Microsoft Teams Berechtigungen: Rollen, Kanäle & Apps

Microsoft Teams lässt sich schnell einführen – und überraschend schnell aus dem Ruder laufen. Ein Team wird für ein zweiwöchiges Projekt angelegt, drei Personen werden aus Höflichkeit zu Besitzern gemacht, ein Auftragnehmer wird als Gast hinzugefügt und nie wieder entfernt, und eine App, die niemand geprüft hat, erhält still und leise Zugriff auf Kanalnachrichten. Das ist kein Fehler im System. Es ist das, was passiert, wenn Berechtigungen unverändert auf ihren Standardwerten belassen werden.

Dieser Leitfaden erklärt, wie Microsoft Teams Berechtigungen in 2026 tatsächlich funktionieren: die Rollen, die teamweiten Einstellungen, die Unterschiede zwischen Standard-, privaten und freigegebenen Kanälen sowie das App-Governance-Modell, das die alten App-Berechtigungsrichtlinien abgelöst hat. Er richtet sich an Personen, die Entscheidungen treffen müssen – nicht nur Schaltflächen klicken.

Was sind Microsoft Teams Berechtigungen?

Kurz zusammengefasst

Microsoft Teams Berechtigungen sind die Rollen und Einstellungen, die festlegen, was Personen in einem Team tun dürfen: Besitzer verwalten es, Mitglieder nehmen daran teil, und Gäste erhalten eingeschränkten Zugriff – ergänzt durch zusätzliche Kanal- und App-Berechtigungen auf weiteren Ebenen.

In der Praxis sind Berechtigungen in Teams keine einzelne Einstellung an einem einzigen Ort. Sie bestehen aus vier separaten Ebenen, und was eine Person tatsächlich tun kann, richtet sich nach der restriktivsten dieser Ebenen. Ein Mitglied darf auf Teamebene zwar Apps hinzufügen – wenn ein Administrator diese App jedoch im Teams Admin Center gesperrt hat, bleibt der Zugriff verwehrt.

Abb. 1. Die vier Ebenen der Microsoft Teams Berechtigungen.

• Mandanten- und Administratorebene. Konfiguriert im Teams Admin Center und in Microsoft Entra ID. Hier werden externer Zugriff, Gastzugang, App-Governance und Vertraulichkeitsbezeichnungen festgelegt. Keine untergeordnete Ebene kann diese Grenzen überschreiten.
• Teamebene. Rollen (Besitzer, Mitglied, Gast) sowie die Mitglieds- und Gastberechtigungs-Schalter, die ein Teambesitzer in „Team verwalten" steuert.
• Kanalebene. Standardkanäle übernehmen die Teammitgliedschaft. Private und freigegebene Kanäle verfügen über eigene Mitgliedschaften und eigene SharePoint-Websites.
• App- und Agent-Ebene. Welche Apps und Agents wem zur Verfügung stehen und auf welche Daten sie im Namen eines Benutzers zugreifen dürfen.

Wer diese Ebenen richtig konfiguriert, schützt vertrauliche Informationen, verhindert versehentliche Löschvorgänge und schafft klare Verantwortlichkeiten: Jeder weiß, wer was ändern darf. Einen umfassenderen Überblick darüber, wie Berechtigungen in einen übergeordneten Kontrollrahmen eingebettet sind, bieten unser Microsoft Teams Sicherheits- und Datenschutzleitfaden sowie unsere Übersicht zur Microsoft Teams Governance.

Teams-Rollen im Vergleich: Besitzer vs. Mitglied vs. Gast

Jede Person in einem Team hat genau eine von drei Rollen. Die Rolle bestimmt die Grundausstattung an Möglichkeiten; die Einstellungen des Teambesitzers legen fest, wie viel davon tatsächlich aktiviert ist.

Abb. 2. Möglichkeiten von Besitzern, Mitgliedern und Gästen auf einen Blick.

Die folgende Tabelle zeigt die Praxisversion. „Falls erlaubt" bedeutet: Die Funktion steht dieser Rolle grundsätzlich zur Verfügung, wird aber durch einen Schalter gesteuert, den der Teambesitzer kontrolliert – beschrieben im nächsten Abschnitt.

Quellen: Microsoft, „Assign team owners and members in Microsoft Teams admin center" und „Team owner, member, and guest capabilities in Microsoft Teams".

Teambesitzer

Besitzer haben die höchste Autorität innerhalb eines Teams. Sie verwalten die Mitgliedschaft, befördern und degradieren Personen, steuern sämtliche Berechtigungsschalter, fügen Gäste hinzu oder entfernen sie, erstellen und löschen freigegebene Kanäle und können das Team archivieren oder vollständig löschen. Die entsprechende Referenz von Microsoft ist Assign team owners and members in Microsoft Teams admin center.

Zwei Regeln sind wichtiger als jede Einstellung. Erstens: Jedem Team sollten immer mindestens zwei Besitzer zugewiesen sein. Ein einzelner Besitzer, der das Unternehmen verlässt oder längere Zeit abwesend ist, hinterlässt ein verwaistes Team, das nur ein Teams-Administrator retten kann. Zweitens: Besitzerrechte sollten nicht als Gefälligkeit vergeben werden. Besitzer können Kanäle löschen und Sicherheitseinstellungen ändern – das ist keine Ehrenbezeichnung, sondern eine Verantwortung.

Mitglied

Mitglieder stellen die interne Mehrheit dar. Sie posten, antworten, teilen Dateien, nehmen an Besprechungen teil und nutzen alle Apps, die der Besitzer freigegeben hat. Was sie nicht können: die Struktur des Teams verändern – also das Team umbenennen oder löschen, Personen befördern oder teamweite Einstellungen ändern. Kanalerstellung, App-Installation, Registerkartenverwaltung und Nachrichtenlöschung sind Mitgliedsfunktionen, die ein Besitzer ein- oder ausschalten kann.

Eine Asymmetrie fällt häufig auf: Mitglieder können private Kanäle erstellen, wenn dies erlaubt ist – freigegebene Kanäle können sie hingegen nie erstellen. Das ist ausschließlich Besitzern vorbehalten, ohne die Möglichkeit, dies per Schalter zu ändern.

Gast

Gäste sind Personen von außerhalb der Organisation, die mit einem Gastkonto zu einem bestimmten Team hinzugefügt werden. Sie können an Kanalunterhaltungen und privaten Chats teilnehmen, Dateien in Kanalbeiträgen anhängen und – sofern der Besitzer es erlaubt – einen Kanal erstellen. Sie können keine Apps, Registerkarten oder Bots hinzufügen, keine Dateien im privaten Chat teilen, verfügen über keinen OneDrive for Business-Speicher, können das Organigramm nicht einsehen und können nicht zum Besitzer befördert werden.

Gastzugang wird zudem auf einer übergeordneten Ebene gesteuert: Er muss auf Mandantenebene aktiviert sein, und Zugriffseinschränkungen für Microsoft Entra-Gastbenutzer können einschränken, was ein Gast im Verzeichnis sieht. Microsoft dokumentiert den vollständigen Vergleich in Guest access in Microsoft Teams. Da der Gastzugang ein eigenständiges Thema mit eigenen Einstellungen und Fallstricken ist, behandeln wir ihn separat in unserem Microsoft Teams Gastzugang-Leitfaden.

Berechtigungen oder Gastzugang?

Wenn die Frage lautet „Was dürfen die Personen in meiner Organisation tun?", geht es um Berechtigungen – das ist Thema dieses Artikels. Lautet die Frage „Wie lasse ich sicher jemanden von außerhalb meiner Organisation herein?", ist das Gastzugang und externe Zusammenarbeit – der Gastzugang-Leitfaden ist dann der bessere Ausgangspunkt.

Allgemeine Microsoft Teams Berechtigungseinstellungen

Berechtigungen auf Teamebene können Teambesitzer selbst konfigurieren, ohne einen Administrator einzubeziehen. Sie sind die schnellste verfügbare Stellschraube – und werden am häufigsten unverändert gelassen.

Mitgliederberechtigungen auffinden

1. Navigieren Sie in Teams in der linken Leiste zum gewünschten Team.
2. Wählen Sie das Menü Weitere Optionen (…) neben dem Teamnamen, dann Team verwalten.
3. Öffnen Sie die Registerkarte Einstellungen.
4. Klappen Sie Mitgliederberechtigungen, Gastberechtigungen oder @Erwähnungen nach Bedarf auf.

Abb. 3. Der Bereich „Mitgliederberechtigungen" auf der Registerkarte „Einstellungen" des Teams.

Was die einzelnen Berechtigungsschalter bewirken

Diese Schalter gelten für alle Mitglieder des Teams. Sie haben keinen Einfluss auf Besitzer; Gäste verfügen über eine eigene, kürzere Liste.

Teambesitzer konfigurieren diese Einstellungen unter Team verwalten → Einstellungen → Mitgliederberechtigungen.

Der Abschnitt @Erwähnungen ist separat und wird leicht übersehen. Das Deaktivieren von „@team" und „@channel" verhindert, dass eine Person mit zwei Tastenanschlägen mehrere Hundert Personen benachrichtigt – eine kleine Berechtigung mit großer Wirkung auf die Nutzbarkeit großer Teams.

Gastberechtigungseinstellungen

Die Gastberechtigungen innerhalb eines Teams sind bewusst kurzgehalten: ob Gäste Kanäle erstellen und aktualisieren dürfen, und ob sie Kanäle löschen dürfen. Beide Optionen sind standardmäßig auf einen konservativen Wert gesetzt und sollten so bleiben, sofern ein Gast den Arbeitsbereich nicht wirklich mitverantwortlich leitet. Die Schritt-für-Schritt-Anleitung von Microsoft findet sich unter Set guest permissions for channels in Microsoft Teams.

Alles andere – ob Gäste private Anrufe tätigen, Besprechungsfunktionen nutzen, eigene Nachrichten löschen oder Inline-Bilder verwenden dürfen – wird organisationsweit von einem Administrator festgelegt, nicht vom Teambesitzer.

Abb. 4. Gastberechtigungen auf der Registerkarte „Einstellungen" des Teams.

Rolle einer Person ändern

Nur ein Teambesitzer (oder ein Teams-Administrator im Admin Center) kann eine Rolle ändern.

1. Öffnen Sie das Team und wählen Sie Weitere Optionen (…) → Team verwalten.
2. Wechseln Sie zur Registerkarte Mitglieder und suchen Sie die gewünschte Person.
3. Verwenden Sie das Dropdown in der Spalte Rolle, um zwischen Besitzer und Mitglied zu wechseln.
4. Die Änderung wird sofort wirksam. Es gibt keinen Genehmigungsschritt und keine Benachrichtigung an die betroffene Person – informieren Sie diese daher manuell.

Abb. 5. Rollenänderung zum Besitzer unter Team verwalten → Mitglieder.

Gäste können nicht befördert werden. Wenn ein externer Mitarbeiter tatsächlich Besitzerrechte benötigt, braucht er ein Konto in Ihrem Mandanten – das ist eine Lizenzierungs- und Identitätsentscheidung, keine Teams-Einstellung.

Microsoft Teams Kanalberechtigungen

Kanäle sind der Ort, an dem die meisten Berechtigungsfehler tatsächlich sichtbar werden – denn die drei Kanaltypen haben grundlegend unterschiedliche Zugriffsmodelle, keine bloßen Varianten eines gemeinsamen Modells.

Abb. 6. Standard-, private und freigegebene Kanäle im Vergleich.

Quellen: Microsoft, „Private channels in Microsoft Teams", „Shared channels in Microsoft Teams" und „Teams channels overview".

Berechtigungen in Standardkanälen

Ein Standardkanal übernimmt die Teammitgliedschaft: Wer im Team ist, ist auch im Kanal. Es gibt keine separate Mitgliederliste zu verwalten – genau deshalb sind Standardkanäle die richtige Standardwahl. Was innerhalb eines Standardkanals erlaubt ist, wird durch die oben beschriebenen Mitgliederberechtigungsschalter sowie durch die Kanalmoderation geregelt.

Die Moderation ist die einzige echte kanalspezifische Steuerung bei Standardkanälen. Wenn sie aktiviert ist, bestimmen Sie, wer neue Beiträge erstellen darf, ob Mitglieder antworten können und ob Bots und Connectors posten dürfen. Es ist der sauberste Weg, einen Ankündigungskanal so zu betreiben, wie er es sein sollte.

Berechtigungen in privaten Kanälen

Ein privater Kanal hat einen eigenen Besitzer, eigene Mitglieder und eine eigene SharePoint-Website. Der Ersteller wird zum Besitzer des privaten Kanals und ist allein dafür zuständig, Mitglieder hinzuzufügen oder zu entfernen, Registerkarten und Apps zu verwalten und Kanaleinstellungen zu ändern. Die Mitglieder werden aus dem Team gezogen – man kann niemanden zu einem privaten Kanal hinzufügen, der nicht bereits im Team ist – und die Rollen dort sind unabhängig von den Teamrollen.

Der am häufigsten übersehene Punkt: Ein Teambesitzer, der kein Mitglied eines privaten Kanals ist, kann diesen nicht lesen. Er sieht den Kanalnamen unter „Team verwalten" und kann ihn innerhalb des 30-Tage-Fensters löschen oder wiederherstellen – hat aber keinen Zugriff auf die Unterhaltungen oder die SharePoint-Website des Kanals. Das ist keine Fehlentwicklung, sondern ein bewusstes Design – und gleichzeitig ein Governance-Problem, wenn man davon ausgegangen ist, dass Teambesitzer vollständige Transparenz haben.

Was sich im November 2025 geändert hat

Microsoft hat das langjährige Limit von 30 privaten Kanälen pro Team aufgehoben. Private Kanäle zählen nun wie alle anderen Kanäle auf das Limit von 1.000 Kanälen pro Team, die Mitgliederzahl stieg auf 5.000 pro privatem Kanal, und private Kanäle unterstützen jetzt auch geplante Kanalbesprechungen. Compliance-Kopien von Nachrichten aus privaten Kanälen werden nun in das Gruppenpostfach übertragen, nicht mehr in das Postfach jedes einzelnen Mitglieds. Jeder Leitfaden, der noch „maximal 30 private Kanäle" nennt, ist veraltet – siehe Private channels in Microsoft Teams.

Private Kanäle haben weiterhin echte Einschränkungen. Sie unterstützen keine Connectors, und mehrere First-Party-Registerkarten – Stream, Planner, Tasks, To Do und Forms – sind nicht verfügbar. Ein privater Kanal kann nicht in einen Standardkanal umgewandelt werden und umgekehrt. Wenn diese Einschränkungen problematisch werden, ist die Antwort meist ein separates Team statt eines privaten Kanals. Unser Leitfaden zu Microsoft Teams Grenzen und Einschränkungen bietet einen vollständigen Überblick über alle relevanten Obergrenzen.

Abb. 7. Erstellen eines privaten Kanals und Konfigurieren der Mitgliedschaft.

Berechtigungen in freigegebenen Kanälen

Freigegebene Kanäle – Microsoft Teams Connect – ermöglichen es, einen Kanal mit anderen Teams und Personen in anderen Organisationen zu teilen, ohne sie zum eigenen Team hinzuzufügen und ohne Gastkonten zu benötigen. Externe Teilnehmer treten über Microsoft Entra B2B Direct Connect bei, was erfordert, dass mandantenübergreifende Zugriffseinstellungen in beiden Mandanten konfiguriert sind.

Drei Regeln definieren das Berechtigungsmodell:

• Nur Teambesitzer können sie erstellen. Es gibt keinen Schalter, der Mitgliedern die Erstellung freigegebener Kanäle erlaubt.
• Gäste können nicht hinzugefügt werden. Selbst ein Gast, der bereits im Team ist, und selbst ein zum Mitglied umgewandelter Gast kann einem freigegebenen Kanal nicht beitreten.
• Teambesitzer sehen Namen, aber keine Inhalte. Wie bei privaten Kanälen kann ein Besitzer, der kein Kanalmitglied ist, den Kanal sehen und löschen – nicht aber die Dateien, Unterhaltungen oder die Mitgliederliste einsehen.

Ein freigegebener Kanal kann mit bis zu 50 Teams geteilt werden und bis zu 5.000 direkte Mitglieder aufnehmen. Die DLP-Richtlinien, Vertraulichkeitsbezeichnungen, Kommunikations-Compliance und der bedingte Zugriff Ihrer Organisation gelten auch für externe B2B Direct Connect-Teilnehmer; die Richtlinien der anderen Organisation tun es nicht. Eine Compliance-Lücke, die man kennen sollte: Administratoren können externe Teilnehmer nicht in einen gesetzlichen Aufbewahrungsstatus versetzen.

Den richtigen Kanaltyp wählen

Die meisten Berechtigungsanfragen, die als „Können Sie ihnen Zugriff geben?" eingehen, sind eigentlich Fragen nach dem richtigen Kanaltyp. Die folgende Entscheidungsabfolge klärt fast alle davon.

Abb. 8. Entscheidungspfad zur Wahl des richtigen Kanaltyps.

App-Berechtigungseinstellungen in Microsoft Teams

App-Berechtigungen sind die Ebene, die die meisten Organisationen am schlechtesten steuern – und diejenige mit dem größten Schadenspotenzial. Eine App, die Zugriff auf Kanalnachrichten erhalten hat, kann alle Nachrichten in jedem Kanal lesen, dem sie hinzugefügt wird.

App-Berechtigungsrichtlinien wurden abgelöst

Das ist die wichtigste Änderung an der Teams-Governance in den letzten Jahren, und die meisten älteren Leitfäden liegen hier falsch. App-Berechtigungsrichtlinien – das alte Modell, bei dem Richtlinien erstellt und Benutzern zugewiesen wurden – wurden durch App-zentriertes Management ersetzt, das die Verfügbarkeit pro App festlegt. Die automatische Migration der Mandanten läuft seit April 2025, ist unumkehrbar, und nach der Migration können Berechtigungsrichtlinien weder aufgerufen noch bearbeitet werden.

Beim App-zentrierten Management hat jede App eine von drei Verfügbarkeitseinstellungen: Alle, Bestimmte Benutzer oder Gruppen oder Niemand. Ein Detail kann leicht zu Verwirrung führen: Bei „Bestimmte Benutzer oder Gruppen" können Gäste die App niemals verwenden, selbst wenn sie explizit zugewiesen werden. Die Referenz von Microsoft ist App centric management.

App-Setup-Richtlinien existieren weiterhin und erfüllen nach wie vor ihre ursprüngliche Funktion – sie steuern, welche Apps für einen Benutzer installiert und angeheftet werden. Sie liegen über der Verfügbarkeit: Das Anheften einer App, auf die ein Benutzer keinen Zugriff hat, gewährt ihm diesen Zugriff nicht.

App-Verfügbarkeit konfigurieren

1. Melden Sie sich im Teams Admin Center an.
2. Navigieren Sie zu Teams-Apps → Apps verwalten.
3. Suchen Sie die App und öffnen Sie sie. Überprüfen Sie die Registerkarte Berechtigungen – sie listet auf, was die App lesen und schreiben kann – sowie Zertifizierungs- und Vertrauensdetails.
4. Legen Sie auf der Registerkarte Benutzer und Gruppen die Verfügbarkeit auf „Alle", „Bestimmte Benutzer oder Gruppen" oder „Niemand" fest.
5. Verwenden Sie Aktionen → Organisationsweite App-Einstellungen, um Drittanbieter-Apps und benutzerdefinierte Apps gesammelt zu steuern, einschließlich der Option, nur Microsoft 365-zertifizierte Apps zuzulassen.

Abb. 9. Die Seite „Apps verwalten" im Teams Admin Center.

Einwilligung, Least Privilege und Vertrauenssignale

Die Verfügbarkeit entscheidet, ob eine App genutzt werden darf. Die Einwilligung entscheidet, auf welche Daten sie zugreifen darf. Einige Teams-Apps fordern Microsoft Graph-Berechtigungen an, die eine Administratoreinwilligung erfordern; deren Erteilung gilt mandantenweit und verdient daher die gleiche Sorgfalt wie jede andere privilegierte Genehmigung. Microsoft erklärt das Modell in Microsoft Teams apps permissions and consent.

Das Prinzip der geringsten Rechtevergabe (Least Privilege) sollte jede dieser Entscheidungen leiten: Nur die Berechtigungen gewähren, die eine App wirklich benötigt, und nur für die Personen, die sie wirklich brauchen. Seit März 2026 zeigt das Admin Center außerdem einen Organisationsvertrauensscore für Apps und Agents an, der anhand selbst definierter Vertrauensanforderungen bewertet wird – ergänzt durch Risikobewertungen pro Berechtigung und Filter für SOC 2, ISO 27001, HIPAA und DSGVO. Diese Werkzeuge sollten genutzt werden – sie machen aus einem Bauchgefühl eine dokumentierte Entscheidung.

Wer einen breiteren App-Stack zusammenstellt, findet in unserem Leitfaden zu Microsoft Teams Integrationen Hinweise darauf, worauf man achten sollte, bevor eine App die Genehmigungsstufe erreicht.

Berechtigungen über das Teams Admin Center verwalten

Teambesitzer verwalten jeweils ein Team. Alles, was organisationsweit konsistent gelten soll, gehört in das Teams Admin Center – dort werden Änderungen richtlinienbasiert vorgenommen, in großem Maßstab angewendet und hinterlassen einen Audit-Trail.

Microsoft dokumentiert die gesamte Oberfläche unter „Manage teams in the Microsoft Teams admin center".

Abb. 10. Der Bereich „Externe Zusammenarbeit" im Teams Admin Center.

Teamvorlagen verdienen besondere Erwähnung. Eine Vorlage erfasst Kanäle, Apps und Einstellungen, sodass jedes daraus erstellte Team mit dem gewünschten Berechtigungsprofil startet – anstatt mit dem, was der Ersteller zufällig angeklickt hat. Das ist der kostengünstigste Governance-Gewinn überhaupt, und er funktioniert genau deshalb so gut, weil er eine Entscheidung überflüssig macht, anstatt eine Regel hinzuzufügen. Da Teams auf Microsoft 365-Gruppen basieren, verstärken Gruppenrichtlinien wie Namenskonventionen und Ablaufregeln diese Struktur von unten.

Was sich bei Teams-Berechtigungen 2025 und 2026 geändert hat

Wer interne Dokumentationen vor 2025 erstellt hat, wird feststellen, dass mehrere Abschnitte inzwischen überholt sind. Die folgenden Änderungen betreffen nicht nur die Lage von Schaltflächen, sondern die Art und Weise, wie Berechtigungen festgelegt werden.

Quelle: Microsoft, „Release notes for Microsoft Teams admin features", wird laufend aktualisiert.

Häufige Fehler bei Microsoft Teams Berechtigungen

Jeden zum Besitzer machen

Der häufigste Fehler – und der folgenreichste. Besitzer können Mitglieder entfernen, Rollen ändern, Kanäle löschen und Sicherheitseinstellungen anpassen. Ein Team, in dem alle Besitzer sind, hat kein Berechtigungsmodell – es hat eine Bezeichnungskonvention. Besitzrechte sollten nur an Personen vergeben werden, die echte Verantwortung für das Team tragen, und die Zahl sollte klein bleiben – aber nie bei nur einer Person.

Gäste nach Projektende nicht entfernen

Gastkonten laufen nicht automatisch ab. Ein Auftragnehmer, der für ein sechswöchiges Engagement hinzugefügt wurde, liest weiterhin Kanalverlauf und Dateien, bis ihn jemand entfernt. Legen Sie einen Überprüfungsrhythmus fest, und nutzen Sie den Microsoft 365-Gruppenablauf sowie Zugriffsüberprüfungen, damit die Entfernung geplant statt erinnert erfolgt.

Apps genehmigen, ohne die Berechtigungen zu lesen

Drittanbieter-Apps fordern routinemäßig umfassenderen Zugriff an, als sie benötigen. Eine App, die alle Kanalnachrichten lesen möchte, um eine tägliche Zusammenfassung zu versenden, hat nach der Genehmigung die Berechtigung, alle Kanalnachrichten zu lesen – punkt. Lesen Sie die Registerkarte „Berechtigungen" vor der Genehmigung, bevorzugen Sie zertifizierte Apps, und nutzen Sie die im Admin Center integrierten Vertrauenssignale.

Annehmen, dass Teambesitzer alles sehen können

Das können sie nicht. Private und freigegebene Kanäle sind für Besitzer, die keine Mitglieder sind, inhaltlich unsichtbar. Planen Sie das ein: Wenn ein Team überprüfbare Transparenz erfordert, muss diese durch Compliance-Tools und eDiscovery sichergestellt werden – nicht durch die Besitzerrolle.

Alles Team für Team verwalten

Manuelle Konfiguration pro Team ist nicht skalierbar und hinterlässt keine Nachvollziehbarkeit. Alles, was organisationsweit gelten soll – App-Verfügbarkeit, Gastverhalten, Nachrichtenberechtigungen – gehört in eine Richtlinie im Admin Center, wo es gesammelt angewendet und später überprüft werden kann.

Berechtigungen nie überprüfen

Berechtigungen driften. Personen wechseln Rollen, Projekte enden, Apps werden installiert. Ein Berechtigungsmodell, das nie überprüft wird, ist am Tag der Erstellung korrekt – und wird von da an schrittweise ungenau.

Abb. 11. Ein Überprüfungsrhythmus für Berechtigungen, der realistisch umsetzbar ist.

Governance und Berechtigungsverwaltung mit Virto Apps

Microsoft liefert die Steuerungsmöglichkeiten. Was es nicht liefert, ist ein Weg, Änderungen rechtzeitig zu bemerken – oder einen Arbeitsbereich, in dem Rollengrenzen im Tagesgeschäft sichtbar sind, statt in einem Einstellungs-Tab vergraben zu sein. Diese Lücke füllen die Virto Apps für Microsoft 365 und Microsoft Teams. Jede der folgenden Apps wird hinsichtlich ihres Beitrags zur Berechtigungsverwaltung beschrieben; der Abschnitt schließt mit aktuellen Preisen für alle vier.

Virto Notifications & Reminders App

Berechtigungsprobleme werden selten in Echtzeit entdeckt – sondern meist später, zufällig. Die Virto Notifications & Reminders App schließt diese Lücke, indem sie Änderungen in Microsoft 365 und SharePoint in Benachrichtigungen in genau den Teams-Kanälen umwandelt, in denen die verantwortlichen Personen tatsächlich arbeiten.

• Benachrichtigt Besitzer oder Compliance-Verantwortliche sofort, wenn sich eine vertrauliche Liste, Bibliothek oder Website ändert.
• Eskaliert automatisch, wenn eine Benachrichtigung unbeantwortet bleibt, damit nichts still liegenbleibt.
• Ermöglicht bedingungsbasierte Regeln – für eine bestimmte Dokumentbibliothek, ein bestimmtes Feld, einen bestimmten Wert – statt pauschaler Benachrichtigungen, die ignoriert werden.
• Kombiniert Echtzeit-Benachrichtigungen und geplante Zusammenfassungen, damit Routineüberprüfungen planmäßig eintreffen und echte Ausnahmen sofort gemeldet werden.

Besonders geeignet für: Administratoren und Compliance-Teams, die über zugriffsrelevante Änderungen informiert werden müssen, solange sie noch handlungsfähig sind.

Abb. 12. Virto Notifications & Reminders App.

Virto Kanban Board App

Rollen haben nur dann Bedeutung, wenn Aufgaben sichtbar Personen zugeordnet sind. Die Virto Kanban Board App stellt einem Team ein gemeinsames Board direkt in Teams zur Verfügung, auf dem die Verantwortlichkeit für jede Aufgabe explizit und die Änderungshistorie nachvollziehbar ist.

• Jede Karte wird einer namentlich genannten Person zugeordnet – damit ist „Wer ist verantwortlich?" direkt auf dem Board beantwortet, nicht in einem Thread.
• Ein transparenter Rückstand spiegelt die tatsächliche Teamstruktur wider.
• Integrierte Berichte und Änderungshistorie helfen dabei, nachzuvollziehen, wer wann was verschoben hat.
• Nutzbar auf Desktop, im Web und mobil, ohne ein separates Verwaltungswerkzeug.

Besonders geeignet für: Projektmanager, die möchten, dass Verantwortlichkeiten auf Aufgabenebene mit den Rollen auf Teamebene übereinstimmen.

Abb. 13. Virto Kanban Board App.

Virto Calendar App

Kalender sind eine Berechtigungsebene, die häufig vergessen wird. Die Virto Calendar App überlagert mehrere Microsoft 365-, SharePoint- und Exchange-Quellen in einer einzigen Ansicht, während die Kontrolle darüber, wer welchen Kalender sehen, erstellen oder bearbeiten darf, erhalten bleibt.

• Lese- oder Bearbeitungsrechte pro Kalenderquelle statt einer Alles-oder-Nichts-Lösung.
• Unbegrenzte Kalender können überlagert und farbcodiert werden, sodass Sichtbarkeit auf einen Blick erkennbar ist.
• Vertrauliche Termine und Ressourcenbuchungen bleiben unter expliziter Zugangskontrolle.

Besonders geeignet für: Organisationen, bei denen Planung vertrauliche Termine oder gemeinsam genutzte Ressourcen berührt. Unser Microsoft Teams Kalender-Leitfaden bietet einen umfassenderen Überblick zur Einrichtung.

Abb. 14. Virto Calendar App.

Virto Shared Calendar App

Wenn ein Kalender mit Personen geteilt werden muss, die niemals ein Konto in Ihrem Mandanten haben werden, ist Gastzugang das falsche Mittel. Die Virto Shared Calendar App teilt einen Kalender über einen gesicherten Link mit Lese- oder Bearbeitungsrechten – ohne Microsoft-Konto erforderlich.

• Extern teilen ohne Gastkonten zu erstellen oder mandantenweite externe Einstellungen zu ändern.
• Granulare Berechtigungen pro Link, Ereignisse können markiert und farbcodiert werden.
• Einsetzbar auf Desktop, im Web und mobil, ohne Schulungsaufwand.

Besonders geeignet für: Teams, die eine schlanke externe Kalenderfreigabe benötigen. Siehe auch unseren Leitfaden zur Erstellung eines freigegebenen Kalenders in Microsoft Teams.

Abb. 15. Virto Shared Calendar App.

Virto-Preise auf einen Blick

Die Abrechnungseinheiten unterscheiden sich je nach App – pro Benutzer, pro Mandant oder pro Ersteller –, aber alle vier werden jährlich abgerechnet und starten mit derselben 30-tägigen kostenlosen Testversion. Die nachstehenden Zahlen entsprechen den zum Zeitpunkt der Erstellung auf den jeweiligen Produktseiten veröffentlichten Preisen; zwei davon sind zeitlich begrenzte Angebote – prüfen Sie daher die Produktseite, bevor Sie sie zitieren.

Quelle: individuelle Virto-Produktseiten. Schulen, Hochschulen, Krankenhäuser und gemeinnützige Organisationen erhalten einen Rabatt von 15 %, und jede Lizenz umfasst ein Jahr Updates.

Im eigenen Mandanten testen

Jede Virto App für Microsoft Teams und Microsoft 365 startet mit einer 30-tägigen kostenlosen Testversion, sodass ein Governance-Workflow gegen echte Daten getestet werden kann, bevor irgendwer eine Verpflichtung eingeht. Überprüfen Sie Datenschutz und Zertifizierungen im Virto Trust & Security Center, informieren Sie sich über aktuelle Angebote auf der Preisseite, stöbern Sie im vollständigen Microsoft Teams App-Angebot, oder buchen Sie eine Produktdemo, wenn Sie eine persönliche Führung bevorzugen.

Eine praktische Berechtigungs-Checkliste

Wenn Sie nichts anderes tun – tun Sie zumindest das:

• Jedem Team mindestens zwei Besitzer zuweisen, aber nicht mehr, als Sie namentlich benennen können.
• Bewusst entscheiden, ob Mitglieder Kanäle erstellen und Apps installieren dürfen – statt die Standardeinstellung zu akzeptieren.
• @team und @channel in jedem Team mit mehr als ungefähr fünfzig Personen deaktivieren.
• Einen privaten Kanal für eine Teilmenge des Teams nutzen, einen freigegebenen Kanal für Personen außerhalb davon, und einen Standardkanal für alles andere.
• App-Verfügbarkeit und -Berechtigungen im Admin Center überprüfen; zertifizierte Apps bevorzugen und die Registerkarte „Berechtigungen" vor der Genehmigung lesen.
• Gäste monatlich überprüfen und alle entfernen, deren Aufgabe abgeschlossen ist.
• Teams aus Vorlagen erstellen, damit das Berechtigungsprofil vererbt statt improvisiert wird.
• Schriftlich festhalten, wer Zugangsentscheidungen trifft. Ein Modell ohne namentlichen Verantwortlichen ist eines, das mit der Zeit zerfällt.

Berechtigungsverwaltung in Teams ist kein technisches Detail, das der Zusammenarbeit angeheftet wird – sie ist das, was Zusammenarbeit sicher genug macht, um nützlich zu sein. Konfigurieren Sie die Ebenen bewusst, überprüfen Sie sie regelmäßig, und lassen Sie Werkzeuge Sie informieren, wenn sich etwas ändert. Weiterführende Lektüre finden Sie in unseren Leitfäden zu Microsoft Teams Tags, Microsoft Teams Status, Umfragen in Teams erstellen und Teams-Besprechungen planen.

Häufig gestellte Fragen

Was sind Microsoft Teams Berechtigungen?

Die Rollen und Einstellungen, die festlegen, was Personen in einem Team tun dürfen: Besitzer verwalten es, Mitglieder nehmen daran teil, und Gäste erhalten eingeschränkten Zugriff – ergänzt durch zusätzliche Kanal- und App-Berechtigungen auf weiteren Ebenen.

Was ist der Unterschied zwischen einem Besitzer und einem Mitglied in Teams?

Besitzer können Einstellungen, Mitglieder und Kanäle verwalten; Mitglieder können teilnehmen und, falls erlaubt, Kanäle erstellen – aber keine teamweiten Einstellungen ändern. Nur ein Besitzer kann ein Team umbenennen, archivieren oder löschen, jemanden zum Besitzer befördern, Gäste hinzufügen oder entfernen oder einen freigegebenen Kanal erstellen.

Kann ich einschränken, was Mitglieder in einem Microsoft Teams-Team tun dürfen?

Ja. Ein Teambesitzer öffnet Team verwalten → Einstellungen → Mitgliederberechtigungen und schaltet einzelne Funktionen ein oder aus: Kanäle erstellen und löschen, private Kanäle erstellen, Apps und Registerkarten hinzufügen sowie eigene Nachrichten bearbeiten oder löschen. Was für mehrere Teams gelten soll, sollte stattdessen als Richtlinie im Teams Admin Center konfiguriert werden.

Wer kann Berechtigungen in Microsoft Teams ändern?

Teambesitzer ändern Berechtigungen für ihr eigenes Team. Teams-Administratoren ändern sie für jedes Team und legen die organisationsweiten Richtlinien fest, die begrenzen, was Teambesitzer tun können. Mitglieder und Gäste können keine Berechtigungen ändern.

Kann ein Teambesitzer einen privaten Kanal einsehen, in dem er kein Mitglied ist?

Nein. Ein Teambesitzer sieht den Kanalnamen unter „Team verwalten" und kann ihn löschen oder wiederherstellen – kann aber keine Unterhaltungen lesen oder auf die SharePoint-Website des Kanals zugreifen, sofern er kein Kanalmitglied ist. Dasselbe gilt für freigegebene Kanäle.

Was ist der Unterschied zwischen einem privaten und einem freigegebenen Kanal?

Ein privater Kanal schränkt eine Unterhaltung auf eine Teilmenge des vorhandenen Teams ein. Ein freigegebener Kanal öffnet einen Kanal für Personen außerhalb des Teams – einschließlich anderer Organisationen – über Microsoft Entra B2B Direct Connect. Mitglieder können private Kanäle erstellen, wenn der Besitzer es erlaubt; nur Besitzer können freigegebene Kanäle erstellen, und Gäste können einem freigegebenen Kanal nicht beitreten.

Wie viele private Kanäle kann ein Team haben?

Das alte Limit von 30 privaten Kanälen pro Team wurde im November 2025 aufgehoben. Private Kanäle zählen nun auf das Limit von 1.000 Kanälen pro Team, und jeder private Kanal unterstützt bis zu 5.000 Mitglieder.

Gibt es noch App-Berechtigungsrichtlinien in Microsoft Teams?

Nein. App-Berechtigungsrichtlinien wurden durch App-zentriertes Management ersetzt, das die Verfügbarkeit pro App festlegt – „Alle", „Bestimmte Benutzer oder Gruppen" oder „Niemand". Die Migration erfolgt automatisch seit April 2025 und kann nicht rückgängig gemacht werden. App-Setup-Richtlinien, die Installation und Anheften steuern, existieren weiterhin.

Können Gäste zum Teambesitzer befördert werden?

Nein. Gast ist eine feste Rolle. Wenn ein externer Mitarbeiter Besitzerrechte benötigt, braucht er ein lizenziertes Konto in Ihrem Mandanten – das ist eine Identitäts- und Lizenzierungsentscheidung, keine Teams-Einstellung.

Wie häufig sollten Teams-Berechtigungen überprüft werden?

Aufteilen, damit es tatsächlich passiert: Gastlisten monatlich überprüfen, Besitzerabdeckung und App-Zugriff vierteljährlich bestätigen, und Kanäle sowie private Kanal-Mitgliedschaften zweimal im Jahr prüfen.