Microsoft 365 im kleinen Betrieb: Checkliste vor dem Umstieg

Das Wichtigste in Kürze

Microsoft 365 bündelt E-Mail, Dateiablage, Office-Programme und Teams in der Cloud. Für kleine Betriebe bietet Microsoft eigene Business-Pläne an. Der Umstieg selbst ist technisch gut beschrieben. Die meisten Fragen entstehen vorher: Welche Daten ziehen um, welcher Plan passt, wie wird abgesichert und gesichert, und wie ist der Datenschutz geregelt? Diese Checkliste hilft Ihnen, die Punkte zu klären, bevor Postfächer umziehen.

Für wen die Business-Pläne gedacht sind

Microsoft richtet seine Business-Pläne an kleine und mittlere Unternehmen mit bis zu 300 Benutzern. Es gibt drei Stufen: Business Basic, Business Standard und Business Premium. Laut Microsoft enthalten alle drei Schutz vor Spam, Schadsoftware und Phishing für E-Mails. Business Premium bringt zusätzliche Sicherheitsfunktionen mit, etwa für die Verwaltung und den Schutz von Geräten und für die Kennzeichnung vertraulicher Daten. Die Office-Programme zur Installation auf dem Rechner sind laut Microsoft in Business Standard und Premium enthalten, nicht in Basic.

Die Checkliste

1. Bestand aufnehmen

• Wo liegen heute Ihre Daten: auf einem Server, einem Netzwerkspeicher, auf einzelnen Rechnern, in anderen Cloud-Diensten?
• Wie viele E-Mail-Postfächer gibt es, wie groß sind sie, und wo liegen sie heute?
• Welche Programme müssen weiterlaufen, etwa Branchensoftware, Buchhaltung, Warenwirtschaft? Arbeiten sie mit Microsoft 365 zusammen?
• Wer hat die Zugangsdaten zu Ihrer Domain, also zur Adresse, unter der Ihre E-Mails laufen?

2. Pläne und Lizenzen festlegen

Lizenzen werden je Benutzer vergeben. Nicht jeder braucht denselben Plan. Klären Sie, wer die Office-Programme auf dem Rechner braucht, wer mit Web und App auskommt und ob Sie die zusätzlichen Sicherheitsfunktionen von Business Premium nutzen wollen.

3. E-Mail-Umzug planen

Der Umzug der Postfächer ist der heikelste Teil, weil E-Mails während der Umstellung nicht verloren gehen dürfen. Planen Sie einen Zeitpunkt mit wenig Betrieb, sichern Sie die alten Postfächer vorher und kündigen Sie den alten E-Mail-Dienst erst, wenn alles angekommen ist. Die Einträge bei Ihrem Domain-Anbieter, die festlegen, wohin E-Mails zugestellt werden, sollte nur ändern, wer weiß, was er tut.

4. Sicherheit von Anfang an einschalten

Microsoft nennt für die Business-Pläne zehn Maßnahmen zum Schutz der Daten. Die wichtigsten für den Start:

• Mehrstufige Anmeldung (MFA): Laut Microsoft sind die sogenannten Sicherheitsstandards bei Business-Plänen standardmäßig aktiviert und für die meisten Organisationen geeignet. Sie verlangen neben dem Passwort einen zweiten Nachweis. Schalten Sie sie nicht ab, weil es bequemer ist.
• Administratorkonten schützen: Konten mit vollen Rechten sind das wertvollste Ziel für Angreifer. Nutzen Sie sie nur für Verwaltungsaufgaben, nicht für die tägliche Arbeit.
• Voreingestellte Sicherheitsrichtlinien nutzen: Microsoft bietet für E-Mail vorgefertigte Schutzrichtlinien an.
• Geräte schützen: Alle Geräte, die auf Firmendaten zugreifen, auch private Smartphones, sollten abgesichert werden.
• Freigaben prüfen: Legen Sie fest, ob und wie Dateien mit Personen außerhalb des Betriebs geteilt werden dürfen.
• Mitarbeitende schulen: Microsoft empfiehlt, alle im Erkennen von Phishing und Spam zu schulen.

5. Datensicherung klären

Dass Daten in der Cloud liegen, heißt nicht, dass sie gesichert sind. Das BSI weist darauf hin, dass bei einer Spiegelung Löschungen und Fehler sofort auch die zweite Kopie betreffen. Klären Sie deshalb vor dem Umstieg: Wie lange lassen sich gelöschte Dateien und E-Mails wiederherstellen? Was passiert, wenn ein Verschlüsselungstrojaner synchronisierte Dateien verschlüsselt? Braucht es eine zusätzliche Sicherung außerhalb von Microsoft 365? Die IHK nennt als Kriterium für IT-Dienstleister, dass Sicherungen auf Wunsch testweise zurückgespielt werden.

6. Datenschutz klären

Mit Microsoft 365 verarbeitet ein Dienstleister personenbezogene Daten in Ihrem Auftrag, etwa E-Mails, Kontakte und Dokumente. Die Bewertung durch die Datenschutzaufsicht war in den vergangenen Jahren nicht einheitlich. Die Datenschutzkonferenz von Bund und Ländern kam im November 2022 zu dem Ergebnis, dass der Nachweis eines datenschutzkonformen Betriebs auf Grundlage der damaligen Vertragsunterlagen nicht geführt werden könne. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit stellte in einem Bericht vom November 2025 fest, dass bezogen auf die Kritikpunkte der Datenschutzkonferenz ein datenschutzkonformer Betrieb möglich ist. Er betont dabei, dass Microsoft und die Verantwortlichen zusammenwirken müssen, also auch der Betrieb, der Microsoft 365 einsetzt.

Für Sie heißt das: Beziehen Sie Ihren Datenschutzbeauftragten oder eine fachkundige Beratung ein, bevor Sie umsteigen, und dokumentieren Sie, welche Einstellungen Sie gewählt haben und warum.

7. Mitarbeitende mitnehmen

Ein Umstieg verändert den Arbeitsalltag: neue Anmeldung, neuer Dateiablageort, neue Gewohnheiten. Planen Sie eine kurze Einführung, einen Ansprechpartner für Fragen und eine Übergangszeit, in der beide Welten noch erreichbar sind.

8. Betrieb nach dem Umstieg regeln

Microsoft weist darauf hin, dass eine Organisation nach der Einrichtung einen Plan für Wartung und Betrieb braucht, etwa für neue und ausscheidende Benutzer und das Zurücksetzen von Passwörtern. Legen Sie fest, wer das übernimmt.

Wann Sie aufhören sollten

• Ändern Sie keine Einträge bei Ihrem Domain-Anbieter, wenn Sie nicht sicher sind, was sie bewirken. Ein Fehler dort kann dazu führen, dass E-Mails nicht mehr ankommen.
• Starten Sie keinen Umzug ohne aktuelle Sicherung der alten Postfächer und Dateien.
• Arbeiten Sie nicht täglich mit dem Administratorkonto.

Wenn mehrere Postfächer und ein Server umziehen, Branchensoftware angebunden werden muss oder Sie die Sicherheitseinstellungen von Anfang an richtig setzen wollen, lohnt sich ein Fachbetrieb, der den Umstieg plant, durchführt und dokumentiert.