Was ist ein „Microsoft Tenant“ und für was benötigt man ihn?

Stellen wir uns folgendes Szenario vor: Unzählige Unternehmen weltweit nutzen die Cloud-Dienste von Microsoft, wie etwa Exchange für E-Mails, SharePoint für die zentrale Ablage und Verwaltung von Daten oder Microsoft Teams für die digitale Zusammenarbeit in Echtzeit.

Jedes dieser Unternehmen hat eigene geschäftliche Informationen, eigene IT-Systeme und natürlich auch eigene Betriebsgeheimnisse, Kundendaten und interne Dokumente, die es schützen muss. Wäre es nicht fatal, wenn ein Unternehmen plötzlich Zugriff auf die vertraulichen Daten eines anderen hätte? Genau hier kommt der sogenannte Tenant [Tenant (engl.) = Mandant, Mieter, Pächter] ins Spiel.

Was ist ein Microsoft Tenant?

Eine einfache Erklärung:

Ein Microsoft Tenant ist eine eigene, klar abgegrenzte IT-Welt, die Microsoft für eine Organisation bereitstellt. Sobald ein Unternehmen Microsoft 365 nutzt, entsteht eine Umgebung, in der Benutzer, Lizenzen, Dienste, Sicherheitseinstellungen und Unternehmensdaten gemeinsam verwaltet werden. Für den Alltag kann man sich diesen Tenant wie den digitalen Unternehmensbereich innerhalb der Microsoft-Cloud vorstellen: Die Firma arbeitet dort mit E-Mail, Dateien, Teams, Benutzerkonten und Berechtigungen, ohne dass diese Inhalte einfach mit anderen Firmen vermischt werden.

Man kann sich den Tenant wie ein Hauptkonto vorstellen, das Microsoft für jedes Unternehmen erstellt, um alle Dienste, Daten und Benutzer zu verwalten. Innerhalb dieses Tenants sind die wichtigen Unternehmensinformationen grundsätzlich dem eigenen Unternehmen zugeordnet und zunächst nur für berechtigte Personen sichtbar. Der Microsoft Tenant bildet also das technische Fundament, das eine individuelle Organisation – egal ob ein Konzern mit 10.000 Mitarbeitern, ein mittelständisches Unternehmen mit 200 Mitarbeitern, ein Kleinbetrieb mit 15 Mitarbeitern oder im Fall eines Freelancers ein 1-Personen-Unternehmen – im Microsoft-365-Kosmos abbildet.

Ein sinnvolles Vergleichsbild aus der Finanzbranche ist ein Wertpapierdepot, das Kunden bei einer Bank oder Verwahrstelle führen. Das Wertpapierdepot ist der „Mantel“ für Wertpapierbestände und Transaktionen wie Kauf, Verkauf oder Übertragung. Jeder Kunde hat bei der Bank sein eigenes Depot, in dem seine Geschäfte abgewickelt werden. Andere Kunden sehen dieses Depot nicht und können dort keine Transaktionen auslösen. Genauso ist der Tenant der organisatorische Mantel für Microsoft-365-Dienste, Benutzer, Daten und Berechtigungen eines Unternehmens.

Wie wird ein Tenant angelegt?

Ein Tenant wird häufig automatisch angelegt, sobald ein neues Unternehmen Microsoft-365-Kunde wird. Wenn ein Freelancer z. B. über die Microsoft-Website eine Microsoft 365 Business Standard-Lizenz bucht, richtet Microsoft im Hintergrund einen Tenant ein. Dieser Tenant repräsentiert dann die Organisation bzw. das Unternehmen und enthält zunächst oft nur einen einzigen Benutzer bzw. Mitarbeiter – den Kunden, der die Lizenz erworben hat. Dieser Benutzer erhält in der Regel globale Administratorrechte, um den Tenant über das Microsoft 365 Admin Center verwalten zu können. Er kann anschließend weitere Benutzer hinzufügen, Lizenzen zuweisen, Domänen einrichten und Sicherheitseinstellungen konfigurieren.

Bei der Erstellung erhält der Tenant außerdem automatisch eine Standard-Domain nach dem Schema organisationsname.onmicrosoft.com. Diese Domain ist notwendig, damit auch Kunden ohne eigene Internetdomain die Microsoft-Dienste sofort nutzen können. Eine Firma kann also zunächst mit der Microsoft-Standarddomain starten und später eine eigene Domain wie beispielunternehmen.de hinzufügen, damit E-Mail-Adressen und Anmeldungen professionell zur eigenen Organisation passen.

Es gibt auch den Weg, einen Tenant bewusst selbst vorzubereiten, anstatt ihn nur indirekt durch den Kauf einer Lizenz entstehen zu lassen. Dieser Schritt hat den Vorteil, dass man den Namen der Standarddomain sorgfältiger auswählen kann – also das, was vor .onmicrosoft.com steht. Microsoft erlaubt nur Namen, die weltweit noch nicht von einer anderen Organisation verwendet werden. Ein sauber gewählter Name erleichtert später die Orientierung in Portalen, Skripten, SharePoint-Adressen und Supportfällen. Zwar können inzwischen zusätzliche onmicrosoft.com-Domains ergänzt werden, die erste Wahl bleibt aber wichtig, weil sie in vielen technischen Zusammenhängen sichtbar bleiben kann.

Welche Dienste und Daten umfasst ein Tenant?

In einem Tenant laufen die Microsoft-Dienste, die ein Unternehmen nutzt, und die Daten, die es in der Microsoft-Cloud speichert. Dazu gehören vor allem:

• Stamm- und Abrechnungsdaten: Unternehmensinformationen, die Microsoft zur Identifizierung und für die Abrechnung verwendet, außerdem Branding-Einstellungen für Microsoft-365-Weboberflächen, Loginmasken und ausgewählte Dienste.
• Lizenzen: Die erworbenen Microsoft-365-Lizenzen, die einzelnen Benutzern zugewiesen werden und den Zugang zu bestimmten Diensten ermöglichen.
• Microsoft 365 Apps for Business: Die bekannten Office-Anwendungen wie Word, Excel, PowerPoint und Outlook als installierbare, mobile oder webbasierte Anwendungen, die über den Tenant lizenziert und verwaltet werden.
• Exchange Online: Die E-Mail-Infrastruktur des Unternehmens, inklusive E-Mails, Kalendern, Kontakten, freigegebenen Postfächern, Verteilergruppen und E-Mail-Regeln.
• Microsoft Teams: Teams, Kanäle, Besprechungen, Chats, Anrufe und Dateien, die innerhalb von Teams geteilt werden.
• SharePoint: Die zentrale Plattform zur Zusammenarbeit und Datenverwaltung, auf der Dokumente, Projekte, Intranetseiten und Informationen im Unternehmen geteilt und gespeichert werden.
• OneDrive for Business: Persönlicher Cloud-Speicher für jeden Mitarbeiter, in dem Dateien abgelegt, synchronisiert und bei Bedarf geteilt werden können.
• Microsoft 365 Gruppen: Gruppen, die Mitarbeiter zur gemeinsamen Zusammenarbeit an E-Mails, Kalendern, Dateien, Teams-Kanälen und Berechtigungen verwenden.
• Microsoft Entra ID (früher Azure Active Directory): Die zentrale Benutzer- und Identitätsverwaltung, über die Mitarbeiterkonten, Gastbenutzer, Gruppen, Anmeldungen, Zugriffsrechte und Sicherheitsrichtlinien gesteuert werden.
• Power Platform: Werkzeuge wie Power BI, Power Apps und Power Automate, mit denen Unternehmen Daten auswerten, Arbeitsabläufe automatisieren und eigene Anwendungen erstellen können.

Diese Dienste gehören nicht einfach lose nebeneinander. Sie greifen im Alltag ineinander: Eine Teams-Datei liegt technisch in SharePoint oder OneDrive, ein Teams-Kalender hängt mit Exchange Online zusammen, und die Anmeldung an fast allen Diensten läuft über Microsoft Entra ID. Genau deshalb ist der Tenant für Administratoren so wichtig. Er verbindet die einzelnen Dienste zu einer gemeinsamen Unternehmensumgebung.

Wird von „als Administrator in den Tenant einloggen“ gesprochen, ist in der Regel gemeint, sich als Administrator im Microsoft 365 Admin Center unter admin.microsoft.com anzumelden. Dieses Portal übernimmt die Funktion einer dienstübergreifenden Steuerzentrale. Microsoft bündelt dort typische Aufgaben aus dem Tagesgeschäft: neue Mitarbeiter anlegen, Lizenzen zuweisen, Kennwörter zurücksetzen, Domänen verwalten, Postfacheinstellungen anpassen oder freigegebene Postfächer erstellen.

Trotzdem ersetzt das Microsoft 365 Admin Center nicht jedes Spezialportal. Viele Einstellungen stammen eigentlich aus den jeweiligen Diensten. Wer tiefer in den E-Mail-Fluss eingreifen möchte, arbeitet im Exchange Admin Center. Wer SharePoint-Freigaben sauber prüfen will, nutzt das SharePoint Admin Center. Wer Geräte, Windows-Sicherheitsrichtlinien und Apps verwaltet, landet im Intune Admin Center. Für einfache Aufgaben reicht das zentrale Admin Center oft aus; für genaue Fehlersuche und saubere Konfiguration braucht man die Fachportale.

Isolation und Sicherheit – warum ist der Tenant so wichtig?

Microsoft verwaltet sehr viele Tenants für Unternehmen, Schulen, Vereine, Behörden und andere Organisationen. Diese Tenants sind logisch voneinander getrennt. Vereinfacht gesagt: Der Tenant sorgt dafür, dass Benutzer, Daten, Berechtigungen und Einstellungen einer Organisation nicht einfach mit denen einer anderen Organisation vermischt werden. Ein größerer Konzern kann aus organisatorischen, rechtlichen oder regulatorischen Gründen sogar mehrere Tenants betreiben, etwa um Tochtergesellschaften, Länderorganisationen oder Geschäftsbereiche deutlicher voneinander zu trennen.

Für jedes Unternehmen bedeutet das: E-Mails, Dateien, Teams-Gruppen, Benutzerkonten und interne Einstellungen gehören zunächst zum eigenen Tenant. Andere Unternehmen, die ebenfalls Microsoft-Dienste nutzen, können diese Informationen nicht einfach sehen – und umgekehrt. Diese Trennung ersetzt keine gute Rechtevergabe, keine Multi-Faktor-Authentifizierung und keine saubere Sicherheitskonfiguration. Sie bildet aber die Grundmauer, auf der alle weiteren Schutzmaßnahmen aufbauen.

Wichtig ist dabei: Ein Tenant ist nicht automatisch sicher, nur weil er existiert. Administratoren müssen ihn richtig einrichten. Dazu gehören starke Authentifizierung, sparsame Administratorrechte, saubere Freigaberichtlinien, regelmäßige Prüfung externer Benutzer, nachvollziehbare Gruppenstrukturen und ein Überblick über aktive Lizenzen. Gerade kleine Unternehmen unterschätzen diesen Punkt häufig, weil Microsoft 365 zunächst sehr einfach wirkt. Die Einfachheit der Oberfläche darf aber nicht darüber hinwegtäuschen, dass im Tenant zentrale Unternehmenswerte liegen.

Zusammenschaltung von Tenants – Wann macht das Sinn?

In einigen Fällen kann es sinnvoll sein, dass zwei oder mehr Tenants miteinander verbunden werden. Das ist zum Beispiel der Fall, wenn ein Unternehmen ein anderes übernommen hat, wenn zwei Firmen über längere Zeit sehr eng zusammenarbeiten oder wenn rechtliche Gründe gegen eine vollständige Zusammenlegung der IT sprechen. In solchen Szenarien können Tenants so verbunden werden, dass ausgewählte Mitarbeiter auf bestimmte Ressourcen des jeweils anderen Tenants zugreifen können, ohne dass die komplette IT beider Unternehmen sofort verschmolzen wird.

Diese Zusammenarbeit über Tenant-Grenzen hinweg geschieht gezielt und kontrolliert. Microsoft stellt dafür mehrere Mechanismen bereit, zum Beispiel Gastbenutzer, externe Freigaben, B2B-Zusammenarbeit und Einstellungen für den mandantenübergreifenden Zugriff. Für Laien ist vor allem wichtig: Es geht nicht darum, die Sicherheit aufzugeben. Es geht darum, einzelne Türen bewusst zu öffnen, statt die Wand zwischen zwei Organisationen einzureißen.

Konkret geschieht dies häufig durch die Anlage von Externen als Gastbenutzer im eigenen Tenant. Diese Gastbenutzer erhalten kein vollständiges internes Mitarbeiterkonto, sondern einen kontrollierten Zugang zu bestimmten Diensten oder Inhalten. Administratoren können festlegen, was externe Personen sehen dürfen, ob sie Teams beitreten können, welche SharePoint-Inhalte freigegeben werden und ob weitere Sicherheitsanforderungen gelten.

So können beispielsweise Mitarbeiter von Subunternehmen, Dienstleistern oder strategischen Geschäftspartnern eingebunden werden. Diese externen Mitarbeiter können dann je nach Einstellung mit echten Mitarbeitern des eigenen Unternehmens über Teams kommunizieren, an Projekträumen teilnehmen, Dateien bearbeiten oder SharePoint-Inhalte öffnen. Gute Administratoren vergeben solche Rechte nicht dauerhaft „auf Vorrat“, sondern prüfen regelmäßig, ob ein externer Zugriff noch benötigt wird.

Wie funktioniert die Verwaltung eines Tenants?

Der Tenant wird zentral über das Microsoft 365 Admin Center verwaltet. Dort steuern Administratoren viele Aspekte der IT-Infrastruktur eines Unternehmens: Benutzerkonten, Lizenzen, Domänen, Gruppen, grundlegende Sicherheitseinstellungen, Supportanfragen und Diensteinstellungen. Für kleinere Unternehmen ist dieses Portal oft der wichtigste Einstiegspunkt, weil es die häufigsten Verwaltungsaufgaben an einer Stelle bündelt.

Ein Admin kann neue Mitarbeiter hinzufügen, alte Konten sperren, Lizenzen zuweisen, E-Mail-Domänen verbinden, Freigaben prüfen oder den Zugriff auf Dienste wie SharePoint und Teams konfigurieren. Auch Sicherheitsfunktionen wie Multi-Faktor-Authentifizierung, rollenbasierte Administratorrechte und Regeln für externe Zusammenarbeit hängen direkt mit dem Tenant zusammen. Besonders wichtig ist das Prinzip der geringsten Rechte: Nicht jeder, der gelegentlich etwas verwalten muss, sollte dauerhaft globaler Administrator sein.

In der Praxis lohnt sich eine einfache Grundordnung: Jeder Benutzer braucht ein eigenes Konto, Administratoren sollten getrennte Admin-Konten verwenden, Gäste müssen erkennbar benannt werden, und Gruppen sollten sprechende Namen erhalten. Wer diese Grundlagen von Anfang an sauber pflegt, vermeidet später Chaos bei Berechtigungen, Abrechnung, Datensicherheit und Austritten von Mitarbeitern.

Was passiert, wenn ein Unternehmen wächst?

Ein Tenant wächst mit dem Unternehmen mit. Sobald mehr Mitarbeiter hinzukommen oder neue Dienste genutzt werden sollen, kann der Tenant erweitert werden. Administratoren legen zusätzliche Benutzer an, weisen weitere Lizenzen zu, erstellen Teams, bauen SharePoint-Strukturen auf und passen Sicherheitsrichtlinien an. Der Tenant bleibt dabei dieselbe organisatorische Grundlage; es wird nicht für jeden neuen Mitarbeiter eine neue Umgebung angelegt.

Mit dem Wachstum steigt aber auch der Bedarf an Ordnung. Ein Unternehmen mit fünf Personen kann viele Dinge noch informell regeln. Bei fünfzig, fünfhundert oder fünftausend Benutzern braucht es klare Namenskonventionen, Berechtigungsgruppen, Geräteverwaltung, Aufbewahrungsregeln, Sicherheitsprotokolle und Verantwortlichkeiten. Der Tenant skaliert technisch sehr weit, aber die Verwaltung muss mitwachsen, damit aus einer bequemen Cloud-Umgebung kein unübersichtlicher Datenraum wird.

Der Tenant als digitales Rückgrat eines Unternehmens

Der Tenant ist das zentrale Element, das die Nutzung von Microsoft-365-Diensten überhaupt erst sinnvoll zusammenführt. Er sorgt dafür, dass Unternehmen ihre Benutzer, Lizenzen, Daten, Dienste und Sicherheitseinstellungen in einer eigenen Umgebung verwalten können. Jeder Tenant ist einer Organisation zugeordnet, schützt die Trennung zu anderen Organisationen und ermöglicht gleichzeitig Zusammenarbeit mit externen Partnern, wenn diese bewusst eingerichtet wird. Für Anwender bleibt der Tenant meist unsichtbar. Für Administratoren ist er jedoch das digitale Rückgrat des Unternehmens, weil nahezu jede wichtige Microsoft-365-Entscheidung dort beginnt: Wer darf sich anmelden? Welche Daten dürfen geteilt werden? Welche Dienste stehen zur Verfügung? Welche Schutzmaßnahmen gelten?

Limit-Überblick

Microsoft-365-Tenants können sehr groß werden, dennoch gelten technische Grenzen. Diese Limits sind für kleine Unternehmen oft kaum spürbar, werden aber bei Migrationen, starkem Wachstum, vielen Teams, großen Dateiablagen oder komplexen Konzernstrukturen wichtig. Die folgenden Tabellen geben einen praxisnahen Überblick über typische Obergrenzen. Microsoft kann Limits ändern; bei Großprojekten sollte man die aktuellen Microsoft-Servicebeschreibungen zusätzlich prüfen.