Was ist ein Microsoft-365-Mandant?

Einfach erklärt

Wenn Ihr Betrieb Microsoft 365 nutzt, hat er einen Mandanten, auf Englisch Tenant. Das ist Ihr abgeschlossener Bereich in der Microsoft-Cloud mit allen Benutzern, Postfächern, Dateien und Einstellungen. Man kann es sich wie eine gemietete Etage in einem großen Bürohaus vorstellen: Microsoft betreibt das Gebäude, Ihre Etage richten Sie selbst ein und schließen sie selbst ab. Die Benutzerverwaltung dahinter heißt Microsoft Entra ID, früher Azure Active Directory.

Worauf es ankommt

• Wer die Kontrolle hat. Wer den Mandanten anlegt, wird automatisch globaler Administrator. Hat das eine Agentur oder ein früherer Dienstleister getan, sollte heute Ihre Firma die Kontrolle haben, mit eigenen Administratorkonten.
• Die Startadresse. Jeder Mandant bekommt eine Adresse wie ihre-firma.onmicrosoft.com. Sie lässt sich weder umbenennen noch löschen. Ihre eigene Domain kommt hinzu.
• Der Speicherort. Das Land, das bei der Einrichtung angegeben wurde, legt fest, in welcher Region Microsoft Ihre Daten grundsätzlich speichert.

Was Sie tun können

Lassen Sie sich von Ihrem IT-Dienstleister zeigen, wer globaler Administrator ist und welche Dienstleister Zugriff auf den Mandanten haben. Prüfen Sie, ob alle mit einem zweiten Faktor angemeldet sind und ob die Sicherheitsstandards oder eigene Regeln für die Anmeldung aktiv sind. Mehr zur Einrichtung und Absicherung: Microsoft 365.

Gut zu wissen: Neue Mandanten starten seit Oktober 2019 mit eingeschalteten Sicherheitsstandards: Zwei-Faktor-Anmeldung für alle Benutzer und Sperre veralteter Anmeldeverfahren. Ob sie bei Ihnen noch aktiv sind, zeigt das Admin Center.

Was Microsoft Ihnen nicht abnimmt

Microsoft betreibt Rechenzentren und Dienste. Wer sich anmelden darf, welche Rechte jemand hat und welche Daten nach außen geteilt werden, legen Sie im Mandanten selbst fest. Diese Einstellungen sind Ihre Aufgabe oder die Ihres IT-Dienstleisters.

Aufbau

Jeder Microsoft-365-Mandant ist zugleich ein Mandant in Microsoft Entra ID. So heißt Azure Active Directory seit der Umbenennung, die Microsoft im Juli 2023 angekündigt hat. Kennzeichen:

• Mandanten-ID: eine GUID, über die Anwendungen, Partner und Richtlinien den Mandanten ansprechen.
• Anfangsdomain *.onmicrosoft.com: nicht umbenennbar, nicht löschbar. Bis zu fünf onmicrosoft.com-Domains sind möglich, eine davon ist die Fallback-Domain. Die SharePoint-Adresse leitet sich davon ab.
• Benutzerdefinierte Domains: per DNS-Eintrag nachgewiesen, eine davon ist Standard für neue Konten.
• Default Geography: Das Land aus der Registrierung legt die Standardregion fest, nach der Microsoft den Speicherort ruhender Daten je Dienst bestimmt.

Mandant von außen erkennen

curl -s https://login.microsoftonline.com/ihre-firma.de/v2.0/.well-known/openid-configuration \
  | grep -oE '"(issuer|tenant_region_scope)":"[^"]*"'

Die GUID im issuer ist die Mandanten-ID, tenant_region_scope zeigt die Regionszuordnung, etwa EU. Für eine Domain ohne Mandanten antwortet der Endpunkt mit dem Fehler AADSTS90002. Ob die Anmeldung föderiert ist, zeigt NameSpaceType (Managed oder Federated):

curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=test@ihre-firma.de&json=1"

Typische Fehler

• Gründerkonto als Alltagskonto. Das anlegende Konto ist Globaler Administrator. Wird es danach als normales Postfach genutzt, arbeitet jemand täglich mit der höchsten Rolle. Besser: getrenntes Administratorkonto und zwei Notfallkonten.
• Alte Partnerbeziehungen. Frühere Dienstleister behalten über delegierte Administratorrechte Zugriff. Im Microsoft 365 Admin Center unter Einstellungen > Partnerbeziehungen prüfen und Rollen entfernen.
• Sicherheitsstandards aus, nichts an ihrer Stelle. Microsoft rät, nach dem Abschalten sofort Richtlinien für bedingten Zugriff zu aktivieren. Beides gleichzeitig ist nicht vorgesehen.
• Legacy-Authentifizierung für Scanner und Altgeräte offen gelassen. Diese Protokolle kennen keinen zweiten Faktor.
• Zu viele globale Administratoren. Microsoft empfiehlt weniger als fünf.

Prüfen

Neben den beiden Abrufen oben: Die Mandanten-ID zeigt das Entra Admin Center unter Entra ID > Übersicht. Unter Übersicht > Eigenschaften > Sicherheitsstandards verwalten steht, ob die Sicherheitsstandards aktiv sind. Die globalen Administratoren listet Entra ID > Rollen und Administratoren > Globaler Administrator.