ExchangeServer

Exchange RBAC (Role Based Access Control)

Overview

Exchange RBAC (Role Based Access Control) steuert, wer in Exchange was verwalten darf. Grundlage sind Verwaltungsrollen (Management Roles), die bestimmte Cmdlets und Parameter freigeben. Rollen werden Rollengruppen zugewiesen, deren Mitglieder die Rechte erhalten; Bereiche (Scopes) grenzen ein, auf welche Empfänger, Server oder Organisationseinheiten sich die Rechte beziehen.

Das Modell gilt in Exchange Server und Exchange Online. Exchange liefert integrierte Rollengruppen wie Organization Management, Recipient Management, Help Desk und View-Only Organization Management mit. Über Zuweisungsrichtlinien steuert RBAC außerdem, welche Einstellungen Anwender an ihrem eigenen Postfach ändern dürfen.

Für Anwendungen in Exchange Online gibt es RBAC for Applications. Laut Microsoft ersetzt es die älteren Application Access Policies und begrenzt App-Berechtigungen auf bestimmte Postfächer. Abgrenzung: Azure RBAC steuert Rechte an Azure-Ressourcen und ist ein eigenes System.

How it works

RBAC setzt sich aus vier Bausteinen zusammen:

  1. Verwaltungsrolle: Sammlung von Rolleneinträgen, also erlaubten Cmdlets mit Parametern; eigene Rollen entstehen als Kopie einer integrierten Rolle mit New-ManagementRole und werden dann eingeschränkt.
  2. Rollengruppe: universelle Sicherheitsgruppe in Active Directory beziehungsweise Gruppe in Exchange Online, der Rollen zugewiesen sind.
  3. Rollenzuweisung: verbindet Rolle und Rollengruppe, Anwender oder Zuweisungsrichtlinie, optional mit Bereich.
  4. Bereich: vordefiniert oder per Filter, etwa nur Empfänger einer Organisationseinheit.

Get-ManagementRoleAssignment zeigt, wer welche Rechte hat. Mit geteilten Berechtigungen (Split Permissions) trennst Du Exchange-Verwaltung und das Anlegen von Sicherheitsprinzipalen in Active Directory.

Benefits

  • Prinzip der minimalen Rechte: Helpdesk-Mitarbeitende erhalten genau die Cmdlets, die sie brauchen, und keine Organisationsrechte.
  • Delegation an Standorte oder Abteilungen über Bereiche, ohne Vollzugriff auf die ganze Organisation.
  • Rollenzuweisungen sind per PowerShell auswertbar, das erleichtert Audits und Rezertifizierung.
  • RBAC for Applications begrenzt App-Zugriffe auf definierte Postfächer statt auf den ganzen Tenant.

Practical example

Ein Unternehmen mit drei Standorten lässt den Helpdesk Postfächer anlegen, Berechtigungen für freigegebene Postfächer setzen und Abwesenheitsnotizen einrichten, aber keine Transportregeln oder Connectoren ändern. Die IT kopiert die Rolle Mail Recipients, entfernt nicht benötigte Cmdlets und weist sie einer neuen Rollengruppe mit Bereich auf die Empfänger des jeweiligen Standorts zu. Eine Scan-to-Mail-Anwendung in Exchange Online bekommt per RBAC for Applications nur Zugriff auf ein einziges Postfach.

Things to keep in mind

  • Organization Management nur an wenige, namentlich bekannte Personen vergeben und regelmäßig prüfen.
  • Integrierte Rollengruppen nicht ungeprüft erweitern; eigene Gruppen mit klarer Bezeichnung anlegen.
  • In Exchange Online privilegierte Rollen per Privileged Identity Management nur zeitweise aktivieren.
  • Für Anwendungen RBAC for Applications statt tenantweiter Graph-Berechtigungen einsetzen.
  • Änderungen an Rollen dokumentieren und das Admin-Überwachungsprotokoll auswerten.

Licensing & availability

RBAC ist Bestandteil von Exchange Server SE und Exchange Online und braucht keine eigene Lizenz. Privileged Identity Management setzt Microsoft Entra ID P2 oder Entra ID Governance voraus. Stand: Oktober 2026.

Conclusion

Gutes RBAC verhindert Rechtewildwuchs in Exchange. Starte mit den integrierten Rollengruppen, lege eigene nur bei echtem Bedarf an und prüfe die Zuweisungen regelmäßig.

Further reading

Related articles