M365

Microsoft Graph API

Overview

Microsoft Graph ist der einheitliche REST-Endpunkt unter graph.microsoft.com für Microsoft 365, Microsoft Entra, Intune, Teams, SharePoint, Exchange Online und weitere Dienste. Anwendungen, Skripte und Automatisierungen lesen und ändern darüber Benutzer, Gruppen, Postfächer, Kalender, Dateien, Geräte oder Sicherheitsereignisse.

Graph löst ältere Schnittstellen ab: Azure AD Graph wurde am 31. August 2025 vollständig abgeschaltet. Exchange Web Services (EWS) wird laut Microsoft im Oktober 2026 in Exchange Online deaktiviert, Lücken wie Import/Export für Archive schließt Microsoft bis Ende 2026 über Graph und neue Exchange-Admin-APIs.

Abgrenzung: Das Microsoft Graph PowerShell SDK ist ein Werkzeug, das Graph in PowerShell-Cmdlets kapselt. Graph selbst ist die API dahinter.

How it works

Ein Graph-Aufruf folgt immer dem gleichen Muster:

  1. Die Anwendung ist in Entra ID registriert und deklariert Berechtigungen, entweder delegiert (im Namen eines angemeldeten Benutzers) oder als Anwendungsberechtigung (ohne Benutzer, z. B. für Hintergrunddienste).
  2. Ein Admin erteilt bei Bedarf die Zustimmung, danach holt sich die App über OAuth 2.0 ein Zugriffstoken.
  3. Der Aufruf geht an https://graph.microsoft.com/v1.0 (produktiv, allgemein verfügbar) oder /beta (Vorschau). Beta-Endpunkte können sich ohne Ankündigung ändern und sind für Produktivanwendungen nicht unterstützt.
  4. Für GA-APIs kündigt Microsoft Abkündigungen mindestens 24 Monate vorher an.
  5. Antworten sind seitenweise (Paging), bei hoher Last drosselt Graph Anfragen (Throttling, HTTP 429). Graph Explorer im Browser eignet sich für Tests.

Benefits

  • Eine API für viele Dienste, dadurch weniger unterschiedliche Bibliotheken und Authentifizierungsverfahren
  • Feingranulare Berechtigungen und moderne Authentifizierung statt Benutzerkennwörtern in Skripten
  • Neue Funktionen von Microsoft erscheinen nur noch in Graph, ältere APIs erhalten keine Weiterentwicklung
  • Grundlage für Automatisierung mit PowerShell, Power Automate, Azure Functions oder eigenen Anwendungen

Practical example

Ein Logistikunternehmen mit 400 Mitarbeitenden schrieb Termine aus der Tourenplanung bisher per EWS in Outlook-Kalender. Vor der EWS-Abschaltung stellt die IT auf eine App-Registrierung mit der Anwendungsberechtigung Calendars.ReadWrite um, begrenzt per RBAC for Applications in Exchange Online auf die betroffenen Postfächer, und authentifiziert per Zertifikat. Die Schnittstelle läuft seitdem ohne Benutzerkonto und damit auch ohne MFA-Ausnahme.

Things to keep in mind

  • Anwendungsberechtigungen so eng wie möglich wählen, denn z. B. Mail.ReadWrite gilt ohne Einschränkung für alle Postfächer des Tenants
  • Beta-Endpunkte nicht in produktiven Skripten verwenden, da sich Felder und Verhalten ohne Vorwarnung ändern
  • Client-Secrets durch Zertifikate oder Managed Identities ersetzen und Laufzeiten überwachen
  • Throttling und Paging in Skripten berücksichtigen, sonst fehlen bei großen Tenants Datensätze
  • Mit EWS-Nutzungsberichten und dem EWS Analyzer prüfen, welche Anwendungen noch EWS verwenden

Licensing & availability

Der Zugriff auf Microsoft Graph ist in allen Microsoft-365- und Entra-Tenants ohne eigene Lizenz möglich. Einzelne Endpunkte setzen Lizenzen des zugrunde liegenden Dienstes voraus, etwa Entra ID P1/P2 für Risiko- oder Governance-Daten oder Intune für Geräteverwaltung. Einige APIs sind getaktet (metered) und kostenpflichtig. Stand: Oktober 2026.

Conclusion

Microsoft Graph ist die Schnittstelle, auf die Microsoft alle Neuerungen ausrichtet. Wer noch Azure AD Graph, MSOnline oder EWS nutzt, muss umstellen, die Fristen sind abgelaufen oder laufen gerade ab.

Further reading

Related articles