Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Sehen Sie sich die Hilfe zu Microsoft 365 Small Business auf YouTube an. Diese Ressourcen sind besonders hilfreich für kleine Unternehmensadministratoren, die noch keine Erfahrung mit Microsoft 365 haben.
Zum Ausführen von Aufgaben wie dem Hinzufügen von Benutzern, dem Zuweisen von Lizenzen oder dem Konfigurieren von Diensten benötigen Sie eine Administratorrolle in Microsoft 365 Business. Ihr Microsoft 365- oder Office 365-Abonnement umfasst eine Reihe von Administratorrollen, die Sie im Microsoft 365 Admin Center zuweisen können. Jede Administratorrolle entspricht den allgemeinen Geschäftsfunktionen und ermöglicht es den Personen in Ihrer Organization, bestimmte Aufgaben in den Admin Centern zu erledigen. Dieser Artikel bietet eine Übersicht über Administratorrollen, zu beachtende Sicherheitsrichtlinien und Links zu verwandten Inhalten.
Schauen Sie sich an: Was ist ein Administrator?
Schauen Sie sich dieses Video und andere auf unserem YouTube-Kanal an.
Wechseln Sie zum Microsoft 365 Admin Center und melden Sie sich an. Wenn Sie auf das Microsoft 365 Admin Center zugreifen können, sind Sie Administrator, und Sie können mit dem nächsten Schritt fortfahren.
Wählen Sie in der linken Navigationsleiste Benutzer>Aktive Benutzer aus. (Oder gehen Sie direkt zur Seite "Aktive Benutzer".)
Wählen Sie das Benutzerkonto für die Person aus, die Sie zum Administrator machen möchten. Die Details des Benutzers werden im rechten Dialogfeld angezeigt.
Bevor Sie beginnen
Im Microsoft 365 Admin Center können Sie Microsoft Entra-Rollen und Microsoft Intune-Rollen verwalten. Diese Rollen sind jedoch nur eine Teilmenge der Rollen, die im Microsoft Entra Admin Center und im Microsoft Intune Admin Center verfügbar sind.
- Eine vollständige Liste der detaillierten Microsoft Entra-Rollenbeschreibungen, die Sie im Microsoft 365 Admin Center verwalten können, finden Sie unter Administratorrollenberechtigungen in integrierten Microsoft Entra-Rollen.
- Eine vollständige Liste der detaillierten Microsoft Intune-Rollenbeschreibungen, die Sie im Microsoft 365 Admin Center verwalten können, finden Sie unter Rollenbasierte Zugriffssteuerung (RBAC) mit Microsoft Intune.
Weitere Informationen zum Zuweisen von Rollen im Microsoft 365 Admin Center finden Sie unter Zuweisen von Administratorrollen.
Wichtig
Microsoft empfiehlt, Rollen mit den wenigsten Berechtigungen zu verwenden und die Anzahl der Benutzer mit Administratorrechten zu beschränken. Weitere Informationen finden Sie unter Rollen mit den geringsten Berechtigungen nach Aufgabe in Microsoft Entra ID.
Sicherheitsrichtlinien für das Zuweisen von Rollen
Da Administratoren Zugriff auf vertrauliche Daten und Dateien haben, befolgen Sie diese Richtlinien, um die Daten Ihrer Organization besser zu schützen.
| Empfehlung | Warum ist das wichtig? |
|---|---|
| So wenige globale Administratoren wie möglich haben | Globale Administratoren haben nahezu unbegrenzten Zugriff auf die Einstellungen Ihrer organization und die meisten ihrer Daten. Begrenzen Sie die Anzahl der globalen Administratoren so weit wie möglich. Ein globaler Administrator könnte versehentlich sein Konto sperren und eine Kennwortzurücksetzung erfordern. Ein anderer globaler Administrator oder ein privilegierter Authentifizierungsadministrator kann das Kennwort eines globalen Administrators zurücksetzen. Daher sollten Sie mindestens einen Administrator für privilegierte Authentifizierung haben, falls ein globaler Administrator aus seinem Konto ausgesperrt ist. |
| Die Rolle mit den wenigsten Berechtigungen zuweisen | Das Zuweisen der am wenigsten freizügigen Rolle bedeutet, dass Administratoren nur den Zugriff erhalten, den sie für die Erledigung ihrer Aufgaben benötigen. Wenn Sie beispielsweise möchten, dass jemand Benutzerkennwörter zurücksetzt, weisen Sie nicht die uneingeschränkte globale Administratorrolle zu. Weisen Sie stattdessen eine eingeschränkte Administratorrolle wie Kennwortadministrator oder Helpdeskadministrator zu. Weitere Informationen finden Sie unter Rollen mit den geringsten Berechtigungen nach Aufgabe in Microsoft Entra ID. |
| Mehrstufige Authentifizierung (MFA) für Administratoren erforderlich | Require MFA for all your users, especially administrators. MFA bewirkt, dass Benutzer eine zweite Identifizierungsmethode verwenden, um ihre Identität zu überprüfen. Administratoren können auf Benutzerdaten wie Name, E-Mail-Adresse, Standort usw. zugreifen. Wenn Sie MFA benötigen, reicht das Kennwort selbst dann nicht aus, wenn das Kennwort des Administrators kompromittiert wird, um sich ohne eine andere Identifizierungsmethode anzumelden. Wenn Sie MFA aktivieren, muss der Benutzer bei der nächsten Anmeldung eine alternative E-Mail-Adresse und Telefonnummer für die Kontowiederherstellung angeben. Einrichten einer mehrstufigen Authentifizierung |
Wenn Sie im Microsoft 365 Admin Center eine Meldung erhalten, die besagt, dass Sie nicht über die Berechtigung zum Bearbeiten einer Einstellung oder Seite verfügen, liegt dies daran, dass Sie einer Rolle zugewiesen sind, die nicht über diese Berechtigung verfügt. Führen Sie in diesem Fall eine oder mehrere der folgenden Aktionen aus:
- Sprechen Sie mit einem anderen Administrator, um Ihnen die richtige Rolle zuzuweisen.
- Erfahren Sie mehr über die Zuweisung von Administratorrollen. Siehe Zuweisen von Administratorrollen.
- Kontaktieren Sie den Support für Microsoft 365 Business.
Häufig verwendete Microsoft 365 Admin Center-Rollen
Gehen Sie wie folgt vor, um Administratorrollen anzuzeigen:
Wechseln Sie im Microsoft 365 Admin Center zu Rollenzuweisungen.
Wählen Sie eine Rolle aus, um den Detailbereich zu öffnen.
Wählen Sie die Registerkarte "Berechtigungen " aus, um eine detaillierte Liste der Berechtigungen anzuzeigen, für die Administratoren, denen diese Rolle zugewiesen wurde, über Berechtigungen verfügen.
Wählen Sie die Registerkarte Zugewiesene oder Zugewiesene Administratoren aus, um Benutzer zu Rollen hinzuzufügen.
Um die vollständige Liste der Rollen anzuzeigen, klicken Sie am Ende der Liste auf "Alle nach Kategorie anzeigen". Ausführliche Informationen, einschließlich der Cmdlets, die einer Rolle zugeordnet sind, finden Sie unter Integrierte Microsoft Entra-Rollen.
Administratorrollen und wer zugewiesen werden soll
In der folgenden Tabelle sind Administratorrollen und Informationen darüber aufgeführt, wem diese Rollen zugewiesen werden sollten. Die vollständige Liste der Rollen finden Sie unter Integrierte Microsoft Entra-Rollen.
| Administratorrolle | Wem sollte diese Rolle zugewiesen werden? |
|---|---|
| KI-Administrator | Diese Rolle bietet eine KI- und Agent-basierte Verwaltung, gewährt jedoch keine umfassende mandantenweite Microsoft 365-Workloadverwaltung. Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle des KI-Administrators zu:
|
| KI-Leser | Diese Rolle ist für Transparenz, Überwachung und Berichterstellung, aber nicht für die Verwaltung vorgesehen. Weisen Sie die Rolle "KI-Leser" Benutzern zu, die die Features und Einstellungen in den Admin Centern anzeigen müssen, die der KI-Administrator anzeigen kann. Der KI-Leser kann keine Einstellungen bearbeiten. Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle "KI-Leser" zu:
|
| Anwendungsadministrator | Weisen Sie Benutzern, die alle Aspekte von Unternehmensanwendungen, Anwendungsregistrierungen und Anwendungsproxyeinstellungen erstellen und verwalten müssen, die Rolle des Anwendungsadministrators zu. Benutzer, die dieser Rolle zugewiesen sind, werden beim Erstellen neuer Anwendungsregistrierungen oder Unternehmensanwendungen nicht als Besitzer hinzugefügt. Diese Rolle gewährt auch die Möglichkeit, delegierte Berechtigungen und Anwendungsberechtigungen zu erteilen, mit Ausnahme von Anwendungsberechtigungen für Azure AD Graph und Microsoft Graph. |
| Abrechnungsadministrator | Weisen Sie Benutzern, die Einkäufe tätigen, Abonnements und Dienstanfragen verwalten und den Dienststatus überwachen, die Rolle des Abrechnungsadministrators zu. Abrechnungsadministratoren können auch:
|
| Exchange-Administrator | Weisen Sie Benutzern, die die E-Mail-Postfächer, Microsoft 365-Gruppen und Exchange Online Ihrer Benutzer anzeigen und verwalten müssen, die Exchange-Administratorrolle zu. Exchange-Administratoren können auch:
|
| Fabric Administrator | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle des Fabric-Administrators zu:
|
| Globaler Administrator | Dies ist eine privilegierte Rolle. Globale Administratoren können Verzeichnisaktivitätsprotokolle einsehen und ihren Zugriff auf die Verwaltung aller Microsoft Azure Abonnements und Verwaltungsgruppen erhöhen. Globale Administratoren erhalten Vollzugriff auf alle Microsoft Azure-Ressourcen mithilfe ihres jeweiligen Microsoft Entra-Mandanten. Die Person, die ein Abonnement für Ihre organization erworben und sich für Microsoft Onlinedienste registriert hat, ist automatisch ein globaler Administrator. Es kann mehr als einen globalen Administrator in Ihrer organization geben. Benutzer mit dieser Rolle haben Zugriff auf alle Verwaltungsfunktionen in Microsoft Entra ID und Dienste, die Microsoft Entra-Identitäten verwenden, wie das Microsoft Defender-Portal, das Microsoft Purview-Portal, Exchange Online, SharePoint Online und Skype for Business Online. Globale Administratoren können:
Ein globaler Administrator kann seine eigene globale Administratorenzuweisung nicht aufheben. Diese Einschränkung soll verhindern, dass eine organization keine globalen Administratoren hat. |
| Globaler Leser | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle "Globaler Leser" zu:
Für Abonnements, die über einen Partner erworben wurden, ist die Rolle "Globaler Leser" nicht verfügbar. |
| Gruppenadministrator | Weisen Sie Benutzern, die alle Gruppeneinstellungen in Admin Centern verwalten müssen, einschließlich Microsoft 365 Admin Center und Microsoft Entra Admin Center, die Rolle des Gruppenadministrators zu. Gruppenadministratoren können folgende Aktionen ausführen:
|
| Helpdeskadministrator | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Helpdeskadministratorrolle zu:
|
| Lizenzadministrator | Weisen Sie Benutzern, die Benutzer Lizenzen zuweisen und entfernen und ihren Nutzungsspeicherort bearbeiten müssen, die Rolle des Lizenzadministrators zu. Lizenzadministratoren können auch:
|
| Nachrichtencenter Datenschutzleser | Weisen Sie Benutzern, die Datenschutzmeldungen und -updates im Microsoft 365-Nachrichtencenter lesen müssen, die Rolle "Nachrichtencenter-Datenschutzleseberechtigter" zu. Leser des Nachrichtenzentrums können je nach ihren Präferenzen E-Mail-Benachrichtigungen zum Datenschutz erhalten und sich über die Einstellungen des Nachrichtenzentrums abmelden. Nur globale Administratoren und Nachrichtencenter-Datenschutzleseberechtigte können Datenschutzmeldungen lesen. Diese Rolle verfügt nicht über die Berechtigung zum Anzeigen, Erstellen oder Verwalten von Dienstanforderungen. Leser mit den Datenschutzbestimmungen im Nachrichtencenter können auch:
|
| Nachrichtencenter-Leser | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle "Nachrichtencenter-Leser" zu:
|
| Microsoft Graph Data Connect-Administrator | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle "Microsoft Graph Data Connect-Administrator" zu:
|
| Migration Administrator | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle des Microsoft 365-Migrationsadministrators zu:
|
| Administrator für Office-Apps | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle "Office Apps-Administrator" zu:
|
| Genehmiger für organisatorische Nachrichten | Weisen Sie Benutzern, die neue Organisationsnachrichten zur Zustellung im Microsoft 365 Admin Center überprüfen, genehmigen oder ablehnen müssen, bevor sie über Microsoft-Produktoberflächen an Benutzer gesendet werden, die Rolle der genehmigenden Person für organisatorische Nachrichten zu. |
| Verfasser von Organisationsnachrichten | Weisen Sie Benutzern, die die organisatorischen Nachrichten für Endbenutzer über Microsoft-Produktoberflächen schreiben, veröffentlichen, verwalten und überprüfen müssen, die Rolle des Verfassers von Organisationsnachrichten zu. |
| Password Administrator | Weisen Sie einem Benutzer, der Kennwörter für Benutzer zurücksetzen muss, die Rolle des Kennwortadministrators zu. |
| People Administrator | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle "People Administrator" zu:
|
| Power Platform Administrator | Weisen Sie die Power Platform-Administratorrolle Benutzern zu, die die folgenden Aufgaben ausführen müssen:
|
| Reports Reader | Weisen Sie die Rolle "Berichtleseberechtigter" Benutzern zu, die die folgenden Aufgaben ausführen müssen:
|
| Search Administrator | Weisen Sie Benutzern, die Suchergebnisinhalte erstellen und verwalten und Abfrageeinstellungen für verbesserte Suchergebnisse innerhalb der organization festlegen müssen, die Rolle des Suchadministrators zu. Der Search-Administrator verwaltet die Microsoft Search-Konfiguration und kann alle Inhaltsverwaltungsaufgaben ausführen, die ein Search-Editor ausführen kann. |
| Sicherheitsadministrator | Weisen Sie Benutzern, die Sicherheitskontrollen und Überwachung in Microsoft 365 verwalten, die Rolle des Sicherheitsadministrators zu. Diese privilegierte Rolle bietet Zugriff auf Sicherheits- und Complianceportale und Leseeinblicke in Agents im Microsoft 365 Admin Center für Untersuchung und Risikobewertung, ohne die Veröffentlichung von Agenten oder die Lebenszyklusverwaltung zuzulassen. |
| Sicherheitsleseberechtigter | Weisen Sie Benutzern, die Zugriff auf Sicherheitsdaten und Überwachungserkenntnisse in Microsoft 365 benötigen, die Rolle "Sicherheitsleseberechtigter" zu. Diese privilegierte Rolle bietet Zugriff auf Sicherheits- und Complianceportale, einschließlich Microsoft Defender, Microsoft Microsoft Entra (ID-Schutz, Privileged Identity Management, Anmeldeberichte und Überwachungsprotokolle) und Microsoft Purview. Im Microsoft 365 Admin Center bietet diese Rolle schreibgeschützte Einblicke in Agents und Metadaten für Sicherheitsüberprüfungs- und Compliancezwecke, ohne die Veröffentlichung von Agenten oder die Lebenszyklusverwaltung zu ermöglichen. |
| Administrator für Dienstunterstützung | Weisen Sie Administratoren oder Benutzern, die zusätzlich zu ihrer üblichen Administratorrolle die folgenden Aufgaben ausführen müssen, die Rolle "Dienstsupportadministrator" als eine andere Rolle zu:
|
| SharePoint-Administrator | Weisen Sie Benutzern, die auf das SharePoint Admin Center zugreifen und es verwalten müssen, die SharePoint-Administratorrolle zu. SharePoint-Administratoren können auch:
|
| Erweiterte SharePoint-Verwaltung Administrator | Weisen Sie Benutzern, die die folgenden Arten von Aufgaben ausführen müssen, die Rolle "Erweiterte SharePoint-Verwaltung-Administrator" zu:
|
| Teams-Administrator | Weisen Sie Benutzern, die auf das Teams Admin Center zugreifen und es verwalten müssen, die Teams-Administratorrolle zu. Ein Teams-Administrator kann auch:
|
| Benutzeradministrator | Weisen Sie Benutzern, die die folgenden Aufgaben ausführen müssen, die Rolle "Benutzeradministrator" zu:
|
| Erfolgs-Manager für die Benutzererfahrung | Weisen Sie die Rolle "User Experience Success Manager" Benutzern zu, die die folgenden Aufgaben ausführen müssen:
|
| Viva Glint Mandantenadministrator | Weisen Sie Benutzern, die die Viva Glint-App verwalten, die Rolle des Viva Glint-Mandantenadministrators zu. Weitere Informationen finden Sie unter Zuweisen von Viva Glint-Mandanten- und Dienstadministratoren. |
Siehe auch: Überprüfen von Administratorrollen in Ihrer Organization.
Berechtigungen basierend auf Administratorrollen und Gruppentyp im Microsoft 365 Administrator Center
| Administrator | Microsoft 365-Gruppen | Security Groups | Dynamische Verteilergruppen | E-Mail-aktivierte Sicherheitsgruppen |
|---|---|---|---|---|
| Globaler Administrator | Erstellen, Lesen, Aktualisieren, Löschen | Erstellen, Lesen, Aktualisieren, Löschen | Erstellen, Lesen, Aktualisieren, Löschen | Erstellen, Lesen, Aktualisieren, Löschen |
| Globaler Leser | Lesen | Lesen | Lesen | Lesen |
| Benutzeradministrator | Erstellen, Lesen, Aktualisieren, Löschen (Exchange Online-Eigenschaften können nicht aktualisiert werden) |
Erstellen, Lesen, Aktualisieren, Löschen | Lesen | Lesen |
| Exchange-Administrator | Erstellen, Lesen, Aktualisieren, Löschen | Lesen, Aktualisieren (nur Gruppen, deren Besitzer sie sind), Löschen (nur Gruppen, deren Besitzer sie sind) | Erstellen, Lesen, Aktualisieren, Löschen | Erstellen, Lesen, Aktualisieren, Löschen |
| Teams-Administrator | Erstellen, Lesen, Aktualisieren, Löschen (Exchange Online-Eigenschaften können nicht aktualisiert werden) |
Erstellen, Lesen, Aktualisieren, Löschen (nur Gruppen, deren Besitzer sie sind) | Lesen | Lesen |
| SharePoint-Administrator | Erstellen, Lesen, Aktualisieren, Löschen (Exchange Online-Eigenschaften können nicht aktualisiert werden) |
Gruppen erstellen, lesen, aktualisieren, löschen – nur Gruppen, deren Besitzer sie sind | Lesen | Lesen |
| Abrechnungsadministrator | Lesen | Lesen | Lesen | Lesen |
| Administrator für Dienstunterstützung | Lesen | Lesen | Lesen | Lesen |
| Gruppenadministrator | Erstellen, Lesen, Aktualisieren, Löschen (Exchange Online-Eigenschaften können nicht aktualisiert werden) |
Erstellen, Lesen, Aktualisieren, Löschen | Lesen | Lesen |
| KI-Administrator | Lesen | Lesen | Lesen | Lesen |
Delegierte Administration für Microsoft-Partner
Wenn Sie mit einem Microsoft-Partner zusammenarbeiten, können Sie ihm Administratorrollen zuweisen. Sie können Benutzern in Ihrem Unternehmen oder deren Unternehmen Administratorrollen zuweisen. Weisen Sie Partnern Administratorrollen zu, wenn diese Ihre Online-Organization für Sie einrichten und verwalten.
Ein Partner kann die folgenden Rollen zuweisen:
- Admin-Agent-Berechtigungen, die denen eines globalen Administrators entsprechen, mit Ausnahme der Verwaltung der mehrstufigen Authentifizierung über das Partner Center.
- Helpdesk-Agent: Berechtigungen, die jenen eines Helpdesk-Administrators entsprechen.
Bevor der Partner diese Rollen Benutzern zuweisen kann, müssen Sie den Partner als delegierten Administrator zu Ihrem Konto hinzufügen. Der Partner muss ein autorisierter Partner sein. Der Partner sendet Ihnen eine E-Mail, um zu fragen, ob Sie ihm die Berechtigung erteilen möchten, als delegierter Administrator zu fungieren. Anweisungen finden Sie unter Autorisieren oder Entfernen von Partnerbeziehungen.
Rollen für die Volumenlizenzierung
Volumenlizenzvertragsadministratoren (Volume Licensing Agreement, VL) greifen im Microsoft 365 Admin Center auf ihre Volumenlizenzen zu.
- VL-Administratoren haben keine Berechtigungen für andere Admin Center-Informationen oder -Funktionen außerhalb des VL-Abschnitts.
- Globale Administratoren weisen keine VL-Rollen zu und müssen einem VL-Administrator keine Administratorrolle zuweisen, damit sie auf die VL-Vereinbarung zugreifen können.
- Globale Administratoren haben keinen Zugriff auf VL-Informationen oder -Funktionen im Admin Center, es sei denn, ein VL-Administrator weist ihnen eine VL-Rolle zu.
Weitere Informationen finden Sie unter Verwalten von Benutzerrollen für die Volumenlizenzierung, oder wenden Sie sich an das Supportteam für die Volumenlizenzierung.