Security & Compliance

Granular Delegated Admin Privileges (GDAP)

Allgemeine Infos

Granular Delegated Admin Privileges (GDAP) regeln, mit welchen Rechten ein Microsoft-Partner, etwa ein Systemhaus oder MSP, im Microsoft-365- oder Azure-Tenant eines Kunden arbeitet. Microsoft beschreibt GDAP als Sicherheitsfunktion nach dem Zero-Trust-Prinzip: Der Kunde gibt ausdrücklich nur die Microsoft-Entra-Rollen frei, die der Partner für seine Aufgaben braucht, und das nur für einen begrenzten Zeitraum.

GDAP ersetzt das ältere Modell Delegated Admin Privileges (DAP), bei dem Partner über die Gruppe Admin agents pauschal Zugriff auf alle Kunden-Tenants hatten. Seit Herbst 2023 entsteht für neue Kunden kein DAP mehr (über die API ab 25. September, bei Reseller-Beziehungen ab 10. Oktober 2023), die Einführung von Default GDAP für neue Kunden war am 2. Dezember 2023 abgeschlossen. Microsoft empfiehlt, bestehende DAP-Beziehungen so schnell wie möglich abzulösen.

Abgrenzung: Das CSP-Programm regelt den Lizenzverkauf über Partner, GDAP nur die administrativen Rechte; Reseller-Beziehung und Admin-Beziehung sind getrennte Vorgänge. Microsoft 365 Lighthouse ist das Verwaltungsportal für MSPs und nutzt GDAP als Berechtigungsgrundlage. Azure Lighthouse ist ein eigener, davon unabhängiger Weg für delegierten Zugriff auf Azure-Ressourcen. Für Adminrechte im eigenen Tenant gelten Privileged Access Management und Conditional Access.

Funktionsweise & Details

Eine GDAP-Beziehung entsteht in mehreren Schritten:

  1. Ein Partner-Mitarbeiter mit der Rolle Admin agent legt im Partner Center eine Admin-Beziehung an: eindeutiger Name (für den Kunden im Microsoft 365 Admin Center sichtbar), Laufzeit in Tagen und die gewünschten integrierten Entra-Rollen.
  2. Der Kunde erhält per E-Mail einen personalisierten Link und nimmt die Anfrage an. Unbeantwortete Anfragen verfallen nach 90 Tagen.
  3. Der Partner weist die freigegebenen Rollen Sicherheitsgruppen in seinem eigenen Tenant zu und nimmt die Techniker in diese Gruppen auf. Pro Kunde sind bis zu 100 Sicherheitsgruppen möglich.
  4. Die Laufzeit beträgt höchstens zwei Jahre. Mit Auto Extend verlängert sich die Beziehung jeweils um sechs Monate; für die Rolle Globaler Administrator steht Auto Extend nicht zur Verfügung.
  5. Rollen lassen sich nach dem Anlegen nicht ergänzen, dafür ist eine neue Beziehung nötig. Partner und Kunde können die Beziehung jederzeit beenden.

Vorteile & Nutzen

  • Der Partner arbeitet nur mit den Rollen, die er braucht, etwa Service Support Administrator für Supporttickets; ein kompromittiertes Partnerkonto richtet dadurch weniger Schaden an.
  • Die Rechte sind pro Kunde getrennt, ein Techniker hat nicht mehr automatisch Zugriff auf alle Kunden-Tenants seines Arbeitgebers.
  • Die begrenzte Laufzeit erzwingt eine wiederkehrende Entscheidung, ob der Partner die Rechte weiter braucht.
  • Organisationen mit Vorgaben zu minimalen Rechten, etwa im Rahmen von NIS2 und der Absicherung der Lieferkette, binden externe Dienstleister damit nachvollziehbar ein.

Praxisbeispiel

Ein Kunststoffverarbeiter mit 180 Mitarbeitenden lässt seinen Microsoft-365-Tenant von einem Systemhaus mitbetreuen, das noch über DAP weitreichende Adminrechte besitzt. Im Zuge der NIS2-Vorbereitung entfernt die IT die DAP-Beziehung und akzeptiert eine GDAP-Anfrage über zwölf Monate mit den Rollen Exchange Administrator, Intune Administrator und Service Support Administrator. Globaler Administrator wird nur bei Bedarf als separate, kurz laufende Beziehung angefragt. Ergebnis: Das Systemhaus kann seine Aufgaben erledigen, jede Rolle ist dokumentiert, und die Freigabe muss jährlich bewusst erneuert werden.

Worauf sollte man achten?

  • Wähle Rollen anhand der Microsoft-Übersicht der Rollen mit den geringsten Rechten pro Aufgabe und vermeide Globaler Administrator; wenn er unumgänglich ist, nur als zeitlich eng begrenzte Beziehung.
  • Kontrolliere im Microsoft 365 Admin Center regelmäßig, welche Partner-Beziehungen bestehen, und entferne verbliebene DAP-Beziehungen.
  • Gastkonten funktionieren mit GDAP nicht, Partner-Techniker arbeiten mit Konten aus dem Partner-Tenant. Über Einstellungen für mandantenübergreifenden Zugriff kannst Du der MFA aus dem Partner-Tenant vertrauen.
  • Für das Zurücksetzen von Kennwort und MFA eines ausgesperrten Kunden-Admins braucht der Partner die Rolle Privileged Authentication Administrator; vereinbare das vorab, statt im Notfall eine neue Beziehung anzufragen.
  • Nimm Dienstleisterkonten nur dann von Conditional-Access-Richtlinien aus, wenn die Absicherung auf Partnerseite vertraglich geregelt ist.

Lizenz & Verfügbarkeit

Kein eigenes Lizenzprodukt, sondern eine Funktion des Microsoft Partner Center für Partner wie Direct-Bill-Partner, indirekte Anbieter und indirekte Reseller. Eine Entra-ID-P2-Lizenz ist für das Anlegen einer Beziehung nicht mehr erforderlich. Microsoft 365 Lighthouse bietet indirekten Resellern und Direct-Bill-Partnern einen GDAP-Einrichtungsassistenten mit Vorlagen und Just-in-Time-Zugriff. Stand: Oktober 2026.

Fazit

GDAP ist der Standard, wenn ein externer Dienstleister in Deinem Tenant administriert. Akzeptiere nur Beziehungen mit begründeten Rollen und fester Laufzeit und räume Altlasten aus DAP-Zeiten auf.

Weiterführende Links

Verwandte Artikel