Wem gehört Ihr Microsoft 365 Tenant wirklich? (Teil 1: Microsoft Teams)

Vor einiger Zeit wurde ich um Hilfe gebeten. Warum? Ein Unternehmen hatte einen langjährigen IT-Dienstleister. Die Zusammenarbeit lief gut, bis es zu einem Zahlungsstreit kam. Und genau hier wurde es kritisch. Der Dienstleister reagierte auf seine Art: Er verweigerte den Zugang zum Microsoft 365 Tenant des Unternehmens, also den Admin Zugang, und bestand als Gegenleistung für den Admin Zugang auf die vollständige Begleichung des umstrittenen Rechnungsbetrags.

Das bedeutete im Falle einer weiteren Eskalation, dass die Geschäftsführung und die Mitarbeiter keinen Zugriff mehr auf ihre E-Mails, ihre Teams-Kanälen, ihre SharePoint-Dokumenten und ihre gesamte Microsoft 365 Umgebung haben könnten.

Leider passiert so etwas öfter als man denkt, und es hätte verhindert werden können.

Was ist ein Microsoft 365 Tenant?

Der Microsoft 365 Tenant ist die digitale Heimat Ihres Unternehmens in der Microsoft-Cloud. Er enthält alle E-Mails, alle Teams-Kanäle und Chats, alle SharePoint-Dokumente, alle OneDrive-Dateien, alle Lizenzen und alle Benutzerkonten.

Wer den globalen Administrator-Zugang zu diesem Tenant hat, hat die Kontrolle über alles. Er kann Benutzer sperren, Passwörter zurücksetzen, Lizenzen entziehen und im schlimmsten Fall den Zugang für das gesamte Unternehmen unterbinden.

Leider ist es auch häufig so, dass nicht nur der globale Administrator Zugang beim IT Dienstleister liegt, sondern dass auch das Abrechnungskonto für den Tenant über den IT Dienstleister läuft.
Wenn das Abrechnungskonto beim IT-Dienstleister liegt, kann er theoretisch die Lizenzen kündigen oder nicht verlängern. Das bedeutet: Ihre Microsoft 365 Lizenzen laufen aus, und niemand im Unternehmen kann mehr arbeiten, nicht weil der Admin-Zugang gesperrt wurde, sondern weil die Lizenzen einfach weg sind.

In vielen kleinen und mittleren Unternehmen liegt der Admin Zugang beim IT-Dienstleister, wie auch die Abrechnung die über ihn läuft. Einfach weil es am Anfang einfach war den IT – Dienstleister zu vertrauen, und alles auf einer gesammelten Rechnung erschienen ist.  Und niemand sich über die Wichtigkeit für das Unternehmen klar gewesen ist.

Das Problem: Wer hat den Schlüssel?

Stellen Sie sich vor, Ihr IT-Dienstleister hat den einzigen globalen Administrator-Account auf Ihrem Tenant. Dann gilt: Solange die Zusammenarbeit funktioniert, ist das kein Problem. Sobald sie aufhört zu funktionieren, haben Sie ein existenzielles Problem.

Szenarien die in der Praxis vorkommen:

• Der Dienstleister wird insolvent. Niemand ist mehr erreichbar.
• Es kommt zu einem Vertragsstreit. Der Dienstleister sperrt den Zugang als Druckmittel.
• Der zuständige Mitarbeiter beim Dienstleister verlässt das Unternehmen. Niemand kennt die Zugangsdaten.
• Sie möchten den Dienstleister wechseln. Der alte sperrt den Zugang bis zur vollständigen Bezahlung.

In all diesen Fällen ist Ihr Unternehmen handlungsunfähig, solange Sie keinen eigenen Administrator-Zugang haben.

Die Lösung: Das Break-Glass-Konto

Das Break-Glass-Konto ist ein Notfall-Administrator-Konto das ausschließlich der Geschäftsführung des Unternehmens gehört. Es ist nicht das tägliche Arbeitskonto, sondern ein Sicherheitsnetz für den Ernstfall.

Der Name kommt aus der Notfallplanung: So wie es in Gebäuden Notfallknöpfe hinter Glasscheiben gibt, die man nur im Notfall einschlägt, ist das Break-Glass-Konto der digitale Notfallknopf für Ihren Microsoft 365 Tenant.

So richten Sie ein Break-Glass-Konto ein

• Konto anlegen: Erstellen Sie ein neues Benutzerkonto mit einer E-Mail-Adresse die nur für diesen Zweck existiert, zum Beispiel notfall@ihrunternehmen.at.
• Globaler Administrator: Weisen Sie diesem Konto die Rolle des globalen Administrators zu.
• Starkes Passwort: Verwenden Sie ein langes, zufälliges Passwort das nirgendwo digital gespeichert ist.
• Physische Sicherung: Drucken Sie die Zugangsdaten aus und bewahren Sie sie im Tresor auf, getrennt von allen digitalen Systemen.
• Kein täglicher Einsatz: Das Konto wird nur im Notfall verwendet. Es hat keine Lizenz, keinen Posteingang, keine Teams-Mitgliedschaft.
• Regelmäßige Prüfung: Mindestens einmal jährlich prüfen ob das Konto noch existiert und der Zugang funktioniert.
• Für die Regelmäßige Prüfung ein Administratorkonto nur für den Geschäftsführer als Globaler Administrator, ebenfalls nicht für den täglich Einsatz gedacht.

Wichtig: Kein MFA per Telefon oder App

Das Break-Glass-Konto sollte kein Multi-Faktor-Authentifizierung per Smartphone oder Authenticator-App haben. Wenn das Smartphone verloren geht oder die App nicht mehr verfügbar ist, kommen Sie im Notfall nicht mehr rein. Stattdessen empfiehlt Microsoft FIDO2-Sicherheitsschlüssel für Break-Glass-Konten.

Was bedeutet das konkret für Microsoft Teams?

Microsoft Teams ist direkt in den Tenant eingebunden. Wer den Tenant-Zugang verliert, verliert auch den Zugang zu Teams. Das bedeutet:

• Alle Teams-Kanäle und Chats sind nicht mehr erreichbar
• Alle Besprechungen können nicht mehr stattfinden
• Alle in Teams gespeicherten Dateien (SharePoint) sind nicht zugänglich
• Neue Mitarbeiter können nicht eingerichtet werden
• Ausscheidende Mitarbeiter können nicht gesperrt werden

Für ein Unternehmen das Teams als zentrale Kommunikations- und Arbeitsplattform nutzt, ist das ein vollständiger Ausfall des digitalen Arbeitsplatzes.

Checkliste: Kontrollieren Sie Ihren Tenant

Beantworten Sie diese Fragen für Ihr Unternehmen.

• Wer ist aktuell globaler Administrator in Ihrem Microsoft 365 Tenant?
• Gibt es mindestens einen globalen Administrator der direkt Ihrem Unternehmen gehört?
• Gibt es ein Break-Glass-Konto das im Tresor gesichert ist?
• Können Sie sich noch in Ihren Tenant einloggen, wenn Ihr IT-Dienstleister morgen nicht mehr erreichbar ist?

Wenn Sie auch nur eine dieser Fragen nicht mit Ja beantworten können, besteht Handlungsbedarf.

Die nächsten Teile dieser Serie

Dies ist der erste Teil einer dreiteiligen Serie.

• Teil 1 (dieser Artikel): Microsoft Teams und die Frage wer den Tenant kontrolliert
• Teil 2: Microsoft 365 Copilot – wer hat Zugriff auf Ihre KI-Daten?
• Teil 3: SharePoint – wer kontrolliert Ihre Unternehmensdokumente?

Sollten Sie Fragen, Anregungen oder Wünsche haben, dann wenden Sie sich bitte an uns. Gerne helfen wir Ihnen weiter.

Sie möchten prüfen ob Ihr Unternehmen die Kontrolle über seinen Microsoft 365 Tenant hat? Dann senden Sie uns eine unverbindliche Anfrage. Wir rufen Sie gerne zurück.

Wir freuen uns auf Sie.

ms-teams.at powered by kuester.it