MS365 | Microsoft 365 Tenant anlegen

Die Einrichtung eines Microsoft 365 Tenants ist technisch in wenigen Minuten erledigt, jedoch bildet dies nur den Auftakt für eine Vielzahl weiterer Schritte. Die von Microsoft vorgesehenen Standardeinstellungen sind auf eine möglichst unkomplizierte und schnelle Inbetriebnahme für Endanwender ausgelegt. Dies bedeutet jedoch nicht, dass diese Konfigurationen automatisch den Sicherheits- und Governance-Anforderungen Ihres Unternehmens entsprechen.

Aus diesem Grund ist es unerlässlich, bereits vor der Migration produktiver Daten in die Cloud grundlegende Einstellungen vorzunehmen. Diese initialen Konfigurationen dienen als Leitplanken und bilden das Fundament für den späteren sicheren und regelkonformen Betrieb Ihrer Microsoft 365 Umgebung.

Der Fokus dieses Leitfadens liegt daher ausschließlich auf der optimalen Konfiguration des Tenants selbst. Themen wie Netzwerk-Assessment, die Planung von Firewalls, User Adoption oder umfassende Migrationsprojekte werden an dieser Stelle bewusst ausgeklammert. Vielmehr geht es darum, eine sichere und auf Ihre individuellen Anforderungen zugeschnittene Basisumgebung zu schaffen, die als Ausgangspunkt für die produktive Nutzung dient.

Bitte beachten Sie: Bestimmte Konfigurationsmöglichkeiten stehen nur zur Verfügung, sofern die entsprechenden Lizenzen im Tenant aktiviert sind.

Nach erfolgreichem Abschluss der hier beschriebenen Checkliste beginnt die eigentliche Arbeit mit Ihrer neuen Microsoft 365 Plattform.

Vorbereitung und Grundlagen

Bevor Sie direkt über www.office365.com einen neuen Microsoft 365 Tenant anlegen, kontaktieren Sie am besten zuerst Ihren Microsoft-Partner oder den Lizenzvertrieb. Diese können oft erweiterte Testlizenzen und spezielle Konditionen bieten. Prüfen Sie außerdem, ob in Ihrer Organisation bereits Tenants durch Test- oder Exploratory-Lizenzen existieren, um doppelte Instanzen und Probleme zu vermeiden.

Schnell Anleitung
-> Besuche die offizielle Microsoft 365-Webseite und wähle das Abonnement, das zu den Zielen passt.
-> Gib die erforderlichen Informationen zum Unternehmen an.
-> Entscheide, ob eine bestehende Domain genutzt oder eine neue registriert werden soll.
-> Folge den Schritt-für-Schritt-Anweisungen von Microsoft, die durch den Prozess führen.

Wahl des Tenant-Namens

Die Entscheidung für einen passenden Namen Ihres Microsoft 365 Tenants sollte mit großer Sorgfalt getroffen werden, da dieser Name nachträglich nicht mehr geändert werden kann. Der Tenant-Name hat dabei weitreichende Auswirkungen auf verschiedene Bereiche Ihrer Umgebung. Er erscheint unter anderem in den URLs von SharePoint, OneDrive und CRM sowie als primäres UPN-Suffix in der Form tenantname.onmicrosoft.com.

Es gibt mehrere wichtige Hinweise, die Sie bei der Namenswahl beachten sollten:

• Zeichenbeschränkung: Der Tenant-Name darf maximal 25 Zeichen umfassen.
• Keine Trial-Version nutzen: Legen Sie den Tenant nicht über eine Testlizenz an, da in diesem Fall der Name automatisch aus der Mail-Domain abgeleitet wird. Beispielsweise würde aus „unternehmen.de“ der Name „unternehmende.onmicrosoft.com“ generiert.
• Zukunftsfähigkeit: Berücksichtigen Sie bei der Namenswahl mögliche Ausgründungen oder Tochtergesellschaften, damit der Name auch bei zukünftigen Veränderungen Ihrer Unternehmensstruktur passend bleibt.
• Vorabbuchung: Tenants können bereits im Voraus und zu geringen Kosten reserviert werden – dies bietet Flexibilität bei der Planung.
• SharePoint-Domain: Seit 2023 besteht die Möglichkeit, SharePoint-Domains nachträglich umzubenennen. Dennoch ist es empfehlenswert, von Beginn an einen durchdachten und passenden Namen für den Tenant zu wählen, um spätere Anpassungen und Komplikationen zu vermeiden.

Eine sorgfältige Wahl des Tenant-Namens bildet somit die Grundlage für eine konsistente und zukunftssichere Nutzung Ihrer Microsoft 365 Umgebung.

Sprache, Region und Datenstandort

Bei der Einrichtung eines Microsoft 365 Tenants ist es zwingend erforderlich, die Region festzulegen. Diese Wahl ist endgültig und kann nachträglich nicht mehr geändert werden. Mit der Auswahl der Region wird gleichzeitig der primäre Datenstandort bestimmt, an dem die meisten Ihrer Daten gespeichert werden.

Es ist jedoch zu beachten, dass sich nicht zwangsläufig alle Daten am selben Standort befinden müssen. In der Praxis kann es vorkommen, dass beispielsweise Exchange-Daten in Europa gespeichert werden, während Daten aus SharePoint, OneDrive oder Teams in einer anderen Region abgelegt sind. Solche Konstellationen entstehen häufig, wenn einzelne Dienste zu unterschiedlichen Zeitpunkten lizenziert wurden und Microsoft zwischenzeitlich neue Rechenzentren eröffnet hat. Einmal bereitgestellte Daten werden von Microsoft standardmäßig nicht verschoben.

Für Unternehmen, die erweiterte Anforderungen an die Kontrolle über den Speicherort ihrer Daten haben, bietet Microsoft die Option „Advanced Data Residency“ an.

Sicherheit und Zugang

Absicherung der Administrator-Konten

Während der Beantragung eines Tenants wird initial ein Administrator angelegt. Für diesen Vorgang ist eine Telefonnummer erforderlich, um die Verifizierung mittels Anruf oder SMS durchzuführen. Zusätzlich sollte eine externe E-Mail-Adresse angegeben werden, die außerhalb des Tenants liegt – dies ermöglicht im Bedarfsfall den Erhalt eines Rücksetzung-Links.

Empfohlene Best Practices für administrative Konten:

• Mehrere Administratoren: Es empfiehlt sich, nicht ausschließlich auf einen einzelnen Administrator-Account zu setzen.
• Multi-Faktor-Authentifizierung (MFA): MFA sollte für alle administrativen Konten obligatorisch aktiviert werden.
• Breaking-Glass-Konto: Ein Notfall-Administrator ohne MFA sollte eingerichtet und mit einem besonders sicheren Passwort und unauffälligem Benutzernamen im Tresor hinterlegt werden.

Administrationsstrategien im Überblick:

• ADSync-Administratoren
• Cloud-Only-Administratoren
• Privileged Identity Management (PIM)

Es wird empfohlen, separate Cloud-Only-Konten mit aktivierter MFA als Administratorkonten zu verwenden. Zusätzlich sollte ein Breaking-Glass-Admin mit starkem Kennwort im Safe hinterlegt werden. Die Nutzung regulärer Benutzerkonten für administrative Aufgaben ist zu vermeiden.

Bei einer Kennwortrücksetzung durch einen Administrator besteht die Möglichkeit, alle weiteren Administrierenden automatisch zu benachrichtigen. Dies stellt ein wirksames Frühwarnsystem bei potenziellen Kompromittierungen dar.

Multi-Faktor-Authentifizierung für Benutzer

Um die Sicherheit der Benutzerkonten zu erhöhen und den Zugang nicht ausschließlich von einem Kennwort abhängig zu machen, sollte die Multi-Faktor-Authentifizierung (MFA) aktiviert werden. Dies stellt sicher, dass neben dem Passwort ein weiterer Authentifizierungsfaktor erforderlich ist, wodurch das Risiko unbefugter Zugriffe deutlich reduziert wird.

Bei neueren Tenants sind die sogenannten Security Defaults bereits standardmäßig aktiviert. Diese bieten eine grundlegende Absicherung durch MFA und erleichtern die Einführung von Sicherheitsmaßnahmen, ohne dass eine individuelle Konfiguration notwendig ist.

Besonderheiten und Hinweise zu Security Defaults

• Security Defaults stehen im Konflikt mit Conditional Access-Regeln. Daher sollten sie deaktiviert werden, wenn Azure AD Premium P1 und entsprechende Conditional Access-Funktionen genutzt werden.
• Die Deaktivierung der Security Defaults bewirkt, dass SMTP AUTH mit Benutzername und Kennwort ebenfalls deaktiviert wird. Dies ist relevant für Anwendungen, die auf diese Authentifizierungsmethode angewiesen sind.

Granulare Steuerung der Zugriffsrechte

Für eine detaillierte und bedarfsgerechte Steuerung der Zugriffsrechte empfiehlt es sich, Conditional Access-Richtlinien zu verwenden. Diese ermöglichen die gezielte Festlegung von Bedingungen, unter denen der Zugriff auf Ressourcen gestattet oder eingeschränkt wird.

Zusätzlich sollte ein Blick auf die Kennwortrichtlinien im Azure AD Portal geworfen werden. Hier besteht die Möglichkeit, zwischen dem Audit-Modus und dem Enforce-Modus für die Kennwort-Protection zu wählen. Der Audit-Modus ermöglicht die Überwachung und Analyse der Richtlinien, während der Enforce-Modus deren konsequente Durchsetzung sicherstellt.

Domains einrichten

Im produktiven Betrieb ist es nicht empfehlenswert, dauerhaft mit einer Adresse im Format „tenantname.onmicrosoft.com“ zu arbeiten. Daher sollten Sie alle relevanten Domains in Ihre Umgebung integrieren, die Sie als UPN-Domain, SMTP-Domain oder SIP-Domain nutzen möchten. Die Aufnahme dieser Domains erfordert eine vorherige Verifizierung durch entsprechende DNS-Einträge.

Office 365 unterstützt Sie im Zuge dieses Prozesses gezielt und informiert Sie, welche DNS-Einträge für die erfolgreiche Einbindung notwendig sind. Dazu zählen beispielsweise Einträge für Autodiscover, MX-Records, Skype for Business und Intune. Es ist besonders wichtig, alle Domains zu erfassen, die für Ihre Organisation relevant sind, um Missbrauch durch sogenannte „virale Tenants“ zu verhindern.

Dies umfasst sämtliche als „Accepted Domains“ in Exchange hinterlegten Domains sowie die SIP-Domains, die für Skype for Business und Microsoft Teams verwendet werden. Auch wenn Sie ausschließlich Microsoft Teams einsetzen, empfiehlt es sich, die DNS-Einträge für Skype for Business weiterhin vorzuhalten, da diese für bestimmte Federation-Szenarien von Bedeutung sein können.

Beachten Sie außerdem, dass pro Tenant maximal 5.000 Domains hinzugefügt werden können. Nicht jede Empfehlung, die Ihnen Office 365 im Rahmen der Domänenverwaltung vorschlägt, ist automatisch auf Ihre spezifische Umgebung anwendbar oder notwendig. Prüfen Sie daher sämtliche Hinweise und Vorgaben sorgfältig, bevor Sie Änderungen vornehmen.

Exchange Online Konfiguration

Nachdem das erste Postfach in der Cloud eingerichtet wurde, ist es von überall aus erreichbar. Es empfiehlt sich daher, vorab wichtige Einstellungen zu definieren, um die Sicherheit und Compliance Ihrer Umgebung zu gewährleisten.

1. Automatische Weiterleitungen
Prüfen Sie in den Einstellungen für „Remote Domains“, ob automatische Weiterleitungen an externe Adressen erlaubt sind – standardmäßig ist dies aktiviert. Um einen möglichen Informationsabfluss zu verhindern, empfiehlt es sich, externe Weiterleitungen zu deaktivieren. Falls externe Kommunikation erforderlich ist, können einzelne Domains gezielt freigegeben oder Kontakte genutzt werden.

2. Sharing Policies
Standardmäßig können Benutzer ihre Kalender individuell und extern freigeben. Überlegen Sie, ob diese Option Ihren Anforderungen entspricht oder ob Sie die Freigabe einschränken möchten.

3. Default Role Assignment Policy
Anwender sind in der Lage, ihre Gruppen selbst zu verwalten. Überprüfen und passen Sie diese Rollenverteilung entsprechend Ihrer organisatorischen Anforderungen an.

4. Legacy Authentication
Microsoft stellt die Anmeldung mit Benutzername und Kennwort zunehmend ein. Es ist ratsam, die Legacy Authentication auf Organisationsebene zu deaktivieren und nur für jene Konten zu aktivieren, die zwingend BasicAuth benötigen.

5. TLS 1.2 Enforcement
TLS 1.2 ist mittlerweile für alle Clients verpflichtend. Überprüfen Sie, ob in Ihrer Umgebung Ausnahmen bestehen. Entfernen Sie diese nach Möglichkeit, um die Sicherheit zu erhöhen.

6. External Sender Identification

Aktivieren Sie die Kennzeichnung externer E-Mails in Outlook. So wird die Erkennung von Phishing-Versuchen erleichtert und die Sicherheit erhöht.

7. Directory Based Edge Blocking (DBEB)

Mit DBEB werden E-Mails an ungültige Empfänger direkt abgelehnt. Dadurch vermeiden Sie NDR-Backscatter und steigern die Effizienz Ihrer Mailumgebung.

8. MOERA – Microsoft Online Email Routing Address

Die Domain „tenantname.onmicrosoft.com“ darf pro Tenant maximal 100 E-Mails pro Tag an externe Empfänger senden. Diese Begrenzung dient dem Schutz vor Missbrauch und der Verbesserung der Zustellbarkeit. Es wird dringend empfohlen, für den E-Mail-Versand eine eigene Domain als Standard zu hinterlegen und die externe Postmaster-Adresse entsprechend anzupassen. Eigene Domains stärken die Markenidentität, bieten mehr Kontrolle und vermeiden die Einschränkungen und Reputationsprobleme der geteilten onmicrosoft.com-Domain.

9. ActiveSync und Mobilgeräte
Für unbekannte ActiveSync-Clients sollte die Exchange Online Quarantäne aktiviert werden. Beispielsweise können Sie „Outlook für iOS/Android“ automatisch zulassen und andere native Clients manuell freigeben. Mit Exchange-Richtlinien können Sie zudem Sicherheitsanforderungen wie die PIN-Pflicht auf Mobilgeräten durchsetzen.

10. OWA-Policies
Der Zugriff über Outlook on the Web lässt sich mithilfe von OWA-Richtlinien steuern und gezielt anpassen.

11. POP3/IMAP4/SMTP Client Authentication
Die meisten Benutzer verwenden moderne Protokolle. Sie können die SMTP Client Authentication global deaktivieren. Verwenden Sie hierfür die folgenden PowerShell-Befehle:

• POP3/IMAP4 global deaktivieren:
• Get-CASMailboxPlan | Set-CASMailboxPlan -ImapEnabled:$false -PopEnabled:$false
• SMTP Client Auth deaktivieren:
• Set-TransportConfig -SmtpClientAuthenticationDisabled:$true

12. AntiSpam/Quarantäne
Microsoft empfiehlt, den Attachment-Filter für ausführbare Anlagen zu aktivieren. Beachten Sie, dass dieser standardmäßig deaktiviert ist.

13. Transport-Regeln
Richten Sie Transport-Regeln für verschiedene Zwecke ein, etwa für Disclaimer und Signaturen, Umleitungen, Journaling oder die Erfüllung von Compliance-Anforderungen.

14. Konnektoren
Konnektoren dienen der Verbindung zu internen Systemen (wie Fax-Servern oder Scannern), dem alternativen Routing über Archiv-Systeme und der Integration von externen Mail-Filtern für eingehende Nachrichten.

15. Exchange Online als Nebeneingang
Wenn alle eingehenden E-Mails ausschließlich über einen eigenen Mail-Filter (wie NoSpamProxy) laufen sollen, empfiehlt es sich, den direkten Zugang zu Exchange Online zu deaktivieren.

Überblick Microsoft 365 Lizenzen

Microsoft 365 bietet verschiedene Lizenzmodelle, die sich an die unterschiedlichen Anforderungen und Unternehmensgrößen anpassen. Die Wahl der passenden Lizenz ist essenziell, um die gewünschten Funktionen und den optimalen Funktionsumfang für das jeweilige Unternehmen bereitzustellen. Im Folgenden werden die wichtigsten Lizenzen, ihre Zielgruppen und die wesentlichen Funktionen übersichtlich dargestellt.

Nutzungsregion & Lizenzmanagement

Bei der Vergabe von Lizenzen in Microsoft 365 ist es erforderlich, für jeden Benutzer eine sogenannte „Usage Location“ (Nutzungsregion) anzugeben. Befinden sich alle Benutzer im selben Land, empfiehlt es sich, eine Standardregion für das gesamte Unternehmen festzulegen.

Dies geschieht über den folgenden PowerShell-Befehl:
Set-MsolCompanySettings -DefaultUsageLocation DE

Durch diese zentrale Festlegung wird der Prozess der Benutzerbereitstellung erheblich vereinfacht, da die Nutzungsregion nicht mehr für jeden Benutzer einzeln angegeben werden muss.

Lizenzen und Abonnements verwalten

Für ein reibungsloses Lizenzmanagement empfiehlt es sich, folgende Schritte zu beachten:

1. Lizenzen einspielen: Die benötigten Lizenzen werden entweder durch Kauf, Eingabe eines Lizenzcodes oder Nutzung einer Testversion (Trial) hinzugefügt.
2. Partner of Record (POR/DPOR): Der Vertragspartner wird im System hinterlegt, um eine eindeutige Zuordnung sicherzustellen.
3. Lizenzen zuweisen: Die Zuweisung der Lizenzen erfolgt entweder manuell, über Gruppen oder automatisiert.

Automatisierte Lizenzzuweisung mit Azure AD-Gruppen

Als bewährte Methode empfiehlt es sich, Azure AD-Gruppen für die automatische Lizenzzuweisung zu nutzen. Durch den Einsatz von Gruppen können Lizenzen zentral und effizient verwaltet werden, was den administrativen Aufwand deutlich reduziert.

Bei der automatisierten Zuweisung ist jedoch besonders darauf zu achten, dass die spezifischen Anforderungen und Besonderheiten von Exchange- und Skype for Business-Lizenzen berücksichtigt werden.

Diese Produkte bringen teilweise abweichende Lizenzmodelle oder Abhängigkeiten mit sich, die bei der Gruppenzuordnung explizit einbezogen werden müssen. So wird sichergestellt, dass alle Benutzer die jeweils benötigten Dienste erhalten und eine konsistente Lizenzierung im gesamten Unternehmen gewährleistet ist.

Vorbereitung von Clients und Netzwerk

Selbst die beste Konfiguration des Microsoft 365-Tenants entfaltet nur dann ihre volle Wirkung, wenn auch die angebundenen Clients optimal vorbereitet sind. Damit die Benutzer reibungslos arbeiten können und sämtliche Dienste zuverlässig erreichbar sind, sollten verschiedene Aspekte bei der Vorbereitung von Clients und Netzwerk berücksichtigt werden.

• Installation und regelmäßige Aktualisierung der Office-Anwendungen: Es ist essenziell, dass auf allen Arbeitsplätzen die benötigten Office-Anwendungen installiert und stets auf dem aktuellen Stand gehalten werden. Nur so können Sicherheitslücken geschlossen und neue Funktionen genutzt werden.
  
• Sicherstellung der Netzwerk-Konnektivität zu Microsoft 365-Endpunkten: Die reibungslose Verbindung zu den Microsoft 365-Diensten erfordert, dass alle Clients Zugang zu den entsprechenden Endpunkten haben. Dies ist die Grundlage für einen fehlerfreien Betrieb der Cloud-Dienste.
  
• Konfiguration der Firewall gemäß den Anforderungen von Microsoft 365: Die Firewall-Einstellungen sollten so angepasst werden, dass die Kommunikation mit den Microsoft 365-Services nicht blockiert wird. Hierbei sind die von Microsoft definierten Anforderungen einzuhalten.
  
• Einrichtung der Proxy-Einstellungen: Für einen störungsfreien Zugriff auf alle Dienste ist es erforderlich, die Proxy-Konfiguration entsprechend einzurichten. So wird sichergestellt, dass keine unerwarteten Verbindungsprobleme auftreten.
  
• Richtige DNS-Konfiguration: Damit alle Microsoft 365-Dienste zuverlässig erreichbar sind, ist eine korrekte DNS-Konfiguration unerlässlich. Nur so können die verschiedenen Dienste und Anwendungen ohne Unterbrechung genutzt werden.

Um die genannten Maßnahmen strukturiert umzusetzen und einen reibungslosen Ablauf zu gewährleisten, empfiehlt es sich, eine separate Checkliste für die Vorbereitung von Clients und Netzwerk zu erstellen. Diese Checkliste dient als Leitfaden und unterstützt dabei, keine wichtigen Schritte zu übersehen.

Erfolgreiche Einrichtung des Microsoft 365-Tenants

Die Einrichtung eines Microsoft 365-Tenants stellt mehr dar als nur einen technischen Vorgang – sie bildet das Fundament für die digitale Arbeitsumgebung eines Unternehmens. Die im Folgenden beschriebenen Konfigurationen dienen als Leitlinien, um eine sichere und kontrollierte Nutzung von Microsoft 365 zu gewährleisten.

Wichtige Sicherheitsprinzipien

• Security by Default: Es empfiehlt sich, zunächst mit restriktiven Standardeinstellungen zu starten. Diese Einstellungen sorgen für ein hohes Maß an Sicherheit und können bei Bedarf gezielt gelockert werden, um den spezifischen Anforderungen des Unternehmens gerecht zu werden.
  
• Least Privilege: Die Vergabe von Berechtigungen sollte sich stets auf das notwendige Minimum beschränken. Dadurch wird das Risiko von unerwünschten Zugriffen und Sicherheitsvorfällen deutlich reduziert.
  
• Defense in Depth: Die Implementierung mehrerer Sicherheitsebenen trägt dazu bei, die Unternehmensdaten effektiv zu schützen. So entsteht eine robuste Verteidigungsstruktur gegen potenzielle Bedrohungen.
  
• Continuous Monitoring: Kontinuierliche Überwachungsprozesse sind unerlässlich, um die Sicherheit und Stabilität der Umgebung dauerhaft sicherzustellen und frühzeitig auf Auffälligkeiten reagieren zu können.
  
• Change Management: Änderungen, die von Microsoft vorgenommen werden, sollten aktiv verarbeitet und verwaltet werden. Dadurch bleibt die Umgebung stets aktuell und Risiken, die durch veraltete Einstellungen entstehen könnten, werden vermieden.

Nächste Schritte nach Abschluss der Grundkonfiguration

Nach Abschluss dieser grundlegenden Checkliste beginnt die eigentliche Arbeit innerhalb der neuen Umgebung. Die Anwender müssen an die neue Plattform herangeführt werden (User Adoption), es stehen Migrationen an, und die fortlaufende Optimierung der Umgebung sollte geplant werden. Darüber hinaus empfiehlt es sich, fortgeschrittene Funktionen wie Conditional Access, Information Protection, Compliance-Policies und Security-Monitoring zu nutzen, um ein Höchstmaß an Sicherheit und Kontrolle zu gewährleisten.

weitere Links