Leitfaden: Benutzer in Microsoft Entra ID

Von Mirko Peters · 2026-04-30 · Aktualisiert 2026-07-18

Erfahren Sie, wie Sie Benutzer in Microsoft Entra ID verwalten. Der Leitfaden behandelt Sicherheit, Governance, Zugriffssteuerung, Implementierung und den praktischen Einsatz.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Titelbild: Users In Microsoft Entra ID Guide

Wenn Sie die Sicherheit Ihrer Organisation im Griff behalten und gleichzeitig eine reibungslose Produktivität sicherstellen wollen, sollten Sie Benutzer in Microsoft Entra ID (früher Azure Active Directory) verstehen. Das ist für Sie so wichtig wie Ihr Hochzeitstag. Benutzer sind mehr als E-Mail-Adressen. Sie bilden das Fundament, auf dem Identitäten und Zugriffe in der Microsoft-Cloud verwaltet werden.

Dieser Leitfaden behandelt alles, von Benutzertypen wie Mitgliedern und Gästen über die Massenverwaltung und den App-Zugriff bis hin zu Administratorrollen. Ob Sie sich neu mit Cloud-Identitäten befassen oder als erfahrene IT-Leitung arbeiten: Sie erhalten klare Hinweise, wie Sie Benutzer in Entra ID organisieren, absichern und optimal nutzen. Stellen Sie die Identität dorthin, wo sie hingehört: in den Mittelpunkt Ihrer Cloud-Strategie und Ihres Sicherheitsfundaments.

Was ist Microsoft Entra ID, und warum ist Identitätsverwaltung wichtig?

Die Zeiten, in denen man ein einzelnes Büro mit dem lokalen Active Directory absicherte, sind vorbei. Willkommen bei Microsoft Entra ID, der Weiterentwicklung von Azure Active Directory. Es ist Ihre zentrale Steuerungsstelle für Identitäts- und Zugriffsverwaltung im Zeitalter hybrider Cloud-Umgebungen.

Entra ID ist ein cloudorientiertes, cloudnatives Identitätsverzeichnis. Es bündelt Benutzeranmeldungen, Zugriffsberechtigungen und App-Verbindungen unter einem Dach. Ob Ihre Benutzer im Haus, remote oder zwischen verschiedenen Umgebungen arbeiten: Entra ID regelt, wer worauf zugreifen darf. Das vereinfacht die Arbeit für die Benutzer und sorgt gleichzeitig für hohe Sicherheit.

Was unterscheidet Entra ID vom klassischen Active Directory auf Ihrem veralteten Windows Server? Entra ID wurde von Grund auf für die Cloud entwickelt. Es verbindet sich nahtlos mit Microsoft 365, Azure, SaaS-Apps und, falls nötig, auch mit Ihren lokalen Altsystemen. Es kann Benutzer verwalten, die nie ein Unternehmensnetzwerk nutzen. Es unterstützt kennwortlose Anmeldungen und risikobasierte Richtlinien und ermöglicht Ihnen, Ressourcen von überall aus zu steuern.

Ein robustes Identitätssystem wie Entra ID ist heute wichtiger denn je. Es geht nicht nur um Anmeldungen. Es schützt Sie vor Datenlecks, Compliance-Problemen und Cyberbedrohungen. Eine zentrale Identitätsverwaltung verkleinert Ihre Angriffsfläche und ermöglicht schnelle Reaktionen auf Risiken. Das ist für jede digitale Transformation entscheidend. Mit Entra ID ist Ihr Benutzerverzeichnis die vorderste Verteidigungslinie Ihrer Sicherheitslage und die Grundlage moderner Cloud-Produktivität.

Benutzerprofile, Typen und Attribute in Entra ID verstehen

Benutzertypen

Mitgliedsbenutzer: Dies sind Ihre internen Benutzer, also Mitarbeitende, Studierende oder Personal, die zu Ihrer Organisation gehören. Sie erhalten je nach Rolle und zugewiesenen Berechtigungen vollen Zugriff auf Unternehmensressourcen.
Gastbenutzer: Auch als „externe Benutzer“ oder „B2B-Gäste“ bezeichnet. Dies sind Personen von außerhalb Ihrer Organisation, die Sie einladen, etwa Partner, Lieferanten oder Kunden. Ihr Zugriff ist eingeschränkter und lässt sich zur Sicherheit streng steuern.

Wichtige Attribute von Benutzerprofilen

Benutzername/UPN (User Principal Name): Meist eine E-Mail-Adresse. Damit melden sich Benutzer an.
Anzeigename: Der lesbare Name, der in Teams, Outlook und anderen Microsoft-Apps angezeigt wird.
E-Mail-Adresse: Der primäre Ansprechpartner für jeden Benutzer.
Abteilung, Berufsbezeichnung, Funktion: Unterstützt die Automatisierung und dynamische Gruppenzuweisungen.
Vorgesetzte Person: Bildet Berichtslinien und Genehmigungsworkflows ab.
Benutzerdefinierte Attribute: Sie können über die Standardattribute hinausgehen und etwa Kostenstellen, Projektnummern oder andere benötigte Felder über Verzeichnis- bzw. Schemaerweiterungen hinzufügen.

Bedeutung korrekter Benutzerdaten
Korrekte Profilinformationen sind nicht nur für die IT wichtig. Sie bestimmen, wer Zugriff auf sensible Dateien erhält, welche Lizenzen ein Benutzer benötigt und wie Audits und Automatisierungen funktionieren. Fehlerhafte Daten führen zu Compliance-Problemen, stören dynamische Gruppen und können Türen für die falschen Personen öffnen.
Profilunterschiede: intern vs. extern
Interne (Mitglieds-)Profile verfügen über umfangreichere Attribute, eine klare organisatorische Zuordnung und breiteren Ressourcenzugriff. Gastbenutzer bringen ihre eigenen Anmeldedaten aus einer anderen Organisation mit und behalten ein „schlankes“ Profil. Das eignet sich ideal für eine sichere Zusammenarbeit, ohne dass sie Ihrer Domäne vollständig beitreten.

Benutzerprofile, Kategorien und bewährte Eigenschaften verwalten

Benutzerkategorien – Mitarbeitende: Ihre wichtigsten Benutzer mit vollem internen Zugriff entsprechend ihrer Funktion.
Externe Dienstleister/Berater: Intern, aber mit eingeschränktem oder zeitlich begrenztem Zugriff; sie benötigen häufig eine gesonderte Kennzeichnung in den Attributen für Compliance und Berichterstattung.
Gäste: Externe Mitarbeitende, wie zuvor beschrieben. Die Nachverfolgung dieser Konten ist entscheidend, um veraltete Konten und Sicherheitsrisiken zu vermeiden.
Empfohlene Konsistenz bei Profileigenschaften und Benennung: Verwenden Sie vereinbarte Formate, etwa vorname.nachname@domain.com für Benutzernamen, sowie einheitliche Anzeigenamen.
Abteilung & Rolle: Pflegen Sie immer wichtige Attribute wie Abteilung, Bürostandort, Vorgesetzte(r) und Berufsbezeichnung. Das erleichtert die dynamische Gruppenzuordnung und Zugriffsrichtlinien.
Compliance-Felder: Ergänzen Sie benutzerdefinierte Schemaerweiterungen für Projektcodes, Kostenstellen, Region oder juristische Person. Das ist besonders für große Organisationen oder regulierte Bereiche entscheidend.
Profilbild: Laden Sie ein erkennbares Foto hoch. Das unterstützt die Identitätsprüfung und die Benutzerfreundlichkeit in Outlook und Teams.
Empfehlungen für bewährte Vorgehensweisen Prüfen Sie Benutzerdaten regelmäßig auf Richtigkeit. Dazu gehören Automatisierungstools, periodische Überprüfungen und Synchronisierungen mit Ihrem HR-System.
Dokumentieren Sie Ihre Benennungskonventionen und Standards für Profileigenschaften, damit HR, IT und Compliance stets auf demselben Stand sind.
Wenn Sie Benutzeraktivitäten für Compliance und Untersuchungen prüfen, verknüpfen Sie Benutzerprofile eng mit Werkzeugen wie Microsoft Purview Audit, um Verhalten und Risiken in Ihrer Microsoft 365-Umgebung nachzuverfolgen.
Beispiele Mitarbeitende: john.smith@company.com, Abteilung: IT, Kostenstelle: 1001, Vorgesetzte(r): Alice Lee, Profilfoto: Ja
Externer Dienstleister: jane.contractor@company.com, Abteilung: Marketing, Enddatum des Zugriffs: 31.10.2024
Gast: guest.partner@external.com, Eingeladen von: OpsAdmin, Zugriff: nur gemeinsamer Teams-Kanal.

Wenn Sie diese Angaben von Anfang an richtig pflegen, bleibt Ihr Identitätsbestand sauber und prüfungsbereit, und die Arbeit wird für jede Abteilung einfacher.

Mehrere Benutzer und Profilbilder in Entra ID gleichzeitig aktualisieren

Einzelnen Benutzer aktualisieren
Sie können Benutzerdetails wie Berufsbezeichnung, Vorgesetzte(r) oder Telefonnummer direkt im Entra Admin Center bearbeiten. Soll sich das Profilbild ändern? Benutzende können dies selbst in Outlook oder Teams tun. Administratoren können Fotos aber auch zentral austauschen, etwa aus Compliance- oder HR-Gründen.
Mehrere Benutzer gleichzeitig aktualisieren

Portal-Methode: Verwenden Sie die CSV-Import- und -Export-Funktionen im Entra-Portal, um Benutzereigenschaften gesammelt zu bearbeiten.
PowerShell-Automatisierung: Erfahrene Administratoren nutzen PowerShell-Skripte, um viele Benutzer auf einmal zu aktualisieren. Das ist besonders in großen Organisationen praktisch. Skripte können Attribute wie Abteilung oder Telefonnummer ändern oder sogar die Deprovisionierung gesammelt steuern.
Synchronisierte Tools: Wenn Sie ein verbundenes lokales Active Directory nutzen, können Änderungen dort (etwa Berufsbezeichnung oder Abteilung) über Azure AD Connect automatisch synchronisiert werden.

Profilbilder in großem Umfang verwalten
Automatisieren Sie Foto-Uploads mithilfe von Skripten oder Drittanbieter-Tools. Denken Sie daran: Einheitliche, professionelle Porträtfotos stärken das Vertrauen und helfen bei der Abwehr von Social-Engineering-Angriffen, besonders in kundenorientierten Organisationen.
Empfohlene Vorgehensweisen und Tipps

Prüfen Sie Änderungen immer, bevor Sie sie massenhaft anwenden. Ein kleiner Fehler in einer CSV-Datei kann ein ganzes Team aussperren!
Planen Sie regelmäßige Attributprüfungen ein, besonders nach Umstrukturierungen oder Onboarding-Wellen.
Berücksichtigen Sie Einschränkungen wie Fotogrößenlimits oder Formatvorgaben, wenn Sie Benutzerfotos gesammelt hochladen.

Praxisbeispiel
Angenommen, die IT muss nach einer Fusion die Abteilung für 300 Mitarbeitende aktualisieren. Dann ist PowerShell oder ein CSV-Upload deutlich effizienter, als jedes Profil einzeln anzuklicken. Wer noch weiter automatisieren möchte, findet passende Microsoft 365-Podcasts oder PowerShell-Governance-Ressourcen (Hinweis: Der Inhalt leitet unter Umständen auf Podcasts mit Diskussionen zur Unternehmensarchitektur weiter, falls das ursprüngliche Tutorial nicht verfügbar ist).

Gruppen Benutzern zuweisen und dynamische Mitgliedschaften verwalten

Berechtigungen für Benutzer manuell zu verwalten, funktioniert nicht mehr, sobald Ihr Verzeichnis einer U-Bahn zur Hauptverkehrszeit gleicht. Hier kommt die Gruppierung von Benutzern in Entra ID ins Spiel. Indem Sie Benutzer Gruppen zuweisen, vereinfachen Sie die Vergabe von Berechtigungen, die Zuweisung von Lizenzen und die Verwaltung des App-Zugriffs. Die Administration wird dadurch deutlich weniger mühsam.

Sie haben die Wahl: statische Gruppen für vorhersehbare Mitgliedschaften und dynamische Gruppen für intelligente, regelbasierte Zuweisungen. Bei dynamischen Gruppen entscheiden Benutzerprofile und Attribute, etwa Abteilung oder Land, darüber, wer welcher Gruppe beitritt. Das nimmt Ihnen viel wiederkehrende Arbeit ab, besonders wenn neue Mitarbeitende anfangen oder Teams aufgeteilt werden.

Dynamische Mitgliedschaften sind übrigens nicht nur für Mitarbeitende gedacht. Sie können Gäste, etwa Partner oder externe Dienstleister, anhand ihrer Profildaten automatisch den passenden Zugriffsgruppen zuweisen. Dadurch verlaufen das Onboarding und Offboarding externer Benutzer sicherer, schneller und immer richtlinienkonform. Wenn Sie die Gruppenzuweisungen sauber absichern, schaffen Sie die Grundlage für eine gruppenbasierte Sicherheit, einfachere Zugriffsüberprüfungen und planbare Lizenzierung. All das behandeln wir in diesem Leitfaden noch ausführlicher.

App-Zugriff gewähren und Lizenzen für Entra ID-Benutzer zuweisen

Apps Benutzern oder Gruppen zuweisenÖffnen Sie das Entra-Portal, suchen Sie nach „Unternehmensanwendungen“, wählen Sie Ihre App aus und fügen Sie anschließend die Benutzer oder Gruppen hinzu, die Zugriff benötigen.
Verwenden Sie Gruppen (statisch oder dynamisch), um Apps in großem Umfang zuzuweisen. So erhalten neue Mitarbeitende und Mitarbeitende mit Abteilungswechsel automatisch die richtigen Apps.
Lizenzen zuweisenNavigieren Sie in Entra ID zu „Lizenzen“. Weisen Sie Microsoft 365-, Entra ID P1- oder P2-Lizenzen direkt Benutzern zu oder wenden Sie sie auf Gruppenebene an, um sie gesammelt zu aktivieren. Die gruppenbasierte Lizenzierung sorgt dafür, dass Rechte mit den Benutzern mitwandern, wenn sie die Abteilung wechseln, und hält die Compliance sauber.
Für SaaS-Apps, die Lizenzen benötigen (etwa Salesforce oder ServiceNow), fügen Sie diese über den Katalog für Unternehmensanwendungen hinzu. Weisen Sie sie bei Bedarf Benutzern zu oder besser noch Gruppen, damit Sie die Zuweisungen leichter nachverfolgen und beim Offboarding leichter entfernen können.
Dynamische Gruppen für die Zuweisung von Apps und Lizenzen nutzenDynamische Gruppenregeln (etwa „Abteilung ist Finance“) sorgen dafür, dass Apps und Lizenzen auf Basis von Profiländerungen automatisch zugewiesen werden. Das bedeutet weniger manuellen Aufwand, kürzere Wartezeiten für Benutzer und lückenlosere Prüfprotokolle.
Zugriffsprobleme behebenKann ein Benutzer nach der Zuweisung nicht auf eine App zugreifen, prüfen Sie den Lizenzstatus, die Gruppenmitgliedschaft und mögliche Verzögerungen durch die Synchronisierung.
Stellen Sie außerdem sicher, dass bedingte Zugriffsrichtlinien den Benutzer nicht blockieren. Ziehen Sie Praktiken zur Überwachung in Echtzeit in Betracht, wie sie in diesem Podcast zum bedingten Zugriff in Entra ID besprochen werden. Lernen Sie außerdem, wie Sie Vertrauen aufbauen und Ausnahmen erkennen, anhand der Prinzipien aus Strategien für Vertrauen in Richtlinien für bedingten Zugriff.

Ein klarer, automatisierter Zuweisungsprozess für Apps und Lizenzen reduziert Reibungsverluste für Ihre Benutzer, hält Sie compliant und macht die Arbeit der IT ein Stück besser handhabbar.

Administratorrollen delegieren und Privileged Identity Management nutzen

Jeden zum Administrator zu machen, wäre, als würde man jedem Passanten auf der Straße eine U-Bahn-Fahrkarte geben: ein großes Risiko bei geringem Nutzen. Stattdessen bietet Ihnen Entra ID strukturierte Administratorrollen, von der globalen Administratorrolle über die Benutzeradministratorrolle bis hin zu benutzerdefinierten Bereichen. So können Sie Verantwortung delegieren und dennoch den potenziellen Schaden begrenzen.

Wenn jemand Benutzer oder Gruppen verwalten soll, weisen Sie ihm nur die Rollen zu, die er unbedingt braucht. Vermeiden Sie überhöhte Berechtigungen: Das ist nicht nur eine bewährte Methode, sondern Ihre beste Absicherung gegen versehentliche oder böswillige Änderungen. Die Privileged Identity Management (PIM) von Entra ID geht noch einen Schritt weiter und führt den Just-in-Time-Zugriff (JIT) für Administratoren ein. Sie machen eine Person für eine Rolle berechtigungsfähig (eligible), verlangen jedoch eine Genehmigung und legen Zeitlimits fest, sobald höhere Rechte nötig sind.

PIM protokolliert außerdem jede Erhöhung von Berechtigungen und liefert detaillierte Audit-Protokolle für Sicherheit und Compliance. So erkennen Sie, wer wann und warum etwas getan hat. Für größere Organisationen mit kritischen Workloads oder sensiblen Daten sind PIM und rollenbasierter Zugriff unverzichtbar, um eine Ausbreitung von Berechtigungen zu verhindern und wichtige Vorgänge abzusichern.

Übernehmen Sie einen Gedanken aus fortgeschrittenen Governance-Ansätzen: Verknüpfen Sie Ihre Überprüfungen privilegierter Zugriffe und deren Umfang mit Governance-Richtlinien, wie sie etwa in Microsoft Purview governance for agents and policies beschrieben werden. Wenn Sie diese Praktiken befolgen, sichern Sie nicht nur den Alltagsbetrieb ab, sondern behalten für jede sensible Änderung eine klare Prüfspur.

Verwaltung von Gastbenutzern, Bereinigung inaktiver Konten und Erkenntnisse zu Entra Directory All User

Gäste einzuladen, etwa Dienstleister, Partner oder kurzfristig eingesetzte Berater, kann einem Projekt enormen Schub geben. Lassen Sie die Tür aber offen, sobald sie nicht mehr gebraucht werden, laden Sie Probleme ein. In Entra ID beginnt die Verwaltung von Gastbenutzern damit, genau zu steuern, wer eine Einladung erhält, und den Zugriff jedes Gasts von Anfang an nachzuverfolgen.

Ein aktuelles Inventar der Gäste ist entscheidend. Jedes Gastprofil sollte einen geschäftlichen Zweck haben, und Sie sollten regelmäßig prüfen, wer den Zugriff noch benötigt. Ist ein Projekt abgeschlossen, entziehen Sie den Zugriff mithilfe automatisierter Überprüfungen, Ablaufdaten oder regelmäßiger Audits. Ein zeitlich begrenzter Einladungsprozess mit dokumentierter Begründung hält Ihr Verzeichnis sauber und Ihre Auditoren zufrieden.

Veraltete Gastkonten zu entfernen ist keine bloße Kür, sondern ein wichtiger Schritt, um Ihre Angriffsfläche zu verkleinern und Compliance-Lücken zu schließen. Viele Organisationen lassen Gastkonten über Monate oder Jahre bestehen, was versteckte Risiken und unnötigen Verwaltungsaufwand erzeugt. Setzen Sie auf Lebenszyklusverwaltung, wie hier beschrieben, oder nutzen Sie strukturierte Verfahren für Erkennung und Offboarding.

Behalten Sie außerdem die Gruppe „All Users“ in Entra ID im Blick. Sie enthält jedes Konto, einschließlich der Gäste. Externe Freigaben in Werkzeugen wie SharePoint oder OneDrive bleiben nur dann sicher, wenn Sie Verzeichnisüberprüfungen mit gründlicher, automatisierter Überwachung und Alarmierung kombinieren, wie in Frameworks wie diesem Leitfaden zur Erkennung riskanter externer Freigaben behandelt. Governance dient nicht nur der Abwehr von Bedrohungen. Sie stellt sicher, dass nur die richtigen Personen für die richtige Dauer Zugang zu Ihrem digitalen Haus erhalten.

Voraussetzungen und Ersteinrichtung für Entra ID mit bewährten Methoden für Azure AD Connect

Anforderungen an das VerzeichnisLegen Sie eine klar definierte Struktur für Domänennamen fest, die unternehmensweite Namenskonventionen sicherstellt. Wenn Sie von lokalen Systemen aus erweitern, achten Sie darauf, dass Ihr Windows Server Active Directory fehlerfrei und auf dem aktuellen Stand ist.
LizenzierungErmitteln Sie, welche Entra ID-Lizenz zu Ihren Anforderungen passt: Entra ID Free, P1 oder P2. Erweiterte Sicherheits- und Automatisierungsfunktionen wie Bedingter Zugriff, PIM oder dynamische Gruppen erfordern in der Regel P1 oder P2.
Zählen Sie alle vorgesehenen Benutzer (einschließlich Gäste) für eine genaue Lizenzplanung. Vergessen Sie dabei nicht Dienstkonten und Ressourcenpostfächer.
Azure AD Connect-SynchronisierungInstallieren Sie Azure AD Connect, um Benutzer und Gruppen zwischen lokalem AD und Entra ID zu synchronisieren, falls Sie eine Hybridumgebung betreiben. Achten Sie auf die Synchronisierungsregeln und synchronisieren Sie nur die nötigen Attribute, um unnötigen Ballast zu vermeiden.
Ziehen Sie bei Bedarf Schemaerweiterungen für benutzerdefinierte Attribute in Betracht (Anwendungsfälle: HR-Daten, Kostenstellen, Compliance-Kennzeichen). Planen Sie Benennung und Verwendung jedoch sorgfältig, damit die Lösung auch in Zukunft tragfähig bleibt.
ErstkonfigurationRichten Sie die Kennwortverwaltung, die Benutzerbereitstellung und Selfservice-Optionen ein und stellen Sie von Beginn an sicher, dass für alle privilegierten Konten MFA erforderlich ist.
Dokumentieren Sie Ihre Konfigurationsentscheidungen und legen Sie Überprüfungszyklen fest, um das Prinzip „einrichten und vergessen“ zu vermeiden. Dieses ist eine der häufigsten Ursachen für schleichende Risiken in Cloud-Umgebungen.
Ausrichtung auf GovernanceVerankern Sie von Anfang an das Prinzip „Governance by Design“. Orientieren Sie sich dabei an Leitlinien wie dieser Strategie für die Azure-Governance im Unternehmen, um Richtlinienabweichungen zu verhindern, Ausnahmen zu minimieren und, wo möglich, eine automatisierte Durchsetzung einzurichten.

Wenn Sie diese Voraussetzungen und bewährten Methoden beachten, sind Sie gut auf eine reibungslose, sichere und skalierbare Bereitstellung von Entra ID vorbereitet und sparen sich später deutlich Aufräumarbeit.

Nächste Schritte, Nutzerfeedback und Ressourcen für den sofortigen Einstieg

Wenden Sie an, was Sie gelernt haben: Nutzen Sie die Checklisten dieses Leitfadens für die Benutzereinrichtung, die Gruppenverwaltung und die Governance. Bleiben Sie aber nicht dabei stehen. Etablieren Sie monatliche Überprüfungen und Audits als feste Gewohnheit für kontinuierliche Verbesserung.
Feedback von Nutzern einholen: Schaffen Sie offene Kommunikationswege zu Ihren Nutzern und Administratoren. Deren praktische Probleme können Verbesserungen an Richtlinien anstoßen und Lücken aufdecken, die Sie allein nie bemerken würden.
Weiterführende Literatur und Community-Ressourcen erkunden: Erweitern Sie Ihr Wissen mit Praxiserfahrungen von Kollegen, fundierten Analysen und Schritt-für-Schritt-Anleitungen, wie sie in einschlägigen Community-Blogs und in den Lernpfaden von Microsoft zu finden sind.
Auf dem Laufenden bleiben: Microsoft entwickelt Entra ID ständig weiter. Abonnieren Sie Roadmap-Updates, Webinare oder Expertenpodcasts, damit Sie keine neuen Funktionen und Sicherheitsrisiken verpassen.
Selbst ausprobieren: Richten Sie einen Test-Mandanten ein, experimentieren Sie mit gruppenbasierter Lizenzierung, testen Sie dynamische Gruppen und nutzen Sie die Berichtstools, um das Gelernte anzuwenden. Je mehr Sie ausprobieren, desto besser beherrschen Sie die Benutzerverwaltung in Entra ID.