Postfachberechtigungen in Exchange Online einrichten

Ein Mitarbeiter soll auf das Postfach info@ zugreifen. Die Berechtigung wird gesetzt, das Postfach erscheint in Outlook, alles scheint zu funktionieren — bis die erste Antwort geschrieben werden soll und der Versand fehlschlägt. Oder umgekehrt: Die Antwort geht raus, aber unter dem Namen des Mitarbeiters statt unter info@.

Ursache ist fast immer dieselbe: Exchange kennt drei verschiedene Berechtigungen, und die Aufgaben sind nicht dieselbe.

Die drei Berechtigungen

Vollzugriff

Erlaubt, das Postfach zu öffnen, Nachrichten zu lesen, zu bearbeiten, zu verschieben und zu löschen. Erlaubt kein Senden. Das ist der Punkt, an dem die meiste Verwirrung entsteht: Der Zugriff funktioniert vollständig, der Versand nicht.

Senden als

Die Nachricht geht unter der Adresse des fremden Postfachs raus. Für den Empfänger ist nicht erkennbar, wer sie tatsächlich geschrieben hat. Richtig für Funktionsadressen wie info@ oder buchhaltung@, wo der Absender die Funktion ist und nicht die Person.

Senden im Auftrag

Die Nachricht zeigt beide: Meier im Auftrag von Schmidt. Richtig für persönliche Vertretung — Assistenz, Urlaubsvertretung, Sekretariat. Falsch für Funktionspostfächer, weil dort niemand wissen muss, wer geantwortet hat.

Welche Kombination wofür

• Funktionspostfach (info@, support@): Vollzugriff + Senden als
• Persönliche Vertretung: Vollzugriff + Senden im Auftrag
• Nur Einsicht (Revision, Übergabe): Vollzugriff allein, kein Senderecht
• Nur Versand (Fachanwendung mit Funktionsadresse): Senden als allein, ohne Vollzugriff

Der letzte Fall wird selten genutzt und ist der saubere Weg, wenn eine Anwendung unter einer Funktionsadresse versenden soll, ohne Zugriff auf deren Postfach zu brauchen.

Automatische Zuordnung — und wann sie stört

Wird Vollzugriff vergeben, erscheint das Postfach bei den betroffenen Personen automatisch in Outlook. Das ist bequem und in zwei Fällen unerwünscht:

• Bei vielen Berechtigten wird das Outlook-Profil groß und langsam
• Wenn Zugriff nur im Bedarfsfall gedacht ist, soll das Postfach nicht dauerhaft sichtbar sein

In diesen Fällen wird die automatische Zuordnung beim Vergeben abgeschaltet; die Berechtigten öffnen das Postfach dann bewusst als zusätzliches Konto. Wichtig ist, dass die Entscheidung getroffen und dokumentiert wird — nachträgliches Umstellen erfordert, die Berechtigung neu zu setzen.

Über Gruppen, nicht über Personen

Dies ist die Regel, deren Verletzung am teuersten wird. Exchange erlaubt, jede Berechtigung einzeln an eine Person zu vergeben — und genau das erzeugt den Zustand, in dem nach zwei Personalwechseln niemand mehr sagen kann, wer auf welches Postfach zugreift.

• Eine Gruppe pro Funktionspostfach, etwa MBX-Buchhaltung-Zugriff
• Berechtigung wird der Gruppe gegeben, Personen werden Mitglieder
• Beim Positionswechsel ändert sich die Gruppenzugehörigkeit — nicht eine Liste einzelner Rechte
• Direktberechtigungen sind dokumentierte Ausnahmen mit Begründung

Wie das in ein Gesamtkonzept passt, beschreibt der Beitrag Berechtigungskonzept Exchange erstellen.

Kalenderfreigaben getrennt betrachten

Kalenderrechte sind von den Postfachrechten unabhängig — Vollzugriff auf ein Postfach bedeutet nicht automatisch das gewünschte Kalenderrecht, und umgekehrt.

• Frei/Gebucht: nur Belegung sichtbar, keine Betreffzeilen. Der sinnvolle Standard für das ganze Unternehmen.
• Details: Betreff und Ort sichtbar. Für Teams, die sich untereinander abstimmen.
• Bearbeiten: Termine anlegen und ändern. Für Assistenz und Sekretariat.
• Stellvertretung: Bearbeiten plus Einladungen im Namen der Person annehmen.

Der letzte Punkt ist häufig gemeint, wenn von Kalenderfreigabe gesprochen wird, und wird selten korrekt gesetzt: Ohne Stellvertretung landen Terminanfragen weiter im Postfach der vertretenen Person.

Shared Mailbox statt geteiltem Konto

Ein wiederkehrender Fund bei Bestandsaufnahmen: ein Benutzerkonto, dessen Kennwort mehrere Personen kennen, weil es als gemeinsames Postfach genutzt wird. Das ist keine Berechtigungsfrage, sondern ein Sicherheitsproblem — MFA lässt sich so nicht sinnvoll betreiben, und nachvollziehbar ist es auch nicht.

Ein Shared Mailbox löst das: kein eigenes Kennwort, keine Lizenz, Zugriff über die Berechtigungen der eigenen Konten. Jede Handlung bleibt der handelnden Person zuordenbar.

Was halbjährlich geprüft wird

• Postfächer mit Direktberechtigungen neben den Gruppen
• Berechtigungen von Personen, die die Abteilung gewechselt haben
• Verbliebene geteilte Benutzerkonten
• Stellvertretungen, deren Anlass abgelaufen ist
• Weiterleitungsregeln in Funktionspostfächern — auch ein Sicherheitsthema

Was bleibt

Vollzugriff erlaubt kein Senden. Senden als für Funktionen, Senden im Auftrag für Personen. Kalenderrechte separat setzen, Stellvertretung nicht vergessen. Geteilte Konten durch Shared Mailboxes ersetzen. Und alles über Gruppen — sonst ist die Struktur nach zwei Jahren nicht mehr erklärbar.