Wie viele Administratorkonten braucht ein Unternehmen mit 40 Mitarbeitenden?

Die Frage klingt nach einem Detail für die IT. Tatsächlich ist sie eine der wenigen Sicherheitsfragen, die Sie als Geschäftsführer ohne technisches Vorwissen selbst prüfen können. Sie brauchen dafür kein Werkzeug und keinen Berater, nur eine Liste, die Ihr IT-Dienstleister in wenigen Minuten exportiert. Und die Antwort fällt in der Praxis oft anders aus als erwartet.

Kurzantwort: Für ein Unternehmen mit 40 Mitarbeitenden genügen in aller Regel zwei bis vier Konten mit uneingeschränkten Administratorrechten. Microsoft empfiehlt ausdrücklich, die Rolle „Globaler Administrator“ an weniger als fünf Personen zu vergeben und die Gesamtzahl privilegierter Rollenzuweisungen unter zehn zu halten. Zwei dieser Konten sollten reine Notfallkonten sein, die keiner Person gehören und nur bei einer Aussperrung genutzt werden. Alle übrigen Tätigkeiten lassen sich über engere Rollen abdecken, vom Zurücksetzen der Kennwörter über die Lizenzvergabe bis zur Postfachverwaltung. Microsoft Entra bringt dafür über 65 vordefinierte Rollen mit.

Was „Least Privilege“ im Klartext heißt

Least Privilege heißt auf Deutsch das Prinzip der geringsten Berechtigung. Jede Person bekommt genau die Rechte, die sie für ihre Aufgabe braucht. Nicht weniger und nicht mehr.

Der Vergleich mit Schlüsseln trägt erstaunlich weit. Ein Generalschlüssel öffnet jede Tür im Gebäude, inklusive Serverraum und Aktenschrank der Geschäftsführung. Sie geben ihn nicht aus, weil es bequem wäre. Sie geben ihn an sehr wenige Personen, und Sie wissen genau, an wen. Das ist die Rolle „Globaler Administrator“ in Microsoft 365: ein Generalschlüssel für sämtliche Daten, Postfächer, Einstellungen und Zugriffsregeln Ihres Unternehmens.

Das BSI formuliert dieselbe Regel im IT-Grundschutz als anerkannten Stand der Technik: Berechtigungen sollen nur aufgrund des tatsächlichen Bedarfs vergeben werden, und bei personellen Veränderungen sind nicht mehr benötigte Kennungen und Berechtigungen zu entfernen. Wer darüber hinausgehende Rechte beantragt, braucht eine zusätzliche Begründung und Prüfung. Für Bundesbehörden ist das bindend. Für Unternehmen ist es der Maßstab, an dem ein Versicherer oder ein Prüfer im Streitfall misst.

Least Privilege hat dabei zwei Dimensionen, die in der Praxis oft verwechselt werden:

• Umfang: Wie viel darf das Konto?
• Dauer: Wie lange darf es das?

Die zweite Dimension wird fast immer übersehen. Ein Konto, das seit vier Jahren durchgehend Vollrechte hat, ist ein anderes Risiko als eines, das diese Rechte nur für zwei Stunden bekommt, wenn sie gebraucht werden.

Wie viele uneingeschränkte Administratoren sind angemessen?

Microsoft nennt hier zwei harte Zahlen. Erstens: Die Rolle „Globaler Administrator“ soll an weniger als fünf Personen vergeben werden. Ab fünf privilegierten Zuweisungen blendet Microsoft im Verwaltungsportal von sich aus einen Warnhinweis ein. Zweitens: Die Gesamtzahl aller privilegierten Rollenzuweisungen soll unter zehn liegen; oberhalb dieser Schwelle erscheint ebenfalls eine Warnung.

Für 40 Mitarbeitende sieht eine tragfähige Verteilung typischerweise so aus:

Die beiden Notfallkonten sind kein Luxus, sondern die Versicherung für den Fall, dass die reguläre Anmeldung nicht funktioniert. Microsoft beschreibt sie präzise: mindestens zwei Stück, reine Cloud-Konten unter der Domäne .onmicrosoft.com, keiner Person persönlich zugeordnet, gesichert mit einem Anmeldeverfahren, das von dem der normalen Administratorkonten abweicht, etwa einem Sicherheitsschlüssel. Sie werden von Zugriffsregeln ausgenommen, die eine Anmeldung blockieren könnten, ihre Nutzung wird protokolliert und alarmiert, und sie werden mindestens alle 90 Tage einmal getestet. Zugangsdaten gehören in einen Tresor, nicht in eine Datei.

Vier Muster, die in Umgebungen dieser Größe regelmäßig vorkommen

Das Sammelkonto. Ein Konto namens admin@firma.de, dessen Kennwort mehrere Personen kennen. Es funktioniert zuverlässig, bis Sie im Ernstfall nachweisen müssen, wer eine bestimmte Änderung vorgenommen hat. Der IT-Grundschutz des BSI verlangt, dass Benutzerkennungen und Rechteprofile dokumentiert und regelmäßig überprüft werden. Ein geteiltes Konto lässt sich zwar dokumentieren, aber im Nachhinein keiner einzelnen Person zuordnen. Genau die Zuordnung aber brauchen Sie, wenn Sie belegen müssen, wer gehandelt hat.

Der Administrator ohne zweites Konto. Dieselbe Kennung wird für die tägliche Arbeit und für die Verwaltung genutzt. Damit hängt der Generalschlüssel an dem Konto, das täglich E-Mails von außen empfängt und Anhänge öffnet. Aus demselben Gedanken heraus empfiehlt Microsoft für Verwaltungsrollen ausdrücklich reine Cloud-Konten, die nicht aus dem lokalen Verzeichnis synchronisiert werden.

Der Dienstleister mit dauerhaften Vollrechten. Historisch bekamen Microsoft-Partner pauschal und unbefristet Administratorrechte im Kundenmandanten. Seit der Umstellung auf granulare, befristete Partnerzugriffe (GDAP) ist das nicht mehr der Standard: Partner erhalten die Rolle „Globaler Administrator“ nicht mehr automatisch, dauerhafte Beziehungen sind aus Sicherheitsgründen ausgeschlossen, und die maximale Laufzeit einer solchen Beziehung beträgt zwei Jahre. Eine Beziehung, die die Rolle „Globaler Administrator“ enthält, lässt sich nicht automatisch verlängern. Hat Ihr Dienstleister ein reguläres Benutzerkonto in Ihrem Mandanten, das dauerhaft Vollrechte trägt, ist das kein Regelverstoß. Es liegt nur außerhalb der Befristungslogik, die GDAP mitbringt. Meist ist es historisch gewachsen: Das Konto stammt aus der Zeit vor der Umstellung und wurde nie ersetzt. Die sinnvolle Frage an Ihren Dienstleister lautet deshalb nicht „warum haben Sie das?“, sondern „lässt sich das auf eine befristete Partnerbeziehung umstellen?“.

Das vergessene Konto. Der Kollege ist seit acht Monaten weg, das Konto aber noch aktiv, weil das Postfach „noch gebraucht wird“. Dazu gleich mehr.

Welche Rolle für welche Aufgabe?

Der eigentliche Hebel liegt nicht darin, Administratoren zu streichen, sondern darin, die richtigen Rollen zu verwenden. Microsoft pflegt dafür eine öffentliche Zuordnung „geringstprivilegierte Rolle je Aufgabe“. Einige Beispiele:

Besonders unterschätzt ist die Rolle „Globaler Leser“. Viele Anfragen lassen sich damit beantworten, ohne dass irgendjemand etwas verändern kann, ob sie vom Steuerberater kommen, vom Wirtschaftsprüfer, von einem zweiten Dienstleister oder von einem Versicherer.

Wo eine Lizenzstufe mit Privileged Identity Management vorhanden ist, lässt sich zusätzlich die Zeitdimension abbilden: Rechte werden nicht dauerhaft vergeben, sondern nur „berechtigt“, und die betreffende Person aktiviert sie befristet und dokumentiert, wenn sie sie braucht.

Unabhängig davon gilt seit Februar 2025 für die Anmeldung am Microsoft-365-Admin-Center eine verpflichtende Mehr-Faktor-Anmeldung; für Azure-Portal, Entra- und Intune-Admin-Center bereits seit Oktober 2024. Ein Aufschub für diese erste Stufe war längstens bis zum 30. September 2025 möglich. Die zweite Stufe betrifft Anmeldungen über Kommandozeile, PowerShell und Programmierschnittstellen. Sie gilt seit dem 1. Oktober 2025, und die Aufschubmöglichkeit endete am 1. Juli 2026. Beides ist damit heute verbindlich. Auch Notfallkonten sind davon nicht ausgenommen; sie brauchen deshalb ein Verfahren wie einen Sicherheitsschlüssel oder ein Zertifikat.

Microsoft beziffert die Wirkung in seiner Dokumentation zur MFA-Pflicht mit „mehr als 99,2 Prozent der Angriffe zur Kontoübernahme“, gestützt auf eine eigene Untersuchung aus dem Jahr 2019. Auch wenn man solche Herstellerzahlen mit Vorsicht liest: Die Größenordnung ist der Grund, warum die Mehr-Faktor-Anmeldung inzwischen überall zuerst abgefragt wird. Genau hier sehen auch Cyberversicherer regelmäßig hin. Sie verlangen die Mehr-Faktor-Anmeldung typischerweise für definierte Bereiche, etwa Fernzugriffe, Cloud- und E-Mail-Zugänge und eben privilegierte Konten.

Was mit dem Konto eines ausgeschiedenen Mitarbeitenden passieren muss

Hier entstehen die meisten stillen Altlasten. Die saubere Reihenfolge nach Microsofts eigener Anleitung:

1. Kennwort zurücksetzen und alle Sitzungen beenden. Wichtig: Nur „Anmeldung blockieren“ reicht nicht, denn die Sperre kann bis zu 24 Stunden brauchen, bis sie greift. Ein aktives Zugriffstoken ist rund eine Stunde gültig. Der schnellste Weg ist Kennwortwechsel plus aktives Abmelden aller Sitzungen.
2. Postfachinhalte sichern, falls jemand die Aufgaben übernimmt oder eine Aufbewahrungspflicht besteht.
3. Mobile Geräte sperren und Unternehmensdaten löschen.
4. Postfach in ein freigegebenes Postfach umwandeln oder umleiten. Ein freigegebenes Postfach braucht in der Regel keine Lizenz, außer es belegt mehr als 50 GB, nutzt ein Onlinearchiv oder unterliegt einer Beweissicherung.
5. Zugriff auf OneDrive und Outlook an eine benannte Person übertragen, noch vor dem Löschen des Kontos.
6. Lizenz entziehen. Danach werden E-Mail, Kontakte und Kalender noch 30 Tage aufbewahrt und dann endgültig gelöscht.
7. Konto löschen. Inhalte aus OneDrive und Outlook bleiben nach dem Löschen 30 Tage wiederherstellbar.

Und der Schritt, der am häufigsten fehlt: prüfen, ob die Person eine Verwaltungsrolle hatte. Ein gelöschtes Konto ist unkritisch. Ein weiterhin aktives Konto mit Vollrechten, dessen Inhaber das Unternehmen verlassen hat, ist es nicht.

Checkliste zur Selbsteinordnung

Lassen Sie sich diese sechs Punkte beantworten. Schriftlich, mit Datum:

• Wie viele Konten haben aktuell die Rolle „Globaler Administrator“? (Zielwert: unter fünf, inklusive Notfallkonten)
• Gehört jedes dieser Konten einer benannten Person oder ist es ein dokumentiertes Notfallkonto?
• Nutzt jede Person mit Verwaltungsrechten ein getrenntes Konto für die tägliche Arbeit?
• Wann wurde zuletzt geprüft, ob jemand auf der Liste das Unternehmen verlassen hat?
• Auf welcher Grundlage greift Ihr IT-Dienstleister zu, über eine befristete Partnerbeziehung oder ein Dauerkonto?
• Wie lange werden Protokolle über Verwaltungstätigkeiten aufbewahrt? (Standardmäßig 180 Tage; mit erweiterter Lizenzstufe ein Jahr für zentrale Dienste)

Der letzte Punkt ist der, an den kaum jemand denkt. Wenn Sie in sechs Monaten belegen müssen, wer wann welche Berechtigung vergeben hat, entscheidet die Aufbewahrungsdauer darüber, ob Sie es noch können.

Und wenn Sie unter NIS2 fallen?

Mit 40 Mitarbeitenden liegen Sie unter der Schwelle von 50 Beschäftigten. Betroffen wären Sie dennoch, wenn Sie zu einem der in Anlage 1 oder 2 des BSIG gelisteten Sektoren gehören und Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Auf die meisten Unternehmen dieser Größe trifft das nicht zu. Einmal sauber prüfen sollte man es trotzdem. Falls doch: § 38 BSIG verpflichtet die Geschäftsleitung, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und sich selbst regelmäßig zu schulen. Die daran anknüpfende Haftung ist eine Innenhaftung gegenüber der eigenen Gesellschaft, keine persönliche Außenhaftung.

Unabhängig von NIS2 gilt: Ein Rollenkonzept ist eine der wenigen Maßnahmen, die nichts kosten außer der Zeit, es einmal aufzuschreiben.

Bemerkenswert an diesem Thema ist, wie wenig davon Technik ist. Die Zahl der Generalschlüssel, die Frage, wem sie gehören, und das Datum der letzten Durchsicht stehen auf einer Liste, die sich in wenigen Minuten exportieren lässt. Was gedacht war, steht dort nicht. Was eingerichtet ist, schon.

Quellen

• Microsoft empfiehlt, die Rolle „Globaler Administrator“ an weniger als fünf Personen zu vergeben; ab fünf privilegierten Zuweisungen wird ein Warnhinweis im Portal eingeblendet. learn.microsoft.com
• Microsoft empfiehlt, die Gesamtzahl privilegierter Rollenzuweisungen unter zehn zu halten; oberhalb erscheint eine Warnung auf der Seite „Rollen und Administratoren“. learn.microsoft.com
• Microsoft Entra RBAC unterstützt über 65 integrierte Rollen. learn.microsoft.com
• Microsoft empfiehlt zwei reine Cloud-Notfallkonten mit dauerhaft aktiver Rolle „Globaler Administrator“, die keiner Person zugeordnet sind. learn.microsoft.com
• Notfallkonten: mindestens zwei, reine Cloud-Konten unter .onmicrosoft.com, phishing-resistente Anmeldeverfahren (FIDO2 bzw. Zertifikat), abweichend von den normalen Administratorkonten, Ausnahme von blockierenden Zugriffsregeln, Überwachung der Anmeldungen, Validierung mindestens alle 90 Tage, Aufbewahrung der Zugangsdaten in getrennten, gesicherten Tresoren. learn.microsoft.com
• Microsoft empfiehlt, für Entra-Rollen reine Cloud-Konten statt lokal synchronisierter Konten zu verwenden. learn.microsoft.com
• Privileged Identity Management ermöglicht zeitlich befristete („Just-in-time“) Rollenaktivierung; PIM erfordert Microsoft Entra ID P2 oder Microsoft Entra ID Governance. learn.microsoft.com
• Geringstprivilegierte Rollen je Aufgabe: Benutzeradministrator für Anlegen/Ändern/Löschen von Benutzern, Lizenzadministrator für Lizenzvergabe und -entzug, Globaler Leser für das Lesen der gesamten Konfiguration, Sicherheitsleseberechtigter für Risikoerkennungen und Sicherheitskonfiguration. learn.microsoft.com
• Verpflichtende Mehr-Faktor-Anmeldung, Phase 1: Azure-Portal, Microsoft-Entra-Admin-Center und Intune-Admin-Center ab Oktober 2024, Microsoft-365-Admin-Center ab Februar 2025; Aufschub für Phase 1 längstens bis 30. September 2025. Phase 2 (Azure CLI, Azure PowerShell, Azure-Mobile-App, IaC-Werkzeuge, REST-API) ab 1. Oktober 2025; Aufschub für Phase 2 längstens bis 1. Juli 2026. Auch Notfallkonten müssen MFA erfüllen; empfohlen werden Passkey (FIDO2) oder zertifikatsbasierte Authentifizierung. learn.microsoft.com
• Microsoft nennt in seiner Dokumentation zur MFA-Pflicht „mehr als 99,2 Prozent der Angriffe zur Kontoübernahme“, gestützt auf eine eigene Untersuchung aus dem Jahr 2019. learn.microsoft.com
• GDAP: Partner erhalten die Rolle „Globaler Administrator“ im Kundenmandanten nicht mehr standardmäßig; Kunden müssen den geringstprivilegierten Zugriff ausdrücklich erteilen. learn.microsoft.com
• Dauerhafte GDAP-Beziehungen sind aus Sicherheitsgründen nicht möglich; die maximale Laufzeit beträgt zwei Jahre. Eine Beziehung mit der Rolle „Globaler Administrator“ kann nicht automatisch verlängert werden. learn.microsoft.com
• Offboarding-Reihenfolge in Microsoft 365 (Sperren der Anmeldung, Postfachinhalte sichern, Gerät löschen, Weiterleitung/Umwandlung in freigegebenes Postfach, Zugriff übertragen, Lizenz entziehen, Konto löschen). Nach Entzug oder Löschung der Lizenz werden E-Mail, Kontakte und Kalender 30 Tage aufbewahrt und danach endgültig gelöscht; nach Löschung des Kontos bleiben OneDrive- und Outlook-Inhalte 30 Tage zugänglich. learn.microsoft.com
• Das Blockieren eines Kontos kann bis zu 24 Stunden dauern; ein Zugriffstoken ist etwa eine Stunde gültig. Zum sofortigen Sperren empfiehlt Microsoft Kennwortzurücksetzung und „Von allen Sitzungen abmelden“ (bzw. Revoke-MgUserSignInSession). learn.microsoft.com
• Freigegebene Postfächer benötigen in der Regel keine Lizenz. Eine Exchange-Online-Plan-2-Lizenz ist erforderlich, wenn mehr als 50 GB belegt sind, ein Onlinearchiv genutzt wird oder das Postfach unter Beweissicherung steht. learn.microsoft.com
• Purview Audit (Standard) bewahrt Überwachungsdaten 180 Tage auf (seit 17. Oktober 2023, vorher 90 Tage); Audit (Premium) bewahrt Entra-ID-, Exchange-, OneDrive- und SharePoint-Datensätze standardmäßig ein Jahr auf. learn.microsoft.com
• BSI IT-Grundschutz ORP.4.A2: Benutzerkennungen und Berechtigungen sollen nur aufgrund des tatsächlichen Bedarfs vergeben werden (Least Privileges, Need-to-know); bei personellen Veränderungen sind nicht mehr benötigte Kennungen und Berechtigungen zu entfernen. Der IT-Grundschutz ist für Bundesbehörden bindend (§ 8 BSIG), für Unternehmen anerkannter Stand der Technik. bsi.bund.de
• BSI IT-Grundschutz ORP.4.A3: Benutzerkennungen, Benutzergruppen und Rechteprofile sollen dokumentiert und die Dokumentation regelmäßig auf Aktualität und Angemessenheit überprüft werden. bsi.bund.de
• § 28 Abs. 2 BSIG: Schwellenwerte für wichtige Einrichtungen (ab 50 Beschäftigte oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Mio. Euro) in den Sektoren nach Anlage 1 und 2 BSIG. gesetze-im-internet.de
• § 38 BSIG: Geschäftsleitungen betroffener Einrichtungen müssen die Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen; die Haftung nach Absatz 2 wirkt gegenüber der eigenen Einrichtung (Innenhaftung). gesetze-im-internet.de
• § 28 VVG: Bei Verletzung einer vertraglichen Obliegenheit ist der Versicherer nur bei Vorsatz vollständig leistungsfrei; bei grober Fahrlässigkeit erfolgt eine Kürzung entsprechend der Schwere des Verschuldens, und die Leistungspflicht bleibt bestehen, wenn die Verletzung nicht ursächlich war. gesetze-im-internet.de