Integrierte Rollen in Azure und Microsoft Entra erklärt

Von Mirko Peters · 2026-04-30 · Aktualisiert 2026-07-28

Erfahren Sie, wie integrierte Rollen in Azure und Microsoft Entra funktionieren, wie Sie Berechtigungen nach dem Least-Privilege-Prinzip vergeben, welche Bereiche (Scopes) Sie wählen können und welche bewährten Vorgehensweisen für die Governance von Zugriffen gelten.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Kurzantwort: Integrierte Rollen in Azure und Microsoft Entra stellen vordefinierte Berechtigungen für gängige Administrationsaufgaben bereit. Wählen Sie die engste Rolle, mit der eine Person ihre Arbeit erledigen kann, weisen Sie sie auf der niedrigsten praktikablen Ebene zu und überprüfen Sie privilegierte Zugriffe regelmäßig. So reduzieren Sie dauerhafte Zugriffsrechte, ohne den Cloud-Betrieb auszubremsen.

Integrierte Rollen sind das Fundament von Azure und Microsoft Entra ID: Sie sorgen dafür, dass jede Person den richtigen Schlüssel für die richtigen Türen hat. Diese Rollen legen fest, was ein Benutzer, ein Administrator oder ein Dienst in Ihrer Cloud-Umgebung tun darf und was nicht. Außerdem bilden sie das Rückgrat der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) im Microsoft-Ökosystem. Dieser Leitfaden zeigt, wie diese Rollen Sicherheit schaffen, die tägliche Administration unterstützen und den Betrieb übersichtlich und compliant halten, ohne dass Sie Berechtigungen einzeln verwalten müssen. Ob Sie Administratorrechte verwalten oder Kontrollen für sensible Daten einrichten: Hier erfahren Sie, was diese Rollen sind, warum sie wichtig sind und wie Sie sie gezielt einsetzen.

Integrierte Rollen in Azure und Entra ID im Überblick

Wenn Sie Microsoft-Cloud-Umgebungen verwalten, kommen Sie um die Frage nicht herum, wer was tun darf. Genau hier setzen die integrierten Rollen von Azure und Microsoft Entra ID an. Sie geben Ihrer Sicherheits- und Zugriffsstrategie eine Struktur. Dabei handelt es sich nicht um willkürliche Bezeichnungen, sondern um sorgfältig entworfene Berechtigungssätze, die die bewährten Vorgehensweisen und Sicherheitsstandards von Microsoft widerspiegeln.

Bevor Sie Zugriffe vergeben oder Rollen anpassen, sollten Sie wissen, warum es diese integrierten Optionen überhaupt gibt. Sie bilden eine solide, vorhersehbare Grundlage, sodass Sie nicht für jedes Projekt, jedes Team oder jede App das Rad neu erfinden müssen. Sie arbeiten eng mit RBAC-Modellen zusammen und helfen Ihnen, komplexe Umgebungen in überschaubare Zugriffsbereiche zu gliedern. Das erleichtert Audits, Compliance-Nachweise und die tägliche Administration erheblich.

Im weiteren Verlauf sehen Sie, wie integrierte Rollen für die operative Kontrolle, die Risikominimierung und die Unterstützung der Geschäftsagilität unverzichtbar sind. Wir gehen darauf ein, welche Rollen verfügbar sind, wie RBAC tatsächlich funktioniert und worin sich integrierte von benutzerdefinierten Ansätzen unterscheiden. So können Sie sicher festlegen, wer auf welche Ressourcen zugreifen darf.

Was sind integrierte Rollen in Entra ID und Azure

Integrierte Rollen in Azure und Microsoft Entra ID sind vordefinierte Berechtigungssammlungen, die Microsoft erstellt und pflegt. Sie sind auf gängige Aufgaben ausgerichtet, etwa Benutzerverwaltung, Sicherheitsverwaltung, Geräteaufsicht und Berichterstellung. Damit decken sie den größten Teil dessen ab, was Organisationen typischerweise benötigen, ohne dass Sie selbst Hand anlegen müssen. Diese Rollen gewährleisten konsistente, getestete und aktuelle Zugriffsmodelle und helfen Ihnen, sowohl betriebliche als auch Compliance-Anforderungen zu erfüllen.

Der Hauptunterschied: Integrierte Rollen sind nativ und werden von Microsoft verwaltet, sodass sie sich mit der Plattform weiterentwickeln. Benutzerdefinierte Rollen legen Sie selbst an und passen sie auf besondere Szenarien an. Mit integrierten Rollen vermeiden Sie Rätselraten, verhindern versehentlich zu weit gefasste Berechtigungen und vergeben von Anfang an den richtigen Zugriff.

Grundlagen der rollenbasierten Zugriffssteuerung für die Microsoft-Cloud

Die rollenbasierte Zugriffssteuerung in Azure (Azure Role-Based Access Control, RBAC) ist das zentrale System, mit dem Sie festlegen, wer welche Aktionen auf welcher Ebene ausführen darf, von einzelnen Ressourcen über Ressourcengruppen bis hin zu ganzen Abonnements. RBAC verknüpft Benutzer oder Gruppen mit bestimmten Rollen. Diese Rollen definieren eine Reihe von Berechtigungen, etwa zum Lesen, Bearbeiten oder Löschen von Ressourcen. Rollenzuweisungen gelten immer für einen bestimmten Bereich. So können Sie den Zugriff für eine einzelne App oder eine ganze Abteilung passgenau gestalten.

Azure RBAC besteht aus drei Kernkomponenten: Rollendefinitionen (den Regeln und Berechtigungen), Rollenzuweisungen (wer den Zugriff erhält und wo) und Bereichen (wie breit oder eng der Zugriff gewährt wird). Integrierte Rollen bilden das Fundament dieser Definitionen und bieten Organisationen robuste, gut nachvollziehbare Zugriffskonfigurationen. Wenn integrierte Rollen Ihre konkreten Anforderungen nicht abdecken, schließen benutzerdefinierte Rollen diese Lücken, immer mit Blick auf das Least-Privilege-Prinzip und betriebliche Klarheit.

Der Unterschied zwischen integrierten und benutzerdefinierten Rollen ist entscheidend. Integrierte Rollen werden von Microsoft aktualisiert und abgesichert und eignen sich hervorragend für Standardszenarien. Benutzerdefinierte Rollen bieten Flexibilität für seltene oder spezifische betriebliche Anforderungen. Zusammen ergeben sie für Organisationen eine Mischung aus bewährten Standardrollen und maßgeschneiderten Kontrollen, die alle über das RBAC-Sicherheitsmodell gesteuert werden, das in Azure und Entra ID durchgängig integriert ist.

Zentrale Administrator- und Leserollen in Microsoft 365 und Azure

Das Fundament für operative Sicherheit und den täglichen Betrieb in Microsoft 365 und Azure bildet eine klar definierte Gruppe von Administrator- und Leserollen. Diese integrierten Zuweisungen sind so ausgelegt, dass sie das weite Feld der Benutzer- und Systemverwaltung abdecken und gleichzeitig unnötige Zugriffsrechte vermeiden.

Wenn Sie Rollen wie Globaler Administrator, Benutzeradministrator oder Kennwortadministrator zuweisen, vergeben Sie unterschiedliche Schlüsselsätze. Jede Rolle bringt eigene Berechtigungen mit und spezifische Best Practices hinsichtlich Umfang und Nutzung. Ebenso wichtig sind die Leserollen, etwa Globaler Leser oder Sicherheitsleser. Sie ermöglichen Teams, Umgebungen zu prüfen, zu berichten und zu überwachen, ohne versehentliche Änderungen zu riskieren.

In den folgenden Abschnitten zeigen wir Ihnen, wie diese grundlegenden Rollen sicheren Betrieb ermöglichen, Compliance unterstützen und sicherstellen, dass alltägliche Aufgaben von den richtigen Personen erledigt werden, weder mehr noch weniger. Von leistungsstarken Administratoren bis hin zu zurückhaltenden Prüfern gibt es in der Microsoft-Cloud-Welt für nahezu jede Aufgabe eine integrierte Rolle.

Rollen Globaler Administrator und Kennwortadministrator

• Globaler Administrator: Die Rolle mit „vollem Zugriff“. Diese Administratoren verfügen über umfassende Berechtigungen im Microsoft 365- oder Entra ID-Mandanten und können Einstellungen, Benutzer und Richtlinien überall verwalten. Beschränken Sie die Zuweisung auf eine kleine, vertrauenswürdige Gruppe, um das Risiko von Sicherheitsverletzungen oder Fehlern zu verringern. Mehr dazu, wie sich Vollzugriffsrollen und nachhaltige Verantwortlichkeit in Einklang bringen lassen, finden Sie in dieser Ressource.
• Kennwortadministrator: Diese Rolle ist für Helpdesk und Support gedacht. Sie übernimmt Self-Service-Kennwortzurücksetzungen für die meisten Benutzer, jedoch nicht für privilegierte Konten. Weisen Sie sie zu, wenn im Tagesgeschäft Unterstützung beim Zurücksetzen benötigt wird, aber niemals Administratoren mit weitreichenderen Befugnissen. Halten Sie Berechtigungen stets getrennt und Zuweisungen im Sinne der Sicherheit möglichst gering.

Benutzeradministrator und weitere wichtige Administratorrollen

1. Benutzeradministrator: Erteilt Berechtigungen zur Verwaltung von Benutzern und Gruppen: Konten anlegen, Mitgliedschaften ändern und Kennwörter für Nicht-Administratoren zurücksetzen. Diese Rolle ist zentral für HR- und IT-Betriebsprozesse.
2. Gruppenadministrator: Fokussierte Verwaltung der Erstellung und Pflege von Gruppen, ideal für delegierte Kontrolle in verteilten Organisationen.
3. Dienstsupport- und Dienstadministratorrollen: Etwa Administratoren für Exchange, SharePoint oder Teams, die Einstellungen für ihre jeweilige Plattform verwalten. Diese Rollen folgen dem Prinzip der minimalen Berechtigungen, indem sie die Verwaltung von Anwendungen von globalen Berechtigungen trennen.
4. Intune- und Geräteadministratoren: Verwalten Geräte und setzen Richtlinien für Endpunkte durch. Das ist entscheidend für die Absicherung mobiler und remote arbeitender Mitarbeiter.

Globaler Leser und Rollen mit schreibgeschütztem Zugriff

• Globaler Leser: Bietet Nur-Lese-Zugriff auf alle Einstellungen und Daten, kann jedoch keine Änderungen vornehmen. Ideal für Prüfer oder Compliance-Verantwortliche, die Ihre Umgebung überwachen.
• Berichtsleser: Ermöglicht vollständigen Zugriff auf die Nutzungsberichte von Microsoft 365. Praktisch für Rollen in Business Intelligence oder Dienstüberwachung.
• Sicherheitsleser: Ermöglicht es Benutzern, Sicherheitskonfigurationen und Protokolle einzusehen, jedoch nicht, Richtlinien anzupassen oder auf Bedrohungen zu reagieren. Sie möchten tiefer in die Überwachung einsteigen? Dann lesen Sie diese Tipps zur Überwachung mit Purview und typische Fallstricke bei Compliance-Drift.

Nutzung durch Berichtsleser und Berechtigungen des Sicherheitslesers

1. Berichtsleser: Bietet erweiterten Zugriff auf Nutzungsanalysen von Microsoft 365, Dienstintegritätsdaten und Adoptionstrends. Diese Benutzer können Berichte exportieren, analysieren und teilen. Das ist essenziell für die teamübergreifende Transparenz und für betriebliche Verbesserungen.
2. Security Reader: Gewährt schreibgeschützten Zugriff auf Sicherheitswarnungen, Vorfalldaten und Risikoeinblicke, ohne die Möglichkeit, Einstellungen zu ändern. Ideal für Compliance-Prüfungen und interne Audits, denn so wird Überwachung von Steuerung getrennt, was Risiken reduziert. Mit diesen Reader-Rollen bleiben Ihr Reporting und Ihr Monitoring sicher, konsistent und bewusst zurückhaltend.

Rollen für Identität, Sicherheit und Conditional Access

Moderne Cloud-Sicherheit basiert auf Identitätsschutz, sicherer Authentifizierung und dynamischer Zugriffssteuerung. Dieser Abschnitt zeigt, wie dedizierte Administratorrollen diese Aufgaben in Entra ID und Microsoft 365 unterstützen. Wenn Sie Rollen gezielt für die Verwaltung von Authentifizierungsrichtlinien, externen Benutzern und Sicherheitsoperationen vergeben, erhalten Sie präzise, rollenbasierte Schutzmechanismen, ohne unnötiges Risiko einzugehen.

Rollen für Authentifizierung und Identitäten helfen Teams, Konten wiederherzustellen, Multi-Faktor-Authentifizierung zu aktivieren oder durchzusetzen und den Benutzerzugriff auch dann stabil zu halten, wenn etwas schiefgeht. Conditional Access Administratoren stellen unterdessen sicher, dass nur die richtigen Personen unter den richtigen Bedingungen auf die richtigen Ressourcen zugreifen. Diese Rollen setzen Richtlinien praktisch um und beschränken sich nicht darauf, sie nur zu dokumentieren.

Wenn Sie ein tieferes Verständnis für Schwachstellen bei Identität und Zugriff gewinnen und erfahren möchten, wie gute Conditional-Access-Richtlinien Sicherheit entscheidend beeinflussen, werfen Sie einen Blick auf diese Beiträge: Entra ID security loops und policy trust issues. Sie werden sehen, warum die richtigen Rollen für die richtigen Personen für Cloud-Sicherheit und Geschäftskontinuität so wichtig sind.

Erweiterbarkeit der Authentifizierungsadministratoren erklärt

• Kennwortzurücksetzung und Kontoentsperrung: Authentifizierungsadministratoren können Kennwörter zurücksetzen und Konten entsperren, auch für privilegierte Benutzer. Das ist bei Sperrungen oder größeren Vorfällen entscheidend.
• Einrichtung und Entfernung von MFA: Zuständig für die Registrierung von Benutzern für die Multi-Faktor-Authentifizierung und das Entfernen von MFA-Methoden. Besonders nützlich beim Onboarding und bei der Fehlerbehebung.
• Delegierte und mandantenübergreifende Szenarien: Lässt sich für von Partnern betriebene Help Desks oder Managed Service Provider erweitern und ermöglicht so sichere Unterstützung ohne globale Kontrolle. Diese delegierten Konfigurationen sorgen für Support, während die Grenzen der Berechtigungen gewahrt bleiben.

Administratorrollen für externe Identitäten

Administratoren für externe Identitäten sind für die Überwachung von Gastzugriffen, B2B-Benutzern und externer Zusammenarbeit in Entra ID verantwortlich. Sie legen fest, welche externen Konten eingeladen werden, welche Daten Gäste sehen dürfen und wie diese Konten über ihren gesamten Lebenszyklus verwaltet werden. Ziel ist es, die Zusammenarbeit zu unterstützen und gleichzeitig eine klare Trennung zwischen internen und externen Benutzern zu wahren. Möchten Sie die Gefahren unverwalteter Gastkonten genauer kennenlernen? Lesen Sie diese versteckten Risiken und erfahren Sie, wie Sie mit einem besseren Lebenszyklusmanagement Sicherheitsüberraschungen vermeiden. Wie Sie riskante externe Freigaben erkennen, zeigt dieses Framework zur Erkennung und Nachvollziehbarkeit.

Sicherheitsoperationen und Conditional Access Administratoren

• Security Administrator: Steuert Sicherheitsrichtlinien, verwaltet Warnungen und koordiniert die Reaktion auf Vorfälle in Microsoft 365 und Azure. Die erste Anlaufstelle für praktische Abwehrmaßnahmen.
• Conditional Access Administrator: Erstellt, wendet an und überprüft Conditional-Access-Regeln. Ihre Arbeit kontrolliert den Zugriff und verkleinert die Angriffsfläche, besonders bei modernen Cloud-Apps und Geräten.
• Security Operator: Konzentriert sich auf die Prüfung von Warnungen, die Überwachung von Risiken und die Zusammenarbeit mit Sicherheitsteams. Operatoren stellen sicher, dass nichts unbemerkt bleibt. Mehr zum Härten von Umgebungen, ohne die Produktivität zu bremsen, finden Sie in Leitfäden wie diesem Beitrag zum Ausbalancieren der M365-Sicherheitseinstellungen.
• Sie suchen einen praxisnahen Blick darauf, wie Sie sich gegen moderne Bedrohungen verteidigen? Erfahren Sie in dieser Analyse der Angriffskette in Microsoft 365, wie Sie neue Angriffsvektoren erkennen und blockieren.

Arbeitslastspezifische integrierte Rollen in den Microsoft-Cloud-Diensten

Das Microsoft-Cloud-Universum besteht nicht nur aus Tabellen und Postfächern, sondern aus jeder App, jedem Gerät und jedem Prozess. Deshalb gibt es spezialisierte integrierte Rollen für Arbeitslasten wie Intune (Geräte), Teams (Zusammenarbeit), Power Platform (Geschäftsanwendungen), Dynamics 365 (CRM/ERP) und Microsoft Fabric (Analysen/Daten). Diese arbeitslastspezifischen Rollen halten die betrieblichen Grenzen eng und die Berechtigungen fokussiert, sodass jedes Team nur das verwaltet, was in seinen Bereich fällt.

Wenn Sie diese Rollen zuweisen, können Administratoren Geräterichtlinien konfigurieren, ohne auf Personaldaten zuzugreifen, Teams-Besprechungen durchführen, ohne die Compliance-Einstellungen zu verändern, oder Fabric-Datenseen verwalten, ohne den Power-Platform-Administratoren ins Gehege zu kommen. Diese Struktur führt außerdem zu besserer Governance, weniger Überschneidungen und stabileren Schutzmechanismen für all die Arbeitslasten, die Ihr tägliches Geschäft tragen.

Als Nächstes gehen wir darauf ein, was jede dieser Rollen leistet, wie sie in umfassendere Sicherheitsstrategien passt und wo Sie fertige Werkzeuge für Workload-Governance, Bedrohungsschutz und Compliance in spezialisierten Microsoft-Diensten finden.

Intune-Administrator und Rollen für die Geräteverwaltung

• Intune-Administrator: Verwaltet die Geräteregistrierung, Compliance-Richtlinien und Einstellungen für mobile Anwendungen. Unverzichtbar, um Endpunkte abzusichern und Mitarbeitende von überall produktiv arbeiten zu lassen.
• Device Compliance Administrator: Überwacht die Compliance-Regeln und den Gerätezustand und stellt sicher, dass nur gesunde, sichere Geräte auf Ihre Daten zugreifen.
• Integration von Workload-Identitäten: Moderne Geräteverwaltung stützt sich für Automatisierung und Zero Trust auf Workload-Identitäten. Warum das gegenüber Dienstkonten wichtig ist, erfahren Sie unter diesem Link.

Teams-Administrator für Kommunikation und Zusammenarbeit

• Teams-Administrator: Verwaltet Besprechungen, Nachrichten und die Erstellung von Teams. Richtlinien- und App-Verwaltung gehören zum Tagesgeschäft, außerdem übernehmen sie die Fehlerbehebung und das Onboarding von Benutzern.
• Yammer-Administrator: Konzentriert sich auf soziale Netzwerke im Unternehmen und übernimmt die Einrichtung von Yammer-Communitys, die Compliance und die Richtlinien.
• Sie möchten verstehen, warum die Befugnisse eines Teams-Administrators über die Konsole hinausgehen? Dann sehen Sie sich diese Episode zum Teams Admin Center an und lesen Sie diesen Governance-Leitfaden für Best Practices im Lebenszyklus.

Office-Apps-Administrator und App-Verwaltung

1. Office-Apps-Administrator: Verantwortet Bereitstellung, Aktualisierungspläne und Lizenzierung von Office auf Desktops und Mobilgeräten. Sorgt für einheitliche Versionen und beschleunigt die Einführung neuer Funktionen.
2. App-Konfiguration: Legt Benutzerrichtlinien für Apps wie OneDrive, Excel und Outlook fest, damit diese die Compliance-Vorgaben der Organisation erfüllen.
3. Sicherheitsupdates: Verwaltet Patches und die Härtung von Anwendungen und reduziert so die Angriffsfläche. Angesichts des Mixes aus Remote- und Hybrid-Arbeit ist das entscheidend.
4. Wenn Ihr Team Apps entwickelt, lohnt sich dieser Beitrag zur Governance von Dataverse im Vergleich zu SharePoint. Er hilft Ihnen, bei App-gestützten Datenstrategien typische Fehler zu vermeiden.

Administratorrollen für Power Platform und Dynamics 365

• Power-Platform-Administrator: Konfiguriert Umgebungen, verwaltet Konnektoren und legt Datenrichtlinien fest, damit Citizen Developer sicher arbeiten können. Ausführliche Sicherheitstipps finden Sie in diesem Governance-Leitfaden.
• Dynamics-365-Administrator: Betreibt die CRM- und ERP-Plattformen, übernimmt alles von Benutzerzugriffen über die Konfiguration benutzerdefinierter Workflows bis zur Durchsetzung von Datenrichtlinien.

Fabric-Administrator und branchenspezifische Rollen

• Fabric-Administrator: Verantwortet die Data-Governance von Microsoft Fabric und OneLake, die Kostenkontrolle und das Lifecycle-Management. Lesen Sie in dieser Folge zu Fabric-Governance, welche Governance-Fehler auftreten und wie Sie sie beheben.
• Kaizala-Administrator: Verwaltet die sichere Kommunikation und Zusammenarbeit für Frontline-Mitarbeitende und Branchenlösungen.
• Places-Administrator: Steuert standortbezogene Funktionen in Vertikalen wie Facility- und Campus-Management. Dabei unterstützt die Rolle häufig Initiativen für Sicherheit oder Smart Buildings.

Spezialisierte, Hybrid- und Governance-Rollen in der Microsoft Cloud

Wenn Ihre Umgebung Cloud, Multi-Cloud und On-Premises umfasst, reichen die Standard-Administratorrollen nicht aus. In solchen komplexen Setups ermöglichen spezialisierte Rollen sicheres mandantenübergreifendes Arbeiten, Lifecycle-Governance und externe Zusammenarbeit, ohne dass Sie die Schlüssel zum Haus aus der Hand geben.

Dieser Abschnitt geht etwas tiefer: Hier geht es um Rollen für die Verwaltung hybrider Identitäten, die Durchsetzung mandantenweiter Governance-Richtlinien, die Automatisierung von Lifecycle-Workflows und die Steuerung externer Zugriffe. Jede dieser Rollen soll die Flexibilität für die Transformation des Geschäfts mit Sicherheit, Verantwortlichkeit und Compliance-Leitplanken in Einklang bringen.

Mit wachsenden Microsoft-Umgebungen werden hybride und Governance-orientierte Rollen für einen nachhaltigen Betrieb unverzichtbar. Einen Überblick über Governance by Design finden Sie in den Strategien unter dieser Ressource zu Azure-Governance.

Hybride Multi-Cloud- und Hybrid-Identitätsrollen

1. Hybrid Identity Administrator: Entwirft, konfiguriert und pflegt die Identitätssynchronisierung zwischen lokalem Active Directory und Microsoft Entra ID. Bewältigt Herausforderungen wie Password Hash Sync, Föderation und Authentifizierungsabläufe.
2. Multi-Cloud-Management-Rollen: Verantworten Identitäten und Berechtigungen über mehrere Cloud-Anbieter hinweg und ordnen Microsoft-Rollen den entsprechenden Gegenstücken bei AWS oder Google zu, um eine einheitliche Governance zu erreichen.
3. Federation-Administratoren: Verwalten SSO und föderierte Authentifizierung, halten Identitäten konsistent und reduzieren Reibungsverluste beim plattformübergreifenden Zugriff.
4. Wenn Sie Mythen rund um automatische Governance entlarven möchten, hören Sie in diese Podcast-Folge rein. Sie wird Ihre Sicht auf echte Governance jenseits des Haken-setzen-Ansatzes verändern.

Lifecycle-Workflows-Administrator und Mandanten-Governance

1. Lifecycle-Workflows-Administrator: Automatisiert das Onboarding, Offboarding und interne Wechseln von Benutzern. Verwaltet Zugriffsüberprüfungen und steuert Rollenwechsel mit Workflow-Tools, damit Berechtigungen aktuell bleiben und Risiken im Griff behalten werden.
2. Mandanten-Governance-Administrator: Koordiniert globale Einstellungen, Compliance-Anforderungen und die Durchsetzung von Richtlinien. Sorgt dafür, dass Mandanten im Einklang mit sich wandelnden Geschäftsanforderungen und Vorschriften bleiben.
3. Relationship-Administrator (Kunde): Verwaltet Business-to-Business-Beziehungen, externe Partnerschaften und Bereitstellungen für die Zusammenarbeit mit Kunden, sodass externe Benutzer sicher und nur bei Bedarf beitreten. Für eine präzisere Steuerung von Daten und KI-gestützten Funktionen lohnt sich der rollenbasierte Ansatz in diesem Leitfaden zur Copilot-Governance.

Gastersteller- und Datenzugriffsadministratoren

• Gastersteller: Ermöglicht die sichere Einladung von Gästen und externen Mitarbeitenden. Steuert die Einladungsrechte, um versehentliche Datenfreigaben zu reduzieren.
• Administrator für Microsoft Data: Verwaltet den unternehmensweiten Zugriff auf geschäftskritische und sensible Daten, einschließlich granularer Berechtigungen für Dataverse und Power-Platform-Lösungen. Mehr zum Aufbau sicherer, konformer Dokumentenverwaltung finden Sie in diesem Purview-Leitfaden, und zur Dataverse-Sicherheit lesen Sie diese Vertiefung.

Veraltete, verborgene und Support-Rollen

Nicht jede Rolle, auf die Sie stoßen, ist Ihre Zeit wert. Manche können Sie sogar in Schwierigkeiten bringen. In Microsoft Entra ID und Azure gibt es veraltete Rollen, versteckte Zuweisungen und spezialisierte Support-Rollen. Für den täglichen Einsatz durch IT-Administratoren sind sie jedoch nicht gedacht. Es ist entscheidend, veraltete Rollen zu meiden und sich auf aktuelle, unterstützte Rollen zu konzentrieren, damit Ihre Umgebung sicher, compliant und prüfungsbereit bleibt.

Dieser Abschnitt hilft Ihnen, diese veralteten oder wenig bekannten Rollen zu erkennen, erklärt, warum Sie sie meiden sollten, und zeigt Ihnen sichere, aktuelle Alternativen. Außerdem geht es um Support-Rollen für Microsoft-interne Mitarbeiter und Partner. Diese haben einen besonderen und eng begrenzten Zweck: die Fehlersuche bei eskalierten Fällen, nicht den regulären Betrieb.

Betrachten Sie dies als Fahrplan für eine saubere Umgebung: keine alten, verstaubten Berechtigungen, die Compliance-Lücken oder unerwartete Risiken verursachen könnten.

Veraltete Rollen und Rollen, die nicht im Portal angezeigt werden

1. Veraltete Administratorrollen: Einige frühe Administratorrollen wie „Service Support Administrator“ oder „Company Administrator“ wurden ersetzt oder zusammengeführt. Ihre Zuweisung kann zu Kompatibilitäts- und Sicherheitsproblemen führen, insbesondere wenn Microsoft seine Berechtigungsmodelle weiterentwickelt.
2. Versteckte Portalrollen: Bestimmte Rollen auf Systemebene, etwa veraltete Berechtigungen für die Verwaltung von App Services, sind in der Azure-Portal-Oberfläche ausgeblendet. Sie können dennoch weiterhin bestehen. Sie sollten daher identifiziert und auf aktuelle, rollenbasierte Zugriffsmodelle migriert werden, um Zugriffslücken zu vermeiden.
3. Empfehlungen zur Umstellung: Prüfen Sie stets auf versteckte oder veraltete Rollen und ersetzen Sie diese durch aktiv gepflegte, integrierte Alternativen. Diese bieten bessere Transparenz und eine laufende Sicherheitsabdeckung.

Support-, Feedback- und Diagnoserollen

1. Support-Rollen (Tier1, Tier2, Microsoft 365 Engineer): Microsoft oder ausgewählte Partner nutzen diese Rollen für die tiefgehende Fehlersuche bei Support-Eskalationen. Sie verfügen über weitreichende, aber zeitlich begrenzte Zugriffsrechte und sollten nach Abschluss des Tickets wieder entzogen werden.
2. Center Reader: Ermöglicht Microsoft-Mitarbeitern oder Partnern, Support-Diagnosen einzusehen, aber nicht zu verwalten. Diese Rolle wird selten außerhalb von Störungsbehebungen oder dringenden Reaktionsszenarien zugewiesen.
3. Feedback- und Eskalationspraktiken: Bewährte Praxis ist es, diese Rollen zu entfernen, sobald die Supportaktivitäten abgeschlossen sind. Ihr erhöhter Zugriff stellt ein unnötiges Risiko dar, wenn er bestehen bleibt. Für alle Support- und Diagnoseaufgaben sollten Sie auf Zuweisung bei Bedarf und eine konsequente Entziehung von Berechtigungen setzen.

Nächste Schritte und Best Practices für die Zuweisung integrierter Rollen

Die integrierten Rollen zu verstehen ist erst der Anfang. Entscheidend für Sicherheit und Compliance Ihrer Umgebung ist, wie Sie Rollen zuweisen und prüfen. Dieser Abschnitt zeigt die besten Strategien für die Vergabe von Zugriffen, regelmäßige Überprüfungen und den Einsatz verfügbarer Werkzeuge, damit niemand mehr Rechte besitzt, als er benötigt.

Sie erhalten Tipps zur Rollenzuweisung über das Azure- oder Microsoft-365-Portal, zur Verwaltung von Berechtigungsprüfungen und zum Einrichten von Audits, die unbeabsichtigte Rechteausweitungen aufdecken. Ziel dieser Praktiken ist es, das Least-Privilege-Prinzip durchzusetzen, sensible Daten zu schützen und Vertrauen aufzubauen. Gleichzeitig bleiben Sie flexibel genug, um sich an das Wachstum Ihres Unternehmens anzupassen.

Sie fragen sich, wie das mit dem sicheren Einsatz von KI-Agenten oder mit fortgeschrittener Governance für neue Microsoft-Plattformen zusammenhängt? Weitere Hinweise finden Sie in dieser Ressource zur KI-Governance. Wie Sie die Berechtigungen für Copilot-Agenten absichern, erfahren Sie im Governance-Leitfaden zu Purview.

So weisen Sie integrierte Rollen in Azure und Entra ID zu und prüfen sie

1. Rollen zuweisen: Suchen Sie im Azure- oder Microsoft-365-Admin-Portal nach einem Benutzer oder einer Gruppe, klicken Sie auf „Zuweisung hinzufügen“ und wählen Sie die passende integrierte Rolle aus. Begrenzen Sie dabei den Geltungsbereich so eng wie möglich.
2. Zuweisungen prüfen: Überprüfen Sie Rollenzuweisungen regelmäßig mithilfe der integrierten Berichtswerkzeuge und dem Least-Privilege-Prinzip, um überflüssige Zugriffe zu finden und zu entfernen.
3. Leserollen für Prüfungen nutzen: Für Compliance- und Sicherheitsprüfungen weisen Sie Leser- oder prüfungsspezifische Rollen zu, damit Prüfteams nur Lesezugriff erhalten. Für eine erweiterte Auditnachverfolgung erfahren Sie unter diesem Link, wie Microsoft Purview Auditprotokolle erweitert.

Allgemeine Best Practices und Nutzerfeedback

1. Rollen sparsam einsetzen: Vergeben Sie nur die Berechtigungen, die benötigt werden, und nur so lange, wie sie benötigt werden. Anschließend entziehen Sie sie wieder. Übermäßige Berechtigungen sind der größte Feind der Prüfbereitschaft und der Compliance.
2. Regelmäßig überprüfen: Richten Sie periodische Zugriffsüberprüfungen ein und automatisieren Sie so viel wie möglich. Geschäftliche Abläufe ändern sich, und die Berechtigungen sollten sich mitändern.
3. Feedback fördern: Ermutigen Sie Ihr Team, Fragen zu stellen oder Verbesserungen für Rollenzuweisungen vorzuschlagen, und teilen Sie Erfolge sowie gewonnene Erkenntnisse. Möchten Sie verstehen, warum Showback allein nicht ausreicht, um Verantwortlichkeit zu schaffen? Lesen Sie hier mehr zu Showback im Vergleich zu echter Verantwortlichkeit.

Integrierte Rollen durch benutzerdefinierte Berechtigungen erweitern

Selbst die beste Auswahl integrierter Rollen kann Berechtigungslücken hinterlassen, insbesondere wenn Ihre Organisation besondere Compliance-Anforderungen hat oder Fachanwendungen einsetzt, die nicht ins übliche Schema passen. Wenn integrierte Rollen nicht ausreichen, ermöglichen Ihnen benutzerdefinierte Rollen, Berechtigungen gezielt hinzuzufügen oder zu entfernen, um das Least-Privilege-Prinzip exakt umzusetzen.

Eine benutzerdefinierte Rolle in Azure oder Entra ID erstellen Sie am besten mit einer Lückenanalyse. Dabei ermitteln Sie, wo eine integrierte Rolle zu weit gefasst, zu eng oder schlicht nicht passend ist. Anschließend können Administratoren integrierte Definitionen klonen und die Berechtigungen anpassen, bis genau das enthalten ist, was benötigt wird, und nicht mehr. Eine gezielte Erweiterung von Rollen ist entscheidend, um die Sicherheit zu skalieren, anspruchsvolle Workloads zu unterstützen und alle Compliance-Anforderungen zu erfüllen.

Wer über die Standardrollen hinausgeht, investiert in ein Governance-Modell, das mitwächst. Als Nächstes folgen zentrale Szenarien, in denen eine benutzerdefinierte Rolle sinnvoll ist, und wie Sie dabei alles einfach, sicher und prüfbar halten.

Wann Sie benutzerdefinierte Rollen auf Basis integrierter Rollen erstellen sollten

• Compliance-getriebene Anforderungen: Wenn regulatorische Vorgaben eine feinere Steuerung verlangen, als integrierte Rollen bieten, erweitern Sie die Rolle um benutzerdefinierte Berechtigungen, um die Lücke zu schließen.
• Berechtigungslücken: Benötigen Nutzer einen engeren Zugriff, als eine integrierte Rolle erlaubt, verhindern benutzerdefinierte Rollen unnötige Überberechtigungen.
• Operative Segmentierung: Erstellen Sie benutzerdefinierte Rollen für spezialisierte Teams oder teamübergreifende Projekte, bei denen integrierte Rollen zu grob granular sind.
• Prüfungsergebnisse oder Sicherheitsüberprüfungen: Lücken, die bei Überprüfungen auffallen, sollten die Erstellung einer benutzerdefinierten Rolle auslösen und nicht zu unsicheren Notlösungen führen.

Hybride Rollenverwaltung über Cloud und lokale Umgebungen hinweg

Identitäten und Zugriffe sowohl in der Cloud als auch lokal zu verwalten, gehört zu den schwierigsten Balanceakten der IT. Hybride Rollenverwaltung bedeutet, Ihre Active-Directory- bzw. lokalen Administratorrollen den entsprechenden Gegenstücken in Entra ID und Azure zuzuordnen, sodass Benutzer unabhängig vom Arbeitsort einheitlich verwaltet werden.

Eine einheitliche Rollenverwaltung erfordert die Synchronisierung nicht nur von Benutzerkonten, sondern auch von Gruppen und delegierten Berechtigungen. Das reduziert das Risiko von Schatten-IT, verhindert, dass privilegierte Zugriffe aus dem Ruder laufen, und sichert die Compliance bei Cloud-Migrationen oder Fusionen. Zentrale Plattformen wie Azure AD Connect helfen dabei, doch das eigentliche Fundament sind starke Governance-Frameworks: regelmäßige Zugriffsüberprüfungen, Workflow-Automatisierung und plattformübergreifende Audits, die Schwachstellen aufdecken.

Wenn Ihre Governance-Strategie scheitert, liegt die Ursache häufig in einer zersplitterten Verantwortung für Tools und nicht in der technischen Komplexität. Praktische Hinweise zum Umgang mit Identitätsdrift sowie zur Vermeidung von Chaos bei Zusammenarbeit und Automatisierung finden Sie in diesem Deep Dive zur Governance in Microsoft 365. Anleitungen zur Behebung von Schatten-IT-Risiken finden Sie unter diesem Link.

Überwachung und Prüfung von Rollenzuweisungen in der Praxis

Rollenzuweisungen sind keine Einmalaufgabe, sondern entwickeln sich laufend weiter und benötigen regelmäßige Kontrollen. Die Überwachung und Prüfung, wer welche integrierten Rollen innehat, ist entscheidend, um Berechtigungsdrift zu erkennen, Zugriffslücken zu schließen und die Compliance-Anforderungen im Blick zu behalten. So erkennen Sie veraltete Konten und unautorisierte Rechteerweiterungen und sehen riskante Rollenkombinationen, bevor daraus Probleme entstehen.

Native Tools wie die Azure AD-Überwachungsprotokolle, Microsoft Purview und sogar die Power BI-Integration bieten von Haus aus leistungsstarke Berichtsfunktionen. Richten Sie Warnmeldungen für Änderungen an privilegierten Berechtigungen ein, automatisieren Sie regelmäßige Überprüfungen, und nutzen Sie detaillierte Zugriffsmuster, um die Bereinigung von Rollen zu steuern. Vergessen Sie außerdem nicht Werkzeuge wie Microsoft Defender for Cloud (hier finden Sie Tipps zur Compliance-Überwachung), um Berichte über Multi-Cloud-Umgebungen hinweg zu bündeln.

Wenn Sie diese Überwachungsgewohnheiten etablieren, schaffen Sie eine proaktive Sicherheitslage, verkürzen Ihr Risikofenster und halten die Führungsebene mit handlungsrelevanten, aktuellen Informationen auf dem Laufenden. Das Geheimnis? Warten Sie nicht auf die Compliance-Prüfer. Führen Sie eigene interne Überprüfungen durch und bewahren Sie stets die Nachweise auf.

Zugriffsoptimierung und Rollenkonsolidierung

Mit der Zeit können Cloud-Umgebungen ziemlich unübersichtlich werden: Alte Rollen bleiben bestehen, Benutzer wechseln ihre Aufgaben, und plötzlich haben Sie einen wuchernden Rollenbestand. Bei der Zugriffsoptimierung geht es darum, aufzuräumen: überlappende Berechtigungen zusammenführen, ungenutzte Rollen außer Betrieb nehmen und einen Lebenszyklus für Zugriffsüberprüfungen festlegen. Das reduziert nicht nur Ihre Angriffsfläche, sondern vereinfacht auch die Governance und macht Ihre Umgebung schlanker und effizienter.

Der richtige Ansatz beginnt mit Analysen: Nutzen Sie native Werkzeuge oder Lösungen von Drittanbietern, um die Rollennutzung abzubilden, redundante Zuweisungen zu erkennen und die Stellen zu identifizieren, an denen das Prinzip der minimalen Berechtigung missachtet wird. Richten Sie Rezertifizierungszyklen ein, um zu prüfen, ob Rollen noch benötigt werden, und fassen Sie Berechtigungen nach Möglichkeit in einheitlichen, gut verwalteten Gruppen zusammen. Die Verwaltung des Lebenszyklus ist mehr als ein Häkchen auf einer Liste. Sie ist die vorderste Verteidigungslinie gegen Datenlecks, Missbrauch privilegierter Zugriffe und teure Compliance-Bußgelder.

Sie möchten wissen, warum DLP (Data Loss Prevention) am besten wirkt, wenn es von einer soliden Umgebungsstrategie und einer durchdachten Connector-Governance getragen wird? Diese Diskussion zu Power Platform und DLP erklärt es Schritt für Schritt. Sie zeigt, dass Zugriffsstrategie, Freigabesteuerung und ganzheitliche Sicherheit als System verwaltet werden müssen und nicht als getrennte Einzelmaßnahmen.

Integrierte Rollen für SaaS-Anwendungen und Mandantendelegierung

SaaS-Umgebungen bringen Komplexitäten mit sich, denen Sie in Einzelmandanten-Szenarien selten begegnen. Integrierte Rollen müssen delegierte Administrationsmodelle, klare Mandantengrenzen und Workflows zwischen externen Anbietern und Kunden unterstützen, besonders wenn ISVs oder MSPs Umgebungen für mehrere Organisationen betreuen. Eine robuste RBAC wirkt hier als Schutzschild: Sie stellt sicher, dass der Administrator eines Mandanten niemals in den Daten eines anderen Mandanten stöbert.

Diese Grenzen zu verwalten bedeutet mehr, als nur eine Rolle zu vergeben. Es gilt, delegierte Berechtigungen zu orchestrieren, etwa den Zugriff auf Kundenmandanten, delegierte Benutzer oder schreibgeschützte Supportansichten, für Zusammenarbeit, Support oder Onboarding, ohne geschäftskritische Informationen offenzulegen. Dieselben Prinzipien gelten für KI-Agenten, Automatisierung und andere moderne SaaS-Szenarien. Die Governance muss schnell, durchsetzbar und auf Änderungen bei Rollen oder Zugriffen zeitnah reagierbar sein.

Wenn Sie bei KI-Automatisierung (denken Sie an Copilot und Power Automate) den Überblick verlieren, lohnt sich dieser Crashkurs. Er zeigt, wie Sie die Governance einholen, bevor Agenten außer Kontrolle geraten. Sie erhalten praxisnahe Schritte für Transparenz, Kontrolle und die Wiederherstellung der Compliance, und das in etwa 48 Stunden.

Abgrenzung der Rollen zwischen Anbieter und Kunde in Managed Services

Wenn Managed Service Provider (MSPs) oder ISVs Multi-Mandanten-Umgebungen übernehmen, sind klar gezogene Rollengrenzen unverzichtbar. Eine saubere Trennung legt fest, wer worauf zugreifen darf. Anbieter brauchen genug Berechtigungen, um ihre Aufgaben zu erledigen, aber nicht so viele, dass sie uneingeschränkten (und unnötigen) Zugriff auf Kundendaten oder Steuerelemente erhalten. Berechtigungen nach dem Prinzip der minimalen Rechte festzulegen und belastbare Überwachungsprotokolle zu führen, schafft Vertrauen und Transparenz zwischen allen Beteiligten.

Erfolgreiche Modelle setzen auf geschichtete RBAC: Anbieterteams erhalten nur so viel Zugriff, wie sie für Onboarding, Support oder Fehlerbehebung benötigen, während alle kritischen Kundensteuerungen tabu bleiben. Rollenzuweisungen sollten beim Onboarding, nach jeder größeren Änderung und regelmäßig gemäß den Compliance-Vorgaben überprüft werden. Das begrenzt nicht nur das Risiko, sondern stellt auch sicher, dass jeder für seine Eingriffe in die Mandantenumgebungen verantwortlich ist.

Sie möchten verstehen, warum Kostentransparenz allein keine Verantwortung durchsetzt? Lesen Sie showback accountability. Echte operative Verantwortlichkeit entsteht aus Transparenz und Zuständigkeit gleichermaßen und wird durch Prozesse und Richtlinien durchgesetzt, nicht nur durch aussagekräftige Berichte.

Das sollten Sie sich ebenfalls anhören

Wenn Sie integrierte Rollen in Azure und Entra ID recherchieren, bieten diese Episoden praxisnahe Einblicke in Identitätssicherheit, Governance, privilegierten Zugriff und Implementierung:

• Microsoft Defender XDR – Simply Explained — Verbinden Sie Identity Governance mit Sicherheitssignalen, Untersuchung und Reaktion.
• Conditional Access – Simply Explained — Erfahren Sie, wie richtlinienbasierte Zugriffssteuerungen identitätsbezogene Entscheidungen durchsetzen.
• Privileged Identity Management – Simply Explained — Verstehen Sie zeitlich begrenzte Berechtigungen (Just-in-Time), Genehmigungen und Zugriffsüberprüfungen.
• Microsoft Teams Governance – The Illusion of Control — Erfahren Sie, wie Governance Berechtigungen und Zuständigkeiten in wiederholbare Abläufe überführt.

Integrierte Rollen: Praktische Checkliste zur Zuweisung

1. Ermitteln Sie die genaue Aufgabe, nicht nur das Team oder die Berufsbezeichnung.
2. Wählen Sie die Rolle mit den geringsten Berechtigungen, die diese Aufgabe ermöglicht.
3. Weisen Sie die Rolle auf der niedrigsten wirksamen Ebene zu: Verwaltungsgruppe, Abonnement, Ressourcengruppe, Ressource oder Entra-Bereich.
4. Verwenden Sie für sensible Administratorrollen, wo sinnvoll, zeitlich begrenzten privilegierten Zugriff.
5. Überprüfen Sie Rollenzuweisungen, Gastzugriffe und vererbte Berechtigungen regelmäßig.

Häufige Fragen

Worin unterscheiden sich Azure-Rollen und Microsoft Entra-Rollen?

Azure-Rollen steuern den Zugriff auf Azure-Ressourcen und Verwaltungsvorgänge. Microsoft Entra-Rollen steuern die Verwaltung von Identitäten, Verzeichnis und Mandant. Viele Administratoren müssen beides verstehen, da Identitätsberechtigungen und Berechtigungen für Azure-Ressourcen getrennt zugewiesen werden.

Warum sollte ich die Rolle Besitzer nicht standardmäßig zuweisen?

Die Rolle „Besitzer“ gewährt umfassenden Zugriff, einschließlich der Möglichkeit, den Zugriff anderer zu verwalten. Eine eingeschränktere Rolle verringert die Auswirkungen von Fehlern oder kompromittierten Konten und macht Governance leichter überprüfbar.

Aktuelle Rollendefinitionen und Details zu Berechtigungen finden Sie in der Microsoft Entra permissions reference.

Zuletzt überprüft: Juli 2026.

🎧 Das sollten Sie sich ebenfalls anhören

• Privileged Identity Management (PIM) – Simply Explained zeigt, wie sich privilegierter Zugriff auf Microsoft Entra-Rollen zeitlich begrenzen und nachvollziehbar gestalten lässt. Es ist der praktische nächste Schritt nach der Auswahl integrierter Rollen.
• Identity Governance in Microsoft Entra verbindet das Rollendesign mit Lebenszyklus, Zugriffsüberprüfungen und Verantwortlichkeit. So behalten Teams integrierte Azure- und Microsoft Entra-Rollen langfristig unter Kontrolle.
• Microsoft Entra Private Access – Simply Explained liefert nützlichen Kontext zu identitätsbasiertem Zugriff auf private Anwendungen und Ressourcen. Es ergänzt die Rollenplanung um eine moderne Zero-Trust-Perspektive.