In den meisten KMU, die wir kennenlernen, ist Microsoft 365 aus einem klaren Grund eingezogen: die E-Mail in die Cloud verlagern und keinen Exchange-Server mehr betreiben. Mission erfüllt – und dort ist das Projekt oft stehen geblieben. Die Lizenzen enthalten Teams, SharePoint und OneDrive, doch die Dokumente reisen weiterhin als Anhänge, der «Dateiserver» steht noch im Büro, und Sitzungen finden je nach Einladender auf drei verschiedenen Werkzeugen statt. Man zahlt für eine ganze Plattform und nutzt ein Zehntel davon – eine Situation, die ein Microsoft-Partner jede Woche sieht.

Dieser Artikel erzählt, was jenseits der E-Mail liegt und wie man es gut nutzt: die Zusammenarbeit an Dokumenten in SharePoint und OneDrive, Teams als täglicher Arbeitsort, die Verwaltung der Berechtigungen, die darüber entscheidet, ob das Ganze sicher oder riskant ist, die Schutzfunktionen der Plattform – und ein Punkt, der fast alle überrascht: warum die Inhalte von Microsoft 365 ein dediziertes Backup brauchen.

Drei Werkzeuge, eine Logik

Die häufigste Verwirrung betrifft die Rollen. OneDrive ist der persönliche Bereich jeder Mitarbeiterin und jedes Mitarbeiters: die Dateien, an denen gerade gearbeitet wird, Entwürfe, was früher auf der Festplatte des Laptops lag und heute in die Cloud synchronisiert ist – also von jedem Gerät erreichbar und nicht verloren, wenn der Laptop kaputtgeht. SharePoint ist der Bereich des Unternehmens: die gemeinsamen Dokumentbibliotheken pro Abteilung, Projekt oder Kunde, mit Versionen, Berechtigungen und Aufbewahrungsregeln. Teams ist die Oberfläche, auf der gearbeitet wird: Chats, Sitzungen, Kanäle pro Projekt – und hinter jedem Kanal steht eine SharePoint-Bibliothek, weshalb die Dateien «in Teams» und jene «in SharePoint» in Wahrheit dieselben sind.

Ist das verstanden, verliert die Migration des alten Dateiservers ihren Schrecken. Die Abteilungsordner werden zu SharePoint-Sites, die persönlichen Ordner zu OneDrive, und die Struktur wird ein einziges Mal entworfen, nach einem Kriterium: Wer muss was sehen. Genau hier entscheidet sich das Projekt – wir kommen gleich darauf zurück.

Zusammenarbeit an Dokumenten: das Ende der Anhänge

Der erste konkrete Nutzen ist das Ende des Dokuments, das als Anhang verschickt, von drei Personen in drei verschiedenen Kopien bearbeitet und von der vierten von Hand zusammengesetzt wird. In SharePoint und OneDrive hat eine Datei eine einzige Version, an der mehrere Personen gleichzeitig arbeiten – in Word, Excel oder PowerPoint, im Browser oder in der Anwendung – und die Änderungen der anderen in Echtzeit sehen. Der Versionsverlauf bewahrt jeden früheren Stand, und die Rückkehr zu jenem von gestern braucht zwei Klicks.

Der zweite Nutzen ist das kontrollierte Teilen. Statt die Datei zu verschicken, sendet man einen Link – und der Link hat Regeln: nur für bestimmte Personen, nur lesend, mit Ablaufdatum, mit oder ohne Download. Für alle, die mit externen Kunden und Lieferanten arbeiten, ist das der Unterschied zwischen «Ich habe die Offerte an alle im CC geschickt» und «Die Offerte sehen die zwei Personen, die sie sehen müssen – bis Freitag». Und die Suche durchdringt alles: nach Name, Inhalt, Autor – auch innerhalb von PDFs.

Eine Präzisierung, die Missverständnisse vermeidet: SharePoint ist eine Kollaborationsplattform, kein zertifiziertes Dokumentenmanagementsystem. Für die konforme Archivierung von Rechnungen, Verträgen und rechtlich relevanten Dokumenten – mit Freigabeworkflows, Registrierung und Aufbewahrung nach Schweizer Vorschriften – bleibt eine dedizierte Plattform wie ELO Digital Office zuständig, die sich mit Microsoft 365 integrieren lässt. Die beiden Werkzeuge ergänzen sich: das eine zum Arbeiten an Dokumenten, das andere zu ihrer Aufbewahrung.

Teams als Arbeitszentrale – nicht «das Ding für Videocalls»

Teams ist in vielen Unternehmen als Werkzeug für Sitzungen auf Distanz eingezogen und dort hängen geblieben. Richtig genutzt, ist es der Ort, an dem die Arbeit stattfindet. Ein Kanal pro Projekt oder Kunde bündelt Gespräche, Dateien und Sitzungen in einem einzigen Faden – statt E-Mail-Ketten mit zwölf Empfängern im CC. Chats ersetzen die internen Zwei-Zeilen-Telefonate. Sitzungen haben Aufzeichnung, Transkript und Notizen, die im Kanal bleiben und allen nützen, die nicht dabei waren.

Der nächste Schritt ist die Telefonie. Mit Teams lässt sich auch die Telefonzentrale betreiben: die Festnetznummern des Unternehmens, die Warteschlange, der Anrufbeantworter, das Weiterleiten zwischen Kolleginnen und Kollegen – vom Laptop, vom Handy oder vom Tischapparat. Für Schweizer Unternehmen läuft das über die Lösungen des Netzbetreibers, und als Swisscom Gold Partner integrieren wir Teams mit Smart Business Connect: ein einziges Werkzeug für Chat, Sitzungen und Telefonate, eine einzige Nummer, die der Person folgt, wo immer sie arbeitet.

Und dann ist da das Kapitel, das wir im September mit den KI-Agenten eröffnet haben: In Teams und Microsoft 365 leben die Copilot Agents – auf den Quellen des Unternehmens konfigurierbare Assistenten, die wiederkehrende Fragen beantworten, buchen, durch Abläufe führen. Sie funktionieren genau in dem Mass gut, in dem die SharePoint-Struktur unter ihnen geordnet und die Berechtigungen korrekt sind – ein Grund mehr, die im nächsten Abschnitt beschriebene Arbeit sorgfältig zu machen.

Berechtigungen: wo Produktivität zu Sicherheit wird (oder nicht)

Die Frage «Ist Microsoft 365 sicher?» hat eine ehrliche Antwort: Es hängt davon ab, wie die Berechtigungen eingestellt sind. Die Plattform bietet alle Werkzeuge, neigt aber standardmässig zum Teilen – und ein Unternehmen, das die Dateien migriert, ohne die Zugriffe neu zu entwerfen, findet sich mit einer für alle sichtbaren Gesamtstruktur wieder. Das Gegenteil dessen, was es auf dem alten Server hatte, wo jeder Ordner abgeschlossen war.

Das anzuwendende Prinzip ist das des Notwendigsten: Jede Person sieht, was sie für ihre Rolle braucht, und nichts darüber hinaus. In der Praxis arbeitet man mit Gruppen (Administration, Verkauf, Produktion, Geschäftsleitung) und vergibt Berechtigungen an Gruppen, nie an einzelne Personen – so wird ein Ein- oder Austritt an einer einzigen Stelle abgewickelt. Man legt eine Policy für das externe Teilen fest – nur aus bestimmten Sites erlaubt, nur an bestimmte Domänen, mit Ablaufdatum – und setzt sie auf Plattformebene um, statt sie dem guten Willen der teilenden Person zu überlassen.

Zwei periodische Kontrollen halten alles in Ordnung. Die erste ist die Überprüfung der nach aussen geteilten Links, die sich ansammeln und die niemand widerruft: einmal pro Quartal ein Bericht und eine Bereinigung. Die zweite ist die Überprüfung der Zugriffe bei Rollenwechsel und Austritt: Wer von der Administration in den Verkauf wechselt, sollte den Zugang zur Buchhaltung nicht behalten, und wer das Unternehmen verlässt, sollte sein Konto noch am selben Tag deaktiviert sehen – mit den OneDrive-Dateien an die verantwortliche Person übertragen, bevor die Plattform sie löscht. Es sind die Regeln, die wir zum Faktor Mensch in der IT-Sicherheit beschrieben haben, hier auf die Plattform angewandt.

Die Schutzfunktionen der Plattform – sofern aktiviert

Neben den Berechtigungen enthält Microsoft 365 Sicherheitsmassnahmen, die sich einzuschalten und zu konfigurieren lohnen. Zuallererst die Mehrfaktor-Authentifizierung, die für alle Benutzer obligatorisch sein sollte – ohne Ausnahme für Administratoren. Dann der bedingte Zugriff, der den Kontext jedes Logins bewertet – verwaltetes Gerät oder nicht, Land, Uhrzeit – und eine zusätzliche Prüfung verlangt oder blockiert, wenn etwas nicht stimmt: Er ist es, der einen Zugriff um drei Uhr nachts von einem Kontinent stoppt, auf dem das Unternehmen niemanden hat.

Dazu kommen die Vertraulichkeitsbezeichnungen, die ein Dokument als intern oder vertraulich markieren und Weiterleitung und Druck einschränken; die Regeln zur Verhinderung von Datenverlust, die den Versand von Dateien nach aussen blockieren, die etwa Kartennummern oder Personendaten enthalten; die Anti-Phishing-Filter und der Schutz der Anhänge, der verdächtige Dateien in einer isolierten Umgebung öffnet, bevor er sie zustellt. Keine dieser Funktionen ist exotisch: Sie stecken in den Lizenzen, die viele Unternehmen bereits bezahlen, und bleiben ausgeschaltet, weil sie nie jemand konfiguriert hat.

Die Konfiguration ist eine Arbeit, die einmal und mit Methode gemacht wird, Sicherheit und Benutzbarkeit im Blick – ein zu strenger bedingter Zugriff blockiert den Aussendienst unterwegs, ein zu lascher nützt nichts. Es ist die Art von Feinabstimmung, bei der ein Partner, der sowohl die Plattform als auch das Unternehmen kennt, den Unterschied zu den Standardeinstellungen macht.

Das Backup von Microsoft 365: die Verantwortung, die beim Unternehmen bleibt

Nun zum Punkt, der überrascht. Microsoft garantiert die Verfügbarkeit des Dienstes – Rechenzentren, Redundanz, das Funktionieren der Plattform –, nicht aber die Aufbewahrung der Inhalte über die eigenen Grenzen hinaus: Das ist das Prinzip der geteilten Verantwortung, festgehalten in den Nutzungsbedingungen, die den Nutzern ausdrücklich empfehlen, ihre Daten regelmässig zu sichern. Eine gelöschte Datei bleibt für begrenzte Zeit im Papierkorb und verschwindet dann. Das Postfach eines ausgetretenen Mitarbeiters wird nach der Deaktivierung gelöscht. Eine Ransomware, die Dateien auf einem mit OneDrive synchronisierten Laptop verschlüsselt, verschlüsselt sie auch in der Cloud – und die Synchronisation trägt sie zu allen weiter, die diese Bibliothek teilen.

Deshalb ist das Backup von Microsoft 365 – Post, Kalender, Kontakte, OneDrive, SharePoint und Teams – fester Bestandteil einer 3-2-1-Strategie, wie wir sie im vorherigen Artikel zu Backup und Disaster Recovery beschrieben haben: eine unabhängige Kopie ausserhalb der Plattform, mit einer vom Unternehmen und nicht vom Anbieter bestimmten Aufbewahrung und mit einer granularen Wiederherstellung, die die einzelne E-Mail von vor zwei Jahren zurückholt, ohne das ganze Postfach neu aufzubauen. Mit Acronis, für das wir Gold Service Provider sind, kommt der Schutz von Microsoft 365 in dieselbe Konsole, die Server und Arbeitsplätze abdeckt – innerhalb einer verwalteten Cloud-Infrastruktur.

Das Thema hängt auch mit dem revidierten Datenschutzgesetz zusammen: Zu wissen, wo die Personendaten liegen, sie so lange wie nötig aufzubewahren und zu löschen, wenn sie nicht mehr gebraucht werden, setzt Kontrolle voraus – und Kontrolle in der Cloud führt über die Kopie, die das Unternehmen selbst besitzt.

Ein Weg in vier Etappen

Wer von «Wir nutzen Microsoft 365 für die E-Mail» zu «Microsoft 365 ist unsere Arbeitsumgebung» kommen will, schafft das in vier Etappen, ohne Revolution. Zuerst wird die Struktur entworfen: welche SharePoint-Sites, welche Gruppen, welche Berechtigungen, was in ELO bleibt. Dann werden die Dateien vom alten Server migriert, Abteilung für Abteilung, mit einigen Wochen Koexistenz. Drittens werden die Schutzfunktionen aktiviert – MFA, bedingter Zugriff, Bezeichnungen, Filter – und das Backup konfiguriert. Viertens wird das Team auf Teams geschult: kein Funktionskurs, sondern eine Vereinbarung darüber, wie gearbeitet wird – wo die Dateien hinkommen, wann Chat und wann E-Mail, wie eine Sitzung einberufen wird. Die vierte Etappe entscheidet, ob die Investition Resultate bringt oder eine Lizenz bleibt.

Das Wichtigste in Kürze

Microsoft 365 nur für die E-Mail genutzt ist eine vollständig bezahlte und minimal genutzte Plattform. SharePoint und OneDrive beenden die Ära der Anhänge, Teams bündelt Gespräche, Sitzungen und Telefonate, und die enthaltenen Schutzfunktionen – wenn konfiguriert – machen das Ganze sicher. Zwei Verantwortungen des Unternehmens deckt keine Lizenz ab: die Berechtigungen gut zu entwerfen und die eigenen Inhalte zu sichern.

Bei dpstudio begleiten wir als offizieller Microsoft-Partner die KMU im Tessin und in Graubünden bei Planung und Feinabstimmung von Microsoft 365: von der SharePoint-Struktur über die Telefonie in Teams bis zu Sicherheits-Policies und dediziertem Backup – mit einer kontinuierlichen Betreuung, die das Unternehmen nach der Migration weiter begleitet.