Was ist ein Tenant Review bei Microsoft 365?

Wenn sich neue Mitarbeitende nicht sauber einrichten lassen, externe Freigaben unklar sind oder niemand genau weiss, wer Administratorrechte besitzt, liegt das Problem oft nicht bei einem einzelnen Benutzer. Es liegt in der Microsoft-365-Umgebung selbst. Was ist ein Tenant Review? Gemeint ist eine strukturierte Prüfung dieser zentralen Umgebung - mit Blick auf Sicherheit, Berechtigungen, Einstellungen, Lizenzen und den praktischen Arbeitsalltag.

Was ist ein Tenant Review bei Microsoft 365?

Ein Tenant ist die organisatorische Basis Ihrer Microsoft-365-Umgebung. Darin werden Benutzerkonten, Identitäten, Gruppen, Geräte, Sicherheitsrichtlinien sowie Dienste wie Teams, SharePoint, Exchange Online und OneDrive verwaltet. Er ist damit weit mehr als ein technischer Zugang: Er bildet ab, wie Ihr Unternehmen digital zusammenarbeitet und wie es geschützt ist.

Ein Tenant Review untersucht, ob diese Umgebung sinnvoll eingerichtet, sicher betrieben und auf die tatsächlichen Anforderungen des Unternehmens abgestimmt ist. Dabei geht es nicht darum, möglichst viele Einstellungen zu kontrollieren. Entscheidend ist, die Einstellungen mit ihren Folgen für den Betrieb zu bewerten. Eine deaktivierte Funktion kann beispielsweise Sicherheit erhöhen, aber einen wichtigen Arbeitsprozess blockieren. Umgekehrt kann eine bequeme Freigabeoption ein unnötiges Risiko schaffen.

Der Begriff ist nicht bis ins Detail einheitlich definiert. Umfang und Tiefe hängen davon ab, ob ein Unternehmen vor allem seine Sicherheit verbessern, eine Übernahme der IT vorbereiten, eine Migration abschliessen oder die tägliche Zusammenarbeit ordnen möchte. Ein guter Review beginnt deshalb mit den Geschäftsabläufen - nicht mit einer langen Liste technischer Prüfwerte.

Warum ein Review gerade für KMU sinnvoll ist

In kleineren und mittleren Unternehmen wächst Microsoft 365 meist schrittweise. Zuerst kommt E-Mail, später Teams, dann gemeinsame Dateien, mobile Geräte, externe Dienstleister oder neue Standorte. Einzelne Entscheidungen sind häufig nachvollziehbar. Über mehrere Jahre entsteht jedoch eine Umgebung, in der Berechtigungen, Gruppen und Ausnahmen nicht immer klar dokumentiert sind.

Das fällt oft erst auf, wenn etwas passiert: Ein ausgeschiedener Mitarbeiter hat noch Zugriff, vertrauliche Dateien werden an die falsche Adresse geteilt oder ein Konto wird kompromittiert. Auch ohne Sicherheitsvorfall können schlecht gepflegte Strukturen Zeit kosten. Mitarbeitende suchen Dokumente an mehreren Orten, Verantwortlichkeiten sind unklar oder der IT-Support muss wiederholt dieselben Zugriffsprobleme lösen.

Ein Tenant Review schafft eine belastbare Ausgangslage. Er zeigt nicht nur Schwachstellen, sondern auch, welche Bereiche bereits gut funktionieren und nicht unnötig verändert werden sollten. Für KMU ist dieser pragmatische Blick besonders wertvoll: Nicht jede Enterprise-Funktion ist erforderlich, aber grundlegende Schutzmechanismen und klare Zuständigkeiten sollten verlässlich vorhanden sein.

Welche Bereiche werden geprüft?

Der genaue Prüfungsumfang richtet sich nach Ihrer Umgebung. In der Praxis konzentriert sich ein Tenant Review häufig auf die folgenden Themenfelder.

Identitäten und Administratorrechte

Benutzerkonten sind der wichtigste Zugang zur Cloud-Umgebung. Geprüft wird unter anderem, ob aktive Konten den richtigen Personen zugeordnet sind, wie mit ehemaligen Mitarbeitenden verfahren wird und ob es ungenutzte oder gemeinsam verwendete Zugänge gibt. Besonders kritisch sind Konten mit erweiterten Rechten.

Administratoren dürfen Einstellungen ändern, Konten verwalten oder auf sensible Daten zugreifen. Daher gilt das Prinzip der minimalen Berechtigung: Jede Person soll nur die Rechte erhalten, die sie für ihre Aufgabe tatsächlich benötigt. Ein Review prüft, ob die Zahl der globalen Administratoren angemessen ist, ob Notfallzugänge vorhanden sind und ob administrative Tätigkeiten nachvollziehbar bleiben.

Anmeldung und Schutz vor Kontoübernahmen

Ein gestohlenes Passwort darf nicht ausreichen, um auf Unternehmensdaten zuzugreifen. Deshalb gehört die Mehrfaktor-Authentifizierung zu den zentralen Punkten eines Tenant Reviews. Dabei wird nicht nur geprüft, ob sie aktiviert ist, sondern auch für welche Konten und unter welchen Bedingungen sie greift.

Weitere Fragen betreffen Anmeldungen aus ungewöhnlichen Regionen, unsichere ältere Anmeldeverfahren oder den Zugriff über private und nicht verwaltete Geräte. Die passende Einstellung ist immer eine Abwägung. Ein Handwerksbetrieb mit vielen Mitarbeitenden im Aussendienst hat andere Anforderungen als ein Büro mit stationären Arbeitsplätzen. Ziel ist ein wirksamer Schutz, der die Arbeit nicht unnötig erschwert.

Zusammenarbeit, Dateien und externe Freigaben

Teams, SharePoint und OneDrive vereinfachen die Zusammenarbeit, können aber Daten an vielen Stellen verteilen. Ein Review schaut darauf, wo Dateien liegen, wie Teams und Gruppen angelegt werden und wer Inhalte nach aussen freigeben darf. Externe Freigaben sind nicht grundsätzlich problematisch - für Kundenprojekte oder die Zusammenarbeit mit Steuerberatung und Partnern sind sie oft notwendig. Sie brauchen jedoch klare Regeln.

Relevant ist auch die Frage, ob sensible Bereiche besonders geschützt sind und ob ehemalige Projektbeteiligte weiterhin Zugriff besitzen. In vielen Unternehmen existieren alte Teams oder SharePoint-Seiten, deren Besitzer nicht mehr aktiv sind. Das ist kein seltenes Detail, sondern ein typischer Ansatzpunkt für Ordnung und Risikominimierung.

Geräte und mobile Arbeitsplätze

Wer von Notebook, Smartphone oder Tablet auf Unternehmensdaten zugreift, erweitert die Angriffsfläche. Ein Tenant Review kann daher auch untersuchen, welche Geräte zugelassen sind, ob Sicherheitsvorgaben umgesetzt werden und wie bei Verlust oder einem Mitarbeiterwechsel reagiert wird.

Nicht jedes private Gerät muss zwingend vollständig verwaltet werden. Dennoch sollte klar sein, welche Daten darauf zugänglich sind und welche Mindestanforderungen gelten. Dazu zählen beispielsweise Gerätesperre, aktuelle Sicherheitsupdates und die Möglichkeit, geschäftliche Daten bei Bedarf gezielt zu entfernen.

E-Mail-Schutz und Informationssicherheit

E-Mail bleibt für viele Angriffe der häufigste Einstiegspunkt. Deshalb werden Schutzmechanismen gegen Phishing, schädliche Anhänge und gefälschte Absender geprüft. Ebenso wichtig sind die Einstellungen für Weiterleitungen, gemeinsame Postfächer und Aufbewahrung.

Je nach Branche kann ein Review auch klären, ob Datenschutz- und Nachweispflichten ausreichend berücksichtigt werden. Dabei geht es nicht darum, rechtliche Beratung zu ersetzen. Die technische Umsetzung sollte aber die internen Vorgaben unterstützen - etwa durch passende Zugriffsrechte, nachvollziehbare Freigaben und einen kontrollierten Umgang mit vertraulichen Informationen.

So läuft ein Tenant Review sinnvoll ab

Am Anfang steht ein kurzes Gespräch über Ziele, Arbeitsweisen und bekannte Probleme. Soll die Umgebung nach einem Sicherheitsvorfall überprüft werden? Steht ein Wechsel der IT-Betreuung an? Oder soll Microsoft 365 nach Jahren des Wachstums wieder übersichtlich werden? Ohne diesen Kontext bleibt eine Prüfung leicht bei allgemeinen Empfehlungen stehen.

Danach wird der aktuelle Zustand erfasst. Dazu gehören Konfigurationen, Berechtigungsstrukturen, Sicherheitsrichtlinien, verwendete Dienste und auffällige Ausnahmen. Gute Reviews arbeiten mit transparenten Zugriffsrechten: Der Prüfer erhält nur die administrativen Einblicke, die für die vereinbarte Analyse erforderlich sind.

Die eigentliche Stärke liegt in der Bewertung. Eine reine Liste mit technischen Hinweisen hilft der Geschäftsführung wenig. Sinnvoll ist eine Priorisierung nach Risiko, Auswirkung und Umsetzungsaufwand. Ein ungeschütztes Administratorkonto ist meist dringender als eine kosmetische Bereinigung alter Gruppen. Gleichzeitig sollten empfohlene Änderungen klar erklären, welche Arbeitsabläufe betroffen sein können.

Zum Abschluss erhalten Verantwortliche eine verständliche Dokumentation mit konkreten Massnahmen. Dazu gehören typischerweise Sofortmassnahmen, mittelfristige Verbesserungen und Punkte, die regelmässig überprüft werden sollten. Auf Wunsch kann die Umsetzung direkt begleitet werden, damit Empfehlungen nicht in einer Ablage verschwinden.

Was ein Tenant Review nicht leisten kann

Ein Review ist eine Momentaufnahme. Er kann sichtbar machen, welche Risiken und Optimierungen zum Prüfzeitpunkt bestehen. Er ersetzt aber keine laufende Betreuung, keine klare interne Verantwortung und keine Sensibilisierung der Mitarbeitenden. Neue Konten, neue Anwendungen oder geänderte Prozesse können später neue Lücken schaffen.

Auch ein technisch sehr gut eingestellter Tenant verhindert nicht jeden Vorfall. Entscheidend ist das Zusammenspiel aus Technik, klaren Regeln und gelebten Abläufen. Wenn beispielsweise jede externe Freigabe bewusst und nachvollziehbar erfolgen soll, müssen Mitarbeitende wissen, wann sie zulässig ist und an wen sie sich bei Unsicherheit wenden können.

Wann ist der richtige Zeitpunkt?

Besonders sinnvoll ist ein Tenant Review nach einer Einführung oder Migration zu Microsoft 365, bei einem Wechsel von Dienstleistern, nach starkem Personalwachstum oder vor einer geplanten Zertifizierung beziehungsweise Kundenprüfung. Ebenso lohnt er sich nach einem verdächtigen Anmeldeereignis oder dann, wenn das Gefühl besteht, dass die digitale Zusammenarbeit unnötig kompliziert geworden ist.

Aber auch ohne konkreten Anlass ist eine regelmässige Überprüfung sinnvoll. Wie oft, hängt von Unternehmensgrösse, Branche, Veränderungen und Schutzbedarf ab. Ein Betrieb mit wenigen, stabilen Arbeitsplätzen benötigt einen anderen Rhythmus als ein Unternehmen mit vielen externen Projektpartnern und mobilen Teams.

Ein Tenant Review soll keine technische Pflichtübung sein. Richtig eingesetzt, schafft er die Grundlage für eine Microsoft-365-Umgebung, die Mitarbeitende zuverlässig unterstützt und sensible Unternehmensdaten angemessen schützt. Genau dort setzt eine persönliche IT-Betreuung an: Sie verbindet die Prüfung mit konkreten Verbesserungen, die zum Betrieb passen - statt mit Standardempfehlungen, die im Alltag niemand umsetzt.