M365

Cloud Policy service for Microsoft 365

Overview

Der Cloud Policy service for Microsoft 365 (früher Office cloud policy service) setzt Richtlinieneinstellungen für Microsoft 365 Apps for Enterprise durch, und zwar auch auf Geräten, die weder in einer Domäne noch in Intune verwaltet sind. Die Richtlinien hängen am Benutzerkonto: Meldet sich ein Benutzer in einer Office-App an, lädt der Client die für ihn geltenden Einstellungen herunter.

Einsatzszenarien sind Homeoffice- und BYOD-Geräte, Umgebungen ohne Active Directory und Unternehmen, die Office-Einstellungen von Gruppenrichtlinien in die Cloud verlagern. Einstellungen gibt es für Windows, macOS, iOS und Android, einige wirken außerdem in Office für das Web und Loop, sogar für angemeldete Gäste und anonyme Zugriffe auf Dokumente.

Abgrenzung: Gruppenrichtlinien wirken per ADMX-Vorlagen auf domänengebundene Computer und Benutzer, Cloud Policy kennt nur Benutzereinstellungen und hat bei Konflikten Vorrang vor Gruppenrichtlinien. Das Microsoft 365 Apps Admin Center ist das Portal, in dem Du Cloud Policy unter Customization > Policy Management bedienst. Intune bietet denselben Dienst unter Apps > Policy > Policies for Office apps an, Geräterichtlinien für Windows deckt Cloud Policy nicht ab.

How it works

Cloud Policy arbeitet mit Richtlinienkonfigurationen, die Microsoft-Entra-Gruppen zugewiesen werden:

  1. Im Microsoft 365 Apps Admin Center (config.office.com) oder im Intune Admin Center legst Du eine Richtlinienkonfiguration an und wählst die Zielgruppe: alle Benutzer, bestimmte Entra-Gruppen oder anonyme Zugriffe in Office für das Web.
  2. Es zählen nur Benutzerobjekte, Geräte in Gruppen werden ignoriert. Verschachtelte Gruppen werden bis zur dritten Ebene ausgewertet.
  3. Bei der ersten Anmeldung fragt der Click-to-Run-Client sofort ab. Ist der Benutzer einer Konfiguration zugeordnet, folgt die nächste Abfrage nach 90 Minuten, sonst nach 24 Stunden.
  4. Die Einstellungen wirken nach dem nächsten Neustart der Office-App und liegen unter HKEY_CURRENT_USER\Software\Policies\Microsoft\Cloud\Office\16.0.
  5. Gehört ein Benutzer zu mehreren Konfigurationen, gewinnt die mit der höchsten Priorität (0 ist die höchste).

Die Richtlinientabelle markiert Einstellungen der Sicherheitsbaseline für Microsoft 365 Apps in der Spalte Empfehlung, zusätzlich gibt es eine Barrierefreiheits-Baseline. Änderungen an Konfigurationen landen im Microsoft-Purview-Überwachungsprotokoll.

Benefits

  • Office-Einstellungen erreichen auch Geräte ohne Domäne und ohne MDM, weil die Richtlinie mit dem Benutzerkonto reist.
  • Neue Einstellungen stehen automatisch bereit, das Herunterladen und Verteilen aktueller ADMX- und ADML-Dateien entfällt.
  • Die markierte Sicherheitsbaseline zeigt direkt, welche Einstellungen Microsoft für eine sichere Grundkonfiguration empfiehlt.
  • Einige Einstellungen greifen sogar in Office für das Web für Gäste und anonyme Benutzer, was Gruppenrichtlinien grundsätzlich nicht leisten können.

Practical example

Ein Steuerberatungsbüro mit 60 Mitarbeitenden arbeitet überwiegend mit Entra-joined Notebooks und einigen privaten Rechnern im Homeoffice, ein lokales Active Directory gibt es nicht mehr. Die IT legt in config.office.com eine Konfiguration mit der Sicherheitsbaseline an, blockiert Makros aus dem Internet und setzt Datenschutzeinstellungen. Die Konfiguration gilt für die Gruppe aller Mitarbeitenden, eine zweite mit höherer Priorität erlaubt der Buchhaltung signierte Makros. Nach dem nächsten Office-Neustart greifen die Einstellungen auf allen Geräten, auch auf den privaten Rechnern.

Things to keep in mind

  • Office-Einstellungen nicht parallel per Gruppenrichtlinie und Cloud Policy pflegen, Cloud Policy gewinnt und erschwert sonst die Fehlersuche.
  • Prioritäten bewusst vergeben, wenn Benutzer in mehreren Gruppen mit Konfigurationen sind.
  • Für die Verwaltung die Rolle Office Apps Administrator nutzen, Global Administrator nur im Notfall.
  • Bei Problemen den Registrierungsschlüssel HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\CloudPolicy löschen und Office neu starten, das erzwingt eine neue Abfrage.
  • Authentifizierende Proxys und gesperrte Endpunkte (*.config.office.com, *.config.office.net) verhindern den Abruf, diese Adressen in der Firewall freigeben.

Licensing & availability

Cloud Policy unterstützt die meisten Microsoft-365-Abonnements mit Microsoft 365 Apps, die Benutzer müssen angemeldet, aktiviert und lizenziert sein. Mit Microsoft 365 Apps for Business stehen nur die Einstellungen für Datenschutzsteuerelemente zur Verfügung. Volumenlizenzierte Click-to-Run-Versionen wie Office LTSC Professional Plus 2021 oder Office Standard 2019 werden nicht unterstützt, ebenso wenig Microsoft 365 betrieben von 21Vianet. Zusätzlich lassen sich Einstellungen für Project- und Visio-Abonnements setzen. Government-Clouds (GCC, GCC High, DoD) erfordern auf Windows mindestens Version 2402. Stand: Oktober 2026.

Conclusion

Cloud Policy ist der Standardweg, Microsoft 365 Apps ohne Domäne und ohne Gerätemanagement zu konfigurieren. Wer von Gruppenrichtlinien wechselt, sollte die Office-Einstellungen vollständig umziehen statt beide Wege zu mischen.

Further reading

Related articles