← Microsoft 365 Collaboration Administration

Teams-Richtlinien: welche für wen wirklich gilt

Eine neue Besprechungsrichtlinie wird einer Sicherheitsgruppe zugewiesen. 260 von 300 Personen melden die erwartete Änderung, 40 nicht — obwohl alle in der Gruppe stehen. Kein Fehler: Diese 40 haben vor Jahren eine Richtlinie desselben Typs direkt zugewiesen bekommen, und eine Direktzuweisung sticht jede Gruppenzuweisung. In diesem Modul lernst du die dreistufige Präzedenz und wie du die wirksame Richtlinie einer Person mit einem Befehl nachweist, statt sie aus Zuweisungen zu erschließen. Du lernst, warum bei der Rangfolge die kleinere Zahl gewinnt und eine fehlende Angabe den niedrigsten Rang bedeutet, warum Gruppenzuweisungen niemals Mitglieder verschachtelter Gruppen erreichen, welche zwei Richtlinientypen von Gruppenzuweisung ausgenommen sind — und warum ein Stapel lautlos an Konten scheitert, deren SIP-Adresse von ihrer UPN abweicht.

Lehrtext · 12 Abschnitte · zuletzt geprüft: 2026-09-12

Die Richtlinie, die bei 40 Leuten nicht ankommt

Eine neue Besprechungsrichtlinie wird der Sicherheitsgruppe Vertrieb zugewiesen. Zwei Tage später melden 40 der 300 Betroffenen, bei ihnen habe sich nichts geändert. Die Gruppenzuweisung steht, der Vorgang ist im Aktivitätsprotokoll als abgeschlossen vermerkt, die 40 stehen nachweislich in der Gruppe.

Es ist kein Fehler. Diese 40 haben irgendwann einmal eine Richtlinie desselben Typs direkt zugewiesen bekommen — vor Jahren, für ein Projekt, von jemandem, der nicht mehr da ist. Und die Regel dazu ist eindeutig: Wer eine Richtlinie direkt zugewiesen bekommen hat, erbt keine desselben Typs mehr von einer Gruppe. Solange die alte Zuweisung steht, ist jede Gruppenzuweisung für diese Person wirkungslos.

LernzielDu kannst die wirksame Richtlinie einer Person herleiten und nachweisen, die Rangfolge von Gruppenzuweisungen entwerfen, und du kennst die Fälle, in denen eine Gruppenzuweisung gar nicht erst greift — unabhängig davon, wie sorgfältig sie gesetzt wurde.

Wirksame Richtlinie — Die eine Richtlinie, die für eine Person je Richtlinientyp tatsächlich gilt. Sie ist nie eine Mischung aus mehreren, sondern immer genau eine — bestimmt durch die Präzedenzregeln, nicht durch die zuletzt gesetzte Zuweisung.

Drei Stufen, und die oberste gewinnt immer

Die Präzedenz ist kurz genug, um sie auswendig zu können, und sie erklärt fast jede Rückfrage in diesem Bereich.

1. Direktzuweisung: Einzeln oder über eine Stapelzuweisung gesetzt. Sticht jede Gruppenzuweisung desselben Typs.
2. Gruppenzuweisung: Gilt nur, wenn keine Direktzuweisung besteht. Bei mehreren Gruppen entscheidet die Rangfolge.
3. Global (Org-wide default): Greift, wenn weder eine Direkt- noch eine Gruppenzuweisung vorliegt.

Die zweite Hälfte der ersten Zeile ist die betrieblich wichtige: Wer jemandem eine Gruppen- oder globale Richtlinie zukommen lassen will, muss die Direktzuweisung entfernen. Es genügt nicht, die Gruppenzuweisung zu setzen oder die globale Richtlinie zu ändern — beide bleiben für diese Person wirkungslos, solange die Direktzuweisung existiert.

Die wirksame Richtlinie wird neu bestimmt, wenn jemand einer zugewiesenen Gruppe beitritt oder sie verlässt.
Ebenso, wenn eine Richtlinie von einer Gruppe entfernt wird.
Und wenn eine Direktzuweisung entfernt wird — erst dann fällt die Person auf Gruppen- oder globale Ebene zurück.

Die empfohlene Reihenfolge beim AufbauDie Dokumentation empfiehlt, zuerst die globalen Richtlinien so zu setzen, dass sie für die größte Gruppe passen, und danach nur noch denen etwas zuzuweisen, die wirklich Abweichendes brauchen. Jede Direktzuweisung, die man sich spart, ist eine, die später nicht im Weg steht.

Rangfolge: die kleinere Zahl gewinnt

Ist jemand Mitglied mehrerer Gruppen, denen eine Richtlinie desselben Typs zugewiesen ist, entscheidet die Rangfolge. Sie wird beim Zuweisen angegeben und gilt relativ zu den anderen Zuweisungen desselben Typs.

Rank 1: Höchster Rang. Laut Dokumentation gilt: Je kleiner die Zahl, desto höher der Rang.
Kein Rang angegeben: Die Zuweisung erhält den niedrigsten Rang — nicht den höchsten.
Rang ändern: Nicht direkt möglich: Die Gruppenzuweisung muss entfernt und neu angelegt werden.
Zuweisung entfernen: Die Ränge darunter rücken auf. Aus 3 und 4 werden 2 und 3.

Das klassische Beispiel der Dokumentation macht den Sinn deutlich: Eine Filialleiterin ist in Store Employees und in Store Managers. Ihre Rolle als Leiterin ist die relevantere, also bekommt die Zuweisung an Store Managers den Rang 1 und die an Store Employees den Rang 2. Die Rangfolge bildet also nicht Wichtigkeit von Richtlinien ab, sondern Wichtigkeit von Zugehörigkeiten.

Warum das Aufrücken zähltWeil sich Ränge beim Entfernen verschieben, ist eine Rangzahl kein dauerhaftes Merkmal einer Gruppe. Wer sie in einer Dokumentation festhält, dokumentiert einen Zustand, nicht eine Zuordnung — und wer eine Zuweisung entfernt, verändert dabei die Ränge aller darunter, ohne sie anzufassen.

Zwischenstand

Kurzcheck

Eine Person ist Mitglied zweier Gruppen mit einer Besprechungsrichtlinie: Projekt mit Rang 2 und Leitung mit Rang 1. Zusätzlich wurde ihr vor einem Jahr direkt eine dritte Besprechungsrichtlinie zugewiesen. Welche gilt?

Die direkt zugewiesene — eine Direktzuweisung sticht jede Gruppenzuweisung desselben Typs.
Die Richtlinie der Gruppe Leitung, weil Rang 1 der höchste Rang ist.
Die zuletzt gesetzte Zuweisung, unabhängig von ihrer Art.

Treffer. Richtig. Die Rangfolge wird erst herangezogen, wenn keine Direktzuweisung besteht. Solange sie steht, ist sie die wirksame Richtlinie.

Wo eine Gruppenzuweisung gar nicht greift

Drei dokumentierte Einschränkungen sorgen dafür, dass eine korrekt gesetzte Gruppenzuweisung bei bestimmten Nutzern oder Richtlinientypen wirkungslos bleibt. Keine davon erzeugt eine Fehlermeldung beim Zuweisen.

Verschachtelte Gruppen: Zuweisungen werden ausschließlich an direkte Mitglieder der Gruppe weitergegeben. Mitglieder verschachtelter Gruppen bekommen nichts.
Verborgene Mitgliedschaft: Gruppen mit aktiviertem HiddenGroupMembership können Gruppenzuweisung nicht nutzen. Kursteams haben diese Einstellung standardmäßig aktiv.
Zwei Richtlinientypen sind ausgenommen: Teams App Permission Policy und Teams Upgrade Policy werden weder vom Teams Admin Center noch vom PowerShell-Modul für Gruppenzuweisung unterstützt.

Die erste Einschränkung ist im Betrieb die folgenreichste, weil verschachtelte Gruppen in gewachsenen Verzeichnissen die Regel sind. Eine Zuweisung an eine Dachgruppe, unter der zwanzig Abteilungsgruppen hängen, erreicht genau die Personen, die unmittelbar in der Dachgruppe stehen — häufig eine Handvoll, manchmal niemanden.

GrößenordnungGruppenzuweisung ist laut Dokumentation für Gruppen bis 50.000 Mitglieder empfohlen und funktioniert auch darüber. Die Weitergabe an die Mitglieder läuft als Hintergrundvorgang und kann je nach Gruppengröße dauern — dasselbe gilt beim Entfernen und bei jeder Mitgliedschaftsänderung.

Die wirksame Richtlinie nachweisen

Für jede Diagnose in diesem Bereich gibt es genau einen belastbaren Schritt: die Herkunft der Richtlinie einer Person auslesen, statt sie aus Zuweisungen zu erschließen.

Get-CsUserPolicyAssignment -Identity person@contoso.com -PolicyType TeamsMeetingPolicy | select -ExpandProperty PolicySource zeigt je Eintrag den AssignmentType — Direct oder Group — und bei Gruppen die Referenz auf die Gruppe.
Get-CsGroupPolicyAssignment -PolicyType TeamsMeetingPolicy listet alle Gruppen, denen eine Richtlinie dieses Typs zugewiesen ist.
Get-CsGroupPolicyAssignment -GroupId <id> zeigt alle Richtlinien einer Gruppe. Gruppen werden dabei immer über ihre Gruppen-ID geführt, auch wenn die Zuweisung über SIP- oder E-Mail-Adresse erfolgte.

Der erste Aufruf beantwortet die Frage aus dem Einstiegsfall in einem Schritt. Steht dort ein Eintrag mit Direct, ist die Ursache gefunden und jede weitere Prüfung der Gruppe überflüssig. Steht dort nur Group, liegt die Ursache in der Rangfolge oder in einer der Einschränkungen des vorigen Abschnitts.

Das Entfernen einer Direktzuweisung geschieht über dieselbe Grant--Familie, mit $null als Richtlinienname: Grant-CsTeamsMeetingPolicy -Identity person@contoso.com -PolicyName $null. Danach — und erst danach — greift die Gruppen- oder globale Richtlinie.

Stapelzuweisung und ihre Fallstricke

Für große Mengen gibt es die Stapelzuweisung über New-CsBatchPolicyAssignmentOperation. Sie läuft als Hintergrundvorgang und liefert eine Vorgangs-ID, über die sich der Fortschritt verfolgen lässt.

Umfang: Bis zu 5.000 Benutzer je Stapel. Die Dokumentation rät, nicht mehrere Stapel gleichzeitig einzureichen, sondern sie nacheinander abzuarbeiten.
Identifikation: Über Objekt-ID oder SIP-Adresse. Weicht die angegebene UPN oder E-Mail-Adresse von der SIP-Adresse ab, schlägt die Zuweisung für diesen Benutzer fehl.
Duplikate: Doppelte Einträge werden vor der Verarbeitung entfernt; Status gibt es nur für die verbleibenden eindeutigen Benutzer.
Nachverfolgung: Get-CsBatchPolicyAssignmentOperation -OperationId <id>; Fehlerdetails stehen in der Eigenschaft UserState.

Die zweite Zeile ist der Grund für die meisten teilweise fehlgeschlagenen Stapel. SIP-Adresse und UPN sind in den meisten Organisationen identisch, aber eben nicht in allen und nicht bei jedem Konto — typischerweise nach Namensänderungen, Migrationen oder Domänenwechseln. Ein Stapel aus einer Verzeichnisabfrage über UPN läuft dann für die Mehrheit durch und scheitert lautlos bei einzelnen.

Was das Aktivitätsprotokoll zeigt — und was nichtDas Aktivitätsprotokoll führt Gruppenrichtlinien-Vorgänge sowie Stapelvorgänge mit mehr als `20` Benutzern aus dem Teams Admin Center, und zwar für die letzten 30 Tage. Kleinere Stapel und ältere Vorgänge stehen dort nicht. Ein leeres Protokoll ist damit kein Beleg dafür, dass nichts zugewiesen wurde.

Pakete und das Aktivitätsprotokoll

Wer mehrere Richtlinientypen gleichzeitig für eine Rolle setzen will, muss sie nicht einzeln zuweisen. Ein Richtlinienpaket bündelt eine voreingestellte Sammlung von Richtlinien für Personen mit gleicher oder ähnlicher Rolle — die Dokumentation nennt als Beispiel die Pakete für Lehrkräfte und für Schülerinnen und Schüler der Sekundarstufe, von denen das zweite bestimmte Funktionen wie private Anrufe einschränkt.

Ein Paket lässt sich einzelnen Benutzern zuweisen, einer Gruppe, oder über eine Stapelzuweisung einer großen Menge von Benutzern.
Die Zuweisung eines Pakets an einen Stapel läuft über das PowerShell-Modul.
Ein Paket ist eine Zuweisungshilfe, keine eigene Präzedenzstufe: Was es setzt, unterliegt danach denselben Regeln wie jede andere Zuweisung.

Der letzte Punkt ist der wichtige. Ein Paket, das einzelnen Benutzern zugewiesen wird, erzeugt Direktzuweisungen — und damit genau die Schicht, die spätere Gruppenkonzepte blockiert. Die Dokumentation nennt das Aufräumen nach dem Assistenten für Bildungseinrichtungen ausdrücklich als einen der Anlässe, Zuweisungen später in großer Zahl wieder aufheben zu müssen.

Nachvollziehen lassen sich Zuweisungsvorgänge im Aktivitätsprotokoll des Teams Admin Center. Es führt Gruppenrichtlinien-Vorgänge aus Admin Center und PowerShell sowie Stapelvorgänge mit mehr als 20 Benutzern aus dem Admin Center, jeweils für die letzten 30 Tage. Je Vorgang stehen dort unter anderem die betroffene Gruppe, der Richtlinientyp, wer ihn eingereicht hat, die Zahl der Betroffenen und der Gesamtstatus.

Was die Statuswerte unterscheidenZwischen In progress und Rolling out to users liegt der entscheidende Übergang: Der erste bedeutet, dass der Vorgang verarbeitet wird, der zweite, dass die Änderung bereits an Benutzer verteilt wird. Completed with errors nennt die Zahl der Fehler — bei Stapelvorgängen lohnt an dieser Stelle der Blick in die Einzelergebnisse, statt den Vorgang als erledigt zu verbuchen.

Massenhaft aufräumen — mit einer Warnung

Weil alte Direktzuweisungen die häufigste Ursache für unwirksame Gruppen- und Globalrichtlinien sind, gibt es einen eigenen Weg, sie loszuwerden: das Aufheben von Zuweisungen in großer Zahl im Teams Admin Center. Die Dokumentation nennt dafür drei Anlässe.

Damit globale oder Gruppenzuweisungen überhaupt wirksam werden können.
Zum Aufräumen nach dem Assistenten für Bildungseinrichtungen, der für einen Teil der Nutzer Einzelrichtlinien setzt.
Zum Zurücknehmen einer großen, falsch gesetzten Direktzuweisung.

Die Warnung dazuWird eine Richtlinie für diesen Vorgang ausgewählt, werden alle einzeln zugewiesenen Benutzer von dieser Richtlinie entfernt. Es gibt keine Auswahl innerhalb der Richtlinie. Wer nur einen Teil treffen will, braucht einen anderen Weg — etwa eine gezielte Stapelzuweisung mit $null.

Genau hier lohnt der Blick auf die Reihenfolge. Erst die Direktzuweisungen aufheben und dann feststellen, dass die globale Richtlinie zu weit gefasst war, trifft alle Betroffenen gleichzeitig. Umgekehrt — erst die Ziel-Richtlinie prüfen, dann aufräumen — ist derselbe Aufwand mit einem kalkulierbaren Ergebnis.

Aufzeichnung: eine Richtlinie mit Ablageort

Besprechungsrichtlinien sind der häufigste Anlass für Zuweisungen, und die Aufzeichnung ist darin der Punkt mit den weitreichendsten Nebenwirkungen — weil die Richtlinie über das Ob entscheidet, der Ablageort aber an ganz anderen Regeln hängt.

Besprechung im Kanal: Die Aufzeichnung liegt in der Dokumentbibliothek der Kanal-Site im Ordner Recordings und erbt deren Berechtigungen.
Jede andere Besprechung: Die Aufzeichnung liegt im OneDrive des Organisators, im Ordner Recordings — auch wenn er nicht teilgenommen hat.
Anruf zu zweit oder in der Gruppe: Die Aufzeichnung liegt bei derjenigen Person, die auf Aufzeichnen gedrückt hat.

Eine Richtlinienentscheidung „Aufzeichnung erlauben“ ist damit gleichzeitig eine Entscheidung darüber, wo Geschäftsmaterial entsteht. Wer die Aufzeichnung für eine Gruppe freigibt, deren Besprechungen überwiegend Kalendertermine sind, erzeugt planmäßig Inhalte in persönlichen Ablagen — mit allen Folgen für Übergabe und Aufbewahrung.

Der Sonderfall, der der Erwartung widersprichtBei einer Besprechung, die in einem Teams-Raum über Meet now entsteht, wird der Raum selbst zum Organisator. Hat sein Ressourcenkonto ein OneDrive, landet die Aufzeichnung dort — und laut Dokumentation hat dann keiner der Teilnehmer volle Rechte an der Datei. Die Dokumentation empfiehlt deshalb ausdrücklich, dem Ressourcenkonto eines Teams-Raums keine OneDrive-Lizenz zuzuweisen.

Durchgerechnet: die Richtlinie kommt nicht an

40 von 300 melden keine Änderung

Szenario

Eine neue Besprechungsrichtlinie wurde der Sicherheitsgruppe Vertrieb mit Rang 1 zugewiesen. 260 Personen berichten die erwartete Änderung, 40 nicht. Alle 40 stehen in der Gruppe.

Anforderungen

Die Ursache belegen statt vermuten
Unterscheiden, ob es eine Ursache ist oder mehrere
Eine Korrektur wählen, die nicht mehr trifft als nötig

Schritte

Für eine der 40 Personen die Herkunft auslesen: Get-CsUserPolicyAssignment mit -PolicyType und PolicySource. Steht dort Direct, ist die Ursache gefunden.
Prüfen, ob das für alle 40 gilt oder nur für einen Teil. Zwei verschiedene Ursachen in derselben Meldung sind der Normalfall, nicht die Ausnahme.
Für die übrigen die zweite Möglichkeit prüfen: Sind sie direkte Mitglieder von Vertrieb, oder hängen sie über eine verschachtelte Gruppe darin? Letzteres erreicht die Zuweisung nicht.
Die dritte Möglichkeit prüfen: Gehört die Zielgruppe zu den Fällen mit HiddenGroupMembership? Dann greift Gruppenzuweisung für diese Gruppe grundsätzlich nicht.
Erst nach der Ursachenklärung korrigieren. Bei Direktzuweisungen: gezielt mit Grant-CsTeamsMeetingPolicy -Identity <person> -PolicyName $null entfernen, nicht über das Aufheben in großer Zahl — das würde alle einzeln Zugewiesenen dieser Richtlinie treffen.
Bei verschachtelter Mitgliedschaft ist die Korrektur eine andere: Entweder wird die Zuweisung an die inneren Gruppen gesetzt, oder die Mitgliedschaft wird flach gezogen.
Nach der Korrektur erneut die Herkunft auslesen — die Weitergabe läuft im Hintergrund und ist nicht sofort sichtbar.

Merksatz: Eine Meldung mit 40 Betroffenen hat selten eine Ursache. Der eine Befehl, der die Herkunft zeigt, trennt die Fälle in Sekunden — und verhindert, dass man mit einem Massenwerkzeug eine Ursache behebt, die nur ein Teil der Betroffenen hat.

Der Preis und die Route

Richtlinien pro Gruppe zu führen ist der wartbare Weg: Die Mitgliedschaft trägt die Zuweisung, und Zu- und Abgänge regeln sich von selbst. Der Preis ist eine Indirektion mehr. Wer eine Wirkung prüfen will, muss Mitgliedschaft, Rangfolge und mögliche Direktzuweisungen gleichzeitig im Blick haben — und keine dieser drei Angaben steht dort, wo die Richtlinie steht.

Direktzuweisungen sind die Gegenrichtung: sofort verständlich, sofort wirksam, und dauerhaft im Weg. Jede einzelne ist eine kleine Entscheidung, die in einem Jahr niemand mehr begründen kann — und gemeinsam bilden sie die Schicht, an der spätere Gruppenkonzepte scheitern. Sie sind nicht falsch, aber sie gehören befristet gedacht und nicht als Dauerzustand.

Global so setzen, dass es für die Mehrheit passt→Abweichungen über Gruppen abbilden, mit bewusster Rangfolge→Direktzuweisungen nur als Ausnahme, mit Ende im Blick→Bei Beschwerden zuerst die Herkunft auslesen, nicht die Zuweisung prüfen→Nach Korrekturen erneut messen — die Weitergabe läuft im Hintergrund

Direkt schlägt Gruppe schlägt Global

Das nächste Modul wechselt von den Richtlinien zu den Anwendungen darin: welche Apps ein Team nutzen darf, wer das entscheidet und wie sich der Bestand im Griff behalten lässt.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität3 Primärquellen · zuletzt geprüft: 2026-09-12