Der Anruf kommt meistens an einem Montag. Der Dienstleister, der „das mit Microsoft gemacht hat", ist nicht mehr erreichbar. Oder der Kollege, der vor Jahren alles eingerichtet hat, ist seit vier Wochen woanders. Niemand kommt mehr ins Admin Center, das Passwort kennt keiner, und die Bestätigung per App läuft auf ein Telefon, das längst zurückgegeben wurde.
Die gute Nachricht steht gleich am Anfang: Der Tenant gehört eurem Unternehmen, nicht der Person, die ihn angelegt hat. Er ist nicht verloren. Es gibt einen Weg zurück, er ist nur unangenehm formal und dauert länger, als alle hoffen. Dieser Artikel beschreibt, wie dieser Weg aussieht, was ihr vorher klären müsst und was ihr in den ersten Stunden auf keinen Fall tun solltet.
Der Reflex ist, etwas zu tun. Genau der macht es in dieser Lage schlimmer.
Bevor irgendjemand bei Microsoft anruft, klärt ihr vier Fragen. Die Antworten entscheiden darüber, welcher der Wege unten überhaupt offen steht.
Gibt es noch ein zweites Konto mit globalen Rechten? In überraschend vielen Häusern ja, es weiß nur niemand. Typische Kandidaten sind das Konto der Geschäftsführung, ein altes Sammelkonto wie „info" oder „admin", oder das Konto dessen, der vor dem Ausgeschiedenen zuständig war. Wer sich irgendwo anmelden kann, sollte es versuchen.
Kontrolliert ihr die DNS-Einträge eurer Domain? Also den Ort, an dem MX-Einträge und Prüfeinträge stehen. Wenn ja, könnt ihr beweisen, dass die Domain euch gehört. Wenn der ausgeschiedene Dienstleister auch die Domain hält, wird es aufwendiger, aber nicht aussichtslos: eine Domain ist übertragbar, und der Inhaber seid ihr.
Wer bezahlt die Lizenzen? Läuft die Abrechnung direkt bei Microsoft über eine Kreditkarte, die euch gehört, ist das ein starkes Argument. Läuft sie über einen Partner, hat dieser Partner unter Umständen delegierte Rechte auf euren Tenant, und das ist der schnellste Weg von allen, sofern der Partner noch erreichbar ist.
Gibt es Unterlagen? Rechnungen, der ursprüngliche Bestellvorgang, ein Vertrag mit dem alten Dienstleister, alte Mails mit Einrichtungsbestätigungen. Alles, was den Zusammenhang zwischen eurem Unternehmen und diesem Tenant belegt, wird später gebraucht.
Der einfachste Fall. Wer globale Rechte hat, kann dem ausgeschiedenen Konto das Passwort zurücksetzen, die Bestätigungsmethoden entfernen und die Rechte neu verteilen. Das dauert Minuten. Genau deshalb ist die wichtigste Vorsorge gegen diese ganze Lage, dass es diesen zweiten Zugang gibt, bevor man ihn braucht.
Wurde euer Tenant über einen Microsoft-Partner eingerichtet, besteht häufig eine Partnerbeziehung mit administrativem Zugriff. Ist der alte Partner noch erreichbar und kooperativ, kann er die Rechte neu setzen oder die Beziehung an einen neuen Partner übergeben. Ist er es nicht, lässt sich die Beziehung von eurer Seite beenden, sobald ihr wieder Zugriff habt. Das ist übrigens einer der Gründe, warum ein Blick in die Liste der Partnerbeziehungen zur Bestandsaufnahme gehört, auch wenn gerade niemand danach fragt.
Wenn kein Administrator mehr existiert, führt der Weg über den Microsoft-Support. Das ist kein Formular, das man in fünf Minuten ausfüllt, sondern ein Nachweisverfahren. Microsoft muss zwei Dinge feststellen: dass die Domain euch gehört und dass ihr für das Unternehmen sprechen dürft.
Der Domainnachweis läuft in aller Regel über einen Eintrag, den ihr in eurem DNS setzt und der von Microsoft ausgelesen wird. Deshalb die Warnung oben, an den DNS-Einträgen nichts zu ändern. Der zweite Nachweis ist der unangenehmere: Handelsregisterauszug, Rechnungen, ein Schreiben auf Firmenpapier, je nach Fall auch ein Ausweis der vertretungsberechtigten Person. Wer das gebündelt und vollständig einreicht, verkürzt das Verfahren erheblich. Wer es scheibchenweise nachliefert, verlängert es um jede Rückfrage.
Plant hier mit Tagen, nicht mit Stunden. Das ist unangenehm, wenn parallel die Mails nicht ankommen, aber es ist die Realität eines Verfahrens, das genau dafür gebaut ist, dass sich niemand einfach so Zugriff auf einen fremden Tenant verschafft. Dass es langsam ist, ist die Eigenschaft, die euch schützt.
Ein Sonderfall, der öfter vorkommt, als man denkt. Meldet sich ein einzelner Mitarbeiter mit seiner Firmenadresse bei einem Microsoft-Dienst an, entsteht im Hintergrund automatisch ein Tenant für eure Domain, den nie jemand verwaltet hat. Für diese unverwalteten Tenants gibt es ein eigenes Übernahmeverfahren, bei dem ihr über den Nachweis der Domain die Kontrolle bekommt. Ob euer Fall so liegt, zeigt die Prüfung: Ein Tenant ohne gekaufte Lizenzen, ohne eingerichtete Domain und mit einer Handvoll Konten, die alle auf .onmicrosoft.com enden, ist ein starker Hinweis.
Die Wege oben gehen davon aus, dass niemand aktiv gegenhält. Es gibt Trennungen, bei denen das nicht stimmt, und dann ändert sich die Reihenfolge. Wer noch Zugriff hat und ihn behalten will, kann in der Zeit, in der ihr Nachweise sammelt, Konten anlegen, Rechte vergeben, Daten ausleiten oder Weiterleitungen einrichten.
In dieser Lage gilt: Wenn ihr auch nur ein Konto mit globalen Rechten habt, entzieht ihr die Rechte zuerst und redet danach. Setzt die Anmeldedaten der betroffenen Konten zurück, hebt bestehende Sitzungen auf, denn ein zurückgesetztes Passwort beendet eine laufende Anmeldung nicht automatisch, und prüft erst dann in Ruhe. Und dokumentiert jeden Schritt mit Zeitstempel, weil aus einer solchen Trennung erfahrungsgemäß eine Diskussion wird, in der es darauf ankommt, wer wann was getan hat.
Habt ihr keinen Zugriff und der andere schon, ist das kein IT-Vorgang mehr, sondern einer für die Geschäftsführung und im Zweifel für einen Anwalt. Parallel läuft das Nachweisverfahren bei Microsoft weiter, es wird dadurch nur dringender.
Der Moment, in dem der Zugriff zurück ist, fühlt sich wie das Ende an. Er ist die Mitte. Denn jetzt steht ihr vor einer Umgebung, die eine unbekannte Zeit lang niemand betreut hat, und ihr wisst nicht, was in dieser Zeit passiert ist.
Zwei Notfallzugänge einrichten, sofort. Zwei reine Cloud-Konten, die keiner Person gehören, mit langen zufälligen Passwörtern, hinterlegt an einem Ort, an den mehr als eine Person kommt. Diese Konten werden von Richtlinien ausgenommen, die den Zugang blockieren könnten, und sie werden überwacht. Genau ein solcher Zugang hätte euch das ganze Verfahren erspart.
Rechte inventarisieren. Wer hat globale Rechte, und warum? Rollen dieser Art gehören sparsam vergeben und regelmäßig geprüft. Wenn ihr in Richtung ISO 27001 arbeitet, ist das ohnehin Pflicht, dort steckt die Zugriffsverwaltung im Anhang A.8.
Weiterleitungen prüfen. Der erste Griff nach einer Übernahme gilt fast immer den Regeln in den Postfächern: Weiterleitungen nach außen, Regeln, die Mails in selten geöffnete Ordner verschieben, Umleitungen auf private Adressen. Das ist die klassische Hinterlassenschaft, und sie ist leise.
Angemeldete Anwendungen ansehen. In der Liste der Unternehmensanwendungen steht, welche Dienste Zugriff auf eure Daten haben und wer diesen Zugriff erteilt hat. Nach einer betreuungslosen Phase steht dort regelmäßig etwas, das niemand mehr erklären kann.
Protokolle sichern. Anmelde- und Überwachungsprotokolle sind nur begrenzte Zeit verfügbar, abhängig von euren Lizenzen. Wer nachvollziehen will, was in der Zeit ohne Aufsicht geschehen ist, zieht sie jetzt und nicht in drei Monaten.
Das Postfach des Ausgeschiedenen ordnen. Es gehört dem Unternehmen, aber es enthält mit einiger Sicherheit auch private Nachrichten, und dafür gelten Regeln. Ein geordnetes Vorgehen mit einer schriftlichen Grundlage schützt beide Seiten. Wenn es bei euch keinen Datenschutzbeauftragten gibt, der das einordnet, ist das der Moment, an dem einer fehlt.
Und die Frage, die alle vergessen: Wird dieser Tenant eigentlich gesichert? Microsoft sorgt für die Verfügbarkeit der Plattform, nicht dafür, dass ein vor drei Wochen gelöschter Ordner noch da ist. Wer nach einer solchen Übernahme feststellt, dass es keine eigene Sicherung gibt, hat den zweiten Befund des Tages.
Die Vorsorge ist unspektakulär und kostet fast nichts. Mehr als eine Person mit globalen Rechten, aber nicht zu viele. Zwei Notfallzugänge, die keiner Person gehören. Die Domain im eigenen Konto, nicht im Konto des Dienstleisters. Die Abrechnung auf das Unternehmen, nicht auf eine Privatkarte. Und eine Seite Papier, auf der steht, wer im Notfall wie hineinkommt, abgelegt dort, wo man sie im Notfall auch findet.
Der eigentliche Fehler in all diesen Fällen ist nie der ausgeschiedene Admin. Es ist, dass die Zuständigkeit an einer Person hing statt an einer Regel. Das ist eine organisatorische Entscheidung, keine technische, und sie lässt sich an einem Nachmittag treffen.
Wenn ihr gerade in dieser Lage steckt oder wissen wollt, wie es um eure Microsoft-365-Umgebung bestellt ist: vereinbart ein unverbindliches Erstgespräch. Wir sehen uns an, wer bei euch welche Rechte hat und was im Ernstfall greift.