Microsoft 365 / Sicherheitsgruppen, Verteilergruppen und Microsoft 365-Gruppen im Vergleich

In Microsoft 365 werden Sicherheitsgruppen hauptsächlich verwendet, um Zugriffsberechtigungen für Ressourcen zu gruppieren, Verteilergruppen werden verwendet, um E-Mails an mehrere Personen zu verteilen, und Microsoft 365-Gruppen werden verwendet, um Mitglieder eines kollaborativen Arbeitsbereichs wie E-Mails, Dateien und Kalender zu verwalten. Auch wenn die Namen ähnlich sind, unterscheiden sich ihre Zwecke und verbundenen Dienste, daher sollten Sie zunächst entscheiden, was Sie teilen möchten.

Wie unterscheiden sich die drei Gruppentypen?

Microsofts Vergleich der Gruppentypen erklärt die Unterschiede bei der E-Mail-Funktion, der Unterstützung für dynamische Mitgliedschaft und verbundenen Diensten. Wenn eine Sicherheitsgruppe E-Mail-Funktionalität benötigt, gibt es einen separaten Typ, der als mailaktivierte Sicherheitsgruppe bezeichnet wird. Nur weil sie denselben Namen haben, bedeutet dies nicht, dass sie ineinander umgewandelt oder ersetzt werden können.

Welche Gruppe sollten Sie wählen?

• Um Lese-/Bearbeitungsberechtigungen gleichzeitig mehreren Personen zu gewähren: prüfen Sie zuerst die Sicherheitsgruppen. Überprüfen Sie auch, ob die eigentliche Ressource die Gruppe als Ziel für die Berechtigungszuweisung unterstützt.
• Wenn Sie E-Mails nur an mehrere Personen senden möchten: Ziehen Sie eine Verteilergruppe in Betracht. Eine Verteilergruppe liefert Nachrichten an Mitglieder, anstatt einen gemeinsamen Posteingang oder Arbeitsbereich für Dateien bereitzustellen.
• Wenn dieselben Mitglieder gemeinsam E-Mail, Kalender, Dateien und Teams nutzen möchten: Ziehen Sie eine Microsoft 365-Gruppe in Betracht. Ein Teams-Team ist mit der Mitgliedschaft einer Microsoft 365-Gruppe verbunden.
• Wenn mehrere Personen E-Mails empfangen und von einer Adresse aus antworten müssen: Ein gemeinsames Postfach könnte geeigneter sein als eine Gruppe.

Entscheiden Sie nicht nur anhand des Namens "Verkaufsteam"

Selbst innerhalb desselben Vertriebsteams sind „Vertriebsankündigungen an alle Mitarbeiter senden“, „Zugriff auf den Vertriebsordner erlauben“ und „gemeinsam an einem neuen Produktprojekt arbeiten“ unterschiedliche Anforderungen. Wenn das Publikum der Ankündigung alle Mitarbeiter umfasst und der Dateizugriff nur für Vertriebsmitarbeiter gilt, kann das Zusammenführen der beiden Listen leicht zu Berechtigungsfehlern führen.

• Liste der Empfänger der Ankündigung: Verteilen Sie E-Mails an Mitglieder über eine Verteilergruppe. Die Zugehörigkeit zu dieser Gruppe gewährt nicht automatisch Bearbeitungsrechte für einen separaten Dateispeicher.
• Dateizugriffsliste: Gewähren Sie der Sicherheitsgruppe Zugriff auf die tatsächliche Ressource. Das Erstellen einer Gruppe und das Verknüpfen von Berechtigungen mit der entsprechenden Website oder dem Ordner sind separate Aufgaben.
• Projektzusammenarbeit: Überprüfen Sie die kollaborativen Räume, die mit Microsoft 365-Gruppen verbunden sind. Geeignet, wenn Gespräche, Materialien und Zeitpläne von denselben Mitgliedern verwaltet werden müssen.
• Kundenanfrageempfang: Wenn das zuständige Personal aus demselben Posteingang lesen und von einer gemeinsamen Adresse antworten muss, prüfen Sie zuerst den Unterschied zwischen freigegebenen Postfächern und Aliasen. Die Methode der Verteilung auf einzelne Posteingänge und das Ergebnis der Vorgänge unterscheiden sich.

Unterscheiden Sie zwischen Besitzern, Mitgliedern und externen Benutzern

Besitzer sind Personen, die die Gruppe verwalten, und Mitglieder sind Personen, die den Dienst nutzen. Überprüfen Sie die Berechtigungen und die tatsächlichen Nutzungsbedingungen für jede Rolle und überspringen Sie nicht die Bestätigung von Mitgliedern nur, weil sie als Besitzer registriert sind. Sie können auch erwägen, mindestens zwei Besitzer zu benennen, die die Gruppe für Arbeitsübergaben verwalten können.

Die Einstellungen, die es externen Absendern erlauben, E-Mails an eine Gruppenadresse zu senden, und die Einstellungen, die es externen Personen erlauben, als Gäste zu einer Gruppe hinzugefügt zu werden, sind unterschiedlich. Sie müssen dieser Person keinen Zugriff auf den Datei-Speicher gewähren, nur weil Sie E-Mails von einem Partnerunternehmen empfangen möchten. Umgekehrt bedeutet das Vorhandensein von Gastmitgliedern nicht, dass die Gruppe so eingerichtet ist, dass sie E-Mails von allen externen Absendern empfängt.

Dynamische Mitgliedschaft wählt Gruppenmitglieder anhand von Regeln aus, die auf Attributen wie der Abteilung basieren. Da sich die Verwaltungsart von der statischen Liste, die manuell von Personen erstellt wird, unterscheidet, überprüfen Sie die Genauigkeit der Attribute, die unterstützten Gruppentypen und Lizenzen, bevor Sie eine Auswahl treffen. Betrachten Sie Exchange-dynamische Verteilergruppen und dynamische Mitgliedschaft in Microsoft Entra ID nicht als dieselbe Funktion.

Entwurfsabfolge vor der Erstellung einer Gruppe

1. Schreiben Sie den Zweck der Gruppe in einem Satz. Zum Beispiel haben „Vertriebsankündigungen erhalten“ und „Bearbeitungsrechte für die Dokumente des Vertriebsteams“ unterschiedliche Zwecke.
2. Entscheiden Sie, wer Mitglieder hinzufügt und entfernt und wer übernimmt, wenn der Besitzer das Unternehmen verlässt. Gruppen ohne Besitzer werden leicht vernachlässigt.
3. Überprüfen Sie, ob externe Benutzer einbezogen werden sollen und ob externe Absender E-Mails an die Gruppenadresse senden können. Gehen Sie nicht vom Standard aus.
4. Gehen Sie im Microsoft 365 Admin Center zu Teams & Gruppen → Aktive Teams & Gruppen und wählen Sie einen Typ zum Erstellen aus. Einige Typen sind möglicherweise abhängig von Rollen oder Lizenzen nicht sichtbar.

5. Fügen Sie Besitzer und Mitglieder hinzu und testen Sie, ob die erwarteten Berechtigungen oder die E-Mail-Zustellung in den zugehörigen Diensten funktionieren. Gehen Sie nicht davon aus, dass das Erstellen einer Gruppe automatisch Zugriff auf eine bestimmte Website gewährt.

Ein konkretes Beispiel für die Erstellung einer Microsoft 365-Gruppe

Für Fälle wie ein 'Produkt-Launch-Projekt', bei dem nur eine begrenzte Anzahl von Personen Materialien und Zeitpläne austauscht, können Sie die folgenden Punkte überprüfen. Wenn der Erstellungsbildschirm nach Typ-Tabs oder separaten Hinzufügen-Schaltflächen unterteilt ist, wählen Sie die Option aus, der einer Microsoft 365-Gruppe entspricht.

1. In Teams & Gruppen → Aktive Teams & Gruppen → Microsoft 365-Gruppe hinzufügen geben Sie den Namen und die Beschreibung ein. Fügen Sie den Zweck und die Managementverantwortung in die Beschreibung ein, um sie von Gruppen mit ähnlichen Namen zu unterscheiden.
2. Geben Sie Besitzer und Mitglieder an. Überprüfen Sie die Ziele nicht nur anhand des Anzeigenamens, sondern auch anhand der Konto-Adresse, und fügen Sie in der Anfangsphase nur die erforderlichen Personen hinzu.
3. Überprüfen Sie die eindeutige E-Mail-Adresse der Gruppe und den Umfang des öffentlichen/privaten Zugriffs. Wenn es sich um ein sensibles Projekt handelt, entscheiden Sie gemäß den Datenklassifizierungsstandards der Organisation und legen Sie die Sichtbarkeit fest, bevor Sie Dateien hochladen.
4. Prüfen Sie, ob ein Teams-Team benötigt wird, und schließen Sie die Gruppenerstellung nach der Überprüfung ab. Das Erstellen einer Gruppe bedeutet nicht, dass in jedem Fall ein separates Teams-Team erstellt werden muss.
5. Aktualisieren Sie die Liste, öffnen Sie die Gruppe und wählen Sie Mitgliedschaft → Mitglieder, um die gespeicherte Mitgliedschaft zu überprüfen. Der Gruppen­erstellungsleitfaden von Microsoft unterscheidet ebenfalls zwischen Name, Besitzer, Mitgliedern, Adresse und Zugriffsumfang.

Drei Dinge, die nach der Erstellung getestet werden sollten

Überprüfen Sie bei Verteilergruppen, ob Test-E-Mails an die vorgesehenen Mitglieder zugestellt werden. Bei Microsoft 365-Gruppen sind Nachrichten im Gruppenpostfach und Kopien in den persönlichen Posteingängen unterschiedliche Zustellungswege. Gehen Sie nicht davon aus, dass die Gruppe selbst fehlerhaft ist, nur weil keine Kopie in den persönlichen Posteingängen vorhanden ist.

Testen Sie bei Berechtigungsgruppen das Lesen und Bearbeiten mit Mitgliederkonten auf den tatsächlichen Ressourcen. Überprüfen Sie, wenn möglich, auch Konten von Nicht-Mitgliedern, um sicherzustellen, dass der erlaubte Bereich nicht erweitert wurde. Wenn weiterhin Zugriff besteht, untersuchen Sie, ob der Zugriff direkt über Berechtigungen, andere Gruppen oder freigegebene Links erfolgt. Das Entfernen eines einzelnen Gruppenmitglieds beseitigt nicht alle Zugriffswege.

Wenn Sie versehentlich ein Mitglied hinzugefügt haben, entfernen Sie nur dieses Mitglied und überprüfen Sie anschließend erneut die Speicherungsergebnisse und den Dienstzugriff. Achten Sie darauf, nicht die gesamte Gruppe zu löschen, um Änderungen rückgängig zu machen, da dies verbundene Materialien wie Dateien und E-Mails beeinträchtigen kann; unterscheiden Sie zwischen Anpassungen der Einstellungen und dem Löschen von Daten.

Kann der Gruppentyp später geändert werden?

Der Gruppentyp verfügt über ein grundsätzlich anderes Funktionsmodell, daher sollten Sie dies nicht als einfache Namensänderung betrachten. Wenn eine neue Gruppe erforderlich ist, überprüfen Sie die Adresse, die Mitglieder, die verbundenen SharePoint- und Teams-Ressourcen, Berechtigungen und den E-Mail-Fluss, bevor Sie die Umstellung planen. Insbesondere kann das Löschen einer bestehenden Microsoft 365-Gruppe die verbundenen kollaborativen Daten beeinträchtigen.