Microsoft 365
Exchange, Teams, SharePoint und OneDrive — sauber eingerichtet, klar strukturiert und abgesichert. Der Arbeitsplatz, auf dem Ihr Team wirklich arbeiten kann, statt Dateien zu suchen.
- ISO 27001 & 9001 zertifiziert seit Januar 2025
- Microsoft-Stack im täglichen eigenen Betrieb
- Mac & Windows aus einer Hand
Ein Stack · ein Standard
Was wir einrichten, härten und betreiben.
Die Werkzeuge kennen Sie — der Unterschied liegt in Struktur, Sicherheit und Betrieb. Jede Kachel unten hat bei uns ein Konzept dahinter.
-
Microsoft 365
-
Outlook
-
Teams
-
SharePoint
-
OneDrive
-
Exchange
-
Word
-
Excel
-
PowerPoint
-
Entra ID
-
Defender
Alle Produktnamen und Logos sind Marken der Microsoft Corporation. ITM ist ein unabhängiger IT-Dienstleister.
ITM richtet Microsoft 365 für kleine, regulierte Unternehmen so ein, dass es produktiv und nachweisbar sicher ist: Exchange Online (E-Mail, Kalender, geteilte Postfächer), Teams mit Governance statt Wildwuchs, SharePoint mit durchdachter Ablagestruktur, OneDrive mit kontrollierten Freigaben. Dazu gehören Sicherheits-Grundeinstellungen (MFA, Sharing-Policies, Sensitivity Labels), ein Lizenz-Review (meist lassen sich 15–30 % einsparen) und die Migration von Google Workspace oder Alt-Systemen ohne Ausfalltag. Wichtig zu wissen: Microsofts Aufbewahrung ist kein Backup — ein echtes Backup mit Restore-Test gehört bei ITM dazu. Microsoft 365 ist ein Baustein der Stufe Starter.
Die meisten Microsoft-365-Umgebungen sind schnell gewachsen und nie aufgeräumt worden: offene Freigaben, doppelte Teams, tote SharePoint-Seiten, ungenutzte Lizenzen. Das Ergebnis ist ein Arbeitsplatz, der nervt und im Audit schlecht aussieht — obwohl das Werkzeug selbst erstklassig ist. Wir bringen Ordnung hinein: Struktur, die zu Ihrer Organisation passt, Sicherheit, die Zusammenarbeit nicht erstickt, und Lizenzen, die zum tatsächlichen Bedarf passen. Als Teil der Stufe Starter — und betrieben von einem Team, das denselben Stack jeden Tag selbst nutzt.
Kommt Ihnen das bekannt vor?
Ein Microsoft-365-Tenant räumt sich nicht von selbst auf. Die Muster, die wir in fast jedem Assessment finden:
- Dateien liegen dreifach: im Teams-Chat, in OneDrive, als Mail-Anhang — welche Version gilt?
- Für jedes Projekt ein neues Team, niemand löscht alte — 60 Teams, 8 in Benutzung
- Externe Freigaben von 2023, die noch offen sind; niemand weiss, wer noch Zugriff hat
- Lizenz-Sammelsurium: der grosse Plan für alle, obwohl die Hälfte weniger bräuchte
- „Das hat der Vorgänger eingerichtet“ — und dokumentiert ist nichts
Mehr dazu
Diese Muster sind kein Versagen — sie sind der Normalzustand, wenn ein mächtiges Werkzeug ohne Konzept wächst. Microsoft 365 macht es leicht, Dinge anzulegen, und schwer, sie wieder loszuwerden. Jedes neue Team erzeugt automatisch eine SharePoint-Site, ein Postfach, einen Kalender und einen Planner; nach zwei Jahren hat ein Zwanzig-Personen-Betrieb mehr digitale Räume als Mitarbeitende.
Für regulierte Unternehmen ist das mehr als ein Komfortproblem: Offene Gastzugriffe und unkontrollierte Freigaben sind genau die Befunde, die in Audits und Kundenfragebögen auffallen. Und produktiv ist es auch nicht — wer Dateien sucht, statt zu arbeiten, verliert pro Woche Stunden. Der Weg raus ist keine Radikalkur, sondern ein Assessment, ein Zielbild und ein schrittweiser Umbau im laufenden Betrieb.

Die Werkzeuge — und wofür sie wirklich da sind
Der häufigste M365-Fehler ist nicht technisch, sondern konzeptionell: Jedes Werkzeug kann fast alles — und genau deshalb braucht jedes einen klaren Zweck. Unsere Faustregeln:
- Exchange & Outlook: Kommunikation nach aussen, Termine, geteilte Postfächer — nicht Dateiablage per Anhang
- Teams: Zusammenarbeit im Moment — Chat, Calls, Besprechungen. Kein Langzeit-Archiv
- SharePoint: die strukturierte, dauerhafte Ablage — das Gedächtnis der Firma
- OneDrive: persönlicher Arbeitsstand — nicht die Team-Ablage
- Entra ID, Intune, Defender: das Sicherheits-Rückgrat dahinter (Identitäten, Geräte, Schutz)
Mehr dazu
Die Werkzeug-zu-Zweck-Matrix weiter unten zeigt es im Detail, aber das Prinzip ist einfach: Wenn jeder Inhaltstyp genau ein Zuhause hat, entfallen die Duplikate von selbst — und mit ihnen die Versionskonflikte, die Suchzeiten und die Datenschutz-Grauzonen. Wir legen diese Regeln nicht als Policy-PDF ab, sondern bauen sie in die Struktur ein: SharePoint-Bibliotheken, die die Ablage-Logik vorgeben, Teams-Vorlagen mit fertiger Ordnerstruktur, Freigabe-Grenzen, die den falschen Weg unbequem machen.
Dazu gehört Ehrlichkeit über die Grenzen: Microsoft 365 ist für die meisten Firmen die richtige Basis, aber nicht für jeden Datenbestand. Besonders sensible Daten können bei ITM zusätzlich souverän liegen — auf einer eigenen NAS im Haus oder in einem deutschen Rechenzentrum. Diese Abwägung gehört in jedes Konzept, nicht erst in die Krise.

Tenant mit Konzept: Governance statt Wildwuchs
Aufräumen ist die halbe Arbeit — dafür sorgen, dass es aufgeräumt bleibt, die andere. Governance heisst: Der Tenant hat Regeln, die von selbst wirken.
- Teams-Lebenszyklus: Wer darf Teams anlegen, wie heissen sie, wann werden sie archiviert
- SharePoint-Informationsarchitektur entlang Ihrer Organisation — nicht entlang des Zufalls
- Namenskonventionen und Vorlagen, damit Neues automatisch richtig entsteht
- Onboarding/Offboarding als Standardprozess: Eintritt heisst alles da, Austritt heisst alles zu
Mehr dazu
Governance klingt nach Konzernbürokratie, ist bei uns aber das Gegenteil: möglichst wenige Regeln, die dafür konsequent technisch verankert sind. Ein Beispiel: Statt einer Policy „Bitte keine unnötigen Teams anlegen“ konfigurieren wir, dass neue Teams über eine Vorlage mit Ablaufdatum entstehen — nach zwölf Monaten fragt das System den Besitzer, ob das Team noch gebraucht wird, und archiviert sonst automatisch. Niemand muss daran denken, nichts wächst wild.
Die SharePoint-Struktur bauen wir entlang der Frage „Wer muss was finden — und wer darf was sehen?“: wenige Hub-Sites (Firma, Abteilungen, Projekte), klare Bibliotheken mit Metadaten statt zwanzig Ordner-Ebenen, Berechtigungen auf Site-Ebene statt auf tausend Einzeldateien. Das ist auch die Grundlage dafür, dass später eine Wissens-KI (Stufe Core) sinnvolle Antworten geben kann — eine KI auf einem chaotischen Tenant findet nur Chaos schneller.

Sicher konfiguriert von Anfang an
Die Standard-Einstellungen von Microsoft 365 sind auf maximale Bequemlichkeit ausgelegt, nicht auf regulierte Unternehmen. Wir härten den Tenant, ohne die Zusammenarbeit zu ersticken:
- MFA für alle, Conditional Access für den Kontext (Gerät, Ort, Risiko)
- Sharing-Policies: extern teilen ja — aber kontrolliert, befristet, nachvollziehbar
- Sensitivity Labels und Aufbewahrung für die Daten, bei denen es zählt
- Defender-Baseline gegen Phishing und Schadanhänge (Details: E-Mail-Security)
- Wichtig: Aufbewahrung ist kein Backup — echtes Backup mit Restore-Test gehört dazu
Mehr dazu
Der Punkt, der am häufigsten überrascht: Microsoft sichert Ihre Daten nicht so, wie Sie es vermutlich annehmen. Die eingebaute Aufbewahrung (Retention) schützt vor versehentlichem Löschen innerhalb bestimmter Fristen — sie ist aber kein Backup gegen Ransomware, kompromittierte Konten oder grossflächige Fehler; Microsoft selbst verweist für die Datensicherung auf Drittlösungen. Deshalb gehört bei ITM ein echtes, getrenntes Backup der M365-Daten (Exchange, SharePoint, OneDrive, Teams) mit dokumentiertem Restore-Test zum Starter-Standard — auf Wunsch auf Ihrer eigenen NAS oder in einem deutschen Rechenzentrum.
Bei der Härtung arbeiten wir entlang einer erprobten Baseline (orientiert an Microsofts Security-Best-Practices und gängigen Benchmarks), priorisiert nach Wirkung: erst die Punkte, die reale Angriffe stoppen (MFA, Legacy-Authentifizierung aus, Anti-Phishing), dann die, die Datenabfluss verhindern (Sharing, Labels), dann Komfort und Feinschliff. Jede Einstellung wird dokumentiert — das ist später Ihr Nachweis im Audit und in Kundenfragebögen.

Lizenzen: nur zahlen, was Sie nutzen
Microsoft-Lizenzen sind ein Dschungel — und der teuerste Fehler ist Bequemlichkeit: ein grosser Plan für alle. In fast jedem Review finden wir 15–30 % Einsparpotenzial:
- Mitarbeitende nach tatsächlichem Bedarf einstufen statt Einheitsplan
- Business Premium als Sweet-Spot für die meisten regulierten KMU (Sicherheit inklusive)
- Ungenutzte Lizenzen, Doppel-Abos und Alt-Verträge identifizieren
- Gebündelter Einkauf über ITM: Konditionen, die ein einzelnes KMU nicht bekommt
Mehr dazu
Die Plan-Übersicht unten zeigt die ehrliche Landkarte. Die Kurzfassung unserer Erfahrung: Business Basic reicht für reine Postfach-Rollen (Produktion, Aushilfen), Business Standard für den klassischen Büro-Arbeitsplatz ohne erhöhte Sicherheitsanforderungen — und Business Premium ist für regulierte kleine Unternehmen fast immer die richtige Wahl, weil Intune, Entra ID P1 und Defender for Business enthalten sind: genau die Werkzeuge, die ein Audit sehen will. Die Enterprise-Pläne (E3/E5) lohnen sich erst bei höheren Compliance-Anforderungen (erweiterte DLP, eDiscovery, Audit-Logs) oder ab 300 Nutzern, wo die Business-Pläne enden.
Ein Lizenz-Review bei ITM ist konkret: Wir ziehen die tatsächliche Nutzung aus dem Admin Center, gleichen sie mit den gebuchten Plänen ab und liefern eine Umstellungs-Empfehlung mit Zahlen. Kein Bauchgefühl, keine Verkäufer-Folie — oft finanziert die Einsparung das Review mehrfach.

Migration ohne Drama
Von Google Workspace, altem Exchange-Server oder einem fremden Tenant zu einem sauberen Microsoft 365 — geplant, geprobt, ohne Ausfalltag:
- Postfächer, Kalender, Kontakte und Dateien vollständig übernommen
- Coexistence-Phase statt Big Bang: beide Welten laufen, bis alles verifiziert ist
- Cut-over am Wochenende, Montagmorgen läuft der Betrieb normal
- Alt-Daten archiviert statt verloren — inklusive Nachweis
Mehr dazu
Eine Migration scheitert selten an der Technik und oft an der Vorbereitung. Deshalb beginnt sie bei uns mit einer Inventur (welche Postfächer, welche Freigaben, welche Sonderfälle wie Verteiler, Ressourcen-Kalender, Legacy-Archive) und einem Probelauf mit einer Pilotgruppe. Erst wenn der Pilot sauber läuft, folgt der Rest — nach Abteilungen gestaffelt oder als Wochenend-Cut-over, je nach Grösse.
Der Punkt, an dem wir nicht verhandeln: Am Montag nach dem Cut-over sitzt niemand vor einem leeren Postfach. Signaturen, Aliasse, geteilte Postfächer, Mail-Flow-Regeln und mobile Geräte sind vorher getestet. Und der alte Bestand wird nicht einfach abgeschaltet, sondern nachweisbar archiviert — was in regulierten Branchen ohnehin Pflicht ist. Wer noch zwischen den Welten steht: Unser Ratgeber Microsoft 365 vs. Google Workspace vergleicht beide Plattformen ehrlich.

| Werkzeug | Wofür es da ist | Der typische Fehler |
|---|---|---|
| Exchange / Outlook | E-Mail nach aussen, Kalender, geteilte Postfächer | Dateiablage per Anhang — Versionen driften auseinander |
| Teams | Chat, Calls, Besprechungen — Zusammenarbeit im Moment | Als Dauer-Archiv benutzt; wichtige Dateien versinken im Chat |
| SharePoint | Strukturierte, dauerhafte Team-Ablage und Intranet | Ordner-Wildwuchs ohne Architektur; Berechtigungen pro Datei |
| OneDrive | Persönlicher Arbeitsstand, Entwürfe | Als Team-Ablage missbraucht — Wissen hängt an einer Person |
| Entra ID | Identitäten, Anmeldung, MFA, Zugriffskontrolle | Nur als Nutzerliste gepflegt, Conditional Access ungenutzt |
| Intune | Geräte verwalten, verschlüsseln, aktuell halten | In Business Premium enthalten — aber nie eingerichtet |
| Defender | Schutz vor Phishing, Schadanhängen, Kontoübernahme | Standard-Einstellungen belassen statt Baseline gehärtet |
| Plan | Für wen gedacht | ITM-Einschätzung |
|---|---|---|
| Business Basic | Reine Web-/Mobile-Nutzung: Postfach + Teams ohne Desktop-Office | Für Produktions- und Aushilfsrollen sinnvoll — als Firmenstandard zu knapp |
| Business Standard | Klassischer Büro-Arbeitsplatz mit Desktop-Office | Gut für unregulierte Teams — ohne Intune/Defender fürs Audit zu dünn |
| Business Premium | KMU bis 300 Nutzer mit Sicherheits- und Compliance-Anforderungen | Unser Standard für regulierte KMU: Intune, Entra ID P1 und Defender for Business inklusive — genau das, was Prüfer sehen wollen |
| Enterprise E3 | Grössere Organisationen, erweiterte Compliance-Werkzeuge | Ab 300 Nutzern oder bei erweiterten DLP-/Audit-Anforderungen |
| Enterprise E5 | Maximale Security- und Analytics-Ausstattung | Selten fürs ganze Unternehmen — gezielt für einzelne Rollen kombinieren |
Konkret im Paket.
- Tenant-Assessment mit konkreten Härtungsempfehlungen
- Strukturierte Teams- und SharePoint-Architektur mit Governance-Regeln
- Exchange-Online-Konfiguration inkl. Mail-Flow, Aliasse, geteilte Postfächer
- Sicherheits-Baseline: MFA, Conditional Access, Sharing-Policies, Defender-Grundschutz
- Sensitivity Labels und Aufbewahrungsrichtlinien für die kritischen Datenklassen
- Echtes M365-Backup (Exchange, SharePoint, OneDrive, Teams) mit Restore-Test
- Lizenz-Review mit Umstellungsempfehlung und Einsparpotenzial in Zahlen
- Migration von Google Workspace / Alt-Exchange inkl. Coexistence und Archiv
- Onboarding-/Offboarding-Standardprozess
- Dokumentation und Übergabe — audittauglich
Begriffe in Klartext.
- Tenant
- Ihre eigene, abgegrenzte Microsoft-365-Umgebung — alle Nutzer, Daten, Einstellungen und Richtlinien Ihres Unternehmens unter einer Adresse. Der Tenant ist das Haus, in dem alle M365-Dienste wohnen.
- Exchange Online
- Der E-Mail- und Kalenderdienst hinter Outlook: Postfächer, Verteiler, geteilte Postfächer, Mail-Flow-Regeln und Anti-Spam — als Clouddienst, ohne eigenen Mail-Server.
- SharePoint Online
- Die strukturierte Dokumentenablage und Intranet-Plattform von Microsoft 365. Hinter jedem Team liegt automatisch eine SharePoint-Site — deshalb gehört SharePoint-Architektur zu jeder Teams-Governance.
- OneDrive for Business
- Der persönliche Cloud-Speicher jedes Mitarbeitenden — für Entwürfe und den eigenen Arbeitsstand. Team-Dateien gehören nach SharePoint, nicht in persönliche OneDrives.
- Teams-Governance
- Die Regeln, nach denen Teams entstehen, benannt, genutzt und wieder archiviert werden — technisch verankert über Vorlagen, Ablaufdaten und Berechtigungen statt als PDF im Ordner.
- Sensitivity Label
- Eine Kennzeichnung wie „Intern“ oder „Vertraulich“, die an Dokumenten und Mails hängt und Schutz erzwingt — z. B. Verschlüsselung oder ein Verbot externer Weitergabe.
- Aufbewahrungsrichtlinie (Retention)
- Regelt, wie lange Inhalte aufbewahrt und wann sie gelöscht werden. Wichtig: Retention schützt vor versehentlichem Löschen — sie ist kein Backup.
- Conditional Access
- Regeln in Entra ID, die den Zugriff vom Kontext abhängig machen: verwaltetes Gerät ja/nein, Standort, Anmelderisiko. Das Werkzeug, das MFA von „lästig“ auf „intelligent“ hebt.
- Entra ID (früher Azure AD)
- Microsofts Identitätsdienst: zentrale Anmeldung, MFA, Rollen und Zugriffskontrolle für alle M365-Dienste — das Rückgrat jeder sicheren Tenant-Konfiguration.
- Geteiltes Postfach (Shared Mailbox)
- Ein Postfach wie info@ oder support@, auf das mehrere Mitarbeitende zugreifen — ohne eigene Lizenz, mit klarer Nachvollziehbarkeit, wer geantwortet hat.
- Business Premium
- Der Microsoft-365-Plan für KMU bis 300 Nutzer, der neben Office und Exchange auch Intune, Entra ID P1 und Defender for Business enthält — der Sicherheits-Sweet-Spot für regulierte kleine Unternehmen.
- Cut-over
- Der geplante Umschalt-Moment einer Migration, ab dem die neue Umgebung führend ist — bei ITM am Wochenende, geprobt mit Pilotgruppe, damit der Montag ein normaler Arbeitstag ist.
Häufige Fragen.
Übernehmen Sie auch eine bestehende, chaotische Umgebung?
Ja — das ist sogar der Normalfall. Wir starten mit einem Tenant-Assessment, räumen auf und überführen die Umgebung Schritt für Schritt in einen sauberen, dokumentierten Zustand — ohne den Betrieb zu stoppen und ohne dass Daten verloren gehen.
Migrieren Sie von Google Workspace oder einem alten Exchange?
Ja. Postfächer, Kalender, Kontakte und Dateien werden vollständig übernommen, mit Coexistence-Phase und geprobtem Cut-over — niemand sitzt morgens vor einem leeren Postfach. Wer noch abwägt: Unser Ratgeber „Microsoft 365 vs. Google Workspace“ vergleicht beide Welten ehrlich.
Welchen Microsoft-365-Plan brauchen wir?
Für regulierte kleine Unternehmen ist Business Premium fast immer die richtige Antwort, weil Intune, Entra ID P1 und Defender for Business enthalten sind — genau die Werkzeuge, die Audits und Kundenfragebögen sehen wollen. Reine Postfach-Rollen fahren mit Business Basic günstiger. Die belastbare Antwort liefert unser Lizenz-Review auf Basis Ihrer tatsächlichen Nutzung.
Reicht die eingebaute Microsoft-Sicherung — oder brauchen wir ein Backup?
Sie brauchen ein echtes Backup. Microsofts Aufbewahrung (Retention) schützt vor versehentlichem Löschen innerhalb von Fristen, aber nicht vor Ransomware, kompromittierten Konten oder grossflächigen Fehlern — Microsoft verweist für die Datensicherung selbst auf Drittlösungen. Bei ITM gehört ein getrenntes M365-Backup mit dokumentiertem Restore-Test zum Standard.
Wo liegen unsere Daten — und ist das DSGVO-konform?
Microsoft 365 lässt sich mit EU-Datenresidenz betreiben: Sie wählen die Region, und Microsofts EU Data Boundary hält die Verarbeitung weitgehend in der EU. Für die DSGVO braucht es zusätzlich die richtige Konfiguration (Freigaben, Aufbewahrung, Auftragsverarbeitungsvertrag) — die richten wir ein und dokumentieren sie. Für besonders sensible Datenbestände kombinieren wir M365 mit souveräner Ablage im Haus oder im deutschen Rechenzentrum.
Können wir Microsoft 365 auch mit Macs nutzen?
Ja, vollständig — und bei ITM ist das kein Sonderfall, sondern Standard. Office, Teams und OneDrive laufen nativ auf dem Mac; verwaltet werden Macs über Jamf nach denselben Sicherheitsregeln wie Windows-Geräte über Intune (User Choice, Cross-Plattform).
Was bringt uns Teams-Governance konkret?
Weniger Suchen, weniger Risiko: Neue Teams entstehen über Vorlagen mit klarer Benennung und Ablaufdatum, alte werden automatisch archiviert, Gastzugriffe sind befristet und nachvollziehbar. Der Effekt ist messbar — statt 60 halbtoter Teams eine Handvoll lebendiger, und im Audit eine klare Antwort auf die Frage, wer worauf Zugriff hat.
Was kostet die Einrichtung?
Ehrliche Antwort: abhängig von Grösse und Zustand des Tenants. Ein Assessment mit Härtungs- und Lizenzempfehlung ist ein überschaubares Festpreis-Paket; Umbau und Migration hängen von Postfächern, Datenmenge und Sonderfällen ab. Nach dem Erstgespräch bekommen Sie eine belastbare Schätzung — und das Lizenz-Review finanziert sich oft über die Einsparung selbst.
Was ist mit Copilot — sollen wir das aktivieren?
Erst aufräumen, dann KI. Copilot durchsucht alles, worauf ein Nutzer Zugriff hat — in einem Tenant mit Berechtigungs-Wildwuchs macht das aus einem Ordnungsproblem ein Datenschutzproblem. Auf einem sauberen Tenant ist Copilot dagegen ein echter Produktivitätshebel. Die Einführung inklusive Governance machen wir in der Stufe Core, gern nach einer KI-Potenzialanalyse.
Betreibt ITM Microsoft 365 selbst?
Ja — unser eigenes Unternehmen läuft auf demselben Stack, den wir Ihnen einrichten: Microsoft 365 mit Entra ID, Intune, Jamf und Defender, nach denselben Baselines gehärtet. Wir empfehlen nichts, was wir nicht selbst im täglichen Betrieb nutzen. Und ITM ist selbst nach ISO 27001 und ISO 9001 zertifiziert.
Wie lange dauert Einrichtung oder Migration?
Ein Assessment liefert nach wenigen Tagen Ergebnisse. Eine Tenant-Härtung ist typischerweise in ein bis zwei Wochen umgesetzt, eine Migration je nach Grösse in zwei bis sechs Wochen inklusive Pilot und Cut-over — im laufenden Betrieb, ohne Ausfalltag.
Verkaufen Sie uns die Lizenzen — und ist das teurer als direkt bei Microsoft?
Sie können die Lizenzen über ITM beziehen (ein Vertrag, ein Ansprechpartner) oder bestehende Verträge behalten — beides ist in Ordnung. Durch gebündelten Einkauf über viele Kunden erreichen wir Konditionen, die ein einzelnes KMU direkt meist nicht bekommt; diesen Vorteil geben wir weiter.
Microsoft 365, aber richtig.
Lassen Sie uns Ihren Tenant gemeinsam ansehen — im Erstgespräch sagen wir ehrlich, wo aufgeräumt, gehärtet und gespart werden kann.
Erstgespräch buchen