← Microsoft 365 Collaboration Administration

Gruppen: Typ, Mitgliedschaft, Besitz, Ablauf

Eine Verteilergruppe wird einem neuen Team hinzugefügt, alle Namen erscheinen — und drei Monate später fehlt der neue Kollege im Team, obwohl er im Verteiler steht. Dokumentiertes Verhalten: Beim Hinzufügen werden die Mitglieder übernommen, nicht die Gruppe. Was wie eine Verknüpfung aussah, war eine Kopie. In diesem Modul lernst du, warum eine Microsoft-365-Gruppe keine Liste ist, sondern das Objekt, an dem Postfach, SharePoint-Site, Planner und Team gleichzeitig hängen — und warum jede Mitgliedschaftsänderung deshalb eine Zugriffsänderung auf vier Dienste ist. Du lernst die Kanten kennen, an denen Gruppentypen sich nicht kombinieren lassen, warum ein Mitglied einer dynamischen Gruppe sich nicht von Hand entfernen lässt, was eine Regel wirklich absichert, wenn Benutzer das geprüfte Attribut selbst schreiben dürfen, und was beim Ablauf einer Gruppe wann verschwindet — und was nicht.

Lehrtext · 12 Abschnitte · zuletzt geprüft: 2026-09-12

Die Verteilerliste, die kein Team wurde

Eine Abteilung arbeitet seit Jahren mit der Verteilergruppe abt-logistik@contoso.com. Jetzt soll daraus ein Team werden. Jemand legt das Team an, fügt die Verteilergruppe hinzu, sieht alle Namen in der Mitgliederliste — fertig. Drei Monate später beschwert sich ein neuer Kollege, dass er im Team fehlt, obwohl er in der Verteilerliste steht.

Auch das ist kein Fehler, sondern dokumentiertes Verhalten: Eine Verteilergruppe lässt sich einem Team hinzufügen, aber nur ihre Mitglieder werden übernommen, nicht die Gruppe selbst. Was aussah wie eine Verknüpfung, war eine einmalige Kopie. Ab dem Moment des Hinzufügens laufen beide Listen auseinander, und nichts meldet das.

LernzielDu kannst zu einer Anforderung den richtigen Gruppentyp bestimmen, die Mitgliedschaftsquelle bewusst wählen, Besitz als Betriebsrolle setzen und benennen, was beim Ablauf einer Gruppe wann verschwindet. Und du kennst die Kanten, an denen Gruppentypen sich nicht kombinieren lassen.

Microsoft-365-Gruppe — Das Mitgliedschaftsobjekt, an dem mehrere Dienste gleichzeitig hängen. Laut Dokumentation bekommen Mitglieder eine Gruppenadresse und einen gemeinsamen Arbeitsbereich für Unterhaltungen, Dateien und Kalendereinträge, dazu Stream und Planner. Ein Team benutzt eine solche Gruppe für seine Mitgliedschaft — es hat keine eigene.

Was an einer Gruppe hängt

Der entscheidende Unterschied zwischen einer Microsoft-365-Gruppe und jedem anderen Gruppentyp ist nicht die Mitgliederliste, sondern was gleichzeitig mit ihr entsteht und gleichzeitig mit ihr verschwindet. Wer eine Gruppe löscht, löscht nicht eine Liste.

Ein Gruppenpostfach mit gemeinsamem Posteingang und Kalender.
Eine SharePoint-Site, in der die Dateien des Teams liegen.
Ein Planner und eine OneNote-Ablage.
Optional ein Team in Microsoft Teams oder eine Viva-Engage-Community — beide nutzen die Gruppe für ihre Mitgliedschaft.

Umgekehrt ist eine Microsoft-365-Gruppe damit auch der bequemste Weg, Berechtigungen zu vergeben: Sie kann laut Dokumentation einer der drei SharePoint-Gruppen Besitzer, Mitglieder oder Besucher einer Site hinzugefügt werden. Wer in der Gruppe ist, hat Zugriff auf die Site — ohne dass jemand die Site je anfassen muss.

Die Kehrseite derselben EigenschaftGenau diese Bündelung macht jede Mitgliedschaftsänderung zu einer Zugriffsänderung auf vier Dienste gleichzeitig. Wer jemanden „kurz zur Gruppe hinzufügt, damit er die Mail bekommt“, gibt ihm damit auch die Dateien, den Kalender und den Planner.

Sechs Typen und wofür sie da sind

Das Microsoft 365 Admin Center führt sechs Objekte unter dem Wort Gruppe. Sie unterscheiden sich in zwei Dimensionen: Können sie E-Mail empfangen, und kann ihre Mitgliedschaft dynamisch aus Attributen entstehen?

Microsoft 365 Groups: Zusammenarbeit innerhalb und außerhalb der Organisation, mit SharePoint und Planner. Teams nutzt sie für die Mitgliedschaft. E-Mail: ja. Dynamisch: ja.
Distribution groups: Benachrichtigungen an eine feste Gruppe von Personen — der klassische Verteiler. E-Mail: ja. Dynamisch: nein.
Security groups: Zugriff auf Ressourcen wie SharePoint-Sites gewähren. Können Benutzer oder Geräte enthalten. E-Mail: nein. Dynamisch: ja.
Mail-enabled security groups: Wie Sicherheitsgruppen, zusätzlich mit Mailadresse. Laut Dokumentation nicht dynamisch verwaltbar und ohne Geräte.
Dynamic distribution groups: Massenversand an Empfänger mit bestimmten Attributen. Die Attribute werden im Exchange Admin Center definiert, nicht in Entra.
Shared mailboxes: Ein Postfach für mehrere Personen, etwa support@. Enthält einen Kalender. E-Mail: ja. Dynamisch: nein.

Die dynamische Verteilergruppe ist der Sonderfall in dieser Liste, weil sie ihre Mitglieder gar nicht führt: Ihre Mitgliederliste wird laut Dokumentation bei jedem Versand neu ermittelt. Es gibt keinen gespeicherten Stand, den man exportieren könnte — nur eine Regel und das Ergebnis von eben.

Die Kanten, an denen sich Typen nicht kombinieren lassen

Vier dokumentierte Grenzen erklären die meisten Überraschungen im Gruppenalltag. Keine davon meldet sich mit einer verständlichen Fehlermeldung, und drei davon fallen erst Monate später auf.

Eine Microsoft-365-Gruppe kann nicht Mitglied einer Verteilergruppe sein. Der Versuch, ein Team in einen bestehenden Großverteiler aufzunehmen, scheitert an dieser Grenze.
Eine Microsoft-365-Gruppe kann nicht Mitglied einer Sicherheitsgruppe sein. Wer Zugriff über eine Sicherheitsgruppe steuert, kann Teams nicht als Baustein einhängen.
Verschachtelung geht nur über dynamische Regeln. Laut Dokumentation unterstützen Microsoft-365-Gruppen Schachtelung über dynamische Gruppen in Entra, also über eine memberOf-Regel — nicht über ein direktes Hinzufügen.
Ein freigegebenes Postfach lässt sich nicht in eine Microsoft-365-Gruppe migrieren. Der Wechsel ist eine Neuanlage mit Datenübernahme, kein Typwechsel.

Und die Kante aus dem EinstiegsfallVerteilergruppen, Sicherheitsgruppen und E-Mail-aktivierte Sicherheitsgruppen lassen sich alle einem Team hinzufügen. In allen drei Fällen werden laut Dokumentation die Mitglieder übernommen, nicht die Gruppe. Das ist eine Momentaufnahme, keine Verbindung — und der Unterschied ist in der Oberfläche nicht sichtbar.

Mitgliedschaftsquelle: wer entscheidet, wer drin ist

Die zweite Entscheidung an einer Gruppe ist unabhängig vom Typ: Kommt die Mitgliedschaft aus einer Hand oder aus einem Attribut? Beides ist verteidigbar, und die Wahl entscheidet darüber, wer im Zweifelsfall angerufen wird.

Zugewiesen: Jemand trägt Personen ein und aus. Die Liste ist so gut wie die Person, die sie pflegt — und sie ist jederzeit begründbar, weil jemand sie verantwortet.
Dynamisch: Eine Regel über Benutzerattribute bestimmt die Mitgliedschaft. Sie ist so gut wie die Datenqualität der Attribute — und sie ist nicht verhandelbar, weil niemand sie im Einzelfall übersteuern kann.

Das Wort nicht übersteuerbar ist dabei wörtlich zu nehmen. Die Dokumentation sagt klar: Bei einer dynamischen Gruppe lassen sich Mitglieder weder manuell hinzufügen noch manuell entfernen. Eine Ausnahme für einen einzelnen Kollegen gibt es nicht — sie muss über das Attribut laufen oder gar nicht.

Die Lizenzbindung, die oft übersehen wirdDynamische Mitgliedschaft verlangt laut Dokumentation eine Microsoft Entra ID P1-Lizenz für jeden eindeutigen Benutzer, der Mitglied mindestens einer dynamischen Gruppe ist. Die Lizenzen müssen nicht zugewiesen sein, aber vorhanden: Bei 1.000 betroffenen Personen sind 1.000 Lizenzen fällig. Für Geräte in gerätebasierten Gruppen ist keine Lizenz nötig.

Eine dynamische Regel ist nur so sicher wie ihr Attribut

Eine Regel wie user.department -eq "Logistik" sieht aus wie eine Sicherheitsentscheidung. Sie ist aber nur die halbe: Wer den Wert von department ändern darf, bestimmt damit die Mitgliedschaft — und über die Gruppe womöglich den Zugriff.

Die Dokumentation nennt diesen Punkt ausdrücklich und warnt besonders vor aus dem lokalen Active Directory synchronisierten Attributen, weil dort Berechtigungen bestehen können, die Benutzern das Schreiben ihrer eigenen Werte erlauben. Vor der Regel steht also die Frage: Wer darf dieses Attribut setzen, in Entra und in der Quelle?

Die Regel hat einen Textkörper von höchstens 3.072 Zeichen; ein Tenant kann höchstens 15.000 dynamische Gruppen führen.
Eine Sicherheitsgruppe kann Benutzer oder Geräte enthalten, eine Microsoft-365-Gruppe nur Benutzer. Eine Regel, die beide mischt, ist nicht möglich.
user.objectId -ne null nimmt laut Dokumentation auch B2B-Gäste auf. Wer nur eigene Leute will, braucht -and (user.userType -eq "Member").
Die Regel für direkte Unterstellte lässt sich mit keiner anderen Regel kombinieren — und der Vorgesetzte selbst landet mit in der Gruppe.

Warum rollenzuweisbare Gruppen anders sindGruppen, denen sich Entra-Rollen zuweisen lassen, verlangen laut Dokumentation zugewiesene statt dynamischer Mitgliedschaft. Genau damit wird das Risiko oben ausgeschlossen: Wer über ein Attribut in eine privilegierte Rolle rutschen könnte, soll das nicht können.

Zwischenstand

Kurzcheck

Eine dynamische Gruppe füllt sich über user.department -eq "Vertrieb". Eine Kollegin aus dem Vertrieb soll aus fachlichen Gründen nicht in der Gruppe sein. Was ist der saubere Weg?

Die Regel um eine benannte Ausnahmebedingung erweitern — ein manuelles Entfernen ist bei dynamischen Gruppen nicht möglich.
Die Kollegin aus der Gruppe entfernen und die Änderung im Ticket dokumentieren.
Das Attribut department der Kollegin auf einen anderen Wert setzen, bis der Sonderfall endet.

Treffer. Richtig. Laut Dokumentation lassen sich Mitglieder dynamischer Gruppen weder manuell hinzufügen noch entfernen. Die Ausnahme muss in der Regel stehen, sonst existiert sie nicht.

Besitz ist eine Betriebsrolle, keine Nettigkeit

Der Besitzer einer Gruppe entscheidet über Mitgliedschaft — und damit über den Zugriff auf Postfach, Site, Planner und Team. Das ist im Ergebnis mehr Wirkung, als viele Verwaltungsrollen haben, und es steht in keiner Rollenliste des Admin Center.

Besitzer einer Gruppe: Kann die eigene Gruppe erneuern und eine gelöschte eigene Gruppe wiederherstellen. Kann die Ablaufeinstellungen lesen.
Groups Administrator oder User Administrator: Kann die Ablaufrichtlinie anlegen, lesen, ändern und löschen — und jede Microsoft-365-Gruppe erneuern.

Daraus folgt der wichtigste Satz über besitzerlose Gruppen: Eine Gruppe ohne Besitzer hat niemanden, der sie erneuern kann, und niemanden, der über Mitgliedschaft entscheidet. Sie ist nicht nur ungepflegt, sie ist handlungsunfähig — und läuft ohne Eingriff auf ihre Löschung zu.

Praktisch heißt das: Besitz ist die einzige Rolle in diesem Modell, die beim Ausscheiden einer Person aktiv übergeben werden muss. Scheidet der einzige Besitzer aus, verliert die Gruppe nicht ihren Inhalt, aber ihre Entscheidungsfähigkeit — und aus der Liste der Verwaltungsrollen fällt das nicht auf, weil Besitz dort nie stand. Eine Gruppe mit zwei benannten Besitzern ist deshalb kein Formalismus, sondern der Unterschied zwischen einer Übergabe und einem Fund.

Der vorgesehene AuffangwegDie Ablaufrichtlinie kennt eine alternative Benachrichtigungsadresse, an die Erneuerungs- und Ablaufhinweise gehen, wenn eine Gruppe keinen Besitzer hat. Wer die Richtlinie ohne diese Adresse einschaltet, schickt die Warnungen für genau die Gruppen ins Leere, bei denen sie am nötigsten wären.

Gäste kommen über die Gruppe herein

Gastzugriff für Microsoft-365-Gruppen ist laut Dokumentation organisationsweit standardmäßig eingeschaltet. Das ist der Ausgangszustand jedes Tenants, nicht eine Entscheidung, die jemand getroffen hat — und es ist der Grund, warum Gäste in gewachsenen Umgebungen fast immer schon da sind, bevor jemand über eine Gastrichtlinie nachdenkt.

Der Weg ist bewusst niedrigschwellig: Gruppenmitglieder können über Outlook im Web Gäste einladen; der Gruppenbesitzer bekommt die Einladung zur Freigabe. Nach der Freigabe wird der Gast dem Verzeichnis und der Gruppe hinzugefügt. Damit entsteht ein Verzeichniseintrag durch eine Entscheidung, die weit unterhalb jeder Administratorrolle getroffen wurde.

Zwei Schalter steuern das organisationsweit: ob Externe überhaupt auf Gruppenressourcen zugreifen dürfen, und ob Besitzer Externe zu Gruppen hinzufügen dürfen.
Diese Schalter sind nicht die SharePoint- und Teams-Einstellungen. Beide Dienste haben laut Dokumentation eigene Gastfreigabe-Einstellungen, die zusätzlich greifen.
Ein Gast in der Gruppe ist damit ein Gast in allem, was an ihr hängt: Postfach, Site, Planner, Team.
In dynamischen Regeln zählen Gäste mit, solange die Regel sie nicht ausschließt — deshalb user.userType -eq "Member", wenn nur eigene Leute gemeint sind.

Der saubere AbgangWird ein Gast am Ende der Zusammenarbeit im Microsoft 365 Admin Center unter Gastbenutzer gelöscht, endet sein Zugriff auf alles gleichzeitig. Ihn nur aus einer Gruppe zu entfernen, beendet dagegen genau eine Mitgliedschaft — das Konto und jede andere Freigabe bleiben bestehen.

Ablauf: was wann verschwindet

Die Ablaufrichtlinie gibt es nur für Microsoft-365-Gruppen, und es kann laut Dokumentation nur eine davon je Organisation geben — ein Tenant hat keine zwei Lebensdauern. Die Lebensdauer ist in Tagen einstellbar und muss mindestens 30 betragen.

Automatische Erneuerung: Gruppen mit Aktivität werden rund 35 Tage vor Ablauf automatisch erneuert; der Besitzer bekommt dann keine Benachrichtigung.
Was als Aktivität zählt: In SharePoint Anzeigen, Bearbeiten, Herunterladen, Verschieben, Teilen oder Hochladen; in Outlook Beitreten, Lesen, Schreiben oder Liken; in Teams der Besuch eines Kanals; in Viva Engage das Ansehen eines Beitrags.
Benachrichtigungen: Ohne automatische Erneuerung gehen Hinweise 30, 15 und 1 Tag vor Ablauf an die Besitzer.
Löschung: Die Gruppe wird einen Tag nach dem Ablaufdatum gelöscht.
Wiederherstellung: Innerhalb von 30 Tagen durch Besitzer oder Administrator. Diese Frist ist laut Dokumentation nicht anpassbar.

Zwei Feinheiten entscheiden darüber, ob eine Wiederherstellung wirklich den alten Zustand liefert. Enthält die Gruppe Dokumente, Sites oder andere dauerhafte Objekte, kann die vollständige Wiederherstellung bis zu 24 Stunden dauern. Und eine dynamische Gruppe gilt nach der Wiederherstellung als neue Gruppe und wird nach ihrer Regel neu befüllt — was ebenfalls bis zu 24 Stunden braucht.

Zwei Dinge, die den Ablauf überlebenEin Gruppenpostfach unter Rechtsvorbehalt wird laut Dokumentation nicht endgültig gelöscht, sondern aufbewahrt; ein Administrator kann es über Exchange-Cmdlets zurückholen. Und wo eine Aufbewahrungsrichtlinie greift, bleiben Unterhaltungen und Dateien im Aufbewahrungscontainer, auch wenn Nutzer die Gruppe nicht mehr sehen — erreichbar nur über eDiscovery.

Durchgerechnet: die Richtlinie einschalten, ohne etwas zu verlieren

Ablauf auf 365 Tage, in einem gewachsenen Tenant

Szenario

Ein Tenant mit rund 600 Microsoft-365-Gruppen hat nie eine Ablaufrichtlinie gehabt. Die älteste Gruppe ist sechs Jahre alt. Die Richtlinie soll auf 365 Tage gestellt werden.

Anforderungen

Keine Gruppe darf verschwinden, weil niemand die Warnung gesehen hat
Besitzerlose Gruppen müssen vorher bekannt sein
Die Einführung muss ohne Sonderfreigabe zurücknehmbar bleiben

Schritte

Die Ausgangslage messen: Welche Gruppen haben null Besitzer? Genau diese können sich nicht selbst erneuern, und genau sie laufen zuerst auf.
Die alternative Benachrichtigungsadresse festlegen, bevor die Richtlinie greift — sonst gehen deren Warnungen an niemanden.
Die dokumentierte Startregel einplanen: Beim erstmaligen Einschalten werden alle Gruppen, die älter als das Ablaufintervall sind, auf 35 Tage bis Ablauf gesetzt. Bei sechs Jahre alten Gruppen heißt das: In fünf Tagen gehen die ersten Hinweise raus.
Prüfen, ob der Umfang Selected reicht: Bei ausgewählten Gruppen liegt die Grenze bei 500 Einträgen. Bei 600 Gruppen ist die Wahl damit entweder eine Teilmenge oder All — bei All entfällt die Grenze.
Die Lizenzvoraussetzung prüfen: Die Richtlinie setzt laut Dokumentation Microsoft Entra ID P1 oder P2 für die Mitglieder aller erfassten Gruppen voraus — vorhanden, nicht notwendigerweise zugewiesen.
Nach dem Einschalten die Auditprotokolle in Entra auswerten: Dort steht, welche Gruppen automatisch erneuert wurden. Das ist der Beleg dafür, dass die Aktivitätserkennung greift — und die Liste derer, bei denen sie es nicht tut.

Merksatz: Die Richtlinie ist eine Zeile Konfiguration und ein Projekt. Das Risiko liegt nicht im Ablauf, sondern im ersten Tag: Alles, was älter ist als das Intervall, startet gleichzeitig mit 35 Tagen Restlaufzeit.

Der Preis und die Route

Jede der vier Entscheidungen kostet etwas. Der reiche Gruppentyp bündelt vier Dienste und macht damit jede Mitgliedschaftsänderung folgenreicher. Dynamische Mitgliedschaft nimmt Pflegeaufwand und gibt dafür jede Einzelfallentscheidung aus der Hand — und verlangt Lizenzen für jeden betroffenen Kopf. Benannter Besitz erzeugt eine Rolle, die jemand tatsächlich ausfüllen muss. Und eine Ablaufrichtlinie löscht am Ende Dinge, die jemand für wichtig hielt.

Der Gegenwert ist, dass keine dieser Wirkungen unbemerkt eintritt. Ohne Ablauf verschwindet nichts — es bleibt nur alles, samt Zugriff, samt Inhalt, bis irgendwann niemand mehr sagen kann, wofür eine Gruppe da war. Das ist kein besserer Zustand, nur ein leiserer.

Zweck benennen: Verteilen, Berechtigen oder Zusammenarbeiten?→Typ wählen — und die Kanten prüfen, bevor verschachtelt wird→Mitgliedschaftsquelle bewusst setzen: zugewiesen oder dynamisch→Besitz benannt besetzen, mindestens zweifach→Ablauf und Auffangadresse festlegen, bevor die Richtlinie greift

Typ, Quelle, Besitz, Ablauf

Im nächsten Modul bekommt dieses Objekt seine Oberflächen: Team, Kanal und die verbundene SharePoint-Site. Dort zeigt sich, warum ein privater Kanal nicht einfach ein Ordner mit weniger Zuschauern ist.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität5 Primärquellen · zuletzt geprüft: 2026-09-12