← Microsoft 365 Collaboration Administration

Capstone: einen zusammengesetzten Fall zerlegen

Die Geschäftsführung fragt: Wer kann auf unsere Vertragsunterlagen zugreifen, und woher wissen wir das? Eine einzige Frage, die in fünf zerfällt — welche Objekte die Unterlagen halten, aus welchen Quellen Zugriff entsteht, welche Nachweise es gibt, wie weit sie zurückreichen und was sich überhaupt belegen lässt. In diesem Capstone führst du die Achsen des Tracks zusammen: die Objektkette von der Gruppe bis zum Freigabelink, die vier Quellen des Zugriffs, die drei Ablageorte, die Fristen nebeneinandergestellt und die Reihenfolgen, in denen jeweils ein Schritt unumkehrbar ist. Neun zusammengesetzte Aufgaben verraten nicht, welches Modul gemeint ist — genau wie im Betrieb.

Lehrtext · 12 Abschnitte · zuletzt geprüft: 2026-09-12

Die Frage, die kein einzelnes Modul beantwortet

Eine Geschäftsführung fragt: Wer kann auf unsere Vertragsunterlagen zugreifen, und woher wissen wir das? Es ist eine einzige Frage, und sie zerfällt beim ersten Hinsehen in fünf: Welche Objekte halten diese Unterlagen? Aus welchen Quellen entsteht Zugriff darauf? Welche Nachweise gibt es, und wie weit reichen sie zurück? Was davon lässt sich überhaupt belegen — und was nur annehmen?

Jedes Modul dieses Tracks beantwortet einen Teil. Der Unterschied zwischen einem Modul und dem Betrieb ist, dass im Betrieb niemand sagt, welcher Teil gerade dran ist. Dieses Modul übt genau das: erkennen, welche der bekannten Achsen ein Fall berührt — und in welcher Reihenfolge sie abzuarbeiten sind.

LernzielDu kannst einen zusammengesetzten Fall in die Achsen zerlegen, die ihn tragen, die Reihenfolge der Schritte aus den Unumkehrbarkeiten ableiten, und du kannst am Ende sagen, welcher Teil deiner Auskunft belegt ist und welcher eine begründete Annahme bleibt.

Belegte Aussage — Eine Aussage, für die eine benannte Quelle existiert — ein Protokolleintrag, eine Berechtigungsliste, eine Einstellung. Alles andere ist Annahme. In diesem Track ist die Unterscheidung keine Feinheit: Mehrere Oberflächen zeigen zuverlässig etwas anderes als den tatsächlichen Zustand.

Die Objektkette, an der alles hängt

Der Track beschreibt ein System aus wenigen Objekten mit festen Beziehungen. Wer sie im Kopf hat, kann jeden Fall daran entlangführen.

Entra-Verzeichnis hält Konten und Gruppen↓Microsoft-365-Gruppe trägt die Mitgliedschaft und daran Postfach, Planner und Site↓Team nutzt diese Gruppe; Standardkanäle liegen in der Parent-Site↓Privater oder geteilter Kanal bekommt eine eigene Site↓In der Site entstehen Berechtigungen auf fünf Ebenen — und daneben Freigabelinks

Zwei Stellen dieser Kette erzeugen die meisten Missverständnisse. Die erste: Ein Team hat keine eigene Mitgliedschaft — wer jemanden aus einem Team entfernt, entfernt ihn aus einer Gruppe, mit Wirkung auf alle Dienste daran. Die zweite: Ein Team ist nicht eine Site, sondern so viele, wie es private und geteilte Kanäle hat, plus eine.

Beide Stellen haben dieselbe Ursache: Die Oberfläche, in der gearbeitet wird, ist nicht die Struktur, in der die Objekte liegen. Teams zeigt ein Team als eine Einheit mit einer Mitgliederliste, weil das für die tägliche Arbeit die richtige Vereinfachung ist. Für jede Frage nach Zugriff, Vollständigkeit oder Aufbewahrung ist es die falsche — dort zählt, wie viele Sites und Postfächer tatsächlich beteiligt sind.

Der Ort, der nicht in der Kette stehtDas persönliche OneDrive gehört nicht zu dieser Kette und trägt trotzdem Geschäftsinhalte: Aufzeichnungen von Besprechungen außerhalb von Kanälen liegen dort. Jede Vollständigkeitsaussage über ein Team muss diesen Ort mitprüfen, obwohl er strukturell nichts mit dem Team zu tun hat.

Vier Quellen, aus denen Zugriff kommt

Wenn jemand etwas sehen kann, stammt das aus genau einer von vier Quellen. Eine Zugriffsfrage ist erst beantwortet, wenn alle vier geprüft sind — und sie werden an verschiedenen Orten gepflegt.

Microsoft-365-Gruppe: Gruppenbesitzer werden Site-Besitzer, Gruppenmitglieder werden Site-Mitglieder. Gepflegt in der Gruppe oder in Teams.
SharePoint-Gruppe: Besitzer, Mitglieder, Besucher der Site. Bei Kanal-Sites nur lesend einsehbar — dort ist die Kanalmitgliedschaft die einzige Quelle.
Direktvergabe: Eine Person oder Sicherheitsgruppe unmittelbar am Objekt berechtigt. An der Parent-Site möglich und in keiner Teamansicht sichtbar.
Freigabelink: Ein eigenes Objekt neben der Berechtigungsliste. Endet nicht dadurch, dass jemand aus Gruppe oder Site entfernt wird.

Die vier Quellen unterscheiden sich in einer Eigenschaft, die im Ernstfall zählt: wie lange sie überdauern. Eine Gruppenmitgliedschaft endet, wenn jemand die Gruppe verlässt. Eine Direktvergabe überdauert jeden Wechsel der Gruppe, weil sie nichts mit ihr zu tun hat. Und ein Freigabelink überdauert beides, weil er ein eigenes Objekt neben der Berechtigungsliste ist. Wer nur die erste Quelle prüft, prüft genau die, die sich von selbst erledigt.

Dazu kommen zwei Quellen, die nicht als Eintrag erscheinen und deshalb regelmäßig übersehen werden: die Sicherheitsgruppe Jeder außer externen Benutzern, die bei öffentlichen Team-Sites automatisch in der Mitgliedergruppe steht, und die Stufe Limited Access, die auf eine Einzelfreigabe eine Ebene tiefer zeigt.

Drei Muster, die überall wiederkehren

Über die Module hinweg tauchen dieselben drei Denkfiguren auf. Wer sie erkennt, spart sich in einem neuen Fall die halbe Diagnose.

Anzeige ist nicht Bestand: Die Teams-App sagt nichts darüber, ob eine Nachricht noch existiert. Ein leerer Papierkorb sagt nichts über den Speicher. Eine leere Mitgliederliste sagt nichts über den Zugriff. Belegt wird immer an der führenden Quelle, nie in der Arbeitsoberfläche.
Erlauben braucht alle, Sperren eine: Bei Teams-Apps steht es wörtlich in der Dokumentation. Dieselbe Asymmetrie trägt die Freigabekette und die App-Verfügbarkeit: Für eine Sperre genügt ein Glied, für eine Erlaubnis müssen alle zustimmen.
Die Ebene der Entstehung: Zurückgenommen wird dort, wo etwas entstanden ist. Eine Ebene zu hoch trifft Unbeteiligte, eine zu tief lässt die Ursache stehen. Das gilt für Berechtigungen, für Freigaben und für Richtlinienzuweisungen gleichermaßen.

Das erste Muster ist das folgenreichste, weil es die Prüfung selbst betrifft. Eine Oberfläche zeigt, was für die tägliche Arbeit nützlich ist, und lässt weg, was dabei stört — eine Mitgliederliste ohne Spezialgruppen, einen Papierkorb ohne Aufbewahrungsbibliothek, einen Chatverlauf ohne die Kopien in den Postfächern. Für Arbeit ist das richtig. Für eine Aussage, auf die sich jemand beruft, ist jede dieser Auslassungen eine falsche Antwort, die wie eine Antwort aussieht.

Das zweite Muster hat eine praktische Kehrseite, die im Betrieb Zeit spart: Bei einer Nichtverfügbarkeit endet die Suche bei der ersten gefundenen Sperre — weitere zu prüfen ändert am Ergebnis nichts. Bei einer Freigabe endet sie erst, wenn alle Glieder geprüft sind.

Zwischenstand

Kurzcheck

Eine moderne Team-Site mit Datenschutzgrad Öffentlich hat eine leere Mitgliederliste. Welche Aussage über den Zugriff ist belegt?

Die gesamte Organisation kann die Inhalte bearbeiten — die Spezialgruppe steht automatisch drin.
Niemand außer den Besitzern hat Zugriff, solange keine Mitglieder eingetragen sind.
Es lässt sich nichts sagen, bevor die Berechtigungen der einzelnen Bibliotheken geprüft sind.

Treffer. Richtig. Bei modernen Team-Sites mit diesem Datenschutzgrad wird Jeder außer externen Benutzern automatisch der Mitgliedergruppe hinzugefügt. Die leere Namensliste bedeutet hier das Gegenteil von eng.

Drei Orte, an denen Inhalt liegt

Für jede Vollständigkeitsfrage — Auskunft, Aufbewahrung, Übergabe — zerfällt ein Team in drei Ablagen mit je eigenen Regeln.

Parent-Site: Dateien aller Standardkanäle, je Kanal ein Ordner. Zusätzlich möglich: Direktvergaben, die in keiner Teamansicht erscheinen.
Kanal-Sites: Eine je privatem und geteiltem Kanal. Berechtigungen in SharePoint nur lesbar; Aufzeichnungen von Kanalbesprechungen liegen hier im Ordner Recordings.
Persönliches OneDrive: Aufzeichnungen aller übrigen Besprechungen, im Ordner Recordings des Organisators — auch wenn er nicht teilgenommen hat.

Die Nachrichten selbst liegen an keinem dieser drei Orte. Sie werden für Compliance-Zwecke in versteckten Ordnern von Exchange-Postfächern abgelegt: Chats je Beteiligtem in dessen UserMailbox, Standardkanäle im GroupMailbox der Gruppe, geteilte Kanäle in einem SubstrateGroup-Postfach. Wer Nachrichten sichern will, sichert Postfächer — nicht Sites.

Die Fristen auf einen Blick

Über den Track verteilt liegen ein Dutzend Fristen. Nebeneinandergestellt zeigen sie, warum eine Aussage wie „das ist dann weg“ fast immer eine Nachfrage verdient.

Wirksamkeit: Rollenwechsel für das SharePoint Admin Center: rund 1 Stunde. Entzug externer Freigabe für Gäste: typischerweise innerhalb 1 Stunde. Organisationsweite App-Einstellungen: einige Stunden. Aufbewahrungs- und DLP-Regeln: bis zu 7 Tage beziehungsweise etwa 1 Stunde.
Gruppen: Ablaufhinweise 30, 15 und 1 Tag vorher; Löschung 1 Tag nach Ablauf; Wiederherstellung 30 Tage, nicht anpassbar.
OneDrive: Aufräumfrist standardmäßig 30 Tage ab Kontolöschung, zweite Erinnerung 7 Tage vor Ablauf, danach Papierkorb für 93 Tage; Archivierung am 93. unlizenzierten Tag.
SharePoint-Inhalte: 93 Tage über beide Papierkorbstufen; aus der Aufbewahrungsbibliothek bis zu 37 Tage bis zur endgültigen Löschung.
Teams-Nachrichten: Vom Nutzer gelöscht: 21 Tage bis SubstrateHolds, dort mindestens 1 Tag, Zeitgeber alle 1 bis 7 Tage.
Protokolle: Überwachungsprotokoll 180 Tage in der Standardstufe, 1 Jahr für Entra, Exchange, OneDrive und SharePoint in der Premiumstufe; Dienstzustandshistorie 30 Tage.

Die Regel hinter allen FristenKeine dieser Fristen lässt sich rückwirkend verlängern. Die Lebensdauer eines Protokolleintrags wird bei seiner Entstehung festgeschrieben; ein Vorbehalt findet nichts mehr, was im Papierkorb liegt; eine Zehnjahresrichtlinie wirkt nicht rückwirkend. Vorsorge in diesem Bereich ist ausschließlich Vorsorge.

Was sich nie belegen lässt

Ein Teil der Fragen, die im Ernstfall gestellt werden, ist strukturell unbeantwortbar. Das vorher zu wissen ist wertvoller, als es im Bericht erklären zu müssen.

Wer über einen `Anyone`-Link zugegriffen hat. Der Vorgang wird als AnonymousLinkUsed protokolliert; eine Identität entsteht nicht, weil keine Anmeldung stattfindet.
Ob ein anonymer Link weitergegeben wurde. Weil er kopierbar ist, belegt ein fehlendes Nutzungsereignis keine Nichtverbreitung.
Was Beteiligte aus einem fremden Tenant getan haben. Ihre Nachrichtenkopien liegen in ihrem Verzeichnis, außerhalb des eigenen Zugriffs.
Was vor der Aufbewahrungsfrist geschah. Abgelaufene Datensätze verschwinden vollständig; es entstehen keine reduzierten Einträge.
Ob ein Schattenpostfach erfasst war. Es kann als von einer Richtlinie eingeschlossen gemeldet werden, obwohl Aufbewahrung dort nicht unterstützt wird.

Der praktische Umgang damit ist unspektakulär und trotzdem selten: Diese Grenzen gehören in die Antwort, nicht in eine Rückfrage. Wer schreibt, die Zahl der Zugriffe sei belegt und die Personen nicht, gibt der Leitung eine Entscheidungsgrundlage. Wer stattdessen „wir prüfen noch“ schreibt, erzeugt die Erwartung, dass später mehr kommt — und die Enttäuschung fällt dann auf die Untersuchung zurück statt auf die Konfiguration, die sie verursacht hat.

Alle fünf Grenzen haben gemeinsam, dass sie nicht aus Nachlässigkeit entstehen, sondern aus Entscheidungen, die lange vorher getroffen wurden — bei der Wahl des Linktyps, der Aufbewahrungsstufe, der Zusammenarbeitsform. Eine Untersuchung kann sie sichtbar machen und nicht nachholen.

Die Reihenfolgen, die zählen

In jedem Modul gab es Schritte, deren Reihenfolge über das Ergebnis entscheidet, weil einer davon unumkehrbar ist. Zusammengestellt ergeben sie die Kurzfassung des ganzen Tracks.

Vorbehalt vor Löschung: Ein eDiscovery-Vorbehalt findet nichts, was bereits im Papierkorb liegt — der ist nicht indiziert.
Erhebung vor Rücknahme: Nach dem Entfernen lässt sich nicht mehr feststellen, was entfernt wurde und wer sonst betroffen war.
Delegierung vor Kontolöschung: Ohne Vorgesetzten oder Zweitbesitzer bekommt niemand Zugriff auf das OneDrive und niemand eine Warnung.
Besitzer vor Ablauffrist: Nur Besitzer können eine Gruppe erneuern; eine Ablaufrichtlinie über besitzerlosem Bestand löscht planmäßig.
Identitätszuordnung vor Migration: Ohne sie verlieren Nutzer Zugriff, und die Korrektur betrifft dann bereits übertragene Objekte.
Zielstruktur vor Erstmigration: Danach lässt sich das Ziel einer Migrationsaufgabe nicht mehr ändern.

Sechs Sätze, und in jedem steckt derselbe Gedanke: Der bequeme Weg beginnt mit der sichtbaren Handlung, der richtige mit der Vorbereitung, die danach nicht mehr möglich ist. Wer unter Druck eine Reihenfolge sucht, kann sich an dieser Frage orientieren — was geht nach dem nächsten Schritt nicht mehr?

Durchgerechnet: die Frage der Geschäftsführung

Wer kann auf die Vertragsunterlagen zugreifen?

Szenario

Die Unterlagen liegen in einem Team mit sechs Standardkanälen und zwei privaten Kanälen. Es gab Besprechungen dazu, teils im Kanal, teils als Kalendertermine. Ein externer Gutachter war zeitweise beteiligt. Die Geschäftsführung will eine belastbare Antwort, keine Vermutung.

Anforderungen

Alle Objekte benennen, die die Unterlagen halten
Je Objekt die Zugriffsquellen erheben
Belegtes von Angenommenem trennen

Schritte

Die Objektliste aufstellen: Parent-Site plus zwei Kanal-Sites — drei Sites, nicht eine. Dazu die OneDrives der Organisatoren für Aufzeichnungen aus Kalenderterminen.
Je Site die vier Quellen prüfen. Bei den beiden Kanal-Sites ist die Kanalmitgliedschaft die einzige Quelle; bei der Parent-Site kommen Direktvergaben hinzu, die in keiner Teamansicht erscheinen.
Den Datenschutzgrad der Parent-Site feststellen. Ist er öffentlich, steht Jeder außer externen Benutzern in der Mitgliedergruppe — und die Antwort lautet: die gesamte Organisation.
Einträge mit Limited Access als Hinweis auf Einzelfreigaben lesen und diesen je Fall nachgehen.
Die Freigabelinks erheben. Sie stehen nicht in der Berechtigungsliste und enden nicht dadurch, dass jemand aus Gruppe oder Site entfernt wurde.
Für den externen Gutachter im Überwachungsprotokoll die Freigabeereignisse suchen — SecureLinkCreated zusammen mit AddedToSecureLink, oder AnonymousLinkCreated. Vorher prüfen, wie weit die Aufbewahrungsfrist reicht.
Für anonyme Links festhalten: Zahl der Zugriffe belegbar, Personen nicht. Das gehört in die Antwort, nicht in eine Fußnote.
Die Antwort aufschreiben als zwei Listen — belegter Zugriff je Objekt und Quelle, und daneben die Punkte, die aus den genannten Gründen offenbleiben.

Merksatz: Eine belastbare Antwort besteht aus zwei Teilen, und der zweite ist kein Eingeständnis. Wer die Grenzen mitliefert, gibt der Geschäftsführung die Grundlage für die nächste Entscheidung — welche Freigabewege künftig zugelassen sind und wie lange Protokolle aufbewahrt werden.

Der Preis dieses Tracks

Der Track hat an jeder Stelle eine Gegenrechnung mitgeführt, und zusammengenommen ergeben sie ein Bild: Fast jede Verschärfung in Microsoft 365 kostet Zusammenarbeit, und fast jede Erleichterung kostet Nachweisbarkeit. Eine Organisation kann beide Enden nicht gleichzeitig haben — sie kann nur wissen, wo sie steht.

Enge Rollen kosten Pflege; weite Rollen kosten Schadensradius.
Feingranulare Berechtigungen kosten Überblick; grobe kosten Genauigkeit.
Anyone-Links kosten Nachvollziehbarkeit; ihr Verbot kostet den einzigen Weg zu Empfängern ohne Konto.
Aufbewahrung kostet Speicher und Klarheit; ihr Fehlen kostet die Auskunftsfähigkeit.
Automatiken kosten Vorbereitung; ihr Fehlen kostet Handarbeit ohne Ende.

Das ist die eigentliche Aufgabe in diesem Bereich: nicht die richtige Einstellung zu finden, sondern die Abwägung auszusprechen, bevor jemand anders sie stillschweigend trifft. Die Voreinstellungen von Microsoft 365 sind sämtlich Abwägungen — externe Freigabe an, Gastzugriff an, Dateiberechtigungen bei der Migration aus, Edit für Mitglieder. Keine davon ist falsch, und keine davon hat die eigene Organisation getroffen.

Die Missionen

Die neun folgenden Aufgaben sind zusammengesetzt. Jede berührt mindestens zwei Achsen des Tracks, und in keiner steht dabei, welche.

Zwei Spuren, in denen der Zugriff nicht dort entsteht, wo er gemeldet wird.
Eine Zuordnung von Anforderungen auf die Ebene, die sie tatsächlich trägt.
Eine Entscheidung unter Zeitdruck, bei der die schnellste Maßnahme die falsche ist.
Ein Konfigurationsskript, in dem drei Regeln des Tracks gleichzeitig verletzt werden.
Zwei Abwägungen ohne saubere Lösung — dort zählt die Begründung mehr als die Wahl.
Zwei Reihenfolgen, in denen jeweils ein Schritt unumkehrbar ist.

Für alle gilt dieselbe Frage wie im Betrieb: Welche Achse trägt diesen Fall, welche Quelle belegt die Antwort, und was bleibt offen? Wer das sauber trennt, hat den Track verstanden — unabhängig davon, ob die gewählte Option am Ende die markierte war.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität7 Primärquellen · zuletzt geprüft: 2026-09-12