Microsoft 365 / Einrichtung neuer Mitarbeiter: Konten, Lizenzen und Zugriff

Für einen neuen Mitarbeiter, der Microsoft 365 nutzen soll, erstellen Sie das Konto, bestätigen den Nutzungsort und die erforderlichen Lizenzen, gewähren genehmigte Gruppenmitgliedschaften und Rollen und überprüfen die erste Anmeldung und den Zugriff des Mitarbeiters. Allein das Erstellen eines Kontos macht die E-Mail- und Collaboration-Dienste nicht einsatzbereit. Beginnen Sie mit einer genehmigten Liste der Zugriffsanforderungen, und prüfen Sie dann, ob der Mitarbeiter die benötigten Dienste tatsächlich nutzen kann.

Informationen, die vor Beginn einzuholen sind

Bestätigen Sie den anzuzeigenden Namen des neuen Mitarbeiters, den Anmeldenamen und die zu verwendende E-Mail-Adresse, das Eintrittsdatum, die Abteilung, das Arbeitsland/die Region, die erforderlichen Apps, den Zugriff auf Teams und SharePoint-Websites und die Admin-Rolle mit der Personalabteilung und den fachlich Verantwortlichen. Überprüfen Sie auch, dass keine Konten mit demselben Namen oder vorhandenen Aliasen existieren. Selbst beim gleichzeitigen Erstellen mehrerer Konten sollten Berechtigungen und Lizenzen nicht einheitlich kopiert werden; überprüfen Sie sie entsprechend den Aufgaben.

Lizenzen können nur zugewiesen werden, wenn die Organisation ein Abonnement und verfügbare Lizenzplätze hat. Der Nutzungsort, der auf den Benutzer angewendet wird, wird basierend auf den tatsächlichen Arbeitsinformationen festgelegt, da er mit der Serviceverfügbarkeit zusammenhängt. Sie können die aktuellen Menü- und Berechtigungsbedingungen im Microsoft Leitfaden zum Hinzufügen von Benutzern und Leitfaden zum Zuweisen von Lizenzen überprüfen.

Aufteilung von Anforderungs-, Genehmigungs-, Ausführungs- und Verifizierungsaufgaben

Eine Anfrage, das Setup eines benachbarten Mitarbeiters zu kopieren, ersetzt keine genehmigte Berechtigungsliste: Dieser Mitarbeiter kann vorübergehenden Projektzugang oder administrative Privilegien haben. Bei einer Wiedereinstellung sollten bestehende und gelöschte Konten sowie Anforderungen für die Datenübertragung überprüft werden, bevor ein weiteres Konto erstellt wird. In einer Organisation, die ein lokales Verzeichnis synchronisiert, sollte zunächst festgestellt werden, welches Verzeichnis maßgeblich ist, und das Konto über diesen genehmigten Prozess erstellt werden.

Reihenfolge der Konten- und Lizenzanlage für neue Mitarbeiter

1. Im Dashboard-Bereich des Microsoft 365 Admin Centers öffnen Sie Benutzer → Aktive Benutzer, suchen nach dem gewünschten Anmeldenamen und bestehenden Adressen und prüfen verfügbare Lizenzplätze. Verwenden Sie ein Konto, das zur Erstellung von Benutzern berechtigt ist, wie z. B. ein Benutzeradministrator innerhalb seines zulässigen Bereichs. Ein Lizenzadministrator kann Lizenzzuweisungen verwalten, aber Benutzer nicht allein durch diese Rolle erstellen; siehe Microsofts Berechtigungen des Lizenzadministrators.
2. Wählen Sie Benutzer hinzufügen. Geben Sie den Namen, den Benutzernamen und die Domäne ein, prüfen Sie die Namensregeln der Organisation und legen Sie den Nutzungsort bei der Zuweisung von Produktlizenzen fest. Überprüfen Sie die Kennworteinstellungen, einschließlich der Anforderung einer Kennwortänderung bei der ersten Anmeldung für dieses kennwortbasierte Konto. Wenn der Mandant ein synchronisiertes Quellverzeichnis verwendet, befolgen Sie dessen genehmigten Erstellungs- und Synchronisationsprozess, anstatt ein doppeltes Cloud-Konto zu erstellen.
3. Wählen Sie die erforderlichen Produktlizenzen und Servicepläne aus. Wählen Sie basierend auf den tatsächlich für die Arbeit benötigten Funktionen, wie Mail, Teams und Desktop-Apps, und weisen Sie keine unnötigen Produkte aus Gewohnheit zu.
4. Prüfen Sie die Einstellungen und schließen Sie den Assistenten zum Hinzufügen des Benutzers ab; die englische Schaltfläche heißt Finish adding. Öffnen Sie den Benutzer erneut unter Benutzer → Aktive Benutzer → Lizenzen und Apps und prüfen Sie die gespeicherten Produkte und Dienstpläne. Lizenzzuweisung und Dienstbereitstellung sind getrennte Vorgänge: Ein Postfach kann nach der Lizenzzuweisung noch bereitgestellt werden.

Entscheiden Sie über die anfängliche Passwortzustellungsmethode und die Benutzerverifizierungsmethode, bevor Sie das Konto erstellen. Lassen Sie den Benutzer das Passwort ändern und die Authentifizierung während des ersten Logins registrieren und fordern Sie ihn nicht auf, das neue Passwort oder den Authentifizierungscode dem Administrator mitzuteilen. Detaillierte Eingabewege und Fehlerzweige können im Leitfaden zur Kontoerstellung und Lizenzzuweisung überprüft werden.

Wie werden Gruppen- und Zugriffsberechtigungen vergeben?

Sicherheitsgruppen können den Zugriff auf Apps oder Ressourcen und den Geltungsbereich von Richtlinien steuern; Microsoft 365-Gruppen können Zusammenarbeitsressourcen wie Teams und SharePoint verbinden. Holen Sie die Genehmigung von den Geschäfts- und Ressourcenverantwortlichen ein, bevor Sie den Mitarbeiter hinzufügen. Wenn Lizenzen gruppenbasiert sind, identifizieren Sie, welche Zuordnungen direkt und welche vererbt sind, und prüfen Sie auf inkompatible Produkte oder Dienstpläne, anstatt zusätzliche direkte Zuordnungen hinzuzufügen, um einen Fehler zu verbergen. Microsofts Leitfaden zur gruppenbasierten Lizenzierung erklärt den Zuordnungs- und Fehlerbehebungsablauf.

Die Administratorrolle wird getrennt von den allgemeinen Benutzerberechtigungen behandelt. Gewähren Sie nur die unbedingt notwendigen Berechtigungen für die zugewiesenen Aufgaben, und trennen Sie nach Möglichkeit allgemeine Arbeitskonten von Administratorkonten.

Für Teams-Mitgliedschaften öffnen Sie Teams-Admincenter → Teams → Teams verwalten → das Zielteam → Mitglieder und fügen das genehmigte Konto hinzu; Microsoft dokumentiert diese Kontrollen in seinem Leitfaden zur Zuweisung von Teambesitzern und -mitgliedern. Für Sicherheits- oder Microsoft 365-Gruppen verwenden Sie Teams & Gruppen → Aktive Teams & Gruppen im Microsoft 365 Admin Center. Gewähren Sie einem SharePoint-Leser nicht die volle Teammitgliedschaft nur, um eine Datei zugänglich zu machen, da die Mitgliedschaft Bearbeitungs- und andere Kollaborationsrechte verleihen kann. Überprüfen Sie die Lese- und Sendedelegation für freigegebene Postfächer separat von der Gruppenmitgliedschaft.

Prüfschritte bei gruppenbasierter Lizenzierung

1. Überprüfen Sie zunächst die Produkte und Apps, die mit der Lizenzgruppe für die betreffende Stelle verknüpft sind. Bei dynamischen Gruppen stellen Sie außerdem sicher, dass die Attribute neuer Mitarbeiter, wie beispielsweise die Abteilung, den Regeln entsprechen.
2. Fügen Sie den Benutzer der genehmigten Gruppe hinzu und lesen Sie die Mitgliederliste erneut. Gehen Sie nicht davon aus, dass eine verschachtelte Struktur, bei der ein Benutzer nur zu einer anderen Gruppe innerhalb der Gruppe hinzugefügt wird, Lizenzzuweisungen weiterleitet.
3. Überprüfen Sie die tatsächlichen Zuweisungsergebnisse in Abrechnung → Lizenzen unter den Produkt- und Benutzerdetails. Erfolgreiche Hinzufügung zu einer Gruppe und erfolgreiche Produktzuweisung sind separate Status.
4. Wenn die Zuweisung fehlschlägt, öffnen Sie Abrechnung → Lizenzen → das Produkt → Fehler & Probleme. Überprüfen Sie den betroffenen Benutzer auf unzureichende Plätze, ungültigen Nutzungsort oder miteinander unvereinbare Dienstpläne. Korrigieren Sie die Ursache und wählen Sie dann Erneut verarbeiten in den Fehlerdetails des Benutzers aus und prüfen Sie erneut die resultierende Zuweisung. Weisen Sie nicht einfach ein anderes Produkt zu, nur um den ursprünglichen Fehler zu verbergen.

Da ein Benutzer Lizenzen auf mehreren Wegen erhalten kann, dokumentieren Sie direkte Zuweisungen und die jeweils zuweisenden Gruppen. Fügen Sie den Benutzer bei einem Wechsel zuerst der neuen Lizenzgruppe hinzu. Prüfen Sie anschließend, ob die neue Lizenz tatsächlich angewendet wurde, und entfernen Sie ihn erst danach aus der bisherigen Gruppe. Prüfen Sie die Lizenzzuweisung und den Entzug von Datenzugriff getrennt voneinander.

Was vor dem ersten Login zu überprüfen ist

• Stellen Sie sicher, dass das Anfangspasswort und die Zustellmethode den Sicherheitsverfahren der Organisation entsprechen, und weisen Sie den Benutzer an, das Passwort beim ersten Login zu ändern.
• Erklären Sie die Multifaktor-Authentifizierung (MFA): Sie prüft die Identität mit mehr als einer Art von Faktor, beispielsweise Wissen und Besitz. Informieren Sie den Mitarbeiter über zugelassene Registrierungsmethoden sowie Anforderungen an die Geräteregistrierung und den bedingten Zugriff (Conditional Access). Planen Sie Zeit für die Einrichtung einer zugelassenen Authentifizierungsmethode ein; Administratoren dürfen die Bestätigungscodes des Mitarbeiters nicht anfordern.
• Überprüfen Sie die E-Mail-Empfangsadresse, den erforderlichen Zugriff auf Teams und SharePoint-Websites und die App-Verfügbarkeit mit dem neuen Mitarbeiter oder der zuständigen Person.
• Wenn es ein Problem gibt, grenzen Sie die Ursache in der Reihenfolge der Lizenzzuweisungsergebnisse, Gruppenmitgliedschaft, Anmeldeprotokolle und Dienststatus ein.

Test des ersten Arbeitstags und Übergabedokumentation

Zum Beispiel verwenden Sie die folgenden Prüfungen, wenn ein Vertriebsmitarbeiter eingearbeitet wird. Verwenden Sie Dokumente ohne echte Kundendaten und genehmigte E-Mail-Empfänger.

1. Der neue Mitarbeiter meldet sich mit dem richtigen Firmenkonto an und schließt die MFA-Registrierung und Authentifizierung ab. Wenn die Registrierung des Firmen-PCs erforderlich ist, prüfen Sie auch die Gerätevoraussetzungen und die Ergebnisse des bedingten Zugriffs.
2. Öffnen Sie das Postfach in Outlook für das Web und prüfen Sie den internen und externen Testversand und -empfang. Wenn ein freigegebenes Postfach verwendet wird, prüfen Sie auch den Delegierungszugriff Ihres Kontos und die erlaubte Absenderidentität.
3. Öffnen Sie Testdokumente im vorgesehenen Team/auf der vorgesehenen Site und führen Sie das Lesen und Bearbeiten entsprechend Ihren Arbeitsaufgaben durch. Nur weil Sie Ordnerlinks öffnen können, bedeutet das nicht, dass alle Datenberechtigungen korrekt sind.
4. Installieren und aktivieren Sie die benötigten Desktop-Apps und speichern Sie Dokumente. Unterscheiden Sie, wo Fehler auftreten – bei App-Lizenzrechten, Dateizugriff oder Geräterichtlinien.
5. Geben Sie dem Mitarbeiter und dem Abteilungskontakt eine Aufzeichnung über abgeschlossene und ausstehende Prüfungen, zusammen mit dem Support-Kontakt. Halten Sie fest, wer den temporären Zugriff entfernen und Testmaterialien bereinigen wird, und wann diese Arbeiten fällig sind.

Wenn der Anmeldeschritt fehlschlägt, prüfen Sie das Anmeldeprotokoll; wenn nur die App nicht geöffnet wird, überprüfen Sie die Lizenz und Dienstvorbereitung; wenn nur eine bestimmte Datei nicht geöffnet wird, prüfen Sie die tatsächlichen Speicherberechtigungen. Erstellen Sie nicht wiederholt neue Konten, nur weil ein neuer Mitarbeiter am ersten Tag nicht einloggen kann. Bei falsch zugewiesenen Gruppen oder Rollen widerrufen Sie nur diesen Punkt und prüfen Sie auch, ob anderer Arbeitszugriff bestehen bleibt.