Was ist ein „Microsoft Tenant“ und für was benötigt man ihn?

Stellen wir uns folgendes Szenario vor: Unzählige Unternehmen weltweit nutzen die Cloud-Dienste von Microsoft, wie etwa Exchange für E-Mails, SharePoint für die zentrale Ablage und Verwaltung von Daten oder Microsoft Teams für die digitale Zusammenarbeit in Echtzeit.

Jedes dieser Unternehmen hat eigene geschäftliche Informationen, eigene IT-Systeme und natürlich auch seine eigenen Geheimnisse, die es schützen muss. Wäre es nicht fatal, wenn ein Unternehmen plötzlich Zugriff auf die vertraulichen Daten eines anderen hätte? Genau hier kommt der sogenannte Tenant [Tenant (engl.) = Mandant, Mieter, Pächter] ins Spiel.

Was ist ein Microsoft Tenant?

Eine einfache Erklärung:

Ein Microsoft Tenant ist eine Art abgeschlossene, isolierte IT-Welt, die Microsoft für jedes Unternehmen individuell aufbaut. Sobald ein Unternehmen die Dienste von Microsoft 365 abonniert, legt Microsoft für dieses Unternehmen einen eigenen, völlig isolierten Raum in seiner Cloud an – das ist der Tenant. In dieser Umgebung kann das Unternehmen seine gesamte IT-Infrastruktur aufbauen, ohne dass es die Gefahr gibt, dass Informationen versehentlich mit anderen Unternehmen geteilt werden.

Man kann sich den Tenant wie ein Hauptkonto vorstellen, das Microsoft für jedes Unternehmen erstellt, um alle Dienste, Daten und Benutzer zu verwalten. Innerhalb dieses Tenants sind alle wichtigen Unternehmensinformationen sicher verwahrt und grundsätzlich ohne weiteres zutun erstmal ausschließlich für die Mitarbeiter des Unternehmens zugänglich. Mit anderen Worten: Der Microsoft Tenant ist das technische Fundament, das eine individuelle Organisation – egal ob einen Konzern mit 10.000 Mitarbeitern, ein mittelständisches Unternehmen mit 200 Mitarbeitern, einen Kleinbetrieb mit 15 Mitarbeitern; oder im Falle eines Freelancers eben auch nur ein 1-Personen-Unternehmen – im Microsoft 365-Kosmos abbildet.

Ein sinnvolles Äquivalenzbeispiel aus der Finanzbranche, um den Microsoft Tenant zu erklären, ist ein Wertpapierdepot, das Kunden bei einer Bank oder Verwahrstelle führen. Das Wertpapierdepot ist der „Mantel“ für alle vom Kunden initiierten Wertpapiertransaktionen – wie Kauf, Verkauf oder Übertragung – sowie die Verwaltung der Wertpapierbestände. Jeder Kunde hat bei der Bank ein eigenes, isoliertes Depot, in dem ausschließlich seine Geschäfte abgewickelt werden. Es gibt keine Einsicht in die Transaktionen oder Depots anderer Kunden.

Wie wird ein Tenant angelegt?

Ein Tenant wird automatisch angelegt, sobald ein neues Unternehmen Kunde von Microsoft wird. Wenn ein Freelancer z. B. über die Microsoft-Website eine M365 Business Standard-Lizenz bucht, legt Microsoft im Hintergrund stillschweigend einen Tenant an. Dieser Tenant repräsentiert dann die Organisation bzw. das Unternehmen und enthält zunächst nur einen einzigen Benutzer bzw. Mitatbeiter – den Kunden, der die Lizenz erworben hat. Dieser Benutzer erhält von Microsoft sofort globale Administratorrechte, um den Tenant über das Microsoft Admin-Portal verwalten zu können. Er kann dann weitere Benutzer hinzufügen und zusätzliche Lizenzen buchen.

Bei der Erstellung erhält der Tenant außerdem automatisch eine Standard-Domain nach dem Schema automatischgenerierterorganisationsname.onmicrosoft.com. Diese Domain ist notwendig, damit auch Kunden, die keine eigene Top-Level-Domain (z. B. „beispielunternehmensname.de“) besitzen, die Microsoft-Dienste sofort nutzen können.

Allerdings gibt es auch den Weg, einen Tenant bewusst selbst zu erstellen, anstatt ihn indirekt durch den Kauf einer Lizenz zu erzeugen. Dieser bewusste Schritt hat den Vorteil, dass man den Namen des Tenants selbst festlegen kann – also das, was vor dem .onmicrosoft.com stehen soll. Microsoft ermöglicht es dabei nur, Namen zu wählen, die noch nicht von einem anderen Unternehmen weltweit verwendet werden. Wenn man hingegen die automatische Erstellung über die Lizenzbuchung wählt, entscheidet Microsoft selbst, welcher Name vor dem .onmicrosoft.com steht. Das kann oft zu kryptischen oder verwirrenden Tenantnamen führen, die im Nachhinein nicht mehr geändert werden können.

Welche Dienste und Daten umfasst ein Tenant?

In einem Tenant laufen alle Microsoft-Dienste, die ein Unternehmen nutzt, und alle Daten, die es in der Microsoft-Cloud speichert. Dazu gehören:

• Stamm- und Abrechnungsdaten: Unternehmensinformationen, die Microsoft zur Identifizierung und für die Abrechnung verwendet, Corporate-Design der der M365-Weboberflächen (insb. Sharepoint, Loginmasken, etc.)
• Lizenzen: Die erworbenen Microsoft 365-Lizenzen, die den Zugang zu den jeweiligen Diensten ermöglichen.
• Microsoft 365 Apps for Business: Die klassischen „Office“-Anwendungen wie Word, Excel, PowerPoint und Outlook, die in der Cloud betrieben und über Lizenzen verwaltet werden.
• Exchange Online: Die E-Mail-Infrastruktur des Unternehmens, inklusive aller E-Mails, Kalender, Kontakte, die die Mitarbeiter senden, empfangen und pflegen.
• Microsoft Teams: Alle Teamkanäle, Besprechungen, Chats, Anrufe und Dateien, die innerhalb von Teams geteilt werden.
• SharePoint: Zentrale Plattform zur Zusammenarbeit und Datenverwaltung, auf der Dokumente, Projekte und Informationen im Unternehmen geteilt und gespeichert werden.
• OneDrive for Business: Persönlicher Cloud-Speicher für jeden Mitarbeiter, in dem Dateien abgelegt und synchronisiert werden können.
• Microsoft 365 Gruppen: Gruppen, die Mitarbeiter zur gemeinsamen Zusammenarbeit an E-Mails, Dateien und Teams-Kanälen verwenden.
• Entra ID (ex. Azure Active Directory (Azure AD)): Die zentrale Benutzerverwaltung, über die Mitarbeiterkonten, Zugriffsrechte und Sicherheitsrichtlinien gesteuert werden.
• Power Platform: Tools wie Power BI, PowerApps und Power Automate, die Unternehmen zur Automatisierung, Datenanalyse und App-Entwicklung nutzen können.

Diese Dienste sind alle in der isolierten Umgebung des Tenants sicher verwahrt und werden von Microsoft entsprechend den individuellen Unternehmensanforderungen verwaltet.

Wird von „als Administrator in den Tenant einloggen“ gesprochen, so ist in der Regel damit gemeint, sich als Administrator in das Admin-Portal (admin.microsoft.com) einzuloggen. Das Admin-Portal übernimmt die Funktion einer dienstübergreifenden Steuerzentrale. Microsoft hat hier versucht, das „Silodenken“ nach Diensten aufzubrechen – und dem Administrator stattdessen die wichtigsten der im Tagesgeschäft benötigten Administrationsvorgänge – wie die Anlage neuer Mitarbeiter (ist eigentlich in Entra ID zu verorten), Kennwortrücksetzungen (ebenfalls Entra), das Editieren von Postfacheinstellungen eines Mitarbeiters (Exchange Admin), das Anlegen neuer Teams-Gruppen, Freigegebener Postfächer, etc. in einem Portal dienstübergreifend zu konsolidieren. Diese Konsolidierung ist chronisch holprig umgesetzt, weshalb es ratsam ist, sich mit den nativen Administrationsportalen der einzelnen Dienste vertraut zu machen.

Denn wie gesagt: Eigentlich sind die meisten der aus dem admin.microsoft.com bekannten Einstellungsmöglichkeiten in Wirklichkeit in den jeweiligen exklusiven Administrationsportalen der einzelnen Dienste beheimatet. Wer also z.B. wirklich tiefgehende Änderungen am E-Mail-Fluss des Unternehmens vornehmen möchte, der muss sich in das Exchange-Administrationsportal einloggen und die Konfiguration dort vornehmen, da sich im klassischen „Tenant-Admin“ nur ein oberflächliches Potpourri der wichtigsten E-Mail Settings befindet.

Isolation und Sicherheit – warum ist der Tenant so wichtig?

Microsoft verwaltet also unzählige Tenants für ebenso viele Unternehmen bzw. Organisationen, und diese Tenants sind streng voneinander isoliert. By the way: Ein größerer Konzern hat womöglich aus organisatorischen oder regulatorischen Gründen mehrere Tenants – und kann somit die jeweiligen Tochterorganisationen IT-technisch komplett voneinander isolieren.

Für jedes Unternehmen bedeutet das: Alle E-Mails, Dateien, Teams-Gruppen und Benutzerkonten sind nur innerhalb des eigenen Tenants sichtbar und zugänglich. Andere Unternehmen, die ebenfalls Microsoft-Dienste nutzen, können diese Informationen nicht sehen – und umgekehrt.

Zusammenschaltung von Tenants – Wann macht das Sinn?

In einigen Fällen kann es jedoch sinnvoll sein, dass zwei oder mehr Tenants miteinander verbunden werden. Das ist zum Beispiel der Fall, wenn ein Unternehmen ein anderes übernommen hat oder wenn zwei Unternehmen äußerst eng zusammenarbeiten müssen, aber ihre grundlegende IT-Struktur z.B. aus rechtlichen Gründen getrennt halten möchten. In solchen Szenarien kann man die Tenants so zusammenschalten, dass ausgewählte Mitarbeiter auf bestimmte Ressourcen und Daten des jeweils anderen Tenants zugreifen können, ohne dass die komplette IT-Infrastruktur beider Unternehmen zusammengelegt wird.

Diese Zusammenschaltung geschieht über das Administrationsportal von Microsoft und erfolgt gezielt und kontrolliert. Sie ermöglicht es Unternehmen, über Tenant-Grenzen hinweg zu kollaborieren, ohne die strikte Isolation aufzugeben, die für die Sicherheit der jeweiligen IT-Umgebungen entscheidend ist.

Konkret geschieht dies z.B. durch die Anlage von Externen als „Gastbenutzer“ im eigenen Tenant über das M365-Administrationsportal.

Zum Beispiel können so Mitarbeiter von Subunternehmen, Dienstleister oder strategische Geschäftspartner angelegt werden. Diese als Gastbenutzer angelegten externen Mitarbeiter können dann z.B. mit allen „echten“ Mitarbeitern des eigenen Unternehmens vollwertig über Teams kommunizieren – Verfügbarkeitsstatus einsehen etc., als wären Sie regulärer Teil der eigenen Organisation – und auch eine bedarfsweise Rechtevergabe auf SharePoint-Inhalte ist über diesen Weg möglich.

Wie funktioniert die Verwaltung eines Tenants?

Der Tenant wird zentral über das Microsoft 365 Admin Center verwaltet. Hier können Administratoren alle Aspekte der IT-Infrastruktur des Unternehmens steuern: Von der Verwaltung der Benutzerkonten über die Zuweisung von Lizenzen bis hin zur Einrichtung von Sicherheitseinstellungen.

Ein Admin hat beispielsweise die Möglichkeit, neue Mitarbeiter hinzuzufügen, Zugriffsrechte festzulegen, die E-Mail-Domänen des Unternehmens zu verwalten oder den Zugriff auf bestimmte Dienste wie SharePoint oder Teams zu konfigurieren. Auch die Sicherheitsrichtlinien für den Umgang mit Unternehmensdaten, wie Multi-Faktor-Authentifizierung oder Verschlüsselung, werden im Tenant festgelegt.

Was passiert, wenn ein Unternehmen wächst?

Ein Tenant wächst mit dem Unternehmen mit. Sobald mehr Mitarbeiter hinzukommen oder neue Dienste genutzt werden sollen, kann der Tenant entsprechend angepasst und erweitert werden. Dabei behält der Tenant seine isolierte Struktur und bietet dem Unternehmen weiterhin eine geschützte Umgebung für alle geschäftskritischen Daten.

Der Tenant als digitales Rückgrat eines Unternehmens

Zusammengefasst ist der Tenant das zentrale Element, das die Nutzung von Microsoft 365-Diensten überhaupt erst ermöglicht. Er stellt sicher, dass Unternehmen ihre IT-Infrastruktur in einer sicheren und isolierten Umgebung aufbauen können, die nur für sie zugänglich ist. Jeder Tenant ist in sich geschlossen, schützt die Unternehmensdaten und sorgt dafür, dass nur autorisierte Mitarbeiter darauf zugreifen können. Gleichzeitig bietet der Tenant die Flexibilität, mit anderen Unternehmen zu kooperieren, ohne die strikte Trennung der IT-Strukturen aufzugeben. So sorgt der Tenant nicht nur für Sicherheit, sondern auch für eine effiziente Verwaltung und Skalierbarkeit der IT-Umgebung eines Unternehmens.

Limit-Überblick