Eine tragfähige Microsoft-365-Einrichtung beginnt mit Domain-Verifikation, getrennten Admins und Mehrfaktor-Authentifizierung für alle — bevor das fünfzehnte Postfach und der erste Teams-Kanal ungeplant entstehen.
Vorbereitung: Bestand und Ziele klären
Notieren Sie vor dem ersten Klick im Admin Center: Domains, Nutzerzahl, Rollen, Altsysteme und wer später Admin bleiben soll.
Exportieren Sie aus dem alten Mailserver eine Liste aktiver Postfächer, Aliase und Verteiler. Klären Sie, welche DATEV-, Branchen- oder CRM-Schnittstellen SMTP oder Autodiscover erwarten — Überraschungen nach dem Cutover kosten Tage. Legen Sie fest, ob Migration cutover, staged oder per IMAP erfolgt; KMU mit einem Standort wählen oft cutover am Wochenende.
Benennen Sie intern einen Projektleiter und einen technischen Ansprechpartner — bei 8 Mitarbeitenden oft dieselbe Person plus externer Partner. Erwartungen an Go-live kommunizieren: Kalender und Kontakte wandern mit, alte PST-Archive nicht automatisch. Pilotgruppe von zwei Nutzern testet eine Woche lang Login, Teams, Drucken und Mobile Sync.
Lizenzentscheidung vor Massenanlage: Standard vs. Premium nach Rollenmatrix im Artikel Lizenzvergleich. Gruppen in Entra ID planen — etwa „Alle Mitarbeitenden“, „Kanzlei“, „Verwaltung“ — statt Lizenzen einzeln zuzuweisen.
Dokumentationsvorlage anlegen: Tenant-Name, Global Admins, DNS-Provider-Zugang, Break-glass-Konto-Ort. Spätere Audits und Partnerwechsel danken es Ihnen.
Stakeholder-Liste: Wer muss am Cutover erreichbar sein — GF, Steuerberater extern, IT-Partner? Terminfenster außerhalb Mandanten-Hochphase wählen. Rollback-Plan skizzieren: MX zurück auf Altserver, wenn outbound nach 4 Stunden noch scheitert.
Hardware-Inventar parallel: Welche Geräte erhalten Office-Installation, welche nur Browser? Windows-Versionen unter Minimum prüfen — veraltete Clients blockieren Conditional Access später.
Tenant erstellen und Domain verbinden
Microsoft 365 Tenant anlegen, Domain hinzufügen, TXT zur Verifikation setzen — erst danach MX, Autodiscover und Mail-Routing umstellen.
Registrieren Sie den Tenant mit einer geschäftlichen Initial-Domain; benennen Sie ihn verständlich (firma.onmicrosoft.com). Custom Domain hinzufügen und TXT-Eintrag beim DNS-Provider setzen. Verifikation kann Minuten bis Stunden dauern — TTL beachten.
Nach Verifikation: MX auf Exchange Online, CNAME autodiscover, SPF-Eintrag mit include:spf.protection.outlook.com. DKIM aktivieren Sie im Defender-Portal und tragen die CNAMEs ein — ohne DKIM fehlt ein Bein der Absenderauthentifizierung. DMARC starten Sie mit p=none und Reports an ein auswertbares Postfach.
Alten Mailserver parallel lassen, bis Testmail inbound und outbound funktioniert. TTL vor Migration senken erleichtert Rollback. Subdomains für Marketing (news.firma.de) separat dokumentieren — Wildcard-SPF vermeiden.
Fehlerhafte DNS-Einträge sind die häufigste Verzögerung. Wer den Provider nicht kennt, klärt das vor Projektstart — nicht am Cutover-Abend.
Autodiscover CNAME zeigt auf autodiscover.outlook.com — Tippfehler erzeugen endlose Outlook-Popups. MX-Priorität 0 auf den Microsoft-Eintrag; alte MX-Einträge entfernen, sonst Split-Delivery.
Optional: DMARC-Report-Postfach als Shared Mailbox ohne teure Lizenz — aber Lesezugriff für Betreuungspartner regeln. SPF für Root und www getrennt betrachten, wenn Website-Hoster ebenfalls Mail verschickt.
Nutzer, Lizenzen und Gruppen anlegen
Synchronisieren oder manuell anlegen — dann Lizenzen per Gruppe, Aliase und Shared Mailboxes strukturiert einrichten.
Bei grünem Feld: Nutzer in Entra ID anlegen, UPN gleich der künftigen Mail-Adresse wählen. Hybrid mit lokalem AD ist für klassische KMU selten nötig. Passwort-Richtlinie und Self-Service-Password-Reset aktivieren, Recovery-Methoden erklären.
Lizenzen per Group-Based Licensing zuweisen: Mitgliedschaft in „M365-Standard“ oder „M365-Premium“ löst SKU aus. Shared Mailboxes ohne Anmeldelizenz, wenn unter 50 GB und ohne direkten Login — sonst Lizenzpflicht beachten.
Microsoft 365 Groups für Teams vorbereiten: wer darf Teams erstellen einschränken, sonst explodiert die Site-Anzahl. Naming Policy optional. Gastzugang standardmäßig mit Ablaufdatum und Sponsor.
Onboarding-Checkliste an HR koppeln: Startdatum → Ticket mit Rolle, Gruppen, Hardware, MFA-Termin. Offboarding spiegeln — siehe IT-Betrieb-Cluster.
Verteilerlisten und Mail-enabled Security Groups: früh planen, wer in info@ und buchhaltung@ gehört. Dynamische Gruppen nach Abteilungsattribut sparen Pflege, wenn Entra ID-Felder gepflegt sind.
Testnutzer mit Standard- und Premium-Lizenz anlegen, um Feature-Unterschiede vor Rollout zu zeigen — GF entscheidet dann informiert statt nach Marketing-Flyer.
MFA und Baseline-Sicherheit aktivieren
Security Defaults oder Conditional Access: MFA für alle, Legacy-Auth aus — Break-glass ausgenommen und überwacht.
Für schnellen Start: Security Defaults im Entra ID Portal aktivieren — erzwingt MFA-Registrierung und blockiert veraltete Protokolle. Conditional Access erlaubt feinere Regeln (nur Cloud-Apps, compliant devices) — Business Premium vorausgesetzt.
Microsoft Authenticator bevorzugen; SMS als Fallback, nicht als einzige Methode. Admin-Konten mit stärkerer MFA (FIDO2 optional). Break-glass-Konto: starkes Passwort, keine MFA in Defaults-Konflikt prüfen, Nutzung alarmieren.
Unified Audit Log einschalten und Aufbewahrung setzen. Secure Score als Orientierung nutzen — mit it-security-expert oder internem Owner Top-5-Maßnahmen festlegen, nicht alle 200 Punkte auf einmal.
Legacy SMTP für Scanner oder Drucker nur mit App-Passwort oder SMTP Relay — dokumentieren und isolieren, nicht dauerhaft Global ausnahmslos.
Conditional Access: Startregel „MFA für alle Cloud-Apps“ nach Security Defaults. Später: block legacy authentication als eigene Policy. it-security-expert setzt Baseline in 1–2 Sessions, statt monatelang Policies zu schichten.
Phishing-resistente MFA für Admins erwägen, sobald Basis steht. Nutzerkommunikation: Warum Authenticator, wie Recovery — verhindert Helpdesk-Sturm am Tag 1.
Mail-Migration und Cutover
Pilot, dann Welle oder Big-Bang — Kalender, freigegebene Postfächer und mobile Profile nicht vergessen.
Migration Batch im Exchange Admin Center oder Migrationssoftware des Partners. Vorher: Mailbox-Größen, Archivpostfächer, Send-As/ReSend-Berechtigungen exportieren. Nach Migration: DNS MX endgültig, alte Autodiscover-Einträge entfernen.
Outlook-Profile auf neuem Exchange — alte IMAP/POP-Profile löschen, sonst doppelte Ordner. Mobile Geräte: Account entfernen und neu hinzufügen erzwingt sauberes ActiveSync. Teams installieren und ersten Kanal bewusst benennen.
Transport Rules aus dem Altsystem kritisch prüfen — automatische Weiterleitungen nach extern oft überflüssig und gefährlich. Junk-Quarantäne-Prozess kommunizieren: wer darf Release klicken?
14 Tage Hypercare: tägliche Sprechstunde, Mail-Trace bei Zustellproblemen, Feedback zu Teams und OneDrive Sync. Erst danach Altsystem abschalten.
DNS TTL 24h vor Cutover senken beschleunigt Rollback. Kommunikationsmail an Mandanten nur nach stabilem outbound — sonst Reputationsschaden bei Zustellfehlern.
Shared Mailbox-Berechtigungen nach Migration testen: Send As für Assistentin, Vollzugriff nur wo nötig. Archivpostfächer separat migrieren — oft größter Speicherblock.
Erste Betriebswochen und Übergabe
Known Folder Move, SharePoint-Startstruktur und Backup-Plan gehören in die ersten 30 Tage — nicht in „irgendwann“.
OneDrive Known Folder Move schrittweise ausrollen — Kommunikation vorher. Eine SharePoint-Startsite pro Abteilung reicht initial; Owner benennen. Teams-Gastrichtlinie schriftlich.
Drittanbieter-Backup oder exportierte Retention für Exchange/SharePoint beauftragen — native Fristen allein reichen selten. Erster Restore-Test terminieren.
Dokumentation aktualisieren: Admin-Liste, DNS-Screenshot, Lizenzgruppen, Support-Kontakt extern. Quartalsreview terminieren.
Chaotischer Bestand? Partner wie it-security-expert kann Tenant Assessment machen und in Wellen bereinigen — schneller als intern nebenbei.
Handover an internen Owner: 60-Minuten-Walkthrough Admin Center, Entra ID, Exchange, SharePoint Admin. Video aufzeichnen — Wissensverlust bei Personalwechsel vermeiden.
Erfolgs-Checkliste ausdrucken: MFA 100 %, SPF/DKIM/DMARC grün, Backup-Job grün, zwei Pilotnutzer zufrieden — dann Rest der Belegschaft nachziehen.
Häufige Stolpersteine vermeiden
Cutover ohne DKIM, Admin auf GF-Mail und fehlende Hypercare sind die Klassiker — alle drei vermeidbar mit Checkliste.
Outlook-Autodiscover-Konflikt mit altem Profil: Profile neu anlegen stundenlang debuggen. Mobile Geräte vor Urlaubssaisons migrieren, nicht am Monatsletzten.
Teams-Default „öffentlich“ vs. privat klären — externe Gäste standardmäßig einschränken. Wer Teams ohne Governance einführt, jagt später Ghost-Teams.
Lizenz-Overflow: Microsoft erlaubt kurzfristig Überbuchung — trotzdem sofort nachkaufen, sonst Feature-Lock mitten im Mandantenprojekt.
Dokumentieren Sie Abweichungen vom Standard — jede Ausnahme braucht Datum, Owner und Review-Termin. audience-kmu ohne IT-Abteilung verliert sonst den Überblick nach sechs Monaten.
Cutover-Wochenende: MX-Umstellung, Autodiscover, SPF/DKIM/DMARC und Pilot-Mail in einer Checkliste — nicht verteilt auf drei Notizen. Wer am Sonntagabend noch DNS beim Provider sucht, startet den Montag mit vermeidbarem Stress.
Checkliste Go-live
Vor dem offiziellen Go-live alle Punkte abhaken — ein fehlendes Häkchen kostet am Montag mehr als eine Stunde Review am Freitag.
Domain verifiziert, MX/Autodiscover/SPF/DKIM/DMARC gesetzt und getestet. Pilotnutzer Mail in/out erfolgreich. MFA-Registrierung für alle angestoßen, Admins getrennt.
Lizenzgruppen befüllt, Shared Mailboxes mit Besitzern. Teams-Erstellung eingeschränkt, erste Sites mit Owner. Backup-Job initial grün oder Termin für Einrichtung.
Interne Kommunikation: neues Passwort-Reset-Verfahren, Support-Mail, Notfallkontakt it-security-expert. Altes Mailprogramm Deinstallationshinweis.
Hypercare-Kalender blockiert. Rollback-Entscheidungsträger erreichbar. Dokumentation im Wiki — Screenshot DNS, Admin-Liste, Gruppenmatrix.
Erst wenn die Checkliste vollständig ist, Cutover für alle Nutzer freigeben — nicht wegen Termindruck halbe Migration.
Entra ID und microsoft-365 langfristig pflegen
Einrichtung ist Tag eins — ohne laufende Pflege veralten Gruppen, Gastzugänge und Policies still und leise.
Monatlich: neue Apps mit OAuth-Berechtigung, Admin-Rollen-Änderungen, fehlgeschlagene Anmeldungen aus risky sign-ins prüfen. Entra ID Identity Protection ist in Premium stärker — in Standard trotzdem Sign-in Logs lesen.
Quartalsweise: Gast-Review, Teams ohne Aktivität, DNS-Check SPF/DKIM/DMARC nach jedem neuen Mail-Tool. Lizenz-Report an GF — Kosten transparenz schafft Budget für Premium und Backup.
Jährlich: Disaster-Recovery-Test, Passwort-Richtlinie, Conditional Access an Windows/macOS-Versionen anpassen. Dokumentation im IT-Betrieb-Cluster verlinken.
it-security-expert übernimmt wiederkehrende Reviews — intern bleibt Freigabe für Policy-Änderungen und Prioritäten. audience-kmu gewinnt so Planbarkeit ohne Vollzeit-Admin.
Wachstum: neue Niederlassung oder Fusion — Tenant-Strategie vorab klären (ein Tenant vs. getrennt). Später zusammenführen ist teurer als sauber starten.
Microsoft 365 einrichten heißt nicht fertig — heißt Basis gelegt. Der Pillar-Artikel microsoft-365 ordnet das Gesamtbild, wenn Sie nach Go-live Prioritäten setzen.
Typischer Zeitbedarf mit Partner: 2–4 Wochen Vorbereitung, 1 Cutover-Wochenende, 2 Wochen Hypercare — abhängig von Alt-Mail und Nutzerzahl. Unrealistische Same-Day-Migration planen Sie nicht.
Nach Hypercare bleibt ein schlanker Rhythmus: monatlich kurz Admin-Warnungen und neue Apps prüfen, quartalsweise DNS und Gäste, halbjährlich Restore-Test. Einrichtung endet nicht am Go-live — sie geht in Betrieb über, ohne dass Sie Vollzeit-Admin brauchen.
DATEV, Branchensoftware und SMTP
Kanzlei-Software und Branchenlösungen erwarten oft feste SMTP- oder Autodiscover-Einstellungen — vor Go-live mit Hersteller-Support klären.
DATEVconnect und ähnliche Module: dokumentierte Exchange-Online-Einstellungen nutzen, nicht verstecktes IMAP. Testmandant vor Produktiv-Migration.
Scanner, Kasse, CRM: SMTP-Relay über Exchange Online Authentifizierung statt offenes Relay. IP-Allow-List dokumentieren, regelmäßig prüfen.
Autodiscover muss auf outlook.com zeigen — alte autodiscover.firma.de A-Records entfernen. Outlook-Profil-Wizard sonst hängt.
Bei Fehlern: Message Trace plus Hersteller-Log — nicht blind Ports öffnen. it-security-expert kennt typische Kanzlei-Schnittstellen.
Nach erfolgreichem Test: Schnittstellen-Konfiguration im Wiki festhalten — beim nächsten Update fällt niemand auf alte IMAP-Werte zurück. Das spart Support-Stunden.
Branchensoftware-Updates vor Mandanten-Hochphase einplanen — wenn DATEV oder CRM nach Exchange-Umzug neue Ports braucht, haben Sie Puffer ohne produktiven Druck.
Kommunikation und Change an die Belegschaft
Technik gelingt nur mit Akzeptanz — wer Nutzer vor Go-live einbezieht, reduziert Widerstand gegen MFA, OneDrive und neue Mail-Adressen.
Kurzmail zwei Wochen vor Cutover: Was ändert sich, was bleibt, wer hilft. FAQ: Passwort, Handy für MFA, Outlook neu einrichten. Kein Jargon.
Champions in jeder Abteilung — eine Person, die Rückfragen sammelt und an IT/Partner weiterleitet. Entlastet GF und verhindert Schatten-Lösungen.
Nach Go-live: wöchentlicher 15-Minuten-Check-in einen Monat lang. Themen sammeln, nicht abtun. Erfolge sichtbar machen — „keine Mail-Ausfälle diese Woche“.
Schulungsmaterial als kurze Screenshots oder Video, nicht 40-Seiten-PDF. audience-kmu lernt bei der Arbeit, nicht im Seminarraum.
Nach Go-live dokumentieren Sie die Ist-Konfiguration: DNS-Screenshots, Admin-Liste, Gruppenmatrix, Break-glass-Ort. Viele KMU verlieren dieses Wissen innerhalb von zwölf Monaten, wenn eine Person ausscheidet — das Wiki ist dann Ihre Versicherung gegen Stillstand.
Einrichtung endet, wenn Hypercare endet — nicht wenn der Partner abreist. Interner Owner und feste Review-Termine halten den Tenant danach stabil.
Persönliche IT-Betreuung
Sie brauchen einen festen Ansprechpartner statt Einzel-Lösungen? Tim unterstützt Unternehmen bis 25 Mitarbeiter verständlich und persönlich.
Externe IT-Betreuung anfragen