Mitglieder aus Microsoft 365-Gruppen mit PowerShell entfernen

Die Verwaltung von Gruppenmitgliedschaften in Microsoft 365 ist ein zentraler Bestandteil jeder modernen Cloud-Umgebung. Gruppen steuern nicht nur den Zugriff auf Ressourcen, sondern sind auch die Basis für Teams, SharePoint-Sites und andere kollaborative Dienste. Das Entfernen von Mitgliedern klingt zunächst trivial, doch die Realität ist komplexer. Unterschiedliche Gruppentypen erfordern unterschiedliche Ansätze, und die Abhängigkeit von Besitzrechten macht den Prozess fehleranfällig. Ziel ist es, eine robuste Methode zu entwickeln, die sowohl die technischen Regeln als auch die Governance-Vorgaben berücksichtigt.

Warum die Entfernung von Mitgliedern komplex ist

Die Komplexität entsteht aus der Architektur von Microsoft 365. Es gibt drei relevante Gruppentypen: klassische Sicherheitsgruppen, Microsoft 365-Gruppen und mailaktivierte Sicherheitsgruppen bzw. Verteilerlisten. Während Sicherheitsgruppen direkt in Entra ID (ehemals Azure AD) verwaltet werden, liegen die mailaktivierten Gruppen im Exchange Online Directory Store (ExODS). Diese Dualität führt dazu, dass unterschiedliche Cmdlets zum Einsatz kommen. Für Exchange-basierte Gruppen ist Remove-DistributionGroupMember zuständig, für Microsoft 365-Gruppen hingegen Remove-MgGroupMemberByRef aus dem Microsoft Graph PowerShell SDK.

Die eigentliche Herausforderung liegt jedoch bei Microsoft 365-Gruppen. Hier gelten strenge Regeln für die Besitzerstruktur: Eine Gruppe darf niemals ohne Besitzer existieren. Entfernst Du den letzten Besitzer, entsteht ein Governance-Problem, das weder das Admin-Portal noch die Standard-Cmdlets zulassen. Deshalb muss jede Automatisierung prüfen, ob der zu entfernende Benutzer ein Besitzer ist und ob weitere Besitzer existieren.

Technische Umsetzung mit PowerShell

Um die Entfernung sicher und effizient zu gestalten, ist ein mehrstufiger Ansatz erforderlich. Zunächst muss die Gruppe identifiziert werden, dann die Besitzerliste. Anschließend erfolgt die Entscheidung, ob der Benutzer entfernt werden kann. Die Logik lautet:

1. Ermittle alle Besitzer der Gruppe mit Get-MgGroupOwner.
2. Prüfe, ob der Benutzer in dieser Liste enthalten ist.
3. Wenn ja und er ist der einzige Besitzer, brich den Vorgang ab.
4. Wenn ja und es gibt weitere Besitzer, entferne zuerst die Besitzerrolle mit Remove-MgGroupOwnerByRef.
5. Entferne anschließend die Mitgliedschaft mit Remove-MgGroupMemberByRef.

Diese Schritte lassen sich in einer Funktion kapseln, die Parameter wie Benutzer-ID, Gruppen-ID und Anzeigename entgegennimmt. Dadurch wird der Code wiederverwendbar und klar strukturiert. Die Funktion sollte Fehlerbehandlung enthalten, um Ausnahmen wie fehlende Berechtigungen oder Netzwerkprobleme abzufangen.

Ein Beispiel:

function Remove-UserFromM365Group {

    param (

        [Parameter(Mandatory = $true)][string]$UserId,

        [Parameter(Mandatory = $true)][string]$GroupId,

        [Parameter(Mandatory = $true)][string]$GroupName

    )

    $Owners = Get-MgGroupOwner -GroupId $GroupId | Select-Object -ExpandProperty Id

    if ($UserId -in $Owners) {

        if ($Owners.Count -eq 1) {

            Write-Host „Die Gruppe $GroupName hat nur einen Besitzer – Entfernen nicht möglich.“ -ForegroundColor Red

            return

        }

        Remove-MgGroupOwnerByRef -DirectoryObjectId $UserId -GroupId $GroupId

    }

Die Funktion ist bewusst einfach gehalten, um die Prinzipien zu verdeutlichen. In produktiven Umgebungen solltest Du Logging, ErrorAction und eine Rückgabe für den Status ergänzen. Außerdem empfiehlt sich die Integration in ein Skript, das mehrere Gruppen verarbeitet oder die Mitgliedschaften eines Benutzers vollständig bereinigt.

Governance und Sicherheit

Die technische Umsetzung ist nur ein Teil der Lösung. Du musst sicherstellen, dass die Entfernung von Mitgliedern den Compliance-Vorgaben entspricht. In Umgebungen mit Entra ID P1-Lizenzen kann die Ownership-Governance automatisch neue Besitzer zuweisen, wenn eine Gruppe besitzerlos wird. Ohne diese Funktion liegt die Verantwortung bei Dir. Ein Skript, das regelmäßig Gruppen ohne Besitzer identifiziert und meldet, ist daher essenziell.

Darüber hinaus solltest Du die Berechtigungen für die Ausführung der Cmdlets prüfen. Das Microsoft Graph SDK erfordert die Delegierung oder Anwendung von Berechtigungen wie Group.ReadWrite.All. Diese müssen im App-Registrierungsprozess oder über die Admin-Zustimmung erteilt werden. Ohne diese Rechte schlägt die Entfernung fehl.

Fazit

Das Entfernen von Mitgliedern aus Microsoft 365-Gruppen ist kein einfacher Löschvorgang, sondern ein Prozess, der die Architektur und Governance des Systems respektieren muss. Die Unterscheidung zwischen Gruppentypen, die Prüfung der Besitzerstruktur und die korrekte Verwendung der Cmdlets sind entscheidend, um Fehler und Compliance-Verstöße zu vermeiden. Mit einer gut strukturierten PowerShell-Funktion sparst Du Zeit, reduzierst manuelle Fehler und stellst sicher, dass Gruppen weiterhin funktionsfähig bleiben.

Der Nutzen liegt klar auf der Hand: Automatisierung ersetzt fehleranfällige manuelle Schritte, erhöht die Sicherheit und sorgt für Konsistenz. Gleichzeitig bleibt die Kontrolle bei Dir, da die Skripte transparent und anpassbar sind. Wer diesen Prozess ignoriert, riskiert nicht nur Chaos in der Gruppenverwaltung, sondern auch den Verlust von Zugriffsrechten für kritische Ressourcen. Die Investition in ein durchdachtes Skript zahlt sich also mehrfach aus – in Stabilität, Compliance und Effizienz.

weitere Links

This post is also available in: Deutsch English