Microsoft 365 für Kleinunternehmen einrichten: Die 7 häufigsten Fehler

Veröffentlicht am 5. Juli 2026 · von Ayberk Bulut

Microsoft 365 ist schnell gebucht: Kreditkarte rein, Konten anlegen, Outlook verbinden — läuft. Genau da liegt das Problem. Die Einrichtung funktioniert auch ohne Plan, aber die Fehler zeigen sich erst Monate später: als gehacktes Postfach, verlorene Daten eines Ex-Mitarbeiters oder Freigabe-Chaos, das keiner mehr durchblickt. Aus meiner Arbeit mit Kleinunternehmen sind das die sieben Fehler, die ich am häufigsten vorfinde — und wie Sie sie richtig lösen.

Fehler 1: MFA nicht aktiviert

Warum es passiert: Die Multi-Faktor-Authentifizierung (MFA) — also die Bestätigung der Anmeldung über eine App auf dem Handy, zusätzlich zum Passwort — kostet beim Einrichten fünf Minuten pro Person und nervt vermeintlich im Alltag. Also wird sie „später" aktiviert. Später kommt nie.

Warum es gefährlich ist: Microsoft-365-Konten werden pausenlos automatisiert mit gestohlenen und erratenen Passwörtern attackiert. Ein gekapertes Firmenpostfach ist die Vorstufe zu Rechnungsbetrug: Angreifer lesen mit und schicken dann täuschend echte Zahlungsaufforderungen an Ihre Kunden.

So geht es richtig: MFA vom ersten Tag an für alle Benutzer verpflichtend, ohne Ausnahme — auch und gerade für die Chefin oder den Chef. Die Microsoft-Authenticator-App macht das im Alltag zur Ein-Tipp-Sache.

Fehler 2: Die falsche Lizenz gewählt

Warum es passiert: Die Tarifnamen sagen wenig, also wird entweder das Billigste genommen („reicht schon") oder pauschal für alle das Größte („sicher ist sicher").

So geht es richtig: Nach Bedarf pro Person entscheiden: Business Basic genügt, wenn E-Mail und Office im Browser reichen. Business Standard braucht, wer Word, Excel und Outlook installiert auf dem Rechner will. Business Premium lohnt sich, wenn erweiterte Sicherheit und Geräteverwaltung gefragt sind. In den meisten Kleinbetrieben ist eine Mischung am wirtschaftlichsten — die Lagerkraft braucht keine Standard-Lizenz, nur weil das Büro eine hat. Lizenzen lassen sich monatlich anpassen; einmal jährlich prüfen spart oft dauerhaft Geld.

Fehler 3: E-Mail-Migration ohne Plan

Warum es passiert: Der Wechsel vom alten Hoster-Postfach wirkt trivial: neue Adresse einrichten, fertig. Dabei hängt an der Domain-Umstellung die gesamte Mail-Zustellung des Betriebs.

Warum es schiefgeht: Wer die Domain umstellt, bevor alle Postfächer übertragen und getestet sind, riskiert verlorene Mails, doppelte Zustellung oder tagelange Funkstille — und ohne korrekte DNS-Einträge wie SPF und DKIM (technische Nachweise, dass Mails wirklich von Ihrer Domain stammen dürfen) landen die eigenen Rechnungen beim Kunden im Spam.

So geht es richtig: Erst alles vorbereiten und Daten übertragen, während das alte System weiterläuft; die Umstellung dann kontrolliert am Abend oder Wochenende; danach SPF, DKIM und DMARC sauber setzen und die Zustellung testen.

Fehler 4: Kein Backup der 365-Daten — Microsoft sichert nicht alles!

Warum es passiert: „Ist doch in der Cloud" fühlt sich nach gesichert an. Tatsächlich garantiert Microsoft den Betrieb der Plattform — für Ihre Daten gilt das Modell der geteilten Verantwortung: Die Inhalte sind Ihre Sache.

Warum es gefährlich ist: Gelöschte Elemente sind nach Ablauf der Aufbewahrungsfristen (je nach Bereich etwa 30 bis 93 Tage) endgültig weg. Löscht ein Mitarbeiter versehentlich oder absichtlich Daten, verschlüsselt Schadsoftware den synchronisierten OneDrive-Ordner oder fällt eine Manipulation erst nach Monaten auf, gibt es ohne eigenes Backup nichts zurückzuholen.

So geht es richtig: Ein separates Backup von Exchange, OneDrive, SharePoint und Teams — über eine Backup-Software oder ein NAS mit 365-Sicherung (Synology Active Backup for Microsoft 365 etwa ist kostenlos dabei). Täglich, automatisch, mit Wiederherstellungstest.

Fehler 5: Das Admin-Konto im Alltag benutzt

Warum es passiert: Bei der Ersteinrichtung entsteht ein Konto mit allen Rechten — und weil es schon da ist, arbeitet der Inhaber dauerhaft damit: E-Mails, Word, Websurfen, alles mit globalen Administratorrechten.

Warum es gefährlich ist: Fällt dieses eine Konto durch Phishing, gehört dem Angreifer sofort der komplette Tenant — alle Postfächer, alle Daten, alle Einstellungen. Und jeder Klick auf einen falschen Anhang passiert mit maximalen Rechten.

So geht es richtig: Ein separates Admin-Konto ohne Postfach und ohne Office-Lizenz, genutzt nur für Verwaltungsaufgaben, abgesichert mit MFA. Für die tägliche Arbeit ein normales Benutzerkonto — auch für den Chef.

Fehler 6: Freigaben und Berechtigungen wild wachsen lassen

Warum es passiert: Teilen ist in Microsoft 365 verführerisch einfach: Rechtsklick, Link erstellen, verschicken. Jeder legt Teams und Freigaben an, wie es gerade passt — nach zwei Jahren weiß niemand mehr, wer auf was Zugriff hat und welche „Jeder mit dem Link"-Freigaben noch draußen kursieren.

So geht es richtig: Zu Beginn zehn Minuten in eine simple Struktur investieren: wenige Teams bzw. SharePoint-Bereiche nach Abteilung oder Themen, Zugriff über Gruppen statt Einzelpersonen. Externe Freigaben standardmäßig einschränken (nur eingeladene Personen, mit Ablaufdatum) und einmal jährlich aufräumen: verwaiste Teams archivieren, alte Freigabe-Links zurückziehen.

Fehler 7: Keine Offboarding-Routine für Ex-Mitarbeiter

Warum es passiert: Ein Austritt ist stressig genug — Schlüssel abgeben, Lohnabrechnung, Übergabe. An das Microsoft-365-Konto denkt niemand, es läuft (und kostet) einfach weiter. Oder das Gegenteil: Das Konto wird sofort gelöscht — mitsamt Postfach und allen Dateien.

Warum beides schadet: Ein aktives Konto eines Ex-Mitarbeiters ist ein offenes Einfallstor, besonders wenn die Person im Streit gegangen ist. Ein vorschnell gelöschtes Konto vernichtet dagegen Kundenkommunikation und Dokumente, die der Betrieb noch braucht.

So geht es richtig: Eine feste Checkliste für den letzten Arbeitstag: Anmeldung sperren, Passwort zurücksetzen, aktive Sitzungen beenden, Weiterleitung oder Postfach-Delegation an die Vertretung, Daten sichern — und erst nach einer Übergangsfrist Konto löschen und Lizenz freigeben.

Fazit

Keiner dieser sieben Fehler ist kompliziert zu vermeiden — aber jeder einzelne ist ärgerlich bis existenzbedrohend, wenn er zuschlägt. Die gute Nachricht: Ein sauber eingerichteter Tenant braucht danach wenig Pflege. MFA, passende Lizenzen, geplante Migration, eigenes Backup, getrenntes Admin-Konto, aufgeräumte Freigaben und eine Offboarding-Checkliste — das ist überschaubarer Einmalaufwand mit dauerhafter Wirkung. Wie ich das für Betriebe in Göttingen umsetze, lesen Sie auf meiner Seite zu Microsoft 365 Einrichtung & Support in Göttingen.