Microsoft Entra Administrative Units: Leitfaden

Von Mirko Peters · 2026-04-30 · Aktualisiert 2026-07-18

Erfahren Sie, wie Sie Administrative Units in Microsoft Entra praxisnah einsetzen: Sicherheit, Governance, Zugriffssteuerung, Implementierung und Anwendung im Alltag.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Wenn Sie eine große Organisation mit Microsoft 365 oder Azure verwalten, kann es schnell unübersichtlich werden. Administrative Units, kurz AUs, in Microsoft Entra ID übernehmen die Rolle von Nachbarschaftswachen für die digitalen Straßen Ihres Mandanten. Sie helfen Ihnen, Ihre Benutzerbasis in Bereiche zu gliedern, sodass Sie lokalen Administratoren genau so viel Kontrolle geben können, wie sie für ihren Bereich brauchen, aber nicht für die ganze Stadt.

Das ist ein großer Fortschritt für Organisationen, die Sicherheit, Compliance und Effizienz miteinander in Einklang bringen müssen. Statt pauschaler Administratorrechte stellen AUs sicher, dass die richtigen Personen die richtigen Benutzer verwalten, nicht mehr und nicht weniger. Im Folgenden erfahren Sie, worin sich AUs von Gruppen und klassischen OUs unterscheiden und wie sie die Arbeit erleichtern, während sie die Governance straff halten. Ob Sie eine präzisere Festlegung von Rollenbereichen, eine Mandantensegmentierung oder schlicht weniger Chaos suchen: Es lohnt sich, Administrative Units in Entra ID zu verstehen.

Was ist eine Administrative Unit in Microsoft Entra ID?

Administrative Units (AUs) in Microsoft Entra ID sind besondere Container, die für die Aufräumarbeit im großen Stil gedacht sind. Betrachten Sie sie als digitale Grenzen: Sie können Administratoren diesen Grenzen zuweisen, sodass sie nur die Benutzer oder Gruppen innerhalb des jeweiligen Zauns verwalten.

Sobald Sie eine AU eingerichtet haben, können Sie Administratorrechte delegieren, etwa die des Benutzeradministrators oder des Helpdesk-Administrators, und zwar nur für die Personen oder Gruppen innerhalb dieser Unit. So bleiben lokale IT-Teams auf ihre eigenen Mitarbeiter konzentriert, ohne überall sonst herumzuschauen. Es geht darum, die Kontrolle zu dezentralisieren, ohne alle Türen gleichzeitig zu öffnen.

Besonders hilfreich ist das in großen oder komplexen Organisationen, etwa an Schulen, international tätigen Unternehmen oder Behörden, in denen Sie nicht möchten, dass ein Administrator in New Jersey Kennwortzurücksetzungen für Mitarbeiter in Tokio übernimmt. Sie geben jedem sozusagen seine Spur vor, und alle bleiben auf ihrer Spur.

Anders als klassische OUs im lokalen Active Directory existieren AUs nur in der Microsoft-Cloud und dienen ausschließlich dazu, Administratorberechtigungen einzugrenzen. Sie sind auch nicht dasselbe wie Sicherheits- oder Microsoft 365-Gruppen, die hauptsächlich für den Zugriff auf Apps und Ressourcen genutzt werden und keine Administratorrechte regeln. Das Wichtigste in Kürze: AUs helfen Ihnen festzulegen, „wer was verwalten darf“, und das direkt in Ihrem Cloud-Mandanten. So wird die Administration präziser und sicherer.

Wie sich Azure Administrative Units von Gruppen und OUs unterscheiden

• Administrative Units (AUs): Ausgelegt für die delegierte Administration. Beschränken Administratorrollen auf bestimmte Benutzer und Gruppen innerhalb einer AU, gewähren aber keinen Zugriff auf Ressourcen wie Dateien oder Postfächer.
• Gruppen: Dienen der Zuweisung von App- und Ressourcenzugriff (z. B. Teams, SharePoint, Lizenzierung). Gruppen begrenzen oder definieren keine Administrationsbereiche, sondern dienen nur der Mitgliedschaft für Berechtigungen oder Verteilerlisten.
• Organisationseinheiten (OUs): Ein Konzept aus dem lokalen Active Directory, das Objekte (Benutzer, Computer) hierarchisch für die Anwendung von Gruppenrichtlinien organisiert. Nicht für die Delegation in der Cloud oder in Microsoft 365 vorgesehen; es gibt kein direktes Pendant in Entra ID.

Kurz gesagt: Verwenden Sie AUs für die Eingrenzung von Administratoren, Gruppen für den Zugriff und OUs für die Organisation im lokalen Netzwerk. Wählen Sie das Werkzeug, das zur Aufgabe passt.

Administrative Units implementieren: Zentrale Szenarien für Microsoft 365

Wenn sich Ihre Microsoft 365-Umgebung über mehrere Länder, Abteilungen oder Compliance-Zonen erstreckt, reicht ein zentrales Administratorenteam nicht aus. Hier kommen Administrative Units ins Spiel. Sie helfen Ihnen, komplexe Strukturen zu verwalten, ohne die Kontrolle zu verlieren, oder den Überblick.

Administrative Units ermöglichen es, genau das richtige Maß an Berechtigungen zu verteilen, sodass lokale Teams oder Abteilungsleiter Kennwortzurücksetzungen oder Gruppenmitgliedschaften genau dort übernehmen können, wo sie benötigt werden. Indem Sie Ihren Mandanten auf diese Weise segmentieren, steigern Sie die Produktivität und senken das Risiko, da niemand mehr Administratorzugriff hat, als er benötigt.

Praktische Herausforderungen tauchen ständig auf: Vielleicht haben Sie eine Universität mit verschiedenen Fakultäten, einen Einzelhändler mit Filialen in mehreren Bundesländern oder ein globales Unternehmen mit regionalen IT-Teams. Administrative Units sind dann Ihr Mittel der Wahl, um festzulegen, wer für welchen Teil Ihrer Organisation verantwortlich ist, und um sicherzustellen, dass interne Richtlinien tatsächlich greifen.

Im Folgenden sehen wir uns einige der häufigsten Szenarien und Entscheidungspunkte für die Einführung dieser Units an. Sie erfahren nicht nur, warum sie wichtig sind, sondern auch, wie sie helfen, typische Probleme wie Compliance, Zugriff nach dem Least-Privilege-Prinzip und regionale Autonomie in den Griff zu bekommen.

Wann Sie Verwaltungseinheiten in komplexen Verwaltungsszenarien einsetzen sollten

• Geografisch verteilte Organisationen: Weisen Sie regionalen IT-Teams die Verwaltung nur der Benutzer an ihrem Standort zu (z. B. Europa, Asien), ohne Zugriff auf den globalen Mandanten.
• Abteilungstrennung: Delegieren Sie Administratorrechte an HR, Finanzen oder akademische Fakultäten und begrenzen Sie die Verwaltungsberechtigungen jedes Teams auf die eigene Abteilung.
• Compliance- und Datenschutzgrenzen: Trennen Sie Benutzer, die unterschiedlichen Vorschriften unterliegen (etwa DSGVO oder HIPAA), in eigene Verwaltungseinheiten und setzen Sie so klare Sicherheitsgrenzen durch.
• Fusionen und Übernahmen: Binden Sie neue Geschäftsbereiche oder übernommene Unternehmen ein und lassen Sie diese sich selbst verwalten, ohne ihnen Zugriff auf Ihre gesamte Umgebung zu geben.
• Bildungseinrichtungen und Schulbezirke: Geben Sie Schuladministratoren die Kontrolle nur über Schüler und Personal ihres Campus, und halten Sie die Daten anderer Schulen außer Reichweite.

Azure-Verwaltungseinheiten zur Mandantensegmentierung in Microsoft 365 nutzen

• Dezentrale Verwaltung: Mit Verwaltungseinheiten können Sie lokalen Administratoren genau die Personen oder Gruppen zuweisen, die sie betreuen – für alltägliche Aufgaben ist kein globaler Administrator mehr nötig. So vermeiden Sie, dass zu viele Köche den Brei verderben.
• Klare Sicherheitsgrenzen: Indem Sie Ihren Mandanten mit Verwaltungseinheiten segmentieren, schaffen Sie Grenzen entlang von Abteilungen, Regionen oder juristischen Einheiten – jeweils mit maßgeschneiderten Administratorrechten.
• Einfacheres Compliance-Management: Wenn IT-Teams nur die Benutzer in ihrem Zuständigkeitsbereich sehen, lassen sich Audits deutlich leichter bestehen, das Least-Privilege-Prinzip durchsetzen und das Risiko einer Datenexposition begrenzen.
• Vereinfachte Fehlerbehebung: Lokale Administratoren können Kennwörter zurücksetzen, Lizenzen verwalten oder Mitgliedschaften anpassen, ohne sich in den Daten anderer Teams zu verheddern – das macht die tägliche Verwaltung reibungsloser.
• Unterstützung von Governance-Strategien: Für weiterführende Strategien rund um RBAC, PIM und Durchsetzung finden Sie diesen Beitrag zu Azure-Governance und RBAC-Best Practices mit praxisnahen Tipps.

Verwaltungseinheiten in Microsoft Entra ID einrichten

Die Einführung von Verwaltungseinheiten in Microsoft Entra ID beginnt mit einer klaren Frage: Wen möchten Sie verwalten, und wem vertrauen Sie diese Verwaltung an? Wenn Sie das geklärt haben, umfasst die Einrichtung einer Verwaltungseinheit zunächst das Erstellen der Einheit selbst, anschließend das Hinzufügen der passenden Benutzer oder Gruppen und schließlich die Zuweisung von Administratorrollen mit dem gewünschten Kontrollumfang.

Sie können Verwaltungseinheiten direkt im Azure-Portal anlegen, das einen intuitiven, schrittweisen Ablauf bietet. Für größere oder dynamischere Organisationen lohnt sich die Microsoft Graph API, mit der Sie Skripte die aufwendige Arbeit übernehmen lassen können.

Danach geht es darum, Personen den richtigen Verwaltungseinheiten zuzuordnen – bei Bedarf einzeln, bei größeren Mengen auch im Massenverfahren. Gruppenmitgliedschaften lassen sich direkt oder dynamisch verwalten. Bei Geräten und Ressourcen (etwa SharePoint-Websites) gelten jedoch Einschränkungen, auf die wir gleich eingehen.

Abschließend sollten Sie Administratorrollen zuweisen – entweder über das klassische Azure AD-Modell oder über Privileged Identity Management (PIM) für zeitlich begrenzten Zugriff und Nachvollziehbarkeit. In den folgenden Abschnitten erläutern wir jeden Schritt, damit Sie mit dem nötigen Wissen Verwaltungseinheiten erstellen, absichern und delegieren können.

Verwaltungseinheiten in Microsoft 365 erstellen und konfigurieren

• Azure-Portal aufrufen: Navigieren Sie zu Microsoft Entra ID, wählen Sie Verwaltungseinheiten aus und klicken Sie auf „+ Neue Verwaltungseinheit“, um den Einrichtungsablauf zu starten.
• Benennen, beschreiben und Umfang festlegen: Geben Sie Ihrer Verwaltungseinheit einen klaren, aussagekräftigen Namen (etwa „APAC Sales Admins“). Optional können Sie für künftige Administratoren eine Beschreibung hinzufügen.
• Mitglieder hinzufügen: Sie können Benutzer oder Gruppen direkt als Mitglieder zuweisen. Legen Sie fest, wer innerhalb dieser Verwaltungseinheit verwaltet wird – Administratoren wirken sich nur auf diese Personen aus.
• Option für Automatisierung: Bevorzugen Sie Code? Verwenden Sie die Microsoft Graph API, um Verwaltungseinheiten für Massen- oder automatisierte Workflows zu erstellen, zu aktualisieren und zu verwalten. Skripte erleichtern umfangreiche Änderungen und reduzieren Fehler.
• Auf Überschneidungen bei Mitgliedschaften prüfen: Vermeiden Sie sich überschneidende Mitgliedschaften zwischen Verwaltungseinheiten, wenn Sie eine enge Abgrenzung wünschen. Ein Benutzer kann für einen bestimmten Rollenkontext nur in einer Verwaltungseinheit verwaltet werden.

Benutzer und Gruppen Verwaltungseinheiten zuweisen

• Direkte Zuweisung: Fügen Sie Benutzer oder Gruppen manuell über das Azure-Portal hinzu (Benutzer > Mitglied hinzufügen), damit sie in Ihrer Verwaltungseinheit als verwaltete Objekte geführt werden.
• Dynamische Gruppen (mit Einschränkungen): Sie können dynamische Gruppen als AU-Mitglieder hinzufügen. Die AUs selbst können dynamische Regeln derzeit jedoch nicht nativ durchsetzen, denn dynamische Gruppenregeln sind in der Gruppe definiert, nicht in der AU.
• Massenimporte: Verwenden Sie bei großen Organisationen PowerShell oder die Graph API, um mehreren Benutzern und Gruppen effizient Rollen zuzuweisen. Das spart Zeit und sorgt für Einheitlichkeit.
• Mitgliedschaften regelmäßig überprüfen: Richten Sie in regelmäßigen Abständen Kontrollen ein, um verwaiste Konten zu entfernen und sicherzustellen, dass Benutzer weiterhin korrekt eingegrenzt sind. Veränderungen gehören zum Alltag, deshalb sollten Sie Ihre Grenzen regelmäßig aktualisieren.
• Geräte: Derzeit können Geräte wie Laptops oder Mobiltelefone keine Mitglieder von AUs sein. Die Verwaltung betrifft ausschließlich Benutzer und Gruppen, nicht Hardware oder Ressourcen.

Rollen für Administratoren mit Privileged Identity Management zuweisen

• Rollenzuweisung pro AU: Weisen Sie innerhalb der AU Rollen wie User Administrator, Groups Administrator oder Helpdesk Admin zu. So erhalten delegierte Administratoren nur innerhalb dieser AU entsprechende Berechtigungen.
• PIM für JIT-Zugriff nutzen: Verwenden Sie das Privileged Identity Management (PIM) von Azure AD, um administrativen Zugriff just-in-time (JIT) zu gewähren. Rollen können so nur temporär aktiviert werden, was das Risiko dauerhaft aktiver Berechtigungen („Always on“) verringert.
• Genehmigungsworkflows einrichten: Konfigurieren Sie PIM-Genehmigungen, damit administrativer Zugriff eine zusätzliche Freigabe erfordert. Das ist besonders hilfreich in Compliance-Umgebungen oder bei hohen Sicherheitsanforderungen.
• Zugriff überwachen und protokollieren: Behalten Sie im Blick, wer wann welche Rolle aktiviert. Verbinden Sie die Audit-Protokolle mit Microsoft Sentinel oder nutzen Sie Purview Audit für die forensische Nachverfolgung von Benutzeraktivitäten in Microsoft 365. Das stärkt die Governance und Ihre Sicherheitsstrategie.
• Zugewiesene Privilegien regelmäßig prüfen: Überprüfen Sie vergebene Rollen in regelmäßigen Abständen. Entfernen Sie veraltete oder nicht benötigte Berechtigungen, um eine schleichende Ausweitung von Privilegien zu verhindern und das Prinzip der minimalen Berechtigungen durchzusetzen.

Verwaltungsvoraussetzungen, Lizenzierung und Einschränkungen

Bevor Sie Ihren Mandanten mit AUs in Teilbereiche gliedern, sollten Sie einige Voraussetzungen und Einschränkungen prüfen. Nicht alle Microsoft 365-Abonnements bieten denselben Funktionsumfang. Für die Nutzung von AUs benötigen sowohl die betroffenen Benutzer als auch die zugewiesenen Administratoren in der Regel mindestens Azure AD Premium P1-Lizenzen.

Bei Benutzern und Gruppen funktioniert die Verwaltung zuverlässig, bei Geräten, SharePoint-Websites oder anderen Ressourcen zeigen sich dagegen Schwächen. AUs sind derzeit nicht für die Verwaltung von Hardware oder die Vergabe granularer Ressourcenberechtigungen ausgelegt. Auch bei Lizenzzuweisungen und einigen Funktionen zur Eigenschaftsverwaltung gibt es Einschränkungen, die in großen oder sich schnell ändernden Umgebungen kreative Workarounds erfordern können.

Ein weiterer Knackpunkt ist die Hierarchie. Anders als OUs im klassischen Active Directory sind AUs flach aufgebaut. Es gibt keine Verschachtelung und keine Eltern-Kind-Beziehungen. Ihre Segmentierung müssen Sie daher ohne diese Ebene an Komplexität (oder Flexibilität, je nachdem, wie man es betrachtet) planen.

Im Folgenden erfahren Sie die funktionalen Grenzen von AUs. So können Sie sowohl für Ihre IT-Mitarbeiter als auch für die Fachbereiche realistische Erwartungen setzen.

Wichtige administrative Einschränkungen: Hierarchie, Geräte und SharePoint

• Keine hierarchische Struktur: AUs sind flach aufgebaut. Es gibt kein Konzept für Verschachtelung oder Eltern-Kind-Beziehungen. Beispielsweise können Sie keine AU „Nordamerika“ mit untergeordneten AUs für jeden Bundesstaat oder jede Provinz anlegen. Jede AU steht für sich allein.
• Lücken bei der Geräteverwaltung: Geräte wie Laptops, Telefone oder Drucker lassen sich über AUs nicht direkt verwalten. Wenn Sie Bereiche auf Geräteebene eingrenzen müssen, sind andere Lösungen oder Intune-Richtlinien erforderlich.
• Einschränkungen bei SharePoint und OneDrive: AUs begrenzen die Administratorrechte für SharePoint-Websites oder OneDrive nicht. Die Datenverwaltung in diesen Apps erfordert eigene Strategien oder Alternativen wie Microsoft Dataverse für komplexe Datenanforderungen.
• Herausforderungen bei der Lizenzzuweisung: Sie können Benutzern innerhalb von AUs Lizenzen zuweisen. Eine AU-bezogene Automatisierung ist jedoch nicht integriert, was die Automatisierung im großen Maßstab erschwert.
• Eigenschaftsverwaltung: Das Massenaktualisieren oder Auswerten von Benutzereigenschaften innerhalb von AUs ist eingeschränkt. Um diese Lücken zu schließen, benötigen Sie häufig externe Tools, PowerShell oder die Graph API.

Sicherheit, Governance und Alternativen zu Verwaltungseinheiten

Sicherheit und Governance enden nicht mit der Einrichtung von Verwaltungseinheiten. Sie sind erst der Anfang. Um Ihren Mandanten (und Ihren Ruf) zu schützen, müssen Sie festlegen, wie Verwaltungseinheiten verwaltet werden, wer Berechtigungen delegiert bekommt und wie privilegierter Zugriff im Zeitverlauf überwacht, überprüft und wieder entzogen wird.

Zu den bewährten Methoden gehören das Prinzip der minimalen Berechtigungen, Genehmigungsworkflows mit PIM und die Prüfung jeder Rollenzuweisung. Vernachlässigen Sie außerdem die kontinuierliche Überwachung nicht. Überprüfungen privilegierter Zugriffe, Warnmeldungen bei ungewöhnlichen Aktivitäten und regelmäßige Berichte schaffen Klarheit darüber, wer Ihre Umgebung tatsächlich steuert.

Für manche Organisationen reicht selbst ein durchdachtes Design von Verwaltungseinheiten nicht aus. Vielleicht benötigen Sie eine mehrstufige Segmentierung, tiefergehende Compliance-Kontrollen oder eine leistungsfähigere Automatisierung. Dann kommen alternative Lösungen wie die virtuellen Mandanten von CoreView ins Spiel. Mit ihnen können Sie Ihren Mandanten auf Arten unterteilen, die Verwaltungseinheiten derzeit nicht ermöglichen.

Eine vertiefte Auseinandersetzung mit einer wasserdichten Governance, einschließlich Richtliniendurchsetzung, RBAC und automatisierten Leitplanken, bietet diese Übersicht zu Azure-Governance-Strategien. Wenn Sie sich mit KI oder Automatisierung beschäftigen, ist die Absicherung von Copilot- und Graph-Berechtigungen ein Pflichtartikel, um im Zeitalter von Copilots und Bots compliant zu bleiben.

Verbleibende Sicherheitsimplikationen und Alternativen mit virtuellen Mandanten

• Berechtigungsanhäufung: Werden Administratorrechte nicht überprüft, können ehemalige Administratoren oder Personen, die häufig den Arbeitgeber wechseln, „Zombie“-Berechtigungen ansammeln. Das gehört zu den größten Insider-Risiken. Regelmäßige Überprüfungen und Entzüge sind daher unverzichtbar.
• Lücken bei Prüfung und Transparenz: Native Überwachungsprotokolle zeigen möglicherweise nicht ohne Weiteres, wer innerhalb welcher Verwaltungseinheit was geändert hat. Für eine Aufsicht auf Unternehmensniveau sollten Sie Entra-Protokolle an SIEM-Werkzeuge anbinden oder Microsoft Purview bzw. Sentinel für eine robuste Überwachung und Compliance-Berichte nutzen. Folgen wie Agentageddon zeigen, welche Risiken entstehen, wenn die Prüfung von KI und Governance in Microsoft 365 ins Hintertreffen gerät.
• Einschränkungen beim Geltungsbereich: Verwaltungseinheiten können Cross-Cloud- oder Hybridumgebungen nicht nativ segmentieren. Für hybride oder Multi-Cloud-Szenarien sollten Sie auf Drittanbieter-Werkzeuge oder Lösungen mit virtuellen Mandanten setzen, die tiefere Grenzen und eine zentrale Governance ermöglichen.
• Wann Alternativen in Betracht kommen: Ziehen Sie Lösungen wie die virtuellen Mandanten von CoreView in Betracht, wenn Sie eine mehrstufige Segmentierung, Compliance-Zuordnung oder erweiterte Workflow-Automatisierung benötigen, die über die Möglichkeiten von Verwaltungseinheiten hinausgeht. Schatten-IT und KI erfordern erweiterte Überwachung. Weitere Ideen finden Sie in dieser Analyse zu den Grundlagen von Microsoft Foundry und Purview.

Das sollten Sie sich ebenfalls anhören

Wenn Sie sich mit Verwaltungseinheiten in Microsoft Entra beschäftigen, bieten diese Folgen praktischen Kontext zu Identitätssicherheit, Governance, privilegiertem Zugriff und Implementierung:

• Microsoft Defender XDR – Simply Explained — Verknüpfen Sie Identity Governance mit Sicherheitssignalen, Untersuchung und Reaktion.
• Conditional Access – Simply Explained — Erfahren Sie, wie richtlinienbasierte Zugriffskontrollen Identitätsentscheidungen durchsetzen.
• Privileged Identity Management – Simply Explained — Verstehen Sie Just-in-Time-Berechtigungen, Genehmigungen und Zugriffsüberprüfungen.
• Microsoft Teams Governance – The Illusion of Control — Sehen Sie, wie Governance Berechtigungen und Eigentümerschaft in wiederholbare Abläufe überführt.