Ein IT-Dienstleister erhält für die Verwaltung Ihres Microsoft 365 delegierte Admin-Rechte — einen Zugriff, der festlegen sollte, welche Aufgaben er übernehmen darf, für welchen Zeitraum und mit welcher Nachvollziehbarkeit. In der Praxis ist dieser Zugriff bei vielen Unternehmen weder zeitlich begrenzt noch inhaltlich eingeschränkt, sondern ein dauerhafter Vollzugriff, der selten überprüft wird.
Wissen Sie, welchen Zugriff Ihr IT-Dienstleister aktuell hat?
Wenn ein IT-Dienstleister die Betreuung eines Microsoft-365-Tenants übernimmt, braucht er Zugriff auf die Verwaltung — das ist notwendig und normal. Die Frage ist, wie dieser Zugriff eingerichtet ist. Häufig entsteht er historisch: Ein Admin-Konto wird beim ersten Projekt angelegt, bleibt danach bestehen, wird nie wieder angeschaut. Wechselt der Dienstleister, wird das alte Konto oft nicht sauber entfernt, sondern ein neues daneben angelegt. Nach einigen Jahren bestehen mehrere solcher Zugänge parallel, von denen mancher zu einem Dienstleister gehört, mit dem gar keine aktive Zusammenarbeit mehr besteht.
Für die Geschäftsführung bedeutet das: Es gibt oft keine belastbare Antwort auf die Frage, wer außerhalb des eigenen Unternehmens gerade Zugriff auf die Microsoft-365-Umgebung hat und was diese Organisation damit tun kann.
Warum Vertrauen allein keine ausreichende Kontrolle ist
Ein gutes Verhältnis zum eigenen IT-Dienstleister ist wichtig, ersetzt aber keine strukturierte Zugriffskontrolle. Selbst bei bester Zusammenarbeit bleibt ein dauerhafter, uneingeschränkter Zugriff ein Risiko, das unabhängig von der Vertrauenswürdigkeit des Dienstleisters besteht: Wird dessen eigenes Konto kompromittiert, gilt derselbe Zugriff auch für einen Angreifer. Ein sauber eingerichteter delegierter Zugriff begrenzt genau dieses Risiko.
Bei einem Wechsel des Dienstleisters kommt ein zweiter Punkt hinzu: Ohne klare Struktur bleibt oft unklar, ob wirklich alle Zugänge des vorherigen Anbieters entfernt wurden — eine Frage, die viele Unternehmen nach einem Anbieterwechsel nicht mehr aktiv verfolgen. Und auch in einer laufenden Zusammenarbeit lohnt der Blick: Ein abgeschlossenes Projekt hinterlässt oft einen Zugang, der genauso weit gefasst bleibt wie am ersten Tag.
Was es kostet, wenn Sie nichts tun
Ein nicht mehr benötigter, aber weiterhin aktiver Zugang eines ehemaligen Dienstleisters ist ein Zugriff auf Ihr Unternehmen, der außerhalb Ihrer Kontrolle liegt, ohne dass Sie davon wissen. Bei einem Audit oder einer Sicherheitsprüfung durch einen Großkunden gehört die Frage nach externen Verwaltungszugängen zum Standardkatalog — eine unklare Antwort verzögert den Prozess. Und im laufenden Betrieb können Sie nicht mit Sicherheit sagen, wer außerhalb Ihres Unternehmens administrative Änderungen vornehmen kann.
Was sich ändert, wenn delegierte Admin-Rechte klar geregelt sind
Mit einer sauberen Regelung wird der Zugriff auf genau die Aufgaben begrenzt, die der Dienstleister tatsächlich übernimmt, zeitlich befristet und nachvollziehbar protokolliert. Bei einem Anbieterwechsel wird der bestehende Zugang vollständig entfernt, bevor der neue eingerichtet wird. Das Ergebnis ist eine jederzeit abrufbare Antwort auf die Frage, wer gerade welchen Zugriff auf Ihr Unternehmen hat.
Der Nexus.365 Security Scan zeigt, welche externen Verwaltungszugänge aktuell in Ihrem Microsoft 365 bestehen — einschließlich solcher, die zu früheren Dienstleistern gehören und längst entfernt sein sollten.
Häufige Fragen zum Thema
Was darf mein IT-Dienstleister in meinem Microsoft 365?+
Genau das, was in seinem delegierten Zugriff hinterlegt ist — das kann von einzelnen Verwaltungsaufgaben bis zum vollständigen Administratorzugriff reichen, abhängig davon, wie der Zugang eingerichtet wurde.
Wie finde ich heraus, welche externen Zugänge aktuell aktiv sind?+
Über eine strukturierte Auswertung aller Verwaltungszugriffe in der Benutzerverwaltung, einschließlich Zugängen, die formal noch bestehen, aber nicht mehr genutzt werden.
Was passiert bei einem Wechsel des IT-Dienstleisters?+
Der Zugriff des bisherigen Anbieters wird vollständig entfernt, sobald der neue Zugang eingerichtet ist — nicht erst Wochen später.
Muss der Zugriff meines Dienstleisters zeitlich befristet sein?+
Empfehlenswert ist eine Kombination aus klar abgegrenzten Aufgaben und regelmäßiger Überprüfung, ob der bestehende Zugriffsumfang noch dem tatsächlichen Bedarf entspricht.
Welche externen Verwaltungszugänge bestehen heute?
Der Nexus.365 Security Scan zeigt sie vollständig — auch die, die zu früheren Dienstleistern gehören. Festpreis und Enddatum stehen vor Beginn fest.
Security Scan starten