Du hast ein paar hundert Teams im Tenant und ein oder zwei Leute, die sich neben allem anderen um Microsoft 365 kümmern. Niemand weiß mehr, wer „Projekt XY final“ angelegt hat oder ob das noch jemand öffnet. Bei einigen Teams ist der einzige Besitzer im März gegangen.
Der Wildwuchs sieht aus wie ein Konzernproblem. Die Personaldecke nicht.
Die meisten Texte zu Microsoft Teams Governance setzen ein Governance-Gremium voraus, eine Microsoft-Entra-ID-Governance-Lizenz und jemanden, der hauptberuflich Zugriffsüberprüfungen macht. Dieser Artikel setzt nichts davon voraus. Hier steht, was du zuerst konfigurierst, was die Bordmittel wirklich abdecken und wo dir bei deiner Unternehmensgröße die nativen Optionen ausgehen.
Was Microsoft Teams Governance umfasst
Microsoft Teams Governance ist die Summe der Regeln und technischen Maßnahmen für Anlage, Benennung, Mitgliedschaft, Datenhaltung und Löschung von Teams. In der Praxis beantwortet sie fünf Fragen. Wer darf ein Team anlegen, wie heißt es, wer darf hinein, welche Daten dürfen darin liegen und wann wird es archiviert.
Hinter jedem Team steht eine Microsoft 365-Gruppe mit SharePoint-Website, gemeinsamem Postfach, Planner-Plan und OneNote-Notizbuch. Teams zu steuern heißt, all das mitzusteuern. Eine Regel, die nur den Teams-Client betrifft, lässt die SharePoint-Website offen.
Private Kanäle und freigegebene Kanäle bekommen jeweils ihre eigene SharePoint-Website, angelegt mit einer schlanken TEAMCHANNEL-Vorlage. Sie erben weniger vom übergeordneten Team, als man erwartet. Beziehe sie in deine Richtlinien also ausdrücklich ein.
Vier Arbeitsfelder decken den größten Teil ab:
- Bereitstellung: wer Teams anlegen darf und unter welchen Bedingungen
- Lebenszyklus: wie Teams verlängert, archiviert oder gelöscht werden
- Zugriff: wer hineinkommt, inklusive Gäste und externe Organisationen
- Klassifizierung und Compliance: Vertraulichkeitsbezeichnungen, Aufbewahrungsrichtlinien, Data Loss Prevention und Überwachungsprotokolle
Warum es im Mittelstand anders klemmt
Deine Lizenzstufe entscheidet über deine Möglichkeiten
Die nativen Governance-Einstellungen verteilen sich über mehrere Lizenzstufen. Wo genau die Grenzen liegen, macht bei deiner Unternehmensgröße einen großen Unterschied.
| Maßnahme | Wo du sie konfigurierst | Was sie braucht |
| --- | --- | --- |
| Gruppenbenennungsrichtlinie: Präfix, Suffix, gesperrte Wörter | Microsoft Entra Admin Center | Entra ID P1 für jedes Gruppenmitglied vorhanden |
| Ablaufrichtlinie für Microsoft 365-Gruppen | Microsoft Entra Admin Center | Entra ID P1 oder P2 für jedes Gruppenmitglied vorhanden |
| Richtlinie für Gruppen und Teams ohne Besitzer | Microsoft 365 Admin Center, Organisationseinstellungen | Business Premium, E3 oder E5. Entra ID P1/P2 für alle Benachrichtigungsoptionen |
| Vertraulichkeitsbezeichnungen und Aufbewahrungsrichtlinien | Microsoft Purview Portal | E3 für das meiste, E5 für automatische Bezeichnung |
| DLP für Teams-Chats und Kanalnachrichten | Microsoft Purview Portal | E5. E3 deckt nur über Teams geteilte Dateien ab |
| Bedingter Zugriff für Gäste | Microsoft Entra Admin Center | Entra ID P1 |
| Zugriffsüberprüfungen und Berechtigungsverwaltung | Microsoft Entra Admin Center | Entra ID Governance oder Microsoft Entra Suite. Einzelne Funktionen laufen mit Entra ID P2 |Microsoft 365 Business Premium enthält Entra ID P1. Benennungsrichtlinien, Ablaufrichtlinien und bedingter Zugriff stehen dir also zur Verfügung. Zugriffsüberprüfungen nicht.
Diese Lücke prägt den Rest des Plans. Die wiederkehrende Bestätigung von Besitz und Mitgliedschaft hält eine Governance-Richtlinie über den dritten Monat hinaus am Leben. Auf deiner Lizenzstufe bekommst du sie nur mit Entra ID Governance pro Nutzer.
Dein Auswertungsfenster ist kürzer als dein Problem
Der Microsoft Teams-Nutzungsbericht im Microsoft 365 Admin Center deckt 7, 30, 90 oder 180 Tage ab. Wählst du einen einzelnen Tag, zeigt die Tabelle bis zu 28 Tage ab heute. Die Daten eines Tages sind innerhalb von 48 Stunden da.
Mit 180 Tagen findest du ein totes Team. Um zwei Jahre später einer Prüferin eine Aufbewahrungsentscheidung zu belegen, reicht das nicht. Exportiere dafür planmäßig nach CSV. Oder hol dir die Historie selbst über die Microsoft Graph API.
Ein Admin kann nicht gleichzeitig die Freigabe-Warteschlange sein
Die Teamerstellung auf eine Sicherheitsgruppe zu beschränken ist die wirksamste Einzelmaßnahme gegen Teams-Wildwuchs. Sie macht dich aber auch zum Nadelöhr. Jede Anfrage landet nun in deinem Postfach, ohne Namenskontext und ohne Ablaufdatum.
Dieser Widerspruch ist das eigentliche Mittelstandsproblem. Dezentrale Anlage erzeugt Wildwuchs, zentrale Anlage erzeugt eine Ticket-Warteschlange, und mit ein oder zwei Admins trägt keins von beidem.
Schnürst du es zu eng, bekommst du stattdessen Schatten-IT. Das Gespräch wandert nach WhatsApp, und das ist schlechter als ein schlecht benanntes Team.
Die vier Maßnahmen, die zuerst kommen
1. Beschränke, wer Teams anlegen darf
Standardmäßig darf jeder lizenzierte Nutzer eine Microsoft 365-Gruppe anlegen und damit ein Team. Ändere das zuerst. Lege eine Sicherheitsgruppe an, nimm die Personen auf, die Anlagerechte haben sollen, und verweise die Tenant-Einstellung über das Microsoft Graph PowerShell SDK auf diese Gruppe.
Das Prinzip der minimalen Rechte gilt auch für Anlagerechte. Zwei oder drei namentlich benannte Personen plus der Service Desk reichen meist. Wird der Kreis größer, bist du wieder am Anfang.
Überspring die Inventur nicht. Führe Connect-MicrosoftTeams aus, dann Get-Team und Get-TeamUser, und leite das Ergebnis in Export-Csv. Du musst wissen, was du hast, bevor du drosselst, was nachkommt.
2. Erzwinge eine Benennungsrichtlinie
Die Präfix- und Suffix-Richtlinie in Microsoft Entra ID setzt Attribute in jeden neuen Gruppennamen ein. Verfügbar sind [Department], [Company], [Office], [StateOrProvince], [CountryOrRegion] und [Title]. [GroupName] muss genau einmal vorkommen. Präfix, Suffix und Gruppenname zusammen sind auf 63 Zeichen begrenzt.
Die Liste gesperrter Wörter fasst bis zu 5.000 kommagetrennte Begriffe. Der Abgleich ist exakt und ignoriert Groß- und Kleinschreibung, ohne Teilstringsuche. „Test“ zu sperren sperrt nicht „Testing“. Nimm beides auf.
Eine Namenskonvention, die du in einer Listenansicht lesen kannst, ist besser als eine clevere. PRJ-[Department]-[GroupName] liefert dir Typ, verantwortliche Abteilung und Zweck in einer Zeile.
3. Setze eine Ablaufrichtlinie
Die Ablaufrichtlinie für Microsoft 365-Gruppen löscht Gruppen, die niemand verlängert. Sie setzt Entra-ID-P1- oder -P2-Lizenzen für die Mitglieder aller einbezogenen Gruppen voraus. Zuweisen musst du sie nicht.
Die Mindestlaufzeit sind 30 Tage. Die meisten mittelständischen Tenants landen bei 365. Besitzer erhalten Verlängerungsmails 30 Tage, 15 Tage und 1 Tag vor Ablauf. Gruppen mit aktueller Aktivität verlängern sich rund 35 Tage vorher automatisch, und ihre Besitzer hören gar nichts.
Gelöschte Gruppen bleiben 30 Tage im Soft-Delete, und dieses Fenster ist nicht konfigurierbar. Baue deinen Eskalationsweg so, dass er hineinpasst.
4. Aktiviere die Richtlinie für Gruppen und Teams ohne Besitzer
Teams ohne Besitzer sind das Risiko, das niemand bemerkt, bis eine Prüfung kommt. Die Mitgliedschaft wird nicht mehr gepflegt und Ausgeschiedene bleiben drin. Kommt eine eDiscovery-Anfrage, ist niemand da, der sie beantwortet.
Die Richtlinie liegt im Microsoft 365 Admin Center unter Einstellungen, Organisationseinstellungen, Dienste, Microsoft 365-Gruppen. Sie schreibt jede Woche die aktivsten Mitglieder einer Gruppe ohne Besitzer an und bittet eines davon, den Besitz zu übernehmen. Du legst fest, wie viele Mitglieder sie kontaktiert und wie viele Wochen sie nachfragt. Bis zu zwei Mitglieder pro Gruppe können annehmen, und die Benachrichtigungen stoppen, sobald jemand zusagt.
Du kannst sie auf alle Gruppen anwenden oder auf eine Liste von bis zu 50. Business Premium, E3 und E5 decken sie ab. Alle Benachrichtigungsoptionen brauchen Entra ID P1 oder P2.
Klassifizierung und Datenschutz
Vertraulichkeitsbezeichnungen erledigen in Teams zwei Aufgaben gleichzeitig. Sie klassifizieren den Container, und sie erzwingen Einstellungen darauf: Datenschutz, Gastzugriff und Zugriff von nicht verwalteten Geräten.
Halte die Taxonomie kurz. Vier Bezeichnungen funktionieren: Öffentlich, Intern, Vertraulich und Streng vertraulich. Jede weitere ist eine Entscheidung, die du einem Nutzer aufdrückst, der sie nicht treffen will.
Aufbewahrungsrichtlinien in Microsoft Purview decken Teams-Chats, Kanalnachrichten und die Dateien in der dahinterliegenden SharePoint-Website ab. Konfiguriere Chat- und Kanalaufbewahrung getrennt von der Dateiaufbewahrung. Das sind unterschiedliche Richtlinien, und das merkt man meist erst, wenn etwas fehlt, das man gebraucht hätte.
Bei Data Loss Prevention wird die Lizenzierung zur Falle. E3 gibt dir DLP für SharePoint, OneDrive und Exchange. Damit sind auch Dateien abgedeckt, die über Teams geteilt werden, denn die liegen in SharePoint. DLP, das die Chat- und Kanalnachrichten selbst gegen Typen vertraulicher Informationen prüft, braucht E5. Mit Business Premium oder E3 planst du besser darum herum, statt Zeit dafür einzuplanen.
Gastzugriff ohne Rückstau
Beim Gastzugriff verlieren mittelständische Unternehmen am meisten. Die Einstellungen sind alle da. Was fehlt, ist jemand, der das Offboarding verantwortet.
Was du nativ hast:
- Microsoft Entra External ID B2B-Zusammenarbeit, die Einladungen per Domain-Allowlist oder Blocklist einschränkt
- Externer Zugriff im Teams Admin Center, der die Föderation mit anderen Tenants domainweise steuert
- Gastzugriff im Teams Admin Center, der steuert, was ein Gast innerhalb eines Teams darf
- Richtlinien für bedingten Zugriff, die MFA für jede Anmeldung von Gästen und externen Nutzern verlangen können
- SharePoint-Freigabeeinstellungen, die den Ablauf von Links und den Standard-Linktyp festlegen
Was du nativ nicht hast, ist eine wiederkehrende Überprüfung, die den Teambesitzer fragt, ob der Dienstleister vom Frühjahr noch Zugriff braucht. Das ist eine Zugriffsüberprüfung, und sie braucht Entra ID Governance.
Bis du die hast, ist der praktische Ersatz ein Quartalsexport. Zieh eine Liste aller Gäste samt letztem Anmeldedatum, filtere auf 90 Tage Inaktivität und schick jedem Teambesitzer seinen eigenen Abschnitt. Das ist Handarbeit, und sie räumt trotzdem mehr alte Gastkonten weg als eine Richtlinie, die niemand ausführt.
Wenn es ohne dich laufen soll: External User Manager legt Gastanfrage, Freigabe und Ablaufdatum dem Teambesitzer vor, nicht dir.
Copilot hat Oversharing zur Vorstandsfrage gemacht
Microsoft 365 Copilot respektiert deine bestehenden Berechtigungen. Genau das ist das Problem.
Jahrelang waren schlechte Berechtigungen verkraftbar, weil Finden davon abhing, dass jemand wusste, wo er suchen muss. Eine überberechtigte SharePoint-Website oder ein „Jeder“-Link von 2021 lag einfach da, unentdeckt. Frag Copilot heute nach Gehaltsbändern und du bekommst eine Antwort, zusammengesetzt aus jeder Datei, auf die du technisch Zugriff hast.
An deinem Berechtigungsmodell hat Copilot nichts geändert. Verändert hat sich, wie weit eine einzige Frage darin reist.
Drei Prüfungen zahlen sich vor dem Rollout aus:
- Finde jedes Team mit öffentlicher Sichtbarkeit und bestätige, dass das so gewollt war
- Prüfe jede SharePoint-Website mit einem aktiven „Jeder“-Freigabelink
- Versieh die Websites mit HR-, Finanz- und Rechtsinhalten mit Vertraulichkeitsbezeichnungen, denn Copilot respektiert die daran hängende Verschlüsselung
Wo die Bordmittel enden
Die nativen Einstellungen sind für Vorbeugung gebaut. Beim Aufräumen von bereits Entstandenem werden sie dünn, und die Lücken sind im Mittelstand immer dieselben:
- Kein Antrags- und Genehmigungsworkflow (ohne Power Automate). Eine Benennungsrichtlinie formt den Namen, aber niemand prüft den Antrag dahinter.
- Keine detaillierte, individuell angepasste Bereitstellung per Vorlage. Jedes neue Team startet leer, und die Struktur hängt am Ersteller. Alternativ basiert es auf einer der Teamvorlagen von Microsoft, die nur ausgewählte Anwendungsfälle abdecken. Native Vorlagen geben Kanäle und Apps vor, enthalten aber keine Mitglieder, Dateien oder privaten Kanäle. Und du kannst sie nicht als verpflichtenden Weg für die Teamerstellung festlegen.
- Keine wiederkehrende Besitzbestätigung ohne Entra ID Governance.
- Keine automatisierte Archivierung: Die Ablaufrichtlinie löscht, statt zu archivieren, und Archivieren ist Handarbeit, Team für Team.
- Keine integrierten Metadaten. Du kannst ein Team nicht mit Kostenstelle, Projektnummer oder Klassifizierung versehen und später darüber berichten.
- Die Auswertung endet bei 180 Tagen.
Nichts davon heißt, dass du ein Drittanbieter-Tool brauchst. Es heißt, dass du wissen solltest, was du bewusst von Hand machst. Zehn neue Teams im Monat sind in einer Tabelle in Ordnung. Fünfzig nicht.
Ein Rollout, der zu zwei Admins passt
Tag 1 bis 30: Inventarisiere alles mit PowerShell. Beschränke die Anlage auf eine Sicherheitsgruppe. Veröffentliche eine einseitige Richtlinie, die sagt, wer ein Team beantragen darf, wie es heißen wird und wie lange es lebt.
Tag 31 bis 60: Schalte Benennungs- und Ablaufrichtlinie ein, mit 365 Tagen Laufzeit. Aktiviere die Richtlinie für Gruppen ohne Besitzer tenantweit. Veröffentliche deine vier Vertraulichkeitsbezeichnungen.
Tag 61 bis 90: Arbeite die Liste der Teams ohne Besitzer ab. Archiviere Teams ohne Aktivität in 180 Tagen. Exportiere deine Gästeliste und schick den Besitzern ihren Abschnitt. Wenn du E5 hast, konfiguriere deine ersten zwei DLP-Regeln für Teams-Nachrichten.
Ab Tag 91: Entscheide, was du weiter von Hand machst und ob das noch ein Jahr trägt. Was die Entscheidung bei Teams deiner Größe kippt, ist nicht die Funktionsliste, sondern wer die Arbeit macht. Teams Manager verschiebt Antrag, Verlängerung und Archiventscheidung zum Teambesitzer, direkt in Teams, damit sie nicht mehr als Ticket bei dir landen. Wenn du das an deinem eigenen Tenant sehen willst, buche eine kostenlose Demo.
Fang mit der Maßnahme an, die am meisten Zeit spart
Wenn du in diesem Quartal eine Sache änderst: Beschränke die Teamerstellung und aktiviere in derselben Woche die Richtlinie für Gruppen ohne Besitzer. Das erste stoppt das Wachstum. Das zweite findet die Teams, die ihren Besitzer schon verloren haben.
Benennung, Bezeichnungen, Aufbewahrung und Überprüfungen funktionieren alle besser in einem Tenant, der nicht mehr seitwärts wächst. Unsere Governance-Checkliste geht die Einstellungen der Reihe nach durch, falls du eine Vorlage brauchst.
