Checkliste: Microsoft-365-Governance einführen
Für: IT-Leitung und Verantwortliche für Microsoft 365
Aktualisiert: 2026-11
Microsoft-365-Governance wird in sieben Schritten eingeführt: Bestand erheben, Regeln für das Erstellen von Teams und Sites festlegen, mindestens zwei Besitzer pro Team verlangen, Gastzugriffe regelmässig überprüfen, Vertraulichkeit und Aufbewahrung klassifizieren, einen Lebenszyklus mit Archivierung definieren und Flows und Apps über einen Freigabeprozess steuern.
Diese Checkliste richtet sich an Organisationen, deren Microsoft-365-Umgebung über Jahre gewachsen ist. Sie ist besonders dringlich vor der Einführung von KI-Assistenten, die alle Inhalte finden, auf die eine Person Zugriff hat.
Die technische Umsetzung erfolgt mit der eigenen IT oder dem Provider; die Checkliste beschreibt die Regeln und ihre Nachweise.
Die Checkliste
- 01
Bestand erheben
Teams, Sites, Gäste, externe Freigaben und Power-Platform-Elemente auswerten.
Erledigt, wenn: Eine Liste zeigt Teams ohne Besitzer, inaktive Sites, Gäste ohne Aktivität und Flows ausgetretener Personen.
- 02
Bereitstellung regeln
Festlegen, wer Teams und Sites erstellen darf, mit welcher Benennung und welchen Pflichtangaben.
Erledigt, wenn: Die Regel ist dokumentiert und technisch umgesetzt; neue Teams entsprechen der Benennung.
- 03
Besitzer verlangen
Für jedes Team und jede Site mindestens zwei verantwortliche Besitzer festlegen.
Erledigt, wenn: Kein aktives Team hat weniger als zwei Besitzer.
- 04
Gastzugriffe steuern
Regeln für Einladungen und eine periodische Überprüfung der Gastkonten einführen.
Erledigt, wenn: Eine Überprüfung der Gäste wurde durchgeführt und ihr nächster Termin ist festgelegt.
- 05
Klassifizieren
Vertraulichkeitsstufen und Aufbewahrungsregeln mit Datenschutz und Informationssicherheit abstimmen.
Erledigt, wenn: Die Stufen sind definiert und auf die Teams mit vertraulichen Inhalten angewendet.
- 06
Lebenszyklus definieren
Regeln für Inaktivität, Archivierung und Löschung festlegen.
Erledigt, wenn: Inaktive Teams werden nach definierter Frist zur Bestätigung vorgelegt und sonst archiviert.
- 07
Flows und Apps freigeben
Umgebungen, Datenrichtlinien und einen Freigabeprozess für geschäftsrelevante Flows und Apps einführen.
Erledigt, wenn: Geschäftsrelevante Flows haben einen Besitzer, eine Dokumentation und eine Stellvertretung.
Häufige Fehler
- —Das Erstellen von Teams komplett sperren und damit Ausweichlösungen erzeugen.
- —Gastkonten nie überprüfen.
- —KI-Assistenten einführen, bevor Berechtigungen aufgeräumt sind.
- —Flows einzelner Personen ohne Stellvertretung betreiben.
Was diese Checkliste nicht abdeckt
- —Die Checkliste beschreibt Regeln, nicht die konkrete technische Konfiguration, die je nach Lizenz und Umgebung unterschiedlich ist.
- —Aufbewahrungsfristen und Archivpflichten ergeben sich aus dem anwendbaren Recht und sind rechtlich zu klären.
- —Sicherheitskonfigurationen wie bedingter Zugriff sind eigenständige Themen der Informationssicherheit.
Übergeordnete Leistung: IT-Beratung
Passende Angebote
Microsoft-365-Governance
Wir erarbeiten ein Governance-Konzept für Microsoft 365: wer Teams und Sites erstellen darf, wie sie benannt, klassifiziert und archiviert werden, wie Gastzugriffe geregelt sind, welche Aufbewahrungs- und Vertraulichkeitsregeln gelten und wie Power Automate und Power Apps kontrolliert wachsen. Mit Rollen, Richtlinien und einem Umsetzungsplan für Ihre IT.
Workflow-Plattform-Evaluation
Wir evaluieren, welche Plattform Ihre Genehmigungs- und Geschäftsprozesse künftig trägt: Inventar der bestehenden Abläufe, Anforderungen vom Prozess her, Vergleich von Power Automate, Drittplattformen, BPM-Engines und Individualentwicklung nach gewichteten Kriterien inklusive Kosten über die Nutzungsdauer, und eine begründete Empfehlung, auf Wunsch als HERMES-Studie.
Häufige Fragen
Braucht es dafür zusätzliche Lizenzen?
Manche Funktionen, etwa automatische Klassifizierung, setzen höhere Lizenzen voraus. Viele Regeln lassen sich mit den vorhandenen umsetzen.
Wer sollte Governance verantworten?
Eine Person aus der IT zusammen mit Datenschutz und einem Vertreter der Fachbereiche.
Wie oft wird überprüft?
Gastzugriffe und Besitzer periodisch, die Regeln selbst jährlich oder bei grösseren Änderungen.
Weitere Checklisten
Checkliste: App-Briefing erstellen
Ein gutes App-Briefing beschreibt das Ziel und die Nutzergruppen, die drei bis fünf wichtigsten Abläufe, die Plattformanforderungen, die nötigen Daten und Schnittstellen, Anforderungen an Betrieb und Datenschutz sowie messbare Erfolgskriterien. Es lässt offen, wie die Lösung technisch aussieht, und macht Angebote vergleichbar.
Checkliste: Microsoft 365 sicher grundkonfigurieren
Eine sichere Microsoft-365-Grundkonfiguration umfasst sieben Punkte: Mehrfaktor-Anmeldung für alle, wenige und besonders geschützte Administratoren, abgeschaltete alte Anmeldeprotokolle, eingeschränkte Zustimmung zu Drittanwendungen, aktive Protokollierung, SPF, DKIM und DMARC für die eigenen Domains sowie eine eigene Sicherung der Daten.
Checkliste: Angebot für eine öffentliche Ausschreibung einreichen
Vor der Einreichung prüft man sieben Punkte: Frist, Ort und Form, Vollständigkeit aller verlangten Unterlagen, Gültigkeit der Eignungsnachweise, ein Preisblatt exakt nach Vorlage ohne Vorbehalte, rechtsgültige Unterschriften, korrekt gekennzeichnete Varianten und eine Eingangsbestätigung.