Microsoft 365 · Gruppen und Teams
Hinter jedem Team in Microsoft Teams steht eine Microsoft 365-Gruppe mit eigener SharePoint-Website, eigenem Postfach und eigenem Planner. Microsoft 365 Gruppen Governance entscheidet deshalb nicht über Ordnung im Adressbuch, sondern darüber, wie viele Datenräume entstehen, wem sie gehören und wann sie wieder verschwinden. Im Auslieferungszustand darf jeder Benutzer Gruppen anlegen, keine Gruppe läuft ab, und Gäste lädt der Besitzer ein, wann er will.
Wer in Teams auf "Team erstellen" klickt, legt nicht nur einen Chatraum an. Es entsteht eine Gruppe in Entra ID, eine SharePoint-Website mit Dokumentbibliothek, ein Gruppenpostfach und ein Kalender. Alles, was dort abgelegt wird, ist für die Mitglieder sichtbar, und mit Microsoft 365 Copilot auch auffindbar.
Drei Dinge passieren in fast jedem gewachsenen Tenant gleichzeitig. Die Zahl der Gruppen steigt, weil Anlegen nichts kostet. Besitzer wechseln die Abteilung oder verlassen das Unternehmen, und die Gruppe bleibt ohne Verantwortlichen zurück. Und Gäste, die für ein Projekt eingeladen wurden, behalten ihren Zugriff lange nach Projektende.
Für ein Audit ist das relevant, weil Zugriffskonzepte und Informationsklassifizierung in ISO 27001, BSI IT-Grundschutz und NIS2 gefordert sind. Eine Gruppe, deren Zweck, Besitzer und Lebensdauer niemand kennt, ist eine Ausnahme vom Zugriffskonzept. Bei einigen hundert Gruppen ist das keine Ausnahme mehr, sondern der Normalzustand.
Baustein 1
Sie können die Erstellung von Microsoft 365-Gruppen auf die Mitglieder einer einzigen Gruppe beschränken. Gesetzt wird das über die Verzeichniseinstellung Group.Unified mit den Werten EnableGroupCreation und GroupCreationAllowedGroupId, per Microsoft Graph PowerShell (Beta-Modul). Die Einschränkung wirkt auf alle Dienste, die Gruppen anlegen: Outlook, SharePoint, Teams, Planner, Viva Engage. Bestimmte Adminrollen können weiterhin Gruppen erstellen.
Microsoft empfiehlt ausdrücklich, die Erstellung offen zu lassen, und nennt als Mittelweg eine Schulung, nach der Benutzer in die berechtigte Gruppe aufgenommen werden. Das ist auch mein Vorschlag für regulierte Häuser: kein Totalverbot, das Schatten-IT erzeugt, sondern eine kurze Einweisung in Namen, Besitzer und Gäste, danach die Freigabe. Lizenz: Entra ID P1 für den konfigurierenden Admin und die Mitglieder der berechtigten Gruppe.
Aus meinen Checks: In den meisten Tenants darf noch jeder Gruppen anlegen. Wie viele Teams es gibt und wofür sie da sind, kann dann kaum jemand beantworten.
Prüferblick: Die Frage lautet nicht, ob Benutzer Teams anlegen dürfen, sondern nach welcher Regel. Eine offene Erstellung mit dokumentierter Einweisung ist vertretbar. Eine offene Erstellung ohne jede Regel ist ein Befund.
Baustein 2
Die Benennungsrichtlinie finden Sie im Entra Admin Center unter Gruppen, Alle Gruppen, Benennungsrichtlinie. Präfixe und Suffixe können feste Zeichenfolgen sein oder Attribute des Erstellers wie [Department] oder [Company]. Zusammen mit dem Gruppennamen sind 63 Zeichen erlaubt. Dazu kommt eine Liste von bis zu 5.000 blockierten Wörtern, die nur bei exakter Übereinstimmung greifen.
Die Richtlinie gilt in allen Workloads für neu erstellte Gruppen und für bestehende Gruppen, sobald deren Name bearbeitet wird. Globale Administratoren und Benutzeradministratoren sind ausgenommen. Lizenz: Entra ID P1 für alle Mitglieder von Microsoft 365-Gruppen, zuweisen müssen Sie sie nicht. Ein Präfix wie "EXT_" für Gruppen mit externen Partnern macht sichtbar, wo Gäste zu erwarten sind.
Aus meinen Checks: Eine Benennungsrichtlinie ist selten gesetzt. Gruppen heißen dann "Projekt", "Test" oder "Neues Team", und niemand kann am Namen erkennen, ob vertrauliche Daten darin liegen.
Prüferblick: Der Prüfer zieht eine Liste aller Gruppen. Wenn sich aus Namen und Beschreibung weder Zweck noch Abteilung ablesen lassen, folgt die Frage nach dem Gruppenverzeichnis, und das gibt es meistens nicht.
Baustein 3
Die Ablaufrichtlinie legen Sie unter Gruppen, Alle Gruppen, Ablaufdatum fest. Sie bestimmen die Lebensdauer in Tagen (mindestens 30), eine E-Mail-Adresse für Gruppen ohne Besitzer und ob alle, ausgewählte (bis 500) oder keine Gruppen ablaufen. Pro Tenant gibt es genau eine Ablaufrichtlinie.
Aktive Gruppen verlängern sich selbst: Dateien in SharePoint ansehen oder bearbeiten, Gruppennachrichten in Outlook, ein besuchter Teams-Kanal oder ein gelesener Beitrag in Viva Engage reichen aus. Für inaktive Gruppen bekommen die Besitzer 30, 15 und einen Tag vor Ablauf eine Erinnerung. Ohne Verlängerung wird die Gruppe einen Tag nach Ablauf gelöscht und lässt sich 30 Tage lang wiederherstellen. Inhalte unter einer Aufbewahrungsrichtlinie bleiben erhalten.
Aus meinen Checks: Die Ablaufrichtlinie ist meist nicht aktiv, oft aus Sorge, dass Daten verloren gehen. Mit Aufbewahrungsrichtlinie und automatischer Verlängerung ist diese Sorge unbegründet.
Prüferblick: Löschkonzepte nach DSGVO gelten auch für Teams. Eine Gruppe, die seit Jahren niemand benutzt, aber noch personenbezogene Daten enthält, ist im Datenschutz-Audit kein Archiv, sondern ein Verstoß gegen die Speicherbegrenzung.
Baustein 4
Im Microsoft 365 Admin Center unter Einstellungen, Organisationseinstellungen, Dienste, Microsoft 365-Gruppen aktivieren Sie die Option "Wenn kein Besitzer vorhanden ist, E-Mail senden und aktive Gruppenmitglieder bitten, Besitzer zu werden". Die Richtlinie schreibt die aktivsten Mitglieder wöchentlich an, bis zu zwei können die Besitzerrolle annehmen. Über "Richtlinie konfigurieren" legen Sie Anzahl der Mitglieder, Dauer in Wochen, Absender und Zielgruppen fest.
Nimmt niemand an, endet die Richtlinie, und ein Admin muss einen Besitzer zuweisen. Welche Gruppen besitzerlos geblieben sind, zeigt die Überwachung im Purview-Portal mit der Aktivität "Unbeaufsichtigte besitzerlose Gruppe". Ergänzend gilt als Regel: jede Gruppe mit mindestens zwei Besitzern.
Aus meinen Checks: Gruppen mit nur einem Besitzer sind die Regel. Verlässt diese Person das Haus, verwaltet niemand mehr Mitglieder und Gäste.
Prüferblick: Ein Zugriffskonzept braucht für jede Ressource einen Verantwortlichen. Eine besitzerlose Gruppe mit Gästen ist genau die Konstellation, in der niemand einen Zugriff entzieht.
Baustein 5
Vertraulichkeitsbezeichnungen mit dem Bereich "Gruppen und Websites" steuern nicht Dokumente, sondern den Container. Sie legen fest, ob eine Gruppe öffentlich oder privat ist, ob Besitzer Gäste hinzufügen dürfen und welche externe Freigabe die zugehörige SharePoint-Website zulässt. Damit Labels beim Anlegen von Teams auswählbar sind, muss die Label-Unterstützung für Gruppen im Tenant aktiviert sein.
Drei Stufen reichen meist: intern ohne Gäste, Projekt mit Gästen, vertraulich ohne Gäste und ohne externe Freigabe. Die Auswahl beim Anlegen ersetzt eine Gastregel, die sonst in einer Richtlinie steht und niemand liest.
Aus meinen Checks: Container-Labels sind selten im Einsatz. Ob ein Team Gäste aufnehmen darf, entscheidet dann jeder Besitzer allein.
Prüferblick: Der Prüfer fragt, wie verhindert wird, dass vertrauliche Daten in einem Team mit externen Mitgliedern landen. Ein Label, das Gäste technisch ausschließt, ist eine Kontrolle. Eine Schulungsfolie ist keine.
Baustein 6
Die letzten fünf Bausteine verhindern Wildwuchs. Bestehende Zugriffe räumen sie nicht auf. Dafür gibt es Zugriffsüberprüfungen in Entra ID, etwa als wiederkehrende Überprüfung "Alle Microsoft 365-Gruppen mit Gastbenutzern", bei der die Gruppenbesitzer jeden Gast bestätigen oder entfernen. Wie Sie das aufsetzen, beschreibe ich in Zugriffsüberprüfungen in Entra ID einrichten.
Vor einem Copilot-Rollout lohnt der Blick auf die großen, offenen Gruppen zuerst. Wie das zusammen mit SharePoint-Freigaben aussieht, steht in SharePoint Oversharing vor Copilot beheben.
Aus meinen Checks: Gäste bleiben meist so lange in einer Gruppe, bis jemand zufällig über sie stolpert. Eine regelmäßige Überprüfung gibt es selten.
Prüferblick: "Wann wurde der Zugriff dieses Gastes zuletzt bestätigt?" Ohne Überprüfung lautet die ehrliche Antwort: bei der Einladung.
Microsoft 365 Gruppen Governance ist kein Projekt mit Abschlussdatum, sondern eine Handvoll Einstellungen, die einmal gesetzt werden und dann im Hintergrund wirken. Benennung, Ablauf und die Richtlinie für besitzerlose Gruppen sind in einem Tag eingerichtet. Container-Labels und Zugriffsüberprüfungen brauchen etwas Abstimmung mit Fachbereichen und Datenschutz.
Wer die Bausteine in dieser Reihenfolge umsetzt, hat danach weniger Gruppen, klare Verantwortliche und eine Antwort auf die Frage, wer wo Zugriff hat. Wie die Regeln in ein Gesamtkonzept passen, zeigt der Microsoft 365 Governance Blueprint.
Standardmäßig jeder Benutzer. Sie können die Erstellung über die Verzeichniseinstellung Group.Unified auf die Mitglieder einer bestimmten Gruppe beschränken. Einige Adminrollen behalten das Recht trotzdem.
Aktive Gruppen verlängern sich automatisch. Inaktive Gruppen werden nach Erinnerungen an die Besitzer einen Tag nach Ablauf gelöscht und können 30 Tage lang wiederhergestellt werden. Inhalte unter einer Aufbewahrungsrichtlinie bleiben erhalten.
Entra ID P1 oder P2 für die Mitglieder aller Gruppen, auf die die Richtlinie wirkt. Die Lizenzen müssen nicht zugewiesen sein. Für die Benennungsrichtlinie gilt dasselbe.
Aktivieren Sie die Richtlinie für besitzerlose Gruppen im Microsoft 365 Admin Center. Gruppen, für die niemand die Besitzerrolle übernommen hat, finden Sie in der Überwachung im Purview-Portal über die Aktivität "Unbeaufsichtigte besitzerlose Gruppe".