---
title: "Microsoft 365 einrichten — Leitfaden für KMU"
description_de: "Tenant, Domains, Nutzer, MFA und Baseline-Policies — Schritt für Schritt Microsoft 365 für kleine Teams."
description_en: "Tenant, domains, users, MFA, and baseline policies — setup guide for small teams."
url: /wissen/microsoft-365/m365-einrichten
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Wie richtet man Microsoft 365 für ein kleines Unternehmen ein?"
---
# Microsoft 365 einrichten — Leitfaden für KMU
Eine tragfähige Microsoft-365-Einrichtung beginnt mit Domain-Verifikation, getrennten Admins und [Mehrfaktor-Authentifizierung](/wissen/glossar/mfa) für alle — bevor das fünfzehnte Postfach und der erste Teams-Kanal ungeplant entstehen.
## Vorbereitung: Bestand und Ziele klären
Notieren Sie vor dem ersten Klick im Admin Center: Domains, Nutzerzahl, Rollen, Altsysteme und wer später Admin bleiben soll.
Exportieren Sie aus dem alten Mailserver eine Liste aktiver Postfächer, Aliase und Verteiler. Klären Sie, welche DATEV-, Branchen- oder CRM-Schnittstellen SMTP oder Autodiscover erwarten — Überraschungen nach dem Cutover kosten Tage. Legen Sie fest, ob Migration cutover, staged oder per IMAP erfolgt; KMU mit einem Standort wählen oft cutover am Wochenende.
Benennen Sie intern einen Projektleiter und einen technischen Ansprechpartner — bei 8 Mitarbeitenden oft dieselbe Person plus externer Partner. Erwartungen an Go-live kommunizieren: Kalender und Kontakte wandern mit, alte PST-Archive nicht automatisch. Pilotgruppe von zwei Nutzern testet eine Woche lang Login, [Teams](/wissen/glossar/teams), Drucken und Mobile Sync.
Lizenzentscheidung vor Massenanlage: Standard vs. Premium nach Rollenmatrix im Artikel Lizenzvergleich. Gruppen in Entra ID planen — etwa „Alle Mitarbeitenden“, „Kanzlei“, „Verwaltung“ — statt Lizenzen einzeln zuzuweisen.
Dokumentationsvorlage anlegen: Tenant-Name, Global Admins, DNS-Provider-Zugang, Break-glass-Konto-Ort. Spätere Audits und Partnerwechsel danken es Ihnen.
Stakeholder-Liste: Wer muss am Cutover erreichbar sein — GF, Steuerberater extern, IT-Partner? Terminfenster außerhalb Mandanten-Hochphase wählen. Rollback-Plan skizzieren: MX zurück auf Altserver, wenn outbound nach 4 Stunden noch scheitert.
Hardware-Inventar parallel: Welche Geräte erhalten Office-Installation, welche nur Browser? Windows-Versionen unter Minimum prüfen — veraltete Clients blockieren [Conditional Access](/wissen/glossar/conditional-access) später.
## Tenant erstellen und Domain verbinden
[Microsoft 365](/wissen/microsoft-365) Tenant anlegen, Domain hinzufügen, TXT zur Verifikation setzen — erst danach MX, Autodiscover und Mail-Routing umstellen.
Registrieren Sie den Tenant mit einer geschäftlichen Initial-Domain; benennen Sie ihn verständlich (firma.onmicrosoft.com). Custom Domain hinzufügen und TXT-Eintrag beim DNS-Provider setzen. Verifikation kann Minuten bis Stunden dauern — TTL beachten.
Nach Verifikation: MX auf Exchange Online, CNAME autodiscover, SPF-Eintrag mit include:[spf](/wissen/glossar/spf).protection.outlook.com. [DKIM](/wissen/glossar/dkim) aktivieren Sie im Defender-Portal und tragen die CNAMEs ein — ohne [DKIM](/wissen/glossar/dkim) fehlt ein Bein der Absenderauthentifizierung. [DMARC](/wissen/glossar/dmarc) starten Sie mit p=none und Reports an ein auswertbares Postfach.
Alten Mailserver parallel lassen, bis Testmail inbound und outbound funktioniert. TTL vor Migration senken erleichtert Rollback. Subdomains für Marketing (news.firma.de) separat dokumentieren — Wildcard-SPF vermeiden.
Fehlerhafte DNS-Einträge sind die häufigste Verzögerung. Wer den Provider nicht kennt, klärt das vor Projektstart — nicht am Cutover-Abend.
Autodiscover CNAME zeigt auf autodiscover.outlook.com — Tippfehler erzeugen endlose Outlook-Popups. MX-Priorität 0 auf den Microsoft-Eintrag; alte MX-Einträge entfernen, sonst Split-Delivery.
Optional: DMARC-Report-Postfach als Shared Mailbox ohne teure Lizenz — aber Lesezugriff für Betreuungspartner regeln. [SPF](/wissen/glossar/spf) für Root und www getrennt betrachten, wenn Website-Hoster ebenfalls Mail verschickt.
## Nutzer, Lizenzen und Gruppen anlegen
Synchronisieren oder manuell anlegen — dann Lizenzen per Gruppe, Aliase und Shared Mailboxes strukturiert einrichten.
Bei grünem Feld: Nutzer in Entra ID anlegen, UPN gleich der künftigen Mail-Adresse wählen. Hybrid mit lokalem AD ist für klassische KMU selten nötig. Passwort-Richtlinie und Self-Service-Password-Reset aktivieren, Recovery-Methoden erklären.
Lizenzen per Group-Based Licensing zuweisen: Mitgliedschaft in „M365-Standard“ oder „M365-Premium“ löst SKU aus. Shared Mailboxes ohne Anmeldelizenz, wenn unter 50 GB und ohne direkten Login — sonst Lizenzpflicht beachten.
[Microsoft 365](/wissen/microsoft-365) Groups für [Teams](/wissen/glossar/teams) vorbereiten: wer darf [Teams](/wissen/glossar/teams) erstellen einschränken, sonst explodiert die Site-Anzahl. Naming Policy optional. Gastzugang standardmäßig mit Ablaufdatum und Sponsor.
Onboarding-Checkliste an HR koppeln: Startdatum → Ticket mit Rolle, Gruppen, Hardware, MFA-Termin. Offboarding spiegeln — siehe IT-Betrieb-Cluster.
Verteilerlisten und Mail-enabled Security Groups: früh planen, wer in info@ und buchhaltung@ gehört. Dynamische Gruppen nach Abteilungsattribut sparen Pflege, wenn Entra ID-Felder gepflegt sind.
Testnutzer mit Standard- und Premium-Lizenz anlegen, um Feature-Unterschiede vor Rollout zu zeigen — GF entscheidet dann informiert statt nach Marketing-Flyer.
## [MFA](/wissen/glossar/mfa) und Baseline-Sicherheit aktivieren
Security Defaults oder [Conditional Access](/wissen/glossar/conditional-access): [MFA](/wissen/glossar/mfa) für alle, Legacy-Auth aus — Break-glass ausgenommen und überwacht.
Für schnellen Start: Security Defaults im Entra ID Portal aktivieren — erzwingt MFA-Registrierung und blockiert veraltete Protokolle. [Conditional Access](/wissen/glossar/conditional-access) erlaubt feinere Regeln (nur Cloud-Apps, compliant devices) — Business Premium vorausgesetzt.
Microsoft Authenticator bevorzugen; SMS als Fallback, nicht als einzige Methode. Admin-Konten mit stärkerer [MFA](/wissen/glossar/mfa) (FIDO2 optional). Break-glass-Konto: starkes Passwort, keine [MFA](/wissen/glossar/mfa) in Defaults-Konflikt prüfen, Nutzung alarmieren.
Unified Audit Log einschalten und Aufbewahrung setzen. Secure Score als Orientierung nutzen — mit it-security-expert oder internem Owner Top-5-Maßnahmen festlegen, nicht alle 200 Punkte auf einmal.
Legacy SMTP für Scanner oder Drucker nur mit App-Passwort oder SMTP Relay — dokumentieren und isolieren, nicht dauerhaft Global ausnahmslos.
[Conditional Access](/wissen/glossar/conditional-access): Startregel „[MFA](/wissen/glossar/mfa) für alle Cloud-Apps“ nach Security Defaults. Später: block legacy authentication als eigene Policy. it-security-expert setzt Baseline in 1–2 Sessions, statt monatelang Policies zu schichten.
Phishing-resistente [MFA](/wissen/glossar/mfa) für Admins erwägen, sobald Basis steht. Nutzerkommunikation: Warum Authenticator, wie Recovery — verhindert Helpdesk-Sturm am Tag 1.
## Mail-Migration und Cutover
Pilot, dann Welle oder Big-Bang — Kalender, freigegebene Postfächer und mobile Profile nicht vergessen.
Migration Batch im Exchange Admin Center oder Migrationssoftware des Partners. Vorher: Mailbox-Größen, Archivpostfächer, Send-As/ReSend-Berechtigungen exportieren. Nach Migration: DNS MX endgültig, alte Autodiscover-Einträge entfernen.
Outlook-Profile auf neuem Exchange — alte IMAP/POP-Profile löschen, sonst doppelte Ordner. Mobile Geräte: Account entfernen und neu hinzufügen erzwingt sauberes ActiveSync. [Teams](/wissen/glossar/teams) installieren und ersten Kanal bewusst benennen.
Transport Rules aus dem Altsystem kritisch prüfen — automatische Weiterleitungen nach extern oft überflüssig und gefährlich. Junk-Quarantäne-Prozess kommunizieren: wer darf Release klicken?
14 Tage Hypercare: tägliche Sprechstunde, Mail-Trace bei Zustellproblemen, Feedback zu [Teams](/wissen/glossar/teams) und [OneDrive](/wissen/glossar/onedrive) Sync. Erst danach Altsystem abschalten.
DNS TTL 24h vor Cutover senken beschleunigt Rollback. Kommunikationsmail an Mandanten nur nach stabilem outbound — sonst Reputationsschaden bei Zustellfehlern.
Shared Mailbox-Berechtigungen nach Migration testen: Send As für Assistentin, Vollzugriff nur wo nötig. Archivpostfächer separat migrieren — oft größter Speicherblock.
## Erste Betriebswochen und Übergabe
Known Folder Move, SharePoint-Startstruktur und Backup-Plan gehören in die ersten 30 Tage — nicht in „irgendwann“.
[OneDrive](/wissen/glossar/onedrive) Known Folder Move schrittweise ausrollen — Kommunikation vorher. Eine SharePoint-Startsite pro Abteilung reicht initial; Owner benennen. Teams-Gastrichtlinie schriftlich.
Drittanbieter-Backup oder exportierte Retention für Exchange/[SharePoint](/wissen/glossar/sharepoint) beauftragen — native Fristen allein reichen selten. Erster Restore-Test terminieren.
Dokumentation aktualisieren: Admin-Liste, DNS-Screenshot, Lizenzgruppen, Support-Kontakt extern. Quartalsreview terminieren.
Chaotischer Bestand? Partner wie it-security-expert kann Tenant Assessment machen und in Wellen bereinigen — schneller als intern nebenbei.
Handover an internen Owner: 60-Minuten-Walkthrough Admin Center, Entra ID, Exchange, [SharePoint](/wissen/glossar/sharepoint) Admin. Video aufzeichnen — Wissensverlust bei Personalwechsel vermeiden.
Erfolgs-Checkliste ausdrucken: [MFA](/wissen/glossar/mfa) 100 %, [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc) grün, Backup-Job grün, zwei Pilotnutzer zufrieden — dann Rest der Belegschaft nachziehen.
## Häufige Stolpersteine vermeiden
Cutover ohne [DKIM](/wissen/glossar/dkim), Admin auf GF-Mail und fehlende Hypercare sind die Klassiker — alle drei vermeidbar mit Checkliste.
Outlook-Autodiscover-Konflikt mit altem Profil: Profile neu anlegen stundenlang debuggen. Mobile Geräte vor Urlaubssaisons migrieren, nicht am Monatsletzten.
Teams-Default „öffentlich“ vs. privat klären — externe Gäste standardmäßig einschränken. Wer [Teams](/wissen/glossar/teams) ohne Governance einführt, jagt später Ghost-Teams.
Lizenz-Overflow: Microsoft erlaubt kurzfristig Überbuchung — trotzdem sofort nachkaufen, sonst Feature-Lock mitten im Mandantenprojekt.
Dokumentieren Sie Abweichungen vom Standard — jede Ausnahme braucht Datum, Owner und Review-Termin. audience-kmu ohne IT-Abteilung verliert sonst den Überblick nach sechs Monaten.
Cutover-Wochenende: MX-Umstellung, Autodiscover, [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc) und Pilot-Mail in einer Checkliste — nicht verteilt auf drei Notizen. Wer am Sonntagabend noch DNS beim Provider sucht, startet den Montag mit vermeidbarem Stress.
## Checkliste Go-live
Vor dem offiziellen Go-live alle Punkte abhaken — ein fehlendes Häkchen kostet am Montag mehr als eine Stunde Review am Freitag.
Domain verifiziert, MX/Autodiscover/[SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc) gesetzt und getestet. Pilotnutzer Mail in/out erfolgreich. MFA-Registrierung für alle angestoßen, Admins getrennt.
Lizenzgruppen befüllt, Shared Mailboxes mit Besitzern. Teams-Erstellung eingeschränkt, erste Sites mit Owner. Backup-Job initial grün oder Termin für Einrichtung.
Interne Kommunikation: neues Passwort-Reset-Verfahren, Support-Mail, Notfallkontakt it-security-expert. Altes Mailprogramm Deinstallationshinweis.
Hypercare-Kalender blockiert. Rollback-Entscheidungsträger erreichbar. Dokumentation im Wiki — Screenshot DNS, Admin-Liste, Gruppenmatrix.
Erst wenn die Checkliste vollständig ist, Cutover für alle Nutzer freigeben — nicht wegen Termindruck halbe Migration.
## Entra ID und microsoft-365 langfristig pflegen
Einrichtung ist Tag eins — ohne laufende Pflege veralten Gruppen, Gastzugänge und Policies still und leise.
Monatlich: neue Apps mit OAuth-Berechtigung, Admin-Rollen-Änderungen, fehlgeschlagene Anmeldungen aus risky sign-ins prüfen. Entra ID Identity Protection ist in Premium stärker — in Standard trotzdem Sign-in Logs lesen.
Quartalsweise: Gast-Review, [Teams](/wissen/glossar/teams) ohne Aktivität, DNS-Check [SPF](/wissen/glossar/spf)/[DKIM](/wissen/glossar/dkim)/[DMARC](/wissen/glossar/dmarc) nach jedem neuen Mail-Tool. Lizenz-Report an GF — Kosten transparenz schafft Budget für Premium und [Backup](/wissen/glossar/backup).
Jährlich: Disaster-Recovery-Test, Passwort-Richtlinie, [Conditional Access](/wissen/glossar/conditional-access) an Windows/macOS-Versionen anpassen. Dokumentation im IT-Betrieb-Cluster verlinken.
it-security-expert übernimmt wiederkehrende Reviews — intern bleibt Freigabe für Policy-Änderungen und Prioritäten. audience-kmu gewinnt so Planbarkeit ohne Vollzeit-Admin.
Wachstum: neue Niederlassung oder Fusion — Tenant-Strategie vorab klären (ein Tenant vs. getrennt). Später zusammenführen ist teurer als sauber starten.
[Microsoft 365](/wissen/microsoft-365) einrichten heißt nicht fertig — heißt Basis gelegt. Der Pillar-Artikel microsoft-365 ordnet das Gesamtbild, wenn Sie nach Go-live Prioritäten setzen.
Typischer Zeitbedarf mit Partner: 2–4 Wochen Vorbereitung, 1 Cutover-Wochenende, 2 Wochen Hypercare — abhängig von Alt-Mail und Nutzerzahl. Unrealistische Same-Day-Migration planen Sie nicht.
Nach Hypercare bleibt ein schlanker Rhythmus: monatlich kurz Admin-Warnungen und neue Apps prüfen, quartalsweise DNS und Gäste, halbjährlich Restore-Test. Einrichtung endet nicht am Go-live — sie geht in Betrieb über, ohne dass Sie Vollzeit-Admin brauchen.
## DATEV, Branchensoftware und SMTP
Kanzlei-Software und Branchenlösungen erwarten oft feste SMTP- oder Autodiscover-Einstellungen — vor Go-live mit Hersteller-Support klären.
DATEVconnect und ähnliche Module: dokumentierte Exchange-Online-Einstellungen nutzen, nicht verstecktes IMAP. Testmandant vor Produktiv-Migration.
Scanner, Kasse, CRM: SMTP-Relay über Exchange Online Authentifizierung statt offenes Relay. IP-Allow-List dokumentieren, regelmäßig prüfen.
Autodiscover muss auf outlook.com zeigen — alte autodiscover.firma.de A-Records entfernen. Outlook-Profil-Wizard sonst hängt.
Bei Fehlern: Message Trace plus Hersteller-Log — nicht blind Ports öffnen. it-security-expert kennt typische Kanzlei-Schnittstellen.
Nach erfolgreichem Test: Schnittstellen-Konfiguration im Wiki festhalten — beim nächsten Update fällt niemand auf alte IMAP-Werte zurück. Das spart Support-Stunden.
Branchensoftware-Updates vor Mandanten-Hochphase einplanen — wenn DATEV oder CRM nach Exchange-Umzug neue Ports braucht, haben Sie Puffer ohne produktiven Druck.
## Kommunikation und Change an die Belegschaft
Technik gelingt nur mit Akzeptanz — wer Nutzer vor Go-live einbezieht, reduziert Widerstand gegen [MFA](/wissen/glossar/mfa), [OneDrive](/wissen/glossar/onedrive) und neue Mail-Adressen.
Kurzmail zwei Wochen vor Cutover: Was ändert sich, was bleibt, wer hilft. FAQ: Passwort, Handy für [MFA](/wissen/glossar/mfa), Outlook neu einrichten. Kein Jargon.
Champions in jeder Abteilung — eine Person, die Rückfragen sammelt und an IT/Partner weiterleitet. Entlastet GF und verhindert Schatten-Lösungen.
Nach Go-live: wöchentlicher 15-Minuten-Check-in einen Monat lang. Themen sammeln, nicht abtun. Erfolge sichtbar machen — „keine Mail-Ausfälle diese Woche“.
Schulungsmaterial als kurze Screenshots oder Video, nicht 40-Seiten-PDF. audience-kmu lernt bei der Arbeit, nicht im Seminarraum.
Nach Go-live dokumentieren Sie die Ist-Konfiguration: DNS-Screenshots, Admin-Liste, Gruppenmatrix, Break-glass-Ort. Viele KMU verlieren dieses Wissen innerhalb von zwölf Monaten, wenn eine Person ausscheidet — das Wiki ist dann Ihre Versicherung gegen Stillstand.
Einrichtung endet, wenn Hypercare endet — nicht wenn der Partner abreist. Interner Owner und feste Review-Termine halten den Tenant danach stabil.