams aufsetzen nach der Konvention aus Monat eins, mit zwei Besitzern je Team und einer festgelegten Anlageregel
• Dateiablage überführen — mit neu gesetzten Berechtigungen über Gruppen statt übernommenen Einzelfreigaben
• Berechtigungskonzept schriftlich festhalten, drei bis fünf Seiten genügen (Vorlage in sechs Schritten)
• Einweisung: eine halbe Stunde pro Team, plus eine einseitige Anleitung
• Zuständigkeit benennen: eine Person im Haus, ein externer Ansprechpartner, ein halbjährlicher Prüftermin im Kalender

Die vier häufigsten Versäumnisse

Aus den Projekten, in die wir nachträglich gerufen werden, wiederholen sich vier Muster:

• Kein Ablagekonzept. Die Struktur ist gewachsen, niemand weiß, welche Version gilt.
• Berechtigungen einzeln vergeben. Beim ersten Personalwechsel ist nicht mehr nachvollziehbar, wer worauf zugreift.
• Jeder darf Teams anlegen. Nach einem Jahr existieren Teams für einzelne Besprechungen, ohne Besitzer und ohne Aktivität.
• Niemand ist zuständig. Ohne benannte Person und festen Termin veraltet jede Konfiguration leise.

Alle vier sind Organisationsfragen, keine technischen. Genau deshalb fallen sie durch, wenn die Einführung als IT-Projekt behandelt wird.

Wenn keine eigene IT-Abteilung da ist

In vielen Unternehmen dieser Größe gibt es niemanden, dessen Aufgabe Microsoft 365 ist — es macht jemand mit, neben seiner eigentlichen Arbeit. Das funktioniert, wenn zwei Dinge geregelt sind: Diese Person ist offiziell zuständig und hat dafür Zeit im Kalender, und es gibt einen externen Ansprechpartner für alles, was darüber hinausgeht.

Was nicht funktioniert, ist eine Zuständigkeit, die niemand ausgesprochen hat.

Was bleibt

Erst 30 Tage entscheiden — Lizenzmodell, Namenskonventionen, Ablagekonzept. Dann 30 Tage umsetzen: Postfächer, Sicherheit, Geräte. Dann 30 Tage ordnen: Teams, Ablage, Berechtigungskonzept, Zuständigkeit. Die Technik ist der kürzere Teil. Was drei Jahre hält, sind die Entscheidungen aus dem ersten Monat.