App-Berechtigungsrichtlinien und Einstellungen in Microsoft Teams

Von Mirko Peters · 2026-04-19 · Aktualisiert 2026-07-25

Zugriff auf Ihre Microsoft Teams verwalten! Erfahren Sie, wie Teams-App-Berechtigungsrichtlinien und Berechtigungstypen funktionieren. Steuern Sie den Zugriff der Teammitglieder und die Einstellungen für Teamnamen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Titelbild: App Permission Policies and Settings in Microsoft Teams

Das Berechtigungsmodell von Microsoft Teams ist das Fundament dafür, dass Ihre Organisation die Zusammenarbeit sicher, effizient und im Einklang mit den Compliance-Vorgaben gestaltet. Dieser Leitfaden erläutert Schritt für Schritt, wie Berechtigungen in Teams funktionieren. Ob Sie Besitzer verwalten, klären müssen, wer auf einen privaten Kanal zugreifen darf, oder sich mit externen Gästen befassen: Hier finden Sie alle relevanten Aspekte.

Sie erhalten klare Erklärungen zu Rollen, Zugriffsebenen und dazu, wie sich Berechtigungen über Teams, SharePoint und Azure AD hinweg auswirken. Für IT-Administratoren und Sicherheitsverantwortliche gibt es praxisnahe Governance-Tipps und konkrete Hilfestellungen bei Problemen, keine reine Fachsprache. Am Ende wissen Sie, wie Sie Ihre Teams-Umgebung sicher und übersichtlich halten, unabhängig davon, wie einfach oder komplex Ihr Setup ist.

Das Berechtigungsmodell von Teams erklärt: Definition

Berechtigungen in Microsoft Teams legen fest, wer auf Teams-Ressourcen (Teams, Kanäle, Chats, Dateien und Apps) zugreifen, sie verwalten und Aktionen darin ausführen darf. Das Berechtigungsmodell von Teams stützt sich auf rollenbasierten Zugriff (Besitzer, Mitglieder, Gäste), Steuerungsmöglichkeiten auf Kanalebene und mandantenweite Richtlinien, die von Teams- und Microsoft 365-Administratoren durchgesetzt werden.

Kurzerklärung: Im Kern erhalten Besitzer umfassende Verwaltungsrechte (Kanäle erstellen, Mitglieder hinzufügen oder entfernen, Einstellungen ändern), Mitglieder die üblichen Zusammenarbeitsrechte (Nachrichten posten, Dateien teilen, Besprechungen starten) und Gäste einen eingeschränkten, auf externe Nutzer zugeschnittenen Zugriff. Administratoren wenden organisationsweite Richtlinien an (Gastzugriff, App-Berechtigungen, Besprechungseinstellungen, Datenaufbewahrung und Compliance) und können Teameinstellungen übersteuern. Berechtigungen gelten über alle Microsoft 365-Dienste hinweg (SharePoint für Dateien, Exchange für Kalender und E-Mail). Die tatsächliche Kontrolle ergibt sich daher aus der Kombination von Teams-Rollen, Azure AD-Identitäten und Mandantenrichtlinien, mit der Zusammenarbeit sicher bleibt und trotzdem produktiv gearbeitet werden kann.

Die Berechtigungsstruktur von Microsoft Teams verstehen

Wirft man einen Blick unter die Haube von Microsoft Teams, zeigt sich, dass Berechtigungen den gesamten Betrieb steuern. Sie legen fest, wer Teams erstellen, chatten, Dateien hochladen oder externe Personen einladen darf. Das Herzstück dieses Systems bilden Berechtigungsrollen und Zugriffsebenen, die sich vom gesamten Microsoft 365-Mandanten über jedes Team bis hin zu einzelnen Kanälen erstrecken.

Alles beginnt mit den Rollen: Besitzer, Mitglieder und Gäste. Welche Macht jede Rolle hat und welche Aktionen sie ausführen kann, bestimmt, wie Menschen im Alltag miteinander arbeiten. Mit wachsender Organisation wachsen jedoch auch die Anforderungen an den Schutz der Daten und die Steuerung der Zusammenarbeit. Berechtigungen in Teams sind kein Selbstzweck. Sie sind unverzichtbar, damit vertrauliche Informationen geschützt bleiben und alle die richtigen Werkzeuge haben, ohne dass Chaos entsteht.

Sie sollten den geschichteten Ansatz verstehen: Mandantenweite Regeln bestimmen, was in Ihrer Organisation geschieht, Teameinstellungen legen den Gruppenzugriff fest, und Kanalberechtigungen verfeinern schließlich, wer innerhalb der einzelnen Bereiche was sehen darf. Die eigentliche Herausforderung für Administratoren besteht darin, zu verstehen, wie diese Ebenen ineinandergreifen, und zu erkennen, wo Sie für Ihre Organisation anpassen oder nachschärfen müssen. Mit diesem Rahmen im Hinterkopf packen wir als Nächstes die zentralen Rollen und Kanalberechtigungen im Detail an.

Berechtigungsrollen in Teams: Besitzer, Mitglieder und Gäste

Besitzer: Besitzer sind die Torwächter eines Teams. Sie können Mitglieder hinzufügen oder entfernen, anderen den Besitzerstatus zuweisen, Einstellungen verwalten und teamweite Berechtigungen steuern, etwa den Gastzugriff und Integrationen. Besitzer entscheiden, wer hineinkommt, wer bleibt und was das Team tatsächlich tun darf (etwa ob Mitglieder Kanäle erstellen, Registerkarten hinzufügen oder Inhalte löschen dürfen). Szenario: Sie sollten jedem Team mindestens zwei Besitzer zuweisen. Verlässt einer das Unternehmen, sind Sie nicht ausgesperrt.
Mitglieder: Die meisten Benutzer sind Mitglieder. Mitglieder können zusammenarbeiten, chatten, Dateien hochladen und an Besprechungen teilnehmen, allerdings nur innerhalb der von den Besitzern festgelegten Leitplanken. Mitglieder dürfen beispielsweise in Standardkanälen posten und sich an Diskussionen beteiligen, die Teameinstellungen aber nicht ändern oder andere Mitglieder entfernen. Mitglieder eignen sich ideal für alltägliche Mitarbeitende. Stellen Sie sie sich wie die „Stammkunden“ eines Cafés vor: Sie dürfen plaudern und Dinge teilen, aber nicht die Öffnungszeiten des Ladens ändern.
Gäste: Gäste sind externe Benutzer, etwa Partner, Lieferanten oder Berater, die von außerhalb Ihrer Organisation eingeladen werden. Ihre Berechtigungen sind bewusst eingeschränkt: Gäste können an Teamchats teilnehmen, auf freigegebene Dateien zugreifen und an Besprechungen teilnehmen, aber sie können Teams oder Kanäle weder erstellen noch löschen noch umfassend verwalten. Was Gäste dürfen, legen übergeordnete Richtlinien der Organisation fest. Achten Sie darauf, Gästen nicht mehr Rechte einzuräumen, als Sie beabsichtigen. Ein typischer Anwendungsfall: Einer Anwaltskanzlei geben Sie Zugriff auf genau einen Projektkanal, nicht auf Ihre gesamte Kundenliste.

Diese klare Trennung der Rollen erleichtert es, die passende Zugriffsebene zuzuweisen, und verhindert unbeabsichtigte oder absichtliche Überschreitungen von Berechtigungen.

Kanalberechtigungen und private Kanäle erklärt

Standardkanäle: Standardkanäle sind für alle Teammitglieder offen. Die Berechtigungen spiegeln hier die Gesamtstruktur des Teams wider: Besitzer und Mitglieder arbeiten gleichberechtigt nebeneinander, wobei Besitzer weiterhin Aufgaben wie das Löschen des Kanals oder das Anpassen der Postberechtigungen übernehmen. Stellen Sie sich diese Kanäle als den zentralen Aufenthaltsraum vor: Jeder im Team, einschließlich Gästen (sofern zugelassen), kann eintreten.
Private Kanäle: Private Kanäle sind genau das, was der Name sagt. Nur ausgewählte Besitzer und Mitglieder (nicht das gesamte Team) können sie sehen und darauf zugreifen. Dadurch eignen sie sich ideal für vertrauliche Unterhaltungen, etwa zu Finanzen, Personalthemen oder einem geheimen Projekt. Selbst normale Teambesitzer können nicht hineinschauen, solange sie nicht dem privaten Kanal hinzugefügt wurden. Private Kanäle verfügen über eine eigene, eingeschränkte SharePoint-Website, sodass Dateien vom Hauptbereich des Teams getrennt bleiben. Welcher Kanaltyp zu Ihren Anforderungen passt, erfahren Sie in diesem Leitfaden zu privaten und freigegebenen Kanälen in Teams.
Freigegebene Kanäle: Freigegebene Kanäle sind für die reibungslose Zusammenarbeit über andere Teams oder sogar Organisationen hinweg gedacht. Personen außerhalb des ursprünglichen Teams, etwa aus einer anderen Abteilung oder einer Partnerorganisation, können sich an der Unterhaltung beteiligen, ohne Teil des gesamten Teams zu sein. Die Berechtigungsgrenzen sind klar gezogen: Gäste und externe Benutzer sehen nur das, was im freigegebenen Kanal liegt, niemals die übrigen Kanäle Ihres Teams. Einen praxisnahen Überblick mit Governance-Strategien sowie Vor- und Nachteilen finden Sie in diesem praktischen Leitfaden zu privaten und freigegebenen Kanälen.

Wer versteht, was jeder Kanaltyp erlaubt und wie Berechtigungen durchgesetzt werden, vermeidet Verwirrung und verhindert, dass vertrauliche Informationen in falsche Hände geraten.

Das Berechtigungsmodell von Teams erklärt: 5 überraschende Fakten zu Berechtigungen in Microsoft Teams

Kanalberechtigungen können von den Teamberechtigungen abweichen. Selbst wenn ein Benutzer Teammitglied ist, ziehen die Einstellungen auf Kanalebene (Standard- oder private Kanäle) eigene Berechtigungsgrenzen. Private Kanäle haben separate Mitgliederlisten und Berechtigungssätze, die nicht vom übergeordneten Team übernommen werden.
Gastkonten verfügen über mehr Möglichkeiten, als die meisten erwarten. Gäste können an Chats teilnehmen, Dateien freigeben und an Besprechungen teilnehmen. Ihre Rechte hängen jedoch stark von den Richtlinien für Azure AD und den Mandanten von Teams ab. Die Aktivierung des Gastzugriffs gewährt nicht automatisch alle Zusammenarbeitsrechte.
Besitzer können durch organisationsweite Richtlinien eingeschränkt werden. Teambesitzer scheinen die volle Kontrolle zu haben. Organisationsweite Einstellungen und Teams-Berechtigungsrichtlinien können jedoch Aktionen einschränken, etwa das Erstellen privater Kanäle, das Hinzufügen von Apps oder das Ändern von Mitgliederrollen.
Nachrichten- und App-Berechtigungen sind getrennte Ebenen. Berechtigungen zum Senden, Bearbeiten oder Löschen von Nachrichten werden über Nachrichtenrichtlinien gesteuert. Das Hinzufügen oder Verwenden von Drittanbieter-Apps wird dagegen über die Berechtigungs- und Richtlinieneinstellungen für Apps geregelt. Eine Änderung an einer Ebene wirkt sich nicht auf die andere aus.
SharePoint- und OneDrive-Berechtigungen bestimmen oft den Dateizugriff in Teams. In Kanälen freigegebene Dateien liegen in SharePoint und folgen dessen Berechtigungsmodell. Dateien privater Kanäle befinden sich auf einer anderen SharePoint-Website. Wer nur die Teams-Rollen betrachtet, kann daher vom Dateizugriff überrascht werden.

Vererbung von Teams-Berechtigungen und kaskadierender Zugriff

Hatten Sie schon einmal das Gefühl, dass sich Berechtigungsänderungen in einem Teil von Teams auf rätselhafte Weise über Ihre gesamte Organisation ausbreiten? Genau darin liegt die Magie der Berechtigungsvererbung und zugleich ihr Kopfzerbrechen. Berechtigungen in Teams werden hierarchisch weitergegeben: von den Einstellungen auf Mandantenebene und den Azure-AD-Gruppen über jedes Team bis zu jedem Kanal und jeder Datei. Wenn Sie oben etwas festlegen, kann sich das auf Dutzende oder Hunderte Arbeitsbereiche weiter unten auswirken.

Wer versteht, wie diese Kaskade von Berechtigungen funktioniert, kann Datenlecks und versehentlichen offenen Zugriff verhindern. Außerdem können Sie besser vorhersagen, wie sich Änderungen an einer Stelle auf den Rest Ihrer Umgebung auswirken. Manchmal möchten Sie diese Vererbung jedoch unterbrechen, etwa für einen privaten Kanal oder ein vertrauliches Projekt. Das bringt eigene Risiken und Sicherheitsaspekte mit sich, die Sie beachten sollten.

In den folgenden Abschnitten gehen wir Schritt für Schritt darauf ein, wie die Vererbung funktioniert und wie Sie sie sicher unterbrechen oder außer Kraft setzen können, ohne Ihre Compliance-Vorgaben zu gefährden.

Wie die Berechtigungsvererbung in der Teams-Hierarchie funktioniert

Die Berechtigungsvererbung in Microsoft Teams beschreibt, wie Zugriffssteuerungen nach unten durchsickern („trickle down“). Ganz oben steht Ihr Microsoft 365-Mandant. Dort legen Administratoren die grundlegenden Sicherheitsrichtlinien fest und ziehen mithilfe von Azure Active Directory (Azure AD)-Gruppen organisatorische Grenzen. Diese Entscheidungen auf Mandantenebene bilden die Basis dafür, wer überhaupt auf Teams in Ihrer Organisation zugreifen kann.

Wenn ein neues Team erstellt wird, ist es automatisch mit einer Office 365-Gruppe verknüpft (heute in Azure AD verwaltet). Die Mitglieder und Besitzer dieser Gruppe werden zu den ersten Mitgliedern und Besitzern des Teams selbst. Wenn Sie die Gruppe ändern, indem Sie Personen hinzufügen oder entfernen oder deren Rolle anpassen, werden diese Änderungen sofort auf das zugehörige Team übertragen.

Innerhalb eines Teams übernehmen Standardkanäle die Berechtigungen des Teams insgesamt. Als Teammitglied gehören Sie zu jedem Standardkanal. Als Besitzer verfügen Sie über vollständige Verwaltungsmöglichkeiten in allen diesen Kanälen. Private Kanäle unterbrechen diese Kette dagegen: Nur eingeladene Mitglieder können deren Inhalte sehen, und ihre Mitgliedschaft muss separat verwaltet werden.

Dieses Vererbungsmodell sorgt für einheitliche Zugriffsrechte und reduziert (bei korrekter Umsetzung) den manuellen Aufwand für Administratoren. Trotzdem ist es wichtig zu überwachen, wie sich Änderungen auf oberster Ebene durch die Teams bis hin zu einzelnen Dateien oder Ordnern auf einer verbundenen SharePoint-Website auswirken können.

Vererbung sicher unterbrechen, ohne die Sicherheit zu gefährden

Berechtigungsgrenzen festlegen: Bevor Sie die Vererbung unterbrechen, legen Sie klar fest, welche Teams oder Kanäle eigenständige Einstellungen benötigen. Typischerweise unterbrechen Sie die Vererbung bei vertraulichen Projekten, Kommunikation auf Führungsebene oder compliance-relevanten Arbeitsbereichen, beispielsweise durch das Erstellen privater Kanäle oder das Deaktivieren der externen Freigabe.
Zuerst Teams-eigene Optionen nutzen: Setzen Sie bevorzugt integrierte Steuerungen wie private Kanäle oder Einschränkungen für Gastzugriffe ein, statt Berechtigungen für Dateien oder Ordner in SharePoint anzupassen. So bleibt alles übersichtlich, unterstützt und leicht überprüfbar.
Überwachungsprotokolle einrichten: Aktivieren Sie bei jeder Außerkraftsetzung geerbter Berechtigungen die Überwachung (in Purview oder im Microsoft 365-Compliancecenter), damit Sie Protokolle darüber haben, wer was wann und warum geändert hat. Das ist für Compliance und Untersuchungen entscheidend.
Bereiche mit unterbrochener Vererbung regelmäßig prüfen: Legen Sie einen Prozess fest, um private Kanäle, eigenständige SharePoint-Websites und alle Einzelfall-Berechtigungseinstellungen zu überprüfen. Entfernen Sie unnötige Zugriffe und deaktivieren oder löschen Sie veraltete Ressourcen, um Sicherheitsrisiken zu minimieren.
Ausnahmefälle dokumentieren: Führen Sie eine Liste, wo und warum die Berechtigungsvererbung unterbrochen wurde. Betrachten Sie sie als Ihre Notausgangskarte, falls Sie Entscheidungen später begründen oder bereinigen müssen.

Einen tieferen Einblick, wie starke Governance-Rahmenwerke Ihnen helfen, das Chaos in Teams zu bändigen, Fehler zu reduzieren und die Sicherheit zu erhöhen, bietet dieser Leitfaden zu Governance und Zusammenarbeit in Teams.

App-Berechtigungen und Richtlinien in Teams verwalten

In Microsoft Teams bringen Apps, von Bots und Registerkarten bis hin zu umfassenden Integrationen, leistungsstarke Funktionen mit, werfen aber auch zentrale Fragen zu Sicherheit und Compliance auf. Wer entscheidet also, welche Apps Ihre Benutzer installieren oder nutzen dürfen? Wie verhindern Sie, dass eine harmlos wirkende App Ihre Dateien abgreift? Genau hier kommen die Richtlinien für App-Berechtigungen in Teams ins Spiel.

Dieser Abschnitt gibt Ihnen einen Überblick darüber, wie Administratoren den App-Zugriff steuern können. Er reicht vom höchsten Level, bei dem alle Apps mandantenweit blockiert werden, bis hin zur Freigabe eines benutzerdefinierten Bots für nur eine Projektgruppe. Sie lernen den Unterschied zwischen Berechtigungsrichtlinien (wer was verwenden darf) und App-Setup-Richtlinien (wer was standardmäßig sieht) kennen, ebenso den Prozess der Administratoreinwilligung, der Apps und die Daten, auf die sie zugreifen, im Griff behält.

Wir zeigen außerdem, warum das für sichere und compliance-konforme Teamarbeit wichtig ist: Apps greifen auf Chats, Dateien und sogar externe Systeme zu. Nur wenn Sie diese Steuerungsmöglichkeiten verstehen, lassen sich Innovation und Governance in Balance halten, besonders in regulierten Branchen oder in schnelllebigen Projektumgebungen. Anschließend wird die schrittweise Einrichtung von App-Richtlinien und der App-Einwilligung ausführlich behandelt.

App-Berechtigungsrichtlinien und Steuerungsmethoden

App-Berechtigungsrichtlinien definieren: Administratoren erstellen zunächst maßgeschneiderte Richtlinien, um bestimmte Apps zuzulassen oder zu blockieren, und zwar nach Name, Typ (Drittanbieter, Microsoft oder benutzerdefiniert) oder nach Zielgruppe. Sie könnten beispielsweise standardmäßig alle Drittanbieter-Apps blockieren und nur vertrauenswürdige Lösungen im Einzelfall erlauben.
Richtlinien Benutzern oder Gruppen zuweisen: Richtlinien können für alle gelten oder auf bestimmte Benutzer, Abteilungen oder Azure AD-Gruppen beschränkt werden. So unterliegen sensible Teams strengeren Kontrollen, während weniger sensible Bereiche mehr Flexibilität erhalten können.
App-Prüfung vor der Veröffentlichung erzwingen: Verlangen Sie, dass Apps, besonders benutzerdefinierte oder neu hinzugefügte, vor der Bereitstellung für Benutzer auf Compliance, Datenschutz und Sicherheit geprüft werden. So verhindern Sie, dass unerwünschte Apps unbemerkt eingeschleust werden und auf Geschäftsdaten zugreifen.
Einzelne Apps blockieren oder zulassen: Mit granularen Steuerungen blockieren Sie risikoreiche Apps, etwa Dateifreigabe- oder Cloudspeicher-Connectoren, die die IT nicht freigegeben hat, oder erlauben gezielt nützliche Geschäfts-Apps. Das Modell „Alle Apps außer den ausgewählten blockieren“ bietet den stärksten Schutz für stark regulierte Branchen.
Mit Richtlinienregeln automatisieren: Nutzen Sie Automatisierungs- und Governance-Plattformen, um Ihre App-Berechtigungen aktuell zu halten und sicherzustellen, dass Änderungen nicht unbemerkt bleiben. Das lässt sich mit der übergreifenden Teams-Governance verbinden. Weitere Strategien finden Sie in diesem Überblick zur Governance von Teams-Arbeitsbereichen.

Wenn Sie die App-Berechtigungsrichtlinien passend einstellen, bleibt Teams für Benutzer flexibel, ohne dass Sie die Apps verlieren, die sich in Ihre Umgebung einbinden.

App-Einrichtung und Einwilligungsverwaltung in Teams

App-Setup-Richtlinien: Diese Richtlinien legen fest, welche Apps Benutzern angeheftet oder vorinstalliert angezeigt werden. Administratoren können unterschiedliche Profile erstellen. Vertriebsteams sehen beispielsweise CRM- und Terminplanungs-Apps, während Engineering-Teams Bug-Tracker und Tools für Code-Reviews erhalten. So bekommen Benutzer die passenden Werkzeuge, ohne danach suchen zu müssen.
Administratoreinwilligung für App-Berechtigungen: Viele Apps benötigen Zugriff auf Daten, die über das Teams-Fenster des Benutzers hinausgehen. Administratoren müssen die angeforderten Berechtigungen prüfen, etwa zum Lesen von Kalendern, Dateien oder Benutzerprofilen, und den Zugriff genehmigen oder ablehnen. Diese Schutzvorkehrung hält sensible Daten von den falschen Händen fern.
Anfrageworkflow für Benutzer: Wenn ein Benutzer eine neue App nutzen möchte, die Ihre Richtlinien noch nicht zulassen, kann er eine Anfrage zur Prüfung einreichen. Administratoren prüfen, auf welche Daten die App zugreifen muss, kontrollieren die Compliance und entscheiden, ob sie passt. Erst danach darf sie jemand verwenden.
Bewährte Methoden für die Einführung von Apps: Prüfen Sie stets, ob die App nach dem Prinzip der minimalen Berechtigungen arbeitet, also nur das anfordert, was sie wirklich benötigt. Kontrollieren Sie außerdem die Einhaltung von Datenresidenz- und Lebenszyklusvorgaben sowie die Sicherheitszertifizierungen des Anbieters, bevor Sie eine Einwilligung erteilen, selbst wenn es sich um eine App handelt, die „alle nutzen“. Weitere Hinweise, wie rollenbasierte Steuerungen Tools wie Copilot compliant und sicher halten, finden Sie in diesem Leitfaden zur Copilot-Governance.
Appnutzung überwachen und Einwilligung bei Bedarf widerrufen: Nutzen Sie Analysen und Dashboard-Berichte, um riskante oder ungenutzte Apps zu erkennen. Entfernen Sie diese bei Bedarf, damit Ihre Umgebung übersichtlich und compliant bleibt.

Berechtigungen im Teams Admin Center konfigurieren

Das Teams Admin Center ist Ihre Schaltzentrale für Berechtigungen, Richtlinien und die gesamte Zugriffs-Governance. Ob Sie eine neue App-Richtlinie zuweisen, die Kanaleinstellungen für eine VIP-Gruppe anpassen oder den Gastzugriff in Dutzenden Teams prüfen müssen: Dieses Dashboard stellt Ihnen die passenden Werkzeuge direkt zur Verfügung.

In diesem Abschnitt lernen Sie die Kernbereiche des Admin Centers kennen, etwa wo Sie Benutzer, Teams, Richtlinien und Apps verwalten. Alles ist so angelegt, dass sich Berechtigungsänderungen unkompliziert und nachvollziehbar umsetzen lassen.

Die integrierten Dashboards, Berichte und rollenbasierten Zugriffssteuerungen vereinfachen nicht nur die Konfiguration. Sie helfen Ihnen außerdem, Fehler zu vermeiden, Änderungen schnell zu erkennen und Ihre Entscheidungen zu belegen, falls Fragen aufkommen. Betrachten Sie diesen Abschnitt als Ihr Administrator-Playbook: Er zeigt Einsteigern und erfahrenen Administratoren gleichermaßen, wie sie beim Abgleich des Zugriffs mit den Anforderungen Ihrer Organisation klüger statt nur mühsamer arbeiten.

Die folgenden Abschnitte führen Sie Schritt für Schritt durch die Navigation und zeigen, wie Sie Richtlinien und Berechtigungen praktisch anwenden. Raten müssen Sie dabei nicht.

Navigation im Teams Admin Center für die Zugriffssteuerung

Das Teams Admin Center ist das Webportal, in dem Administratoren Benutzer, Teams, Apps und Richtlinien verwalten. Melden Sie sich zum Starten unter admin.teams.microsoft.com an. Über das linke Navigationsmenü wechseln Sie schnell zwischen Benutzern, Teams, Geräten, Apps und Richtlinien und finden so schnell, was Sie suchen.

Um die Berechtigungen für ein bestimmtes Team oder einen bestimmten Benutzer anzupassen, öffnen Sie den Bereich „Teams“ oder „Benutzer“. Dort können Sie die Teammitgliedschaft verwalten, Rollen zuweisen, Kanaleinstellungen anpassen oder Zugriffsrichtlinien ändern. Der Bereich „Teams-Apps“ ist die richtige Anlaufstelle, um Apps zu blockieren oder freizugeben und unternehmensweite Berechtigungsrichtlinien bereitzustellen.

Wenn Sie Berechtigungen prüfen oder auditieren möchten, liefert das Berichts-Dashboard Erkenntnisse darüber, wer worauf Zugriff hat, welche App-Installationen stattfinden und wie sich die Nutzung entwickelt. Außerdem gibt es Werkzeuge für globale Einstellungen zum Gastzugriff und zur externen Freigabe. Diese gelten für alle Teams, sofern sie nicht überschrieben werden. Für eine strukturierte Projektorganisation und Automatisierungstipps lohnt sich dieser Schritt-für-Schritt-Leitfaden zur Teams-Organisation. Er verbindet Teams, SharePoint und Automatisierung und vermittelt die Grundlagen der Governance.

Der integrierte Hilfebereich und die Infokarten im gesamten Admin Center bieten zusätzliche Anleitungen. Das macht es deutlich einfacher, alles richtig zu machen, und Fehler zu korrigieren, falls sie doch passieren.

Richtlinienkonfiguration für Teams und Benutzer

Richtlinienpakete erstellen und zuweisen: Beginnen Sie mit integrierten oder benutzerdefinierten Richtlinienpaketen. Diese bündeln empfohlene Einstellungen für Nachrichten, Besprechungen, Apps und Anrufe. Weisen Sie diese Pakete nach Benutzer, Gruppe oder Organisation zu. Remote-Mitarbeitende brauchen beispielsweise andere Regeln als die Finanzabteilung.
Benutzer- und Teamrichtlinien anpassen: Passen Sie Optionen an, etwa wer Besprechungen planen, Anrufe aufzeichnen oder externe Benutzer einladen darf. Richtlinien lassen sich schichten: Benutzerspezifische Richtlinien überschreiben globale Richtlinien und bieten so dort Flexibilität, wo sie am wichtigsten ist.
Kanalverwaltungsrichtlinien bereitstellen: Begrenzen Sie, wer private oder freigegebene Kanäle erstellen darf, weisen Sie Moderationsrollen zu oder steuern Sie Berechtigungen für Gasteinladungen. So bleibt Ihre Teams-Struktur übersichtlich und compliant.
Richtlinienwirkung prüfen und überwachen: Nutzen Sie die Berichtsfunktionen des Admin Centers, um Richtlinienzuweisungen und deren Ergebnisse regelmäßig zu überprüfen. Erkennen Sie abweichende Berechtigungen und Benutzer bzw. Teams, die den Standards nicht entsprechen.
Governance mit klaren Strukturen: Dokumentation ist entscheidend. Halten Sie fest, was jede Richtlinie abdeckt, und stellen Sie sicher, dass Verantwortliche für sie einstehen. Hilfreiche Rahmenwerke, die Chaos reduzieren und Zugriffssteuerungen schärfen, finden Sie unter Teams-Governance-Prinzipien.

Eine gute Mischung aus organisationsweiten und benutzerspezifischen Richtlinien sorgt für ein ausgewogenes Verhältnis von Zusammenarbeit, Flexibilität und Compliance in Ihrer gesamten Teams-Landschaft.

Datenzugriff und externe Zusammenarbeit in Teams absichern

Wenn jemand von „Teams-Datenlecks“ flüstert, liegt das daran, dass Microsoft Teams inzwischen eine zentrale Ablage für vertrauliche Dateien, Verträge und Projektnotizen ist. Der Schutz dieser Daten und die Kontrolle darüber, wer von außen hereinkommt, sollten für jeden Administrator im Vordergrund stehen.

Dieser Abschnitt behandelt praktische Techniken, mit denen Sie Ihre Teams-Daten schützen, etwa mit Vertraulichkeitsbezeichnungen, Informationsbarrieren und lückenlosen Zugriffskontrollen. Außerdem erhalten Sie einen Überblick über bewährte Methoden für die Zusammenarbeit mit externen Benutzern und Gästen, zumal immer mehr Organisationen Teams nutzen, um weltweit mit Lieferanten, Kunden und Partnern zu arbeiten.

Das richtige Gleichgewicht ist entscheidend: Gewähren Sie gerade so viel Zugriff, dass die Arbeit reibungslos läuft, aber niemals so viel, dass Sie Ihre Sicherheits- oder Compliance-Anforderungen aus den Augen verlieren. In diesem Abschnitt verweisen wir auf praxisnahe Beispiele und Leitfäden, etwa zur Härtung der Teams-Sicherheit, die Ihnen helfen, Ihre Umgebung abzusichern, ohne die Zusammenarbeit unmöglich zu machen.

Schutz sensibler Daten und Verwaltung des Datenzugriffs

Vertraulichkeitsbezeichnungen anwenden: Verwenden Sie Vertraulichkeitsbezeichnungen in Microsoft Purview, um Unterhaltungen, Dateien und Besprechungsnotizen je nach Vertraulichkeitsstufe zu klassifizieren und zu verschlüsseln. So könnten Sie Dateien beispielsweise mit „Vertraulich – Finanzen“ kennzeichnen, um sie zu verschlüsseln und die Freigabe einzuschränken.
Informationsbarrieren nutzen: Richten Sie Informationsbarrieren ein, damit regulierte Gruppen (etwa Finanz- und Vertriebsabteilung oder konkurrierende Projektteams) nicht miteinander kommunizieren oder Dateien austauschen können. Dieses Werkzeug ist für regulierte Branchen unverzichtbar und verhindert eine „Vermischung“ sensibler Informationen.
Zugriff pro Team und pro Kanal konfigurieren: Nutzen Sie die eigenen Zugriffseinstellungen von Teams, um festzulegen, wer einen bestimmten Bereich sehen oder daran teilnehmen darf. Für die kritischsten Projekte kombinieren Sie diese Steuerungen mit privaten Kanälen, um eine zusätzliche Isolationsebene zu schaffen.
In die Compliance von Microsoft 365 integrieren: Richten Sie Überwachung, Aufbewahrung und DLP-Richtlinien (Data Loss Prevention, Verhinderung von Datenverlust) ein. So werden alle Chats und Dateien auf Sicherheits- oder Compliance-Verstöße überwacht. Weitere Strategien zur mehrschichtigen Absicherung finden Sie in den Strategien zur Härtung der Teams-Sicherheit und darin, wie Copilot Datengrenzen durchsetzt, um den Datenschutz zu gewährleisten.
Unbefugten Zugriff verhindern: Verlangen Sie immer MFA (Multi-Faktor-Authentifizierung), überwachen Sie Anmeldungen auf riskantes Verhalten und blockieren Sie veraltete Authentifizierungsverfahren, um Angriffsvektoren zu begrenzen.

Der Schutz Ihrer sensiblen Teams-Daten ist nicht nur eine technische Herausforderung, sondern die Grundlage für Risikomanagement und Vertrauen im gesamten Unternehmen.

Verwaltung von Gastberechtigungen und Zugriff externer Benutzer

Gastzugriff sorgfältig aktivieren: Aktivieren Sie den Gastzugriff nur dann, wenn Ihre Organisation ihn tatsächlich benötigt, und begrenzen Sie im Teams Admin Center, was Gäste tun dürfen, etwa Kanäle erstellen oder löschen, andere einladen oder auf Dateien zugreifen.
Granulare Gasteinstellungen konfigurieren: Steuern Sie pro Team oder pro Kanal, was Gäste sehen und tun dürfen. Bei wirklich sensiblen Teams deaktivieren Sie den Gastzugriff vollständig.
Onboarding-Prozesse einrichten: Verlangen Sie für neue Gastbenutzer eine Genehmigung durch einen Sponsor und stellen Sie sicher, dass jeder Gast einem internen Verantwortlichen zugeordnet ist, der den Zugriff regelmäßig überprüfen kann.
Zugriff überprüfen und entziehen: Prüfen Sie regelmäßig alle externen Benutzer und entfernen Sie jene, die keinen geschäftlichen Bedarf mehr haben. Verwaiste Gastkonten sind offene Türen für Datenverluste.
Azure AD B2B-Steuerungen verstehen: Die Gasteinstellungen in Teams werden zusätzlich zu den unternehmensübergreifenden Zusammenarbeitseinstellungen von Azure AD durchgesetzt. Prüfen Sie daher immer beide, um ein vollständiges Sicherheitsbild zu erhalten. Mehr zur wirksamen mehrschichtigen Absicherung finden Sie in den bewährten Methoden für die Teams-Sicherheit.

Eine sorgfältig abgestimmte Gastverwaltung hält Ihre „virtuelle Veranda“ einladend, aber nicht sperrangelweit offen.

Das Berechtigungsmodell von Teams erklärt: Häufige Fehler

Diese Liste zeigt typische Fehler, die Organisationen bei der Verwaltung von Microsoft-Teams-Berechtigungen machen, und praxisnahe Lösungen, mit denen die Zusammenarbeit sicher und effizient bleibt.

1. Teams wie eine einfache Dateifreigabe behandeln

Fehler: Die Annahme, Teams-Berechtigungen verhielten sich genauso wie klassische Dateifreigaben oder Ordner. Teams kombiniert Microsoft-365-Gruppen, SharePoint-Website-Berechtigungen und Teams-Rollen. Änderungen an einer Stelle werden daher nicht immer wie erwartet an anderen übernommen.

Lösung: Verstehen Sie das dreischichtige Modell aus Teams-Rollen (Besitzer/Mitglied/Gast), Microsoft 365-Gruppenmitgliedschaft und SharePoint-Berechtigungen für Website und Bibliothek, und planen Sie Berechtigungsänderungen über alle Ebenen hinweg.

2. Zu viele Teams-Besitzer

Fehler: Zu viele Besitzer für Teams zuzuweisen, um Kontrolle ohne Governance zu delegieren. Das erhöht das Risiko versehentlicher Konfigurationsänderungen, Gasteinladungen und einer schleichenden Veränderung der Mitgliedschaften.

Lösung: Beschränken Sie die Besitzerrolle auf einen kleinen Kreis vertrauenswürdiger Administratoren und nutzen Sie definierte Delegationsprozesse. Wo sinnvoll, können Sie für die Zuweisung der Besitzer Azure AD-Gruppen verwenden.

3. Gastzugriff falsch konfiguriert

Fehler: Gastzugriff global aktivieren, ohne klare Gastzugriffsrichtlinien festzulegen. Das führt zu übermäßigem externem Zugriff auf sensible Daten.

Lösung: Wenden Sie bedingte Gastzugriffssteuerungen im Azure AD- und im Teams Admin Center an, schränken Sie die Funktionen von Gästen ein (Chat, Dateizugriff, Besprechungsrollen) und prüfen Sie Gastkonten regelmäßig.

4. SharePoint- und Dateiberechtigungen ignorieren

Fehler: Sich bei den Zugriffserwartungen ausschließlich auf die Teams-Mitgliedschaft zu verlassen. Dateien liegen in SharePoint bzw. OneDrive und können eigene Freigabelinks und Berechtigungen haben.

Lösung: Klären Sie Besitzer über die Vererbung in SharePoint, externe Freigabelinks und die Prüfung von Berechtigungen auf Dateiebene auf. Schützen Sie Dokumente mit Vertraulichkeitsbezeichnungen und bedingtem Zugriff.

5. Keine Vertraulichkeitsbezeichnungen oder DLP verwenden

Fehler: Sensible Inhalte, die in Teams geteilt werden, nicht zu klassifizieren und zu schützen. Das kann zu Datenabfluss führen.

Lösung: Implementieren Sie Vertraulichkeitsbezeichnungen in Microsoft Purview sowie Richtlinien zur Verhinderung von Datenverlust (Data Loss Prevention, DLP), um Freigabe, Verschlüsselung und Zugriff anhand der Inhaltsklassifizierung zu steuern.

6. Besprechungs- und Kanaleinstellungen übersehen

Fehler: Standardmäßige Besprechungs- und Kanaleinstellungen beibehalten, die unerwünschte Präsentatoren, anonyme Teilnehmer oder unkontrollierte Kanalmoderation zulassen.

Lösung: Konfigurieren Sie Besprechungsrichtlinien (wer präsentieren darf, Verhalten in der Lobby) und Moderationseinstellungen für Kanäle. Nutzen Sie Besprechungsvorlagen oder Richtlinien für wiederkehrende Anforderungen.

7. Unzureichender Lebenszyklus von Teams

Fehler: Teams ohne Ablaufdatum oder Governance anlegen. Das führt zu wucherndem Bestand, verwaisten Teams und veralteten Mitgliedschaften.

Lösung: Implementieren Sie Teamvorlagen, Namenskonventionen und automatisierte Lebenszyklusrichtlinien (Ablauf, Verlängerung, Archivierung) über das Teams Admin Center oder PowerShell.

8. Schwache Überwachung und Protokollierung

Fehler: Berechtigungsänderungen, Gastaktivitäten oder riskante Anmeldungen nicht überwachen. Ohne Protokollierung ist es schwer, Missbrauch oder Fehlkonfigurationen zu erkennen.

Lösung: Aktivieren Sie die Überwachungsprotokollierung, richten Sie Warnungen für Berechtigungs- und Gaständerungen ein und prüfen Sie Zugriffsprotokolle regelmäßig in Microsoft 365 Defender und den Azure AD-Berichten.

9. Private und geschäftliche Konten vermischen

Fehler: Benutzern erlauben, sich mit privaten Konten anzumelden oder nicht verwaltete Geräte für den Teams-Zugriff zu verwenden. Das erhöht das Risiko unkontrollierter Freigaben.

Lösung: Erzwingen Sie bedingte Zugriffsrichtlinien, verlangen Sie Gerätekonformität und beschränken Sie Anmeldungen auf verwaltete Konten. Klären Sie Benutzer über die Grenzen zwischen geschäftlichen und privaten Daten auf.

10. Berechtigungsrichtlinien nicht dokumentieren

Fehler: Rollen, Zuständigkeiten und Prozesse für Berechtigungsänderungen fehlen oder sind nicht dokumentiert. Das führt zu uneinheitlichen Entscheidungen und versehentlicher Offenlegung.

Lösung: Erstellen Sie klare Dokumentation und Runbooks für Besitzer und Administratoren, die festlegen, wer Teams anlegen, Gäste einladen und Einstellungen ändern darf und an wen sich Ausnahmen richten.

Kurze Checkliste

Teams-Rollen auf SharePoint- und Azure AD-Berechtigungen abbilden.
Besitzerzuweisungen begrenzen und regelmäßig überprüfen.
Gastzugriffssteuerungen anwenden und externe Benutzer prüfen.
Vertraulichkeitsbezeichnungen und DLP für sensible Inhalte nutzen.
Überwachung aktivieren und Warnungen für Berechtigungsänderungen einrichten.
Lebenszyklusrichtlinien implementieren, um wucherndem Bestand vorzubeugen.

Wenn Sie diese typischen Fehler vermeiden, etablieren Sie ein sicheres, nachvollziehbares Berechtigungsmodell für Teams, das Sie den Stakeholdern klar erklären und konsistent durchsetzen können.

Bewährte Methoden für die Berechtigungsverwaltung in Teams

Sie haben alle Funktionen vor sich – doch wie nutzen Sie sie im Alltag am klügsten? Dieser Abschnitt fasst praxiserprobte Methoden zusammen, mit denen die Berechtigungsverwaltung in Teams auch in großen, gewachsenen Organisationen gut beherrschbar wird.

Von der Strukturierung von Teams und Kanälen für mehr Übersicht bis zur regelmäßigen Prüfung von Mitgliedern und der Automatisierung der Bereinigung: Diese Checklisten und Vorgehensweisen helfen Ihnen, Ihre Teams-Umgebung sowohl sicher als auch benutzerfreundlich zu halten. Auf Berechtigungschaos hat niemand Lust – mit etwas Disziplin und smarter Automatisierung lässt es sich aber vermeiden.

Außerdem finden Sie Expertentipps zum Umgang mit typischen Berechtigungsproblemen: Fehler „Zugriff verweigert“, Rollen, die nicht wie erwartet funktionieren, oder externe Gäste, die unkontrolliert agieren. Einen breiteren Überblick, wie Sie Teams aufgeräumt und compliant halten, bieten die praxisnahen Empfehlungen zu Governance und Lifecycle-Automatisierung, die im Text verlinkt sind: Leitfäden zur Teams-Governance und Strategien gegen Teams-Wildwuchs.

Bewährte Methoden für Teams-Berechtigungen umsetzen

Anzahl der Besitzer begrenzen: Behalten Sie zwei oder drei Besitzer pro Team bei, um versehentliche Aussperrungen und Richtlinienabweichungen zu vermeiden.
Zugriffe regelmäßig überprüfen: Planen Sie vierteljährliche Überprüfungen ein, um alte Mitglieder zu entfernen, nicht benötigte Gäste auszuschließen und fortbestehende externe Zugriffe aufzuspüren.
Teams und Kanäle logisch strukturieren: Gliedern Sie nach Abteilung, Projekt oder Geschäftsfunktion. So lassen sich Teams leichter verwalten und es entsteht weniger Verwirrung.
Berechtigungsprüfungen automatisieren: Nutzen Sie Werkzeuge wie Power Automate oder integrierte Berichte, um Berechtigungsabweichungen und verwaiste Ressourcen zu erkennen. Wie Automatisierung Teams-Wildwuchs wirksam eindämmt, zeigt diese Lösung gegen Teams-Wildwuchs.
Änderungen und Governance-Ausnahmen dokumentieren: Protokollieren Sie, wer was geändert hat, insbesondere bei Berechtigungsüberschreibungen, damit ein sauberer Prüfpfad erhalten bleibt. Weitere Informationen finden Sie in den zentralen Prinzipien der Teams-Governance.

Häufige Probleme mit Teams-Berechtigungen beheben

Zugriff für einen Benutzer verweigert: Prüfen Sie, ob die Rolle in Azure AD und im Zielteam korrekt ist. Stellen Sie außerdem sicher, dass eine relevante Berechtigungsrichtlinie (etwa für Gastzugriff oder eingeschränkte App-Installationen) im Admin Center nicht deaktiviert wurde.
Falsche Team- oder Kanalrolle: Wenn ein Benutzer einen Kanal nicht sehen oder darauf zugreifen kann, prüfen Sie, ob er dem Team hinzugefügt wurde oder, bei privaten Kanälen, direkt eingeladen wurde. Rollenzuweisungen geraten nach Gruppenänderungen manchmal aus dem Takt. Synchronisieren Sie in diesem Fall die Gruppe erneut oder laden Sie den Benutzer neu ein.
Fehlgeschlagene Gasteinladungen: Gleichen Sie die Azure-AD-B2B-Einstellungen mit den Gastzugriffsrichtlinien für Teams ab. Ist die externe Zusammenarbeit auf Organisationsebene blockiert, hilft auch keine Anpassung auf Kanalebene.
Widersprüchliche Berechtigungen (App-Zugriff oder Beitragen in Kanälen): Suchen Sie nach sich überschneidenden Richtlinien, etwa einer globalen Richtlinie, die die Nutzung von Apps blockiert, während eine benutzerspezifische Richtlinie sie erlaubt. In der Regel setzt sich die restriktivste Einstellung durch.
Berechtigungsabweichungen oder „Geistermitglieder“: Verwaiste Besitzer oder Mitglieder sammeln sich schnell an, wenn niemand Teams überprüft. Nutzen Sie Berichte und Automatisierung (wie in diesem Governance-Leitfaden beschrieben), um unnötige Konten zu finden und zu entfernen.

Im Zweifel beginnen Sie mit dem Teams Admin Center und den Berichten. Mit den Richtlinienprotokollen lassen sich Änderungen zurückverfolgen. Ergänzen Sie regelmäßige Überprüfungen, dann lösen Sie die meisten Berechtigungsprobleme, bevor sie entstehen.

SharePoint- und Azure-AD-Berechtigungen: Was Teams-Administratoren wissen müssen

Das Zusammenspiel von Teams-, SharePoint- und Azure-AD-Berechtigungen führt in vielen Organisationen zu Fehlern. Jedes Team verfügt über eine zugehörige SharePoint-Website für Dateien und eine Azure-AD-Gruppe, die seine Mitglieder zusammenhält. Das bedeutet: Änderungen in einem System können sich in einem anderen auswirken, teilweise auf unerwartete Weise.

Dieser Abschnitt hilft Ihnen, die Zusammenhänge zu verstehen: Wann wird der Dateizugriff in Teams von Teams gesteuert, wann von SharePoint, und was geschieht, wenn Regeln der Azure-AD-Gruppen die teamspezifischen Berechtigungen überschreiben oder mit ihnen kollidieren? Wer diese Beziehungen kennt, vermeidet den Unterschied zwischen reibungsloser Zusammenarbeit und versehentlicher Datenfreigabe.

Die folgenden Details zeigen, wo Berechtigungen automatisch synchronisiert werden, wo sie aus dem Takt geraten können und welche Governance-Maßnahmen Teams, SharePoint und Azure AD dauerhaft gut zusammenarbeiten lassen. Einen direkten Vergleich, wie sich die Sicherheit von Dashboards in den einzelnen Werkzeugen unterscheidet, finden Sie in diesem Vergleich von Teams und SharePoint für Power BI.

Berechtigungen für SharePoint-Websites im Vergleich zu Teams-Kanalberechtigungen

Jeder Standardkanal in einem Microsoft Teams-Team speichert seine Dateien in einem Ordner auf der dem Team zugeordneten SharePoint-Website. Die Teammitgliedschaft wird direkt auf die Berechtigungen in SharePoint abgebildet: Besitzer werden zu Websiteinhabern, Mitglieder zu Websitemitgliedern und Gäste zu Websitebesuchern. Wenn jemand einem Team beitritt oder es verlässt, wird sein Zugriff auf die SharePoint-Website automatisch synchronisiert.

Private Kanäle sind dagegen ein Sonderfall. Jeder private Kanal erhält eine eigene SharePoint-Website mit eigenen Berechtigungen. Nur Mitglieder, die ausdrücklich zum privaten Kanal hinzugefügt wurden, haben Zugriff auf die Dateien dort. Teambesitzer, die nicht Mitglied des Kanals sind, können diese Dateien weder sehen noch bearbeiten. Diese Konfiguration erhöht die Sicherheit bei vertraulicher Arbeit, aber Administratoren müssen im Blick behalten, welche SharePoint-Websites zu welchen Kanälen gehören.

Wenn Sie Berechtigungen direkt in SharePoint manuell ändern (etwa indem Sie jemanden hinzufügen, der kein Teammitglied ist), kann die Synchronisierung unbeabsichtigt unterbrochen werden. Dadurch entstehen Verwirrung und das Risiko einer ungewollten Offenlegung. Verwalten Sie den Zugriff möglichst immer über Teams. Greifen Sie nur in Sonderfällen direkt auf SharePoint zurück, und dokumentieren Sie diese Ausnahmen sorgfältig.

Einen ausführlichen Vergleich der Sicherheitsmodelle von Teams und SharePoint, unter anderem für Dashboards, finden Sie unter Teams vs SharePoint dashboard security.

Azure-AD-Gruppenberechtigungen und ihre Auswirkungen auf den Teams-Zugriff

Gruppenbasierter Zugriff: Jedes Team ist mit einer Azure-AD-Gruppe verknüpft. Wenn Sie die Gruppenmitgliedschaft ändern, wird die Zusammensetzung des Teams sofort aktualisiert.
Gruppenbasierte Lizenzierung: Weisen Sie Teams oder andere Microsoft 365-Lizenzen über Azure-AD-Gruppen zu. So steuern Sie automatisch, wer Zugriff erhält, wenn Personen neu dazukommen oder die Abteilung wechseln.
Rollenkonflikte: Wenn Regeln von Azure-AD-Gruppen mit den Einstellungen für Teambesitzer und Mitglieder kollidieren, setzt sich in der Regel Azure AD durch. Das heißt, Änderungen an Gruppen können Änderungen innerhalb von Teams überschreiben.
Bereitstellung und Entzug von Zugriffen: Wer aus der Azure-AD-Gruppe entfernt wird, verliert den Zugriff auf alle verbundenen Teams, Apps und Dateien. So lassen sich Lebenszyklus und Sicherheit eng steuern.
Konflikte mit Überprüfungen auflösen: Prüfen Sie Gruppenmitgliedschaften und Zugriffsprotokolle von Teams regelmäßig, um Abweichungen oder unerwünschten Zugriff aufzudecken. Genau diese systemübergreifenden Synchronisierungsprobleme gehören zu den häufigsten Ursachen für unerwartete Berechtigungsprobleme.

Teams-Berechtigungsmodell erklärt – Checkliste

Verwenden Sie diese Checkliste, um die Berechtigungen in Microsoft Teams gemäß „teams permission model explained“ zu prüfen und zu konfigurieren.

Mandanteneinstellungen im Microsoft 365 Admin Center bestätigen (Gastzugriff aktiviert/deaktiviert)
Zugewiesene Teams-Administratorrollen prüfen (Teams-Dienstadministrator, Teams-Kommunikationsadministrator, Teams-Kommunikationssupport-Techniker)
Azure-AD-Rollen prüfen, die Teams betreffen (Globaler Administrator, Administrator für privilegierte Rollen)
Sicherstellen, dass die unternehmensweiten Einstellungen für externen Zugriff (Verbund) wie gewünscht konfiguriert sind
Gastzugriffseinstellungen im Teams Admin Center prüfen (Berechtigungen für Chat, Kanäle und Dateien)
Teambesitzer prüfen und sicherstellen, dass jedes Team mindestens einen aktiven Besitzer hat
Berechtigungen von Mitgliedern und Gästen in Teams prüfen (Kanäle erstellen, aktualisieren und löschen, Registerkarten und Apps hinzufügen)
Mitgliedschaft und Besitzerregeln für private Kanäle prüfen (Mitgliedschaft getrennt vom übergeordneten Team verwalten)
Kanalmoderation konfigurieren und prüfen, ob Moderatoren korrekt zugewiesen sind
Gastzugriffsbeschränkungen für Dateien, Besprechungsoptionen und Anrufe bei Bedarf festlegen
Vertraulichkeitsbezeichnungen auf Teams anwenden, um externen Zugriff und Freigaben zu steuern
Bedingte Zugriffsrichtlinien prüfen, die Teams betreffen (Standort-, Geräte- und MFA-Anforderungen)
Mehrfaktorauthentifizierung dort erzwingen, wo sie für erhöhte Rollen erforderlich ist
App-Berechtigungsrichtlinien und unternehmensweite App-Einstellungen im Teams Admin Center konfigurieren
Berechtigungsrichtlinien für benutzerdefinierte und Drittanbieter-Apps prüfen (zulassen, blockieren, Sideloading)
Freigabeeinstellungen für SharePoint und OneDrive prüfen, die Dateiberechtigungen in Teams beeinflussen
Besprechungsrichtlinien in Teams prüfen (wer präsentieren darf, Lobby, Aufzeichnung), um den Zugriff zu steuern
Informationsbarrieren implementieren, falls eine Trennung von Gruppen erforderlich ist
Sicherstellen, dass Aufbewahrungs- und Compliance-Richtlinien auf Teams-Chats und Kanäle angewendet werden
Überwachung und Protokollierung aktivieren (Überwachungsprotokolle, Microsoft 365 Defender, Cloud App Security)
Einstellungen für externen Zugriff und B2B-Zusammenarbeit in Azure AD prüfen
Regelmäßige Berechtigungsprüfungen sowie Rezertifizierung von Besitzern und Mitgliedern planen
Entscheidungen zum Berechtigungsmodell dokumentieren und Richtlinien an Teambesitzer veröffentlichen
Teambesitzer zu ihren Rollen und Berechtigungskontrollen schulen

Berechtigungen in Microsoft Teams – verwandte Artikel und weitere Ressourcen

Was ist das Berechtigungsmodell von Teams, einfach erklärt?

Das Teams-Berechtigungsmodell erklärt: Microsoft Teams nutzt rollen- und einwilligungsbasierte Steuerungen, um festzulegen, wer innerhalb eines Teams, eines Kanals oder einer App was tun darf. Es kombiniert Benutzerrollen (Besitzer, Mitglied, Gast), die Identitätssteuerung von Microsoft Entra, SharePoint-Berechtigungen für Dateien sowie Anwendungsberechtigungen über Microsoft Graph. Berechtigungen und Einwilligungen entscheiden darüber, ob eine Anwendung oder einzelne Benutzer auf Inhalte zugreifen, im Auftrag eines Benutzers handeln oder Teameinstellungen verwalten können.

Welche Haupttypen von Berechtigungen gibt es in Microsoft Teams?

Zu den Berechtigungstypen gehören Benutzerberechtigungen (Besitzer, Mitglieder, Gäste), Anwendungsberechtigungen (reiner App-Zugriff über Microsoft Graph), delegierte Berechtigungen (Apps handeln im Auftrag des Benutzers) und ressourcenspezifische Einwilligung, etwa die Einwilligung für den Zugriff auf die Ressourcen eines einzelnen Teams oder auf eine separate SharePoint-Website für Dateien. Außerdem gibt es im Teams Admin Center vom Administrator verwaltete Einstellungen für die Steuerung auf Mandantenebene.

Wie wirken sich Benutzerrollen auf die Berechtigungen innerhalb des Teams aus?

Benutzerrollen legen fest, wer Teameinstellungen verwalten, private Kanäle erstellen, Mitglieder hinzufügen oder entfernen und den Teamnamen ändern kann. Besitzer haben die meisten Rechte zur Verwaltung von Berechtigungen in Microsoft Teams, Mitglieder haben Standardrechte zur Teilnahme und zur Verwaltung von Dokumenten, und Gäste haben eingeschränkte Berechtigungen. Administratoren in Microsoft Entra oder im Teams Admin Center können zusätzliche Steuerungen außer Kraft setzen oder konfigurieren.

Worin unterscheiden sich delegierter Zugriff und Anwendungsberechtigungen?

Delegierter Zugriff bedeutet, dass eine App im Auftrag eines angemeldeten Benutzers auf die Ressource zugreift und daher delegierte Berechtigungen benötigt; der Zugriff erfordert delegierte Berechtigungen, wenn der Benutzerkontext benötigt wird. Anwendungsberechtigungen (reiner App-Zugriff) erlauben einer Anwendung, direkt auf Daten zuzugreifen, ohne dass ein Benutzer angemeldet ist. Sie erfordern häufig eine Administratoreinwilligung und umfassendere erforderliche Berechtigungen. Microsoft Graph stellt beide Typen bereit und listet für jede API klar auf, welche Berechtigungen angefordert werden.

Wie funktionieren Berechtigungen und Einwilligung bei der Installation einer Teams-App?

Wenn Sie eine App installieren, kann eine Einwilligungsabfrage erscheinen, in der Sie bestimmte Berechtigungen erteilen sollen. Benötigt die App Zugriff auf vertrauliche Informationen oder mandantenweite Ressourcen, muss ein Administrator die Einwilligung erteilen. Benutzer können delegierten Berechtigungen für ihre eigenen Daten zustimmen, sofern dies nicht durch eine Richtlinie blockiert ist. Die ressourcenspezifische Einwilligung ermöglicht es Teambesitzern, einer App in manchen Fällen den Zugriff auf die Teaminhalte zu erlauben, ohne dass eine mandantenweite Administratoreinwilligung erforderlich ist.

Welche erforderlichen Berechtigungen gibt es für Bots, Registerkarten und Connectors?

Die erforderlichen Berechtigungen hängen von der Funktionalität ab: Bots, die Nachrichten senden, benötigen unter Umständen delegierte Berechtigungen über Microsoft Graph, Registerkarten, die auf Dateien zugreifen, benötigen SharePoint-Berechtigungen, und Connectors benötigen unter Umständen Webhook- oder Anwendungszugriff. Entwickler sollten die Dokumentation auf Microsoft Learn und in Microsoft Graph prüfen, um die genauen angeforderten Berechtigungen und die Frage zu klären, ob es sich um Anwendungsberechtigungen oder delegierten Zugriff handelt.

Wie kann ich Berechtigungen in Microsoft Teams für ein einzelnes Team verwalten?

Um Berechtigungen innerhalb eines einzelnen Teams zu verwalten, öffnen Sie das Menü neben dem Teamnamen, wählen Sie Team verwalten und konfigurieren Sie die Mitgliederberechtigungen, Gastberechtigungen und Kanäle. Für den Dateizugriff verwalten Sie die separate SharePoint-Website bzw. die SharePoint-Berechtigungen für die Dokumentbibliotheken. Besitzer können das Erstellen von privaten Kanälen und Apps innerhalb des Teams aktivieren oder einschränken, um den Zugriff wirksam zu steuern.

Was ist ressourcenspezifische Einwilligung, und wann sollte sie eingesetzt werden?

Mit der ressourcenspezifischen Einwilligung können Teambesitzer einer App die Berechtigung erteilen, nur auf die Inhalte dieses Teams zuzugreifen, statt mandantenweit. Das ist nützlich, wenn eine App Dokumente verwalten, Nachrichten lesen oder innerhalb eines einzelnen Teams agieren soll, ohne weitreichendere Anwendungsberechtigungen zu erhalten. Dadurch sinkt das Risiko für vertrauliche Informationen, und das Vorgehen entspricht dem Prinzip der minimalen Berechtigungen.

Wie hängen Microsoft Entra und Azure AD mit den Teams-Berechtigungen zusammen?

Microsoft Entra ID (Azure AD) verwaltet Identitäten, Benutzerberechtigungen und Einwilligungsrichtlinien, auf denen der Teams-Zugriff basiert. Es steuert, wer sich anmelden kann, welche Anwendungen eine Einwilligung anfordern dürfen und ob Administratoren die Einwilligung für Anwendungsberechtigungen erteilen müssen. Bedingter Zugriff und Sicherheitsupdates werden für die Absicherung des Teams-Zugriffs über Entra verwaltet.

Wofür wird das Teams Admin Center verwendet?

Das Admin Center für Microsoft Teams ist der Ort, an dem Mandantenadministratoren mandantenweite Einstellungen konfigurieren, App-Berechtigungsrichtlinien festlegen, Teams-fähige Geräte verwalten und Überwachungsprotokolle einsehen. Administratoren können steuern, welche Apps zulässig sind, bestimmte Berechtigungen blockieren, das Einwilligungsverfahren für Benutzer festlegen und Richtlinien anwenden, die den Zugriff auf Anwendungen und delegierte Berechtigungen einschränken.

Wie lässt sich Microsoft Teams mit SharePoint integrieren, und wie funktionieren die Berechtigungen über beide Dienste hinweg?

Jedes Team in Teams basiert auf einer eigenen SharePoint-Website, auf der die Dateien gespeichert werden. Berechtigungen und Freigaben für Dokumente werden von SharePoint durchgesetzt. Wenn Sie Dokumente in Teams verwalten, verwalten Sie daher oft auch die SharePoint-Berechtigungen. Besitzer können festlegen, wer auf die zugehörige SharePoint-Website zugreifen darf und ob externe Benutzer auf Inhalte zugreifen dürfen.

Was bedeutet „greift im Namen des Benutzers auf die Ressource zu“?

Diese Formulierung bezieht sich auf delegierte Berechtigungen. Dabei handelt eine Anwendung im Namen des angemeldeten Benutzers und nutzt dessen Berechtigungen, um auf Ressourcen wie Nachrichten, Dateien oder Teammitgliedschaften zuzugreifen. Das ist bei App-Funktionen üblich, die einen Benutzerkontext benötigen. Dafür muss der Benutzer oder der Administrator die Einwilligung für diese delegierten Berechtigungen erteilen.

Wie kann ich einer App den Zugriff auf die Inhalte eines Teams erlauben, ohne ihr umfassende Mandantenberechtigungen zu geben?

Verwenden Sie ressourcenspezifische Einwilligungen, oder konfigurieren Sie im Admin Center für Microsoft Teams granulare App-Berechtigungsrichtlinien, um den Zugriff auf ein einzelnes Team zu beschränken. Entwickler sollten Apps so gestalten, dass sie nur die jeweils notwendigen spezifischen Berechtigungen anfordern. Wo es sinnvoll ist, sollten sie delegierte Berechtigungen verwenden, damit die Anwendung nur dann auf Inhalte zugreift, wenn der Benutzer angemeldet ist.

Was ist der Einwilligungsdialog, und wie wirkt er sich auf Benutzer aus?

Der Einwilligungsdialog wird angezeigt, wenn eine App Berechtigungen anfordert. Er listet die angeforderten Berechtigungen auf und zeigt an, ob eine Administratoreinwilligung erforderlich ist. Die Erfahrung variiert: Benutzer können Berechtigungen mit geringen Rechten für ihre eigenen Daten selbst erteilen. Berechtigungen mit höherem Risiko oder mandantenweiter Zugriff erfordern dagegen die Einwilligung eines Administrators, damit sensible Informationen geschützt bleiben.

Können einzelne Benutzer die App-Berechtigungen in ihren Teams verwalten?

Einzelne Benutzer können Apps installieren und delegierte Berechtigungen für ihre eigenen Konten erteilen, sofern die Mandantenrichtlinien dies zulassen. Die Verwaltung umfassenderer App-Berechtigungen, die Erteilung der Administratoreinwilligung und die Änderung von Richtlinien auf Organisationsebene müssen jedoch Administratoren in Microsoft Entra oder im Admin Center für Microsoft Teams vornehmen. Teambesitzer können in manchen Fällen App-Berechtigungen verwalten, die auf ihr Team beschränkt sind.

Wie prüfe ich, welche Anwendung auf die Ressource zugreift oder im Namen von Benutzern darauf zugreift?

Verwenden Sie die Überwachungsprotokolle im Admin Center für Microsoft Teams sowie die Anmelde- und Überwachungsprotokolle von Azure AD in Microsoft Entra. Microsoft Graph zeigt außerdem an, welche Berechtigungen Apps verwenden. Regelmäßige Überprüfungen und Überwachung helfen dabei, festzustellen, welche Anwendung auf welche Ressourcen zugreifen kann, ob eine App auf Mandantendaten zugreifen kann und welche Berechtigungen erteilt wurden. So können Sie auf Sicherheitsupdates und Vorfälle reagieren.

Welche bewährten Methoden gibt es, um Zugriffe und sensible Informationen wirksam zu verwalten?

Halten Sie sich an das Prinzip der minimalen Berechtigungen: Vergeben Sie nur die konkret benötigten Berechtigungen, bevorzugen Sie nach Möglichkeit delegierte Berechtigungen gegenüber reinem App-Zugriff, nutzen Sie ressourcenspezifische Einwilligungen, begrenzen Sie den Gastzugriff und verwalten Sie die Einstellungen für Teams und SharePoint. Halten Sie die Microsoft Entra-Richtlinien stets aktuell, prüfen Sie die von Apps angeforderten Berechtigungen anhand der Dokumentation auf Microsoft Learn und in der Graph-Dokumentation und wenden Sie Sicherheitsupdates sowie Prozesse für den technischen Support konsequent an.

Wie fordern Entwickler Berechtigungen in Microsoft Graph für Teams-Apps an?

Entwickler deklarieren die erforderlichen Berechtigungen in der App-Registrierung in Azure AD (Microsoft Entra) und legen für jede Berechtigung fest, ob es sich um eine delegierte Berechtigung oder eine Anwendungsberechtigung handelt. Zur Auswahl konkreter Berechtigungen sollten sie die Berechtigungsmatrix von Microsoft Graph nutzen, den Ablauf des Einwilligungsdialogs implementieren und ressourcenspezifische Einwilligungen unterstützen, sofern die API dies erlaubt. So verringert sich der Bedarf an mandantenweiten Administratoreinwilligungen.

Kann eine App auf einen einzelnen Benutzer oder nur auf Teams beschränkt werden?

Ja. Manche Berechtigungen und Einwilligungsverfahren beschränken sich auf einen einzelnen Benutzer (scoped to a single user) und erfolgen über delegierte Berechtigungen. Andere werden über ressourcenspezifische Einwilligungen auf ein bestimmtes Team begrenzt. Anwendungsberechtigungen sind umfassender und gelten in der Regel mandantenweit, sofern sie nicht anders konzipiert sind. Wählen Sie den Bereich mit den geringsten Rechten, der das Szenario der App unterstützt.

Was sollte ich tun, wenn eine App zu viele Berechtigungen anfordert?

Prüfen Sie die angeforderten Berechtigungen anhand der Funktionalität der App, lesen Sie die Dokumentation zu Microsoft Graph und Microsoft Learn, um jede Berechtigung zu verstehen, und verweigern Sie entweder die Einwilligung oder bitten Sie den Anbieter, die erforderlichen Berechtigungen zu reduzieren. Administratoren können die App im Teams-Admin-Center blockieren oder eine Administratoreinwilligung verlangen, bevor die App mandantenweit genutzt werden kann.

Wie wirken sich private Kanäle auf Berechtigungen und den Zugriff auf Dateien aus?

Private Kanäle erstellen in SharePoint eine eigene Websitesammlung. Dadurch ändert sich der Zugriff auf Dokumente, denn nur Kanalmitglieder können auf diese separate SharePoint-Website zugreifen. Besitzer müssen die Mitgliedschaft und die Berechtigungen für private Kanäle explizit verwalten. Ein privater Kanal anzulegen bedeutet praktisch, eine eigene SharePoint-Website mit eigenen Berechtigungen zu erstellen.

Wie kann ich den Zugriff einer App entfernen, nachdem die Einwilligung erteilt wurde?

Administratoren können die Anwendungseinwilligung in Microsoft Entra (Azure AD) widerrufen, indem sie die gewährten Berechtigungen der App-Registrierung entfernen oder Benutzereinwilligungen widerrufen. Teambesitzer können die App aus dem Team deinstallieren, um deren Zugriff auf Teamebene zu entfernen. SharePoint-Administratoren können den Zugriff auf die separate SharePoint-Website widerrufen, wenn die App Berechtigungen auf Websiteebene genutzt hat.

Wo finde ich weiterführende Ressourcen und Lernmaterial zu Teams-Berechtigungen?

Nutzen Sie Microsoft Learn für Schritt-für-Schritt-Anleitungen, die Dokumentation zum Teams-Admin-Center, die Referenz zu Microsoft Graph-Berechtigungen und die Dokumentation zu Microsoft Entra für Identitäts- und Einwilligungsverwaltung. Lesen Sie außerdem verwandte Artikel auf der Microsoft-Docs-Website mit detaillierten Szenarien. Für mandantenspezifische Hilfe wenden Sie sich an den Support und die technischen Supportkanäle.