Microsoft Teams Governance: Richtlinien und Best Practices

Kurze Antwort: Was ist Microsoft Teams Governance?

Microsoft Teams Governance bezeichnet die Gesamtheit der Richtlinien und Kontrollen, die Teams organisiert und sicher halten: wie Teams erstellt, benannt und abgelaufen werden, wer beitreten darf und welche Sicherheits- und Compliance-Regeln gelten. In der Praxis geht es um fünf Entscheidungen – wer ein Team erstellen darf, wie es heißen muss, wie lange es existiert, wer hinzugefügt werden kann und wie seine Daten klassifiziert und aufbewahrt werden.

Teams Governance hat den Ruf, ein Richtlinienordner zu sein, den niemand liest. Zu Unrecht. Es handelt sich um eine überschaubare Anzahl von Einstellungen in Microsoft Entra ID, dem Teams Admin Center und Microsoft Purview, die darüber entscheiden, ob Ihr Tenant ein durchsuchbarer Arbeitsbereich ist oder eine Ablage voller halbverlassener Teams mit Gästen, an deren Einladung sich niemand mehr erinnert.

Dieser Leitfaden behandelt die wesentlichen Entscheidungen, wo sie jeweils konfiguriert werden und was sich in 2025–2026 geändert hat – einschließlich des Grundes, warum Governance für viele Organisationen keine Option mehr ist: Microsoft 365 Copilot zeigt alles an, worauf Ihre Berechtigungen Zugriff erlauben. Jedes nicht mehr verwaltete Team und jede übermäßig freigegebene Website ist damit eine Antwort, die der falschen Person gegeben werden könnte.

Abb. 1. Die fünf Governance-Entscheidungen und wo jede davon konfiguriert wird

Was Microsoft Teams Governance tatsächlich umfasst

Jedes Team in Microsoft Teams ist eine Microsoft 365-Gruppe mit zusätzlich angebundenen Diensten. Das Erstellen eines Teams legt gleichzeitig eine Gruppe, eine SharePoint-Website, ein Gruppenpostfach, einen Planner-Plan und ein OneNote-Notizbuch an. Dieser Umstand erklärt den größten Teil der Teams Governance: Die relevanten Kontrollen befinden sich überwiegend auf der Gruppen- und Website-Ebene, nicht in der Teams-App selbst.

Governance umfasst fünf Bereiche:

Erstellung – wer ein neues Team anlegen darf und ob zwischen der Absicht und dem tatsächlichen Erscheinen des Teams eine Hürde liegt.

Benennung und Klassifizierung – wie das Team heißt und welches Vertraulichkeitslabel die darin enthaltenen Daten beschreibt.

Lebenszyklus – wie lange ein Team existiert, was passiert, wenn es inaktiv wird, und wer über Archivierung oder Löschung entscheidet.

Zugriff – Mitglieder, Besitzer, Gäste und externe Organisationen sowie die regelmäßige Überprüfung aller dieser Zugriffsrechte.

Sicherheit und Compliance – Aufbewahrung, eDiscovery, DLP, bedingter Zugriff und was Copilot einsehen darf.

Ein Governance-Plan ist letztlich eine schriftliche Antwort auf diese fünf Fragen sowie die Einstellungen, die diese Antworten durchsetzen. Microsofts eigener Leitfaden Plan for governance in Teams ist genauso strukturiert – als Abfolge von Entscheidungspunkten statt als vorgeschriebene Konfiguration – weil die richtige Antwort zwischen einer 40-köpfigen Agentur und einer regulierten Bank genuinen Unterschied aufweist.

Governance bedeutet nicht dasselbe wie Abriegelung

Das häufigste Governance-Versagen ist nicht unkontrolliertes Wachstum. Es ist ein übermäßig eingeschränkter Tenant, in dem niemand ein Team erstellen kann – weshalb die Arbeit auf persönliche OneDrive-Ordner, private Chats und WhatsApp verlagert wird: Orte ohne Aufbewahrungsrichtlinie, ohne eDiscovery und ohne Prüfpfad.

Microsofts Standardeinstellung sieht vor, dass alle Benutzer Microsoft 365-Gruppen erstellen können, und empfiehlt, es für die meisten Organisationen dabei zu belassen. Die Einschränkung der Erstellung ist eine legitime Wahl – aber eine mit Kosten: Jeder Dienst, der Gruppen bereitstellt, ist betroffen – Outlook, SharePoint, Planner, Viva Engage, Power BI, Project für das Web – und jemand muss die eingehenden Anfragen bearbeiten. Entscheiden Sie bewusst, nicht aus dem Bauch heraus.

Warum Teams Governance 2026 wichtig ist

Unkontrolliertes Wachstum ist das sichtbare Symptom

Teams-Sprawl sieht so aus: Vierzig Teams, deren Namen mit „Projekt" beginnen, drei davon für dasselbe Projekt. Ein Team, das für ein zweiwöchiges Angebot erstellt wurde, seit achtzehn Monaten inaktiv ist und immer noch die Preiskalkulation des Kunden enthält. Zwölf Teams ohne Besitzer, weil der Besitzer das Unternehmen verlassen hat. Eine Suche, die vier Versionen desselben Dokuments aus vier verschiedenen Websites zurückliefert.

Das ist kein Defekt von Teams. So sieht es aus, wenn ein Werkzeug mit reibungsloser Erstellungsfunktion auf eine Organisation trifft, die nie festgelegt hat, was nach der Erstellung geschieht.

Copilot hat aus einem unordentlichen Tenant ein Sicherheitsproblem gemacht

Das ist die Änderung, die Governance ganz oben auf die Prioritätenliste gehoben hat. Microsoft 365 Copilot respektiert bestehende Berechtigungen – es zeigt einem Benutzer nie etwas, das er nicht bereits öffnen könnte. Das Problem ist, dass „bereits öffnen können" sich als weit umfangreicher herausstellt, als die meisten Organisationen angenommen haben. Inhalte, die technisch zugänglich, aber praktisch fünf Klicks tief in einer verlassenen Website vergraben waren, sind nun eine einfache Frage in natürlicher Sprache entfernt.

Microsofts eigener Readiness-Leitfaden für Copilot stellt diesen Zusammenhang explizit her und liest sich wie eine Governance-Checkliste: Stellen Sie sicher, dass jede Website einen gültigen Besitzer hat, bereinigen Sie nicht verwendete Websites, finden Sie übermäßig freigegebene Inhalte, entfernen Sie organisationsweiten Zugriff, wo er nicht gerechtfertigt ist. Die Risikosignale, auf die Admins achten sollen, sind genau die Artefakte eines unkontrollierten Teams-Wachstums: „Jeder außer externen Benutzern"-Berechtigungen, unterbrochene Vererbung, nicht beschriftete oder öffentliche Websites, Websites ohne Besitzer und inaktive Websites.

Zwei Kontrollen existieren speziell dafür. Restricted Content Discovery (Teil von SharePoint Advanced Management) verhindert, dass der Inhalt einer Website in der organisationsweiten Suche und in Copilot-Antworten erscheint, ohne Berechtigungen zu ändern – nützlich als Übergangslösung, während Besitzer den Zugriff prüfen. Restricted Access Control geht weiter und beschränkt eine Website auf Mitglieder einer benannten Sicherheits- oder Microsoft 365-Gruppe, sodass alle Personen außerhalb dieser Gruppe den Zugriff verlieren – unabhängig von früheren Berechtigungen oder Links.

Keines davon ersetzt Governance. Es sind Maßnahmen, zu denen Sie greifen, wenn Governance übersprungen wurde und Sie Zeit kaufen müssen.

Bild 1. Restricted Content Discovery-Einstellung für eine Website im SharePoint Admin Center

Die Kosten, die in der Bilanz auftauchen

Speicherplatz ist das geringste Problem. Die eigentlichen Kosten einer unkontrollierten Teams-Umgebung sind: der Audit-Befund, wenn ein Regulierer fragt, wer Zugriff auf einen Datensatz hatte und niemand eine Antwort geben kann; die eDiscovery-Kosten für die Durchsuchung von 400 Teams, weil keines ausgeschlossen werden kann; die Offboarding-Lücke, wenn das Team eines ausgeschiedenen Mitarbeiters ohne Besitzer weiterläuft; und die schleichende Belastung für alle, wenn das Auffinden der aktuellen Version eines Dokuments vier Versuche erfordert.

Richtlinien zur Teamerstellung und -benennung

Festlegen, wer Teams erstellen darf

Standardmäßig kann jeder Benutzer eine Microsoft 365-Gruppe und damit ein Team erstellen. Wenn Sie das einschränken möchten, ist die Steuerung eine Einstellung auf Verzeichnisebene in Microsoft Entra ID, die auf eine Sicherheitsgruppe verweist: Mitglieder dieser Gruppe dürfen erstellen, alle anderen nicht.

Die Schritte sind unter Manage who can create Microsoft 365 Groups dokumentiert. Im Überblick:

1. Erstellen Sie eine Sicherheitsgruppe in Microsoft Entra ID – zum Beispiel „Team Creators" – und fügen Sie die Benutzer hinzu, die erstellen dürfen.
2. Verwenden Sie das Microsoft Graph PowerShell (Beta)-Modul, um EnableGroupCreation auf false zu setzen und die Objekt-ID der Sicherheitsgruppe in GroupCreationAllowedGroupId in der Group.Unified-Verzeichniseinstellung einzutragen.
3. Warten Sie – Änderungen können 30 Minuten oder länger benötigen – und überprüfen Sie dann mit einem Konto, das keine Erstellungsrechte haben sollte.

Drei Punkte werden regelmäßig übersehen. Erstens handelt es sich um eine Lizenzanforderung, nicht nur um eine Berechtigung: Der Admin, der die Einstellung vornimmt, und jedes Mitglied der berechtigten Gruppe benötigen eine Microsoft Entra ID P1 oder P2 (oder Entra Basic EDU)-Lizenz. Zweitens gilt die Einschränkung überall, wo Gruppen bereitgestellt werden, nicht nur in Teams – Planner, Viva Engage und SharePoint-Teamwebsites sind ebenfalls betroffen. Drittens können bestimmte Admin-Rollen Gruppen weiterhin über andere Wege erstellen; Teams Service Administrators, SharePoint Administrators, Exchange Administrators und Groups Administrators können jeweils Gruppen aus ihren eigenen Admin Centern heraus erstellen, unabhängig von dieser Einstellung.

Ein bedenkenswerte Mittelweg: Lassen Sie die Erstellung offen, fordern Sie aber vor der Aufnahme in die berechtigte Gruppe ein kurzes Schulungsmodul ab. Das wandelt die Kontrolle von einem Tor in einen Onboarding-Schritt um.

Eine Benennungsrichtlinie, die den Kontakt mit Benutzern übersteht

Eine Benennungsrichtlinie ist der günstigste Governance-Gewinn, den es gibt – und sie wird tatsächlich zum Erstellungszeitpunkt durchgesetzt, anstatt eine Wiki-Seite zu sein, die niemand beachtet.

Die Benennungsrichtlinie für Microsoft 365-Gruppen hat zwei Teile, die beide im Microsoft Entra Admin Center unter Microsoft Entra ID → Gruppen → Alle Gruppen → Benennungsrichtlinie konfiguriert werden:

Präfix-Suffix-Benennung. Die Struktur lautet Präfix[Gruppenname]Suffix. Präfixe und Suffixe können feste Zeichenfolgen oder aus dem Entra-Benutzerprofil des Erstellers substituierte Attribute sein. Unterstützte Attribute sind [Department], [Company], [Office], [StateOrProvince], [CountryOrRegion] und [Title] – alles andere, einschließlich Erweiterungs- und benutzerdefinierter Attribute, wird als literale Zeichenfolge behandelt. Das Gesamtkontingent beträgt 63 Zeichen einschließlich des Gruppennamens, und [GroupName] darf genau einmal vorkommen.

Benutzerdefinierte gesperrte Wörter. Eine kommagetrennte Liste – Gehaltsabrechnung,CEO,HR,Vorstand ist ein typischer Ausgangspunkt. Bis zu 5.000 Begriffe. Zwei Verhaltensweisen sind wichtig: Der Abgleich erfolgt ohne Berücksichtigung der Groß-/Kleinschreibung, und es handelt sich um einen exakten Treffer auf den gesamten Namen, keine Teilstringsuche. Das Sperren von „lass" sperrt nicht „Klasse". Das ist absichtlich so, und es bedeutet, dass eine Liste gesperrter Wörter ein stumpferes Werkzeug ist, als die meisten annehmen.

Bild 2. Konfiguration der Gruppenbenennungsrichtlinie im Microsoft Entra Admin Center

Die Richtlinie gilt für Gruppennamen und Aliase in allen Workloads, die Gruppen erstellen, und wird sowohl beim Erstellen einer Gruppe als auch beim Bearbeiten von Name, Alias, Beschreibung oder Avatar ausgelöst. Teams zeigt Benutzern beim Tippen eine Live-Vorschau des erzwungenen Namens an, was den Support-Aufwand erheblich reduziert.

Praktische Hinweise: Die Konfiguration der Richtlinie erfordert die Rolle „Globaler Administrator", „Gruppenadministrator" oder „Verzeichnisschreiber". Globale Administratoren und Benutzeradministratoren sind von der Richtlinie ausgenommen – praktisch für Admins, aber ein Grund, die Richtlinie nicht mit dem eigenen Admin-Konto zu testen und zu dem Schluss zu kommen, sie funktioniere nicht. Die Benennungsrichtlinie erfordert dieselbe Entra ID P1-Lizenzierung wie die Erstellungssteuerung: Sie muss von jedem Benutzer, der Mitglied einer Microsoft 365-Gruppe ist, innegehalten werden – einschließlich Gästen.

Legen Sie die Namenskonvention fest, bevor Sie sie aktivieren. Ein praktikables Muster ist ein kurzes Typenpräfix plus ein substituiertes Abteilungsattribut, sodass PRJ_Atlas_Engineering und DEPT_Gehaltsabrechnung_Finanzen sinnvoll sortiert und gefiltert werden können. Vermeiden Sie die Kodierung von Informationen, die sich ändern – ein Jahr, ein Kundenname, eine Phasennummer – denn das Umbenennen eines Teams ändert nicht die URL der SharePoint-Website.

Vorlagen und Bereitstellung

Die Benennungsrichtlinie steuert die Bezeichnung. Vorlagen steuern den Inhalt. Teams-Vorlagen ermöglichen es, Kanäle, installierte Apps und Tabs vorab zu definieren, sodass ein neues Projektteam mit der benötigten Struktur startet – statt mit einem einzigen „Allgemein"-Kanal und guten Absichten. Für Organisationen, die mehr benötigen – Genehmigungen, Metadatenerfassung, automatische Besitzerzuweisung, ein Antragsformular – ist die übliche Antwort ein Bereitstellungsprozess auf Basis von Power Platform oder Microsoft Graph, der einer gesperrten Erstellungseinstellung vorgeschaltet wird.

Struktur ist genauso wichtig wie Benennung. Der häufigste Designfehler ist ein Team pro Projekt, was genau den Sprawl erzeugt, den man vermeiden möchte. Besser ist ein Team pro stabiler Personengruppe – eine Abteilung, eine Funktion, ein langfristiges Programm – mit einem Kanal pro Projekt darin. Kanäle lassen sich einfach erstellen und löschen; Teams nicht.

Lebenszyklus und Ablauf

Eine Erstellungsrichtlinie ohne Lebenszyklusrichtlinie verlangsamt nur die Auffüllrate des Tenants. Der Lebenszyklusteil ist es, bei dem die meisten Governance-Pläne stillschweigend aufhören.

Abb. 2. Der Team-Lebenszyklus, von der Erstellung über den Ablauf bis zur endgültigen Löschung

Gruppenablaufrichtlinie

Der Ablauf von Microsoft 365-Gruppen ist der native Mechanismus. Sie legen eine Lebensdauer in Tagen fest – einen voreingestellten oder benutzerdefinierten Wert, mindestens 30 – und Gruppen, die das Ende dieser Frist erreichen, ohne erneuert zu werden, werden gelöscht.

Was ihn nutzbar statt gefährlich macht, ist die aktivitätsbasierte automatische Erneuerung. Gruppen, die tatsächlich genutzt werden, erneuern sich selbst etwa 35 Tage vor dem Ablauf, ohne dass jemand eine E-Mail erhält. Die dafür relevanten Aktivitäten sind spezifisch: Anzeigen, Bearbeiten, Herunterladen, Verschieben, Freigeben oder Hochladen von Dateien in SharePoint; Beitreten zu einer Gruppe, Lesen oder Schreiben einer Gruppennachricht oder Liken einer Nachricht in Outlook im Web; Besuch eines Teams-Kanals; und Anzeigen eines Beitrags in einer Viva Engage-Community. Ein Team, das tatsächlich genutzt wird, läuft nie ab.

Wenn eine Gruppe nicht automatisch erneuert wird, erhalten Besitzer E-Mails 30 Tage, 15 Tage und 1 Tag vor dem Ablauf. Die Gruppe wird einen Tag nach dem Ablaufdatum gelöscht und kann von einem Besitzer oder Administrator innerhalb von 30 Tagen wiederhergestellt werden – ein Zeitfenster, das nicht konfigurierbar ist. Wenn die Gruppe eine SharePoint-Website oder andere persistente Objekte enthält, kann eine Wiederherstellung bis zu 24 Stunden dauern.

Die Konfiguration erfolgt unter Microsoft Entra Admin Center → Gruppen → Alle Gruppen → Ablauf oder über die New-MgGroupLifecyclePolicy-Cmdlet-Familie in Microsoft Graph PowerShell. Wissenswerte Details, bevor Sie die Richtlinie aktivieren:

1. Es kann nur eine Ablaufrichtlinie pro Tenant existieren. Sie können sie auf alle Gruppen, auf ausgewählte Gruppen oder auf keine anwenden.
2. Bei der Anwendung auf ausgewählte Gruppen gilt ein Limit von 500 Gruppen. Darüber müssen Sie die Richtlinie auf alle Gruppen anwenden, für die kein Limit gilt.
3. Wenn Sie die Richtlinie erstmals aktivieren, wird für alle Gruppen, die bereits älter als das festgelegte Intervall sind, eine Restlaufzeit von 35 Tagen gesetzt, anstatt sie sofort zu löschen.
4. Ablaufbenachrichtigungen für Teams erscheinen im Owners Feed in Teams, nicht nur per E-Mail.
5. Legen Sie eine alternative Benachrichtigungsadresse fest. Gruppen ohne Besitzer haben niemanden, dem eine E-Mail geschickt werden kann – und das ist genau die Population, die am ehesten abläuft.
6. Wie die Erstellungssteuerung und die Benennungsrichtlinie erfordert auch diese Funktion Microsoft Entra ID P1 oder P2 für Mitglieder jeder betroffenen Gruppe.
7. Archivierte Teams laufen trotzdem ab. Archivierung setzt ein Team auf schreibgeschützt; sie befreit es nicht von der Ablaufrichtlinie. Schließen Sie archivierte Teams aus oder erneuern Sie sie bewusst.
8. Eine Gruppe, deren Postfach unter Legal Hold steht, behält das Postfach nach der Löschung; Aufbewahrungsrichtlinien erhalten Inhalte im Aufbewahrungscontainer ebenfalls, auch wenn Benutzer das Team nicht mehr sehen können.

Bild 3. Ablaufeinstellungen für Microsoft 365-Gruppen im Microsoft Entra Admin Center

Archivierung und der Unterschied zur Löschung

Das Archivieren eines Teams macht es schreibgeschützt und durchsuchbar – die richtige Lösung für ein abgeschlossenes Projekt, dessen Historie weiterhin relevant ist. Wählen Sie im Teams Admin Center das Team aus und klicken Sie auf Archivieren; aktivieren Sie SharePoint-Website für Teammitglieder schreibgeschützt machen, wenn Sie auch die Website einfrieren möchten. Die Wiederherstellung erfolgt über denselben Pfad mit Wiederherstellen. Hinweis: Die Archivierung betrifft das Team selbst – angebundene Workloads laufen wie gewohnt weiter.

Die Karte Inaktive Teams in der Analytics-Ansicht des Teams Admin Centers zeigt Teams, deren angebundene Workloads in den letzten 30 oder 60 Tagen ebenfalls inaktiv waren – mit Datenschutztyp, Kanalanzahl, Benutzeranzahl und letztem Aktivitätsdatum pro Team – und ermöglicht die direkte Archivierung aus dem Bericht heraus.

Website-Lebenszyklusrichtlinien für Organisationen in größerem Maßstab

Wo SharePoint Advanced Management lizenziert ist, ergänzt das Site Lifecycle Management drei Richtlinientypen, die über Teams-verbundene Websites funktionieren und deutlich differenzierter sind als ein einzelnes mandantenweites Ablaufdatum:

1. Website-Besitzerrichtlinien erzwingen eine Mindestanzahl von Besitzern oder Website-Administratoren und benachrichtigen, wenn eine Website darunter fällt – die direkte Lösung für Teams ohne Besitzer.
2. Inaktive Website-Richtlinien erkennen Websites ohne sinnvolle Aktivität in SharePoint, Teams, Exchange und Viva Engage und benachrichtigen Besitzer.
3. Website-Bestätigungsrichtlinien fordern Besitzer auf, regelmäßig zu bestätigen, dass die Website noch benötigt wird, anstatt dies aus der Aktivität abzuleiten.

Keine davon löscht etwas direkt. Nach drei unbeantworteten monatlichen Benachrichtigungen können Sie wählen: nichts tun, die Website schreibgeschützt setzen oder sie für einen konfigurierbaren Zeitraum von 3, 6, 9 oder 12 Monaten schreibgeschützt setzen und dann über Microsoft 365 Archive archivieren. Ein Detail, das regelmäßig zu Verwirrung führt: Das Anklicken des Website-Links in einer Benachrichtigungs-E-Mail zählt nicht als Aktivität, und Leseaktivitäten innerhalb einer Stunde nach diesem Besuch werden ignoriert – nur echte Bearbeitungen setzen die Uhr zurück.

Zugriff und Gäste

Externe Zusammenarbeit ist der Bereich, in dem Governance auf die Probe gestellt wird, denn die Personen, die Sie regeln, arbeiten nicht für Sie.

Teams bietet drei verschiedene Wege für Außenstehende, und sie verhalten sich unterschiedlich genug, dass es ein Fehler ist, sie als eine einzige Einstellung zu behandeln.

Abb. 3. Gastzugriff, externer Zugriff und freigegebene Kanäle im Vergleich

Gastzugriff fügt die Person Ihrem Tenant hinzu. Jede Person mit einer geschäftlichen oder privaten E-Mail-Adresse kann eingeladen werden; ein Gastkonto wird in Microsoft Entra ID erstellt, und von diesem Zeitpunkt an gelten dieselben Compliance-, Audit-, bedingten Zugriffs- und MFA-Kontrollen wie für Ihre eigenen Benutzer. Gäste werden im Client mit (Gast) gekennzeichnet, und ein Kanal zeigt ein Symbol an, wenn Gäste anwesend sind. Ein Gast muss mindestens einem Team hinzugefügt werden, bevor Gastfunktionen verfügbar sind.

Externer Zugriff (Federation) ermöglicht Chat, Anrufe und Besprechungen mit Personen in anderen Microsoft 365-Organisationen, ohne sie zu irgendetwas hinzuzufügen. Das ist die richtige Kontrolle, wenn die Anforderung lautet „lass uns mit ihnen kommunizieren" und nicht „lass sie in unseren Arbeitsbereich".

Freigegebene Kanäle, basierend auf Microsoft Entra B2B Direct Connect, ermöglichen Personen aus einer anderen Microsoft 365-Organisation den Zugang zu einem einzelnen Kanal mit ihren eigenen Anmeldedaten – ohne Gastkonto und ohne Mandantenwechsel. Der Zugriff beschränkt sich auf diesen Kanal – sie sehen nicht den Rest des Teams. Freigegebene Kanäle sind in Teams standardmäßig aktiviert, aber die externe Zusammenarbeit darüber ist standardmäßig deaktiviert und erfordert, dass beide Organisationen eine gegenseitige Vertrauensbeziehung in den mandantenübergreifenden Zugriffseinstellungen konfigurieren. Wenn Ihre Richtlinien für bedingten Zugriff MFA erfordern, müssen Sie außerdem Eingangsvertrauenseinstellungen konfigurieren, um MFA-Ansprüche des Partnermandanten zu akzeptieren, da deren Benutzer andernfalls einfach blockiert werden.

Die praktische Regel: Verwenden Sie freigegebene Kanäle, wenn Sie mit einer anderen Microsoft 365-Organisation an einem definierten Arbeitsstrom zusammenarbeiten, Gastzugriff, wenn die Person das gesamte Team benötigt oder nicht bei Entra ID ist, und externen Zugriff, wenn Sie nur Kontakt zu ihnen benötigen.

Bild 4. Gastzugriffseinstellungen im Microsoft Teams Admin Center

Unabhängig davon, welchen Weg Sie wählen: Die Governance-Frage betrifft nicht die Einladung – sondern die Entfernung. Niemand verlässt freiwillig ein Team, wenn ein Projekt endet. Zwei Entra ID-Funktionen existieren dafür:

1. Zugriffsüberprüfungen legen Gruppenbesitzern in regelmäßigen Abständen eine Aufforderung vor, zu bestätigen, wer noch Zugriff benötigt – mit Empfehlungen als Unterstützung. Überprüfungen eines Teams mit freigegebenen Kanälen können B2B Direct Connect-Benutzer neben Gästen und internen Mitgliedern einschließen, allerdings nur in einstufigen Überprüfungen. Erfordert Entra ID P2.
2. Berechtigungsverwaltung bündelt ein Team, seine Website und seine Apps in einem Zugriffspaket, das Personen beantragen können – mit einem benannten Genehmiger und einem eingebauten Ablaufdatum, sodass der Zugriff standardmäßig endet und nicht davon abhängt, dass jemand sich erinnert. Ebenfalls P2.

Die vollständige Konfigurationsanleitung finden Sie in unserem Leitfaden zum Microsoft Teams Gastzugriff.

Berechtigungen und Rollen

Teams hat ein bewusst kleines Rollenmodell – Besitzer und Mitglieder sowie Gäste – und die meisten Governance-Probleme entstehen durch Besitzer, nicht durch Berechtigungen.

Die Regel, die den größten Teil dieser Probleme löst: Jedes Team braucht mindestens zwei Besitzer. Ein einzelner Besitzer ist eine Kündigung davon entfernt, ein Team ohne Besitzer zu hinterlassen, zu dem niemand mehr Mitglieder hinzufügen, das niemand umbenennen oder löschen kann. Machen Sie das zu einem Standard bei der Erstellung, und prüfen Sie ihn regelmäßig – oder erzwingen Sie ihn mit einer SharePoint-Website-Besitzerrichtlinie, sofern Sie die entsprechende Lizenzierung haben.

Darüber hinaus lohnt es sich, folgende Einstellungen zentral zu entscheiden: welche Mitgliederaktionen Besitzer delegieren dürfen (Erstellen und Löschen von Kanälen, Hinzufügen von Apps, Tabs und Connectors), ob private Kanäle erstellt werden dürfen und von wem, sowie Kanalmoderation für Ankündigungskanäle, bei denen das Posting eingeschränkt sein soll. Private Kanäle sind nützlich und etwas umständlich zugleich: Jeder erhält eine eigene SharePoint-Website, die selbst eine Governance-Oberfläche darstellt.

Admin-seitige Rollen folgen dem standardmäßigen Microsoft-Grundsatz der geringsten Privilegien – Teams Administrator, Teams Communications Administrator und Teams Communications Support-Rollen existieren genau deshalb, damit die tägliche Teams-Arbeit keine globale Administratorrolle erfordert. Unser Microsoft Teams Berechtigungsleitfaden behandelt die Rollenmatrix im Detail, und der Teams Admin Center-Leitfaden zeigt, wo die jeweiligen Einstellungen zu finden sind.

App-Governance hat sich 2025 geändert – prüfen Sie, welches Modell Sie verwenden

Dieser Punkt überrascht Admins regelmäßig, weil die Dokumentation zum alten Modell noch weit verbreitet verlinkt ist. App-Berechtigungsrichtlinien sind veraltet. Sie wurden durch App Centric Management ersetzt, das die Verfügbarkeit pro App steuert: Für jede App oder jeden Copilot-Agenten legen Sie fest, welche Benutzer und Gruppen sie verwenden dürfen – anstatt Richtlinien zu erstellen und Benutzer ihnen zuzuweisen.

Mandanten, die nur die globale Standardrichtlinie verwendet haben, wurden automatisch migriert; ab April 2025 wurde die automatische Migration auf alle übrigen ausgeweitet, und nach der Migration kann die Änderung nicht rückgängig gemacht werden, und Berechtigungsrichtlinien sind nicht mehr zugänglich. Bei der automatischen Migration wird für jede frühere benutzerdefinierte Richtlinie eine Sicherheitsgruppe erstellt und mit den Benutzern dieser Richtlinie befüllt, sodass die resultierenden Gruppen anschließend von Ihnen verwaltet werden müssen.

Zwei Limits, die Sie einplanen sollten: Sie können einer App bis zu 99 Benutzer oder Gruppen auf einmal hinzufügen, und Massenaktualisierungen sind in der Admin Center-Benutzeroberfläche nicht verfügbar – verwenden Sie stattdessen das PowerShell-Cmdlet Update-M365TeamsApp. Änderungen benötigen bis zu 24 Stunden, um alle Benutzer zu erreichen.

Überprüfen Sie, welches Modell Ihr Mandant verwendet, bevor Sie eine App-Governance-Vorgehensweise festlegen. Öffnen Sie Teams Admin Center → Teams-Apps → Berechtigungsrichtlinien: Wenn Sie Richtlinien sehen, befinden Sie sich noch im alten Modell; wenn Sie einen Migrationshinweis sehen, verwenden Sie App Centric Management.

Bild 5. Seite „Apps verwalten" im Teams Admin Center mit Verfügbarkeit pro App

Sicherheit und Compliance

Teams erbt den Sicherheits- und Compliance-Stack von Microsoft 365, anstatt einen eigenen zu haben – eine gute Nachricht, da diese Kontrollen ausgereift sind – und gleichzeitig eine Governance-Falle, weil sie in vier verschiedenen Portalen konfiguriert werden.

Vertraulichkeitslabels für Container sind die wirkungsvollste Kontrolle, die es gibt, denn ein auf ein Team angewendetes Label gilt gleichzeitig für die Microsoft 365-Gruppe und die verbundene SharePoint-Website. Ein Container-Label kann Datenschutz (öffentlich oder privat) festlegen und sperren, steuern, ob Besitzer Gäste hinzufügen dürfen, externe Freigaben von der betroffenen Website steuern, bedingten Zugriff für nicht verwaltete Geräte erfordern, einen Authentifizierungskontext anwenden, verhindern, dass ein privates Team gefunden werden kann, und Einladungen zu freigegebenen Kanälen steuern. Zwei weitere Einstellungen – Standardfreigabelink-Typ und Website-Freigabeeinstellungen – sind nur über PowerShell verfügbar.

Das Entscheidende: Ein Container-Label schützt den Container, nicht die darin enthaltenen Elemente. Eine Datei, die aus einem gelabelten Team herausgenommen und anderweitig freigegeben wird, ist ungeschützt, es sei denn, die Datei selbst wird gelabelt. Container-Labels und Element-Labels ergänzen sich; sie sind keine Alternativen.

Labels werden in Microsoft Purview mit dem Bereich Gruppen & Websites konfiguriert, und Benutzer wählen beim Erstellen eines Teams eines aus einem Vertraulichkeit-Dropdown aus; das Label erscheint dann in der Ecke jedes Kanals.

Bild 6. Auswahl eines Vertraulichkeitslabels beim Erstellen eines neuen Teams

Aufbewahrungsrichtlinien für Teams decken Kanalnachrichten, Chats und Dateien ab und funktionieren unabhängig vom Ablauf – eine Gruppe kann ablaufen und gelöscht werden, während ihre Inhalte im Aufbewahrungscontainer erhalten bleiben und über eDiscovery zugänglich sind. Legen Sie die Aufbewahrung fest, bevor Sie den Ablauf festlegen, nicht danach.

Data Loss Prevention für Teams prüft Chat- und Kanalnachrichten auf vertrauliche Informationstypen und kann blockieren oder warnen. Kommunikationscompliance behandelt Richtlinienverstöße in Nachrichten. eDiscovery und Legal Hold funktionieren über Teams und ihre verbundenen Websites hinweg. Bedingter Zugriff regelt, wer von wo und mit welchem Gerät auf Teams zugreifen kann.

Eine ausführlichere Behandlung der Sicherheitsseite finden Sie in unserem Leitfaden zur Microsoft Teams-Sicherheit und zum Datenschutz.

Auditing und Reporting

Governance, die Sie nicht messen können, ist Wunschdenken. Die Berichte, um die Sie eine Routine aufbauen sollten:

1. Teams-Nutzungs- und erweiterte Collaboration-Analytics im Teams Admin Center – aktive Teams, inaktive Teams, Gäste pro Team.
2. Microsoft 365-Überwachungsprotokolle – Team- und Kanal-Erstellung und -Löschung, Gast-Hinzufügungen, Rollenänderungen, App-Installationen.
3. Data Access Governance-Berichte im SharePoint Admin Center – Freigabelinks, Nutzung von „Jeder außer externen Benutzern", Website-Berechtigungsgrundlagen, Abdeckung durch Vertraulichkeitslabels.
4. Microsoft Entra-Überwachungsprotokolle – einschließlich der Liste der Gruppen, die durch Aktivität automatisch erneuert wurden.

Ein monatlicher Durchgang über inaktive Teams, Teams ohne Besitzer und Gastzahlen sowie ein vierteljährlicher Zugriffsüberprüfungszyklus reicht für die meisten Organisationen aus. Unser Microsoft Teams Reporting-Leitfaden geht beim Aufbau der Dashboard-Seite weiter ins Detail.

Governance-Werkzeuge: Was nativ vorhanden ist, was fehlt

Microsofts native Kontrollen decken Richtlinien gut ab und den Betrieb schlecht. Es lohnt sich, diese Lücke zu benennen, bevor man Drittanbieterangebote bewertet.

Was der native Stack gut kann: Regeln bei der Erstellung durchsetzen (Benennung, Klassifizierung, Erstellungsberechtigungen), planmäßig ablaufen und archivieren, externen Zugriff steuern, Daten schützen und aufbewahren und all das berichten.

Wo Lücken bestehen: Genehmigungsworkflows vor der Teamerstellung, fortlaufende Besitzerverantwortung außerhalb der SharePoint Advanced Management-Lizenzierung, mandantenübergreifendes Reporting und – der Punkt, den die meisten Organisationen täglich spüren – alles, was den Grund reduziert, weshalb Menschen redundante Teams erstellen.

Dieser letzte Punkt ist es wert, verweilt zu werden, denn er ist der Teil, den Governance-Richtlinien nicht beheben können. Menschen erstellen ein neues Team, wenn das bestehende ihnen nicht zeigt, was sie brauchen. Ein Abteilungsteam, in dem der gemeinsame Zeitplan unsichtbar ist, Aufgabenzuständigkeiten unklar sind und Fristen ohne Warnung eintreten, erzeugt Ableger-Teams, Ableger-Kanäle und Seitenchats – alles, was morgen zum Sprawl wird. Struktur innerhalb eines Teams ist eine Governance-Kontrolle, auch wenn sie nie in einem Governance-Richtliniendokument auftaucht.

Wo Virto-Apps passen

Virto-Apps für Microsoft 365 ersetzen keine Entra ID-Richtlinien, und nichts außerhalb von Microsoft Purview kann Aufbewahrung festlegen oder ein Vertraulichkeitslabel anwenden. Was sie tun: Sie machen ein bestehendes Team vollständig genug, dass Menschen aufhören, Alternativen dazu zu erstellen – und das, während sie die bereits konfigurierten Berechtigungen erben statt zu umgehen.

Virto Calendar App blendet SharePoint-Listen, Exchange- und Outlook-Kalender sowie Google Calendar in einer Ansicht innerhalb von Microsoft Teams ein – als eigenständige App oder als Tab in einem beliebigen Kanal – sodass der Zeitplan, Abwesenheiten und Projektmeilensteine eines Teams dort verfügbar sind, wo das Team bereits arbeitet, statt auf einer separaten Website, die jemand erstellen musste. Da die App aus den zugrunde liegenden SharePoint- und Exchange-Quellen liest, sieht ein Benutzer genau das, was seine bestehenden Berechtigungen erlauben – der Kalender fügt eine Ansicht hinzu, keinen Zugriffspfad. Er läuft in Teams, Outlook, der Microsoft 365-App und SharePoint und funktioniert auch in der mobilen Teams-App.

Bild 7. Virto Calendar App als App in Microsoft Teams

Virto Kanban Board App wandelt eine SharePoint-Liste in ein Board mit Swimlanes und Kartendetails um. Der Governance-Mehrwert liegt in der Verantwortlichkeit: Jede Aufgabe hat einen sichtbaren Besitzer und Status – was eine Zugriffsüberprüfung oder Bestätigung beantwortbar statt spekulativ macht und deutlich zeigt, wann ein Team tatsächlich abgeschlossen ist.

Virto Notifications & Reminders App sendet bedingte Benachrichtigungen und Erinnerungen in Teams-Kanäle oder Chats – basierend auf SharePoint-Listenänderungen und Datumsangaben: ausstehende Genehmigungen, nahende Fristen, fällige Richtlinienüberprüfungen. Governance-Prozesse schlagen still fehl, wenn sie davon abhängen, dass jemand sich erinnert; eine Erinnerung, die im Kanal ankommt, ist zuverlässiger als ein Kalendereintrag, den niemand gesetzt hat.

Alle Virto-Apps sind für 30 Tage kostenlos verfügbar, ohne Kreditkarte. Die Preise beginnen bei 2 USD pro Benutzer und Monat für den Starter-Tarif (bis zu 30 Benutzer) und 3 USD pro Benutzer und Monat für Pro (31–200 Benutzer), mit Enterprise-Preisen auf Anfrage – aktuelle Details finden Sie auf der Preisseite, und die vollständige Microsoft Teams-App-Auswahl für alles weitere.

Eine praktische Teams Governance-Checkliste

Arbeiten Sie diese Liste der Reihe nach durch. Jede Zeile enthält eine Entscheidung, einen Konfigurationsort und die erforderliche Lizenz.

Abb. 4. Ein Governance-Betriebsrhythmus: Was monatlich, vierteljährlich und jährlich zu prüfen ist

Häufig gestellte Fragen

Was ist Microsoft Teams Governance?

Microsoft Teams Governance bezeichnet die Gesamtheit der Richtlinien und Kontrollen, die Teams organisiert und sicher halten: wie Teams erstellt, benannt und abgelaufen werden, wer beitreten darf und welche Sicherheits- und Compliance-Regeln gelten. Da jedes Team eine Microsoft 365-Gruppe mit angebundener SharePoint-Website ist, werden die meisten dieser Kontrollen in Microsoft Entra ID, Microsoft Purview und dem SharePoint Admin Center konfiguriert – nicht in Teams selbst.

Was sind die Best Practices für Microsoft Teams Governance?

Beginnen Sie mit einer Namenskonvention und setzen Sie sie mit einer Benennungsrichtlinie durch. Fordern Sie mindestens zwei Besitzer pro Team. Strukturieren Sie nach dem Prinzip ein Team pro stabiler Personengruppe mit einem Kanal pro Projekt, statt einem Team pro Projekt. Wenden Sie Vertraulichkeitslabels an, um Datenschutz und Gastberechtigungen auf Container-Ebene festzulegen. Aktivieren Sie eine Ablaufrichtlinie mit aktivitätsbasierter Erneuerung. Überprüfen Sie Gäste vierteljährlich. Lassen Sie die Erstellung offen, es sei denn, Sie haben einen spezifischen Grund, sie einzuschränken – und wenn Sie sie einschränken, richten Sie einen schnellen Anfrageprozess dahinter ein.

Wie richte ich eine Teams-Benennungsrichtlinie ein?

Gehen Sie im Microsoft Entra Admin Center zu Microsoft Entra ID → Gruppen → Alle Gruppen → Benennungsrichtlinie. Konfigurieren Sie ein Präfix-Suffix-Muster mit festen Zeichenfolgen oder unterstützten Benutzerattributen ([Department], [Company], [Office], [StateOrProvince], [CountryOrRegion], [Title]), und laden Sie eine Liste gesperrter Wörter hoch. Dies erfordert Microsoft Entra ID P1-Lizenzierung; Globale Administratoren und Benutzeradministratoren sind von der Richtlinie ausgenommen.

Was ist eine Teams-Ablaufrichtlinie und ist es sicher, sie zu aktivieren?

Sie legt eine Lebensdauer für Microsoft 365-Gruppen fest; Gruppen, die bis zum Ende dieser Frist nicht erneuert werden, werden gelöscht. Für die meisten Mandanten ist sie sicher, weil die Erneuerung bei jeder Gruppe mit echter Aktivität automatisch erfolgt – ein Kanalbesuch, eine Dateiarbeit in SharePoint, eine Gruppennachricht in Outlook – etwa 35 Tage vor dem Ablauf. Besitzer tatsächlich inaktiver Gruppen erhalten Warnungen 30, 15 und 1 Tag vorher, die Löschung erfolgt einen Tag nach dem Ablauf, und eine gelöschte Gruppe kann innerhalb von 30 Tagen wiederhergestellt werden. Legen Sie eine alternative Benachrichtigungs-E-Mail fest, damit Gruppen ohne Besitzer nicht still ablaufen, und denken Sie daran, dass archivierte Teams trotzdem ablaufen.

Wie viele Besitzer sollte ein Team haben?

Mindestens zwei. Ein Team mit nur einem Besitzer wird unkontrollierbar, sobald diese Person das Unternehmen verlässt oder die Rolle wechselt – und Teams ohne Besitzer sind eines der stärksten Risikosignale in Microsofts eigenem Copilot-Readiness-Leitfaden.

Was ist der Unterschied zwischen Gastzugriff und einem freigegebenen Kanal?

Gastzugriff erstellt ein Konto für die Person in Ihrem Mandanten und kann ihr Zugriff auf ein gesamtes Team geben. Ein freigegebener Kanal nutzt Microsoft Entra B2B Direct Connect, um jemanden aus einer anderen Microsoft 365-Organisation mit seinen eigenen Anmeldedaten in einen einzelnen Kanal zu lassen – ohne Gastkonto und ohne Mandantenwechsel – und ohne Zugriff auf irgendetwas anderes im Team. Freigegebene Kanäle erfordern, dass beide Organisationen mandantenübergreifendes Vertrauen konfigurieren.

Erfordert Teams Governance zusätzliche Lizenzen?

Teilweise. Erstellungseinschränkung, Benennungsrichtlinie und Ablauf erfordern Microsoft Entra ID P1 oder P2 für betroffene Benutzer. Zugriffsüberprüfungen und Berechtigungsverwaltung erfordern P2. Website-Lebenszyklusrichtlinien und Restricted Content Discovery erfordern SharePoint Advanced Management. Aufbewahrung, Vertraulichkeitslabels, DLP und eDiscovery sind in Microsoft 365 E3 oder E5 enthalten, je nach Funktion. Das Archivieren von Teams, das sinnvolle Strukturieren von Teams und Kanälen sowie das Überprüfen von Nutzungsberichten sind kostenlos.

Wie wirkt sich Teams Governance auf Microsoft 365 Copilot aus?

Copilot respektiert bestehende Berechtigungen und gewährt nie neuen Zugriff – aber es macht bestehende Überexposition sichtbar und leicht erreichbar. Teams ohne Besitzer, nicht beschriftete Websites, breite „Jeder außer externen Benutzern"-Berechtigungen und verlassene Inhalte, die zuvor vergraben waren, können alle in Copilot-Antworten auftauchen. Die Überprüfung von Berechtigungen, Besitzerschaft und inaktiven Teams vor einem Copilot-Rollout ist die Standardempfehlung; Restricted Content Discovery und Restricted Access Control sind die Übergangskontrollmechanismen, während diese Überprüfung stattfindet.

Quellen

• Microsoft Learn — Plan for governance in Teams
• Microsoft Learn — Manage who can create Microsoft 365 Groups
• Microsoft Learn — Enforce a naming policy on Microsoft 365 groups in Microsoft Entra ID
• Microsoft Learn — Configure the expiration policy for Microsoft 365 groups
• Microsoft Learn — Use sensitivity labels to protect collaborative workspaces
• Microsoft Learn — Guest access in Microsoft Teams
• Microsoft Learn — B2B direct connect overview
• Microsoft Learn — Use app centric management to manage access to apps
• Microsoft Learn — SharePoint site lifecycle management
• Microsoft Learn — Restrict discovery of SharePoint sites and content
• Microsoft Learn — Get ready for Microsoft 365 Copilot with SharePoint Advanced Management
• Microsoft Learn — Archive or delete a team in Microsoft Teams
• Microsoft Learn — Advanced collaboration analytics for Microsoft Teams