Microsoft 365 Tenant-Migration planen: Teams, SharePoint, OneDrive und Entra ID sicher umziehen

Am Montag nach einer Firmenübernahme sollen die Mitarbeitenden bereits im neuen Microsoft-365-Mandanten arbeiten. Die alten Teams-Chats, Projektdateien, Kalenderfreigaben und Berechtigungen dürfen dabei nicht verloren gehen. Genau an diesem Punkt zeigt sich: Eine Tenant-zu-Tenant-Migration ist kein gewöhnlicher Umzug von Postfächern und Dateien. Sie verändert Identitäten, Sicherheitsgruppen, Freigaben, Gerätebeziehungen und häufig auch die Grundlage für Copilot und andere KI-Dienste.

Bei uns begleiten wir IT-Teams, die Microsoft 365 nach Übernahmen, Ausgliederungen oder bei der Konsolidierung mehrerer Mandanten neu ordnen. Der entscheidende Erfolgsfaktor ist eine Planung in klaren Phasen. Wer zuerst die technischen und organisatorischen Abhängigkeiten versteht, kann die Umstellung kontrolliert testen und die Unterbrechung für Fachbereiche deutlich begrenzen.

Infografik zu Microsoft 365 Tenant-Migration planen: Teams, SharePoint, OneDrive und Entra ID sicher umziehen (KI-generiert).

Warum Tenant-Migrationen so anspruchsvoll sind

Innerhalb eines Microsoft-365-Mandanten lassen sich Benutzer, Gruppen und Inhalte vergleichsweise direkt verwalten. Zwischen zwei Mandanten entstehen dagegen neue Objektidentitäten. Ein Benutzerkonto im Zielmandanten ist technisch nicht dasselbe Objekt wie das bisherige Konto, auch wenn Name und E-Mail-Adresse später gleich aussehen.

Das betrifft unter anderem:

• Benutzerkonten, Anmeldekennungen und Multifaktor-Authentifizierung
• Microsoft-Entra-ID-Gruppen und Rollen
• Exchange-Postfächer, Verteiler und Kalenderberechtigungen
• Teams, Kanäle, Mitgliedschaften und Besprechungsdaten
• SharePoint-Websites, Bibliotheken, Listen und Seiten
• OneDrive-Dateien, Freigabelinks und externe Freigaben
• Power Platform, Automatisierungen und Verbindungen
• Geräteverwaltung, Compliance-Richtlinien und Zugriffsregeln
• Anwendungen mit Enterprise Applications, Service Principals oder API-Berechtigungen

Besonders kritisch sind Berechtigungen. In SharePoint oder Teams können Inhalte zwar kopiert werden, doch Verweise auf Benutzer und Gruppen aus dem Quellmandanten müssen im Ziel sauber übersetzt werden. Ohne diese Zuordnung entstehen entweder Zugriffsprobleme oder, noch riskanter, ungewollt zu weit gefasste Rechte.

Wenn ihr parallel Microsoft 365 Copilot einführt oder bereits nutzt, gehört die Berechtigungsanalyse zwingend zur Migration. Copilot respektiert grundsätzlich vorhandene Zugriffsrechte. Übernommene, falsch gesetzte oder zu großzügige Freigaben können daher unmittelbar zu einem Datenrisiko werden. Worauf du bei Berechtigungen und Datenzugriffen achten solltest, erläutern wir auch im Beitrag Microsoft 365 Copilot sicher einführen: Berechtigungen, Datenzugriff und Schulungen.

Phase 1: Zielbild und Migrationsumfang festlegen

Bevor ein Tool ausgewählt oder ein erster Testlauf gestartet wird, braucht das Projekt ein belastbares Zielbild. Dabei beantwortet ihr nicht nur die Frage, welche Daten umziehen. Ebenso wichtig ist, welche Arbeitsweisen im Zielmandanten künftig gelten sollen.

Ein Mandantenwechsel ist eine gute Gelegenheit, historisch gewachsene Strukturen nicht einfach unverändert zu kopieren. Nicht mehr benötigte Teams, doppelte SharePoint-Websites, verwaiste Gruppen oder unklare Verteiler lassen sich vor dem Umzug bereinigen. Allerdings darf diese Bereinigung nicht spontan während der technischen Migration erfolgen. Sie braucht fachliche Verantwortliche und klare Entscheidungen.

Diese Punkte gehören in die Bestandsaufnahme

Bereich	Zu klärende Fragen
Identitäten	Welche Benutzerkonten wechseln? Welche Konten bleiben, werden zusammengeführt oder beendet?
Domänen	Welche E-Mail-Domänen wechseln wann? Gibt es Übergangsadressen oder parallele Zustellungen?
Teams	Welche Teams, Kanäle, Apps, Registerkarten und Besitzer sind noch relevant?
SharePoint	Welche Websites enthalten produktive Daten, sensible Daten oder externe Freigaben?
OneDrive	Welche persönlichen Arbeitsdateien müssen mit, welche Freigaben sind geschäftskritisch?
Anwendungen	Welche Anwendungen verwenden Entra ID für Anmeldung, Gruppen oder API-Zugriff?
Endgeräte	Müssen Windows-Geräte neu registriert, verwaltet oder mit neuen Richtlinien versorgt werden?
Sicherheit	Welche MFA-Methoden, Conditional-Access-Regeln und Administratorrollen gelten im Ziel?

Definiere außerdem messbare Abnahmekriterien. Ein Beispiel: Alle migrierten Benutzer können sich mit der vorgesehenen Methode anmelden, auf ihre priorisierten Teams und SharePoint-Bereiche zugreifen sowie E-Mails senden und empfangen. Für besonders wichtige Fachanwendungen sollten konkrete Testfälle dokumentiert sein.

Phase 2: Identitäten und Entra ID zuerst planen

Identitäten stehen am Anfang, weil nahezu jede Microsoft-365-Ressource an Benutzer, Gruppen oder Anwendungen gebunden ist. Plane frühzeitig, wie Benutzerkonten im Zielmandanten entstehen und wie die Zuordnung zwischen Quell- und Zielkonto dokumentiert wird.

Wichtige Entscheidungen betreffen die Anmeldeadressen, die Synchronisation aus einem lokalen Active Directory und die künftige Verwaltung von Gruppen. Wenn hybride Identitäten vorhanden sind, muss klar sein, welche Instanz künftig führend ist. Ein unklarer Wechsel zwischen lokaler und cloudbasierter Verwaltung führt leicht zu doppelten Konten, fehlerhaften Attributen oder versehentlich überschriebenen Einstellungen.

Auch die Sicherheitsbasis sollte vor dem breiten Rollout stehen:

• Lege getrennte Administratorkonten und Notfallzugänge an.
• Prüfe Administratorrollen nach dem Prinzip minimaler Rechte.
• Definiere Multifaktor-Authentifizierung und sichere Registrierungsprozesse.
• Übernimm Conditional-Access-Regeln nicht blind, sondern passe sie an den Zielmandanten an.
• Erfasse Enterprise Applications, App-Registrierungen, Zertifikate und Geheimnisse.
• Plane den Umgang mit Dienstkonten und automatisierten Prozessen.

Die Absicherung von Identitäten ist nach dem Umzug nicht abgeschlossen. Insbesondere bei Anwendungen, KI-Diensten und Automatisierungen solltest du regelmäßig prüfen, welche technischen Identitäten noch Berechtigungen besitzen. Praxiswissen dazu findest du in unserem Beitrag Microsoft Entra Workload Identities absichern: Service Principals, Managed Identities und KI-Agenten kontrollieren.

Phase 3: Daten, Teams und Berechtigungen in Wellen migrieren

Eine Migration in einem einzigen großen Schritt ist nur bei sehr überschaubaren Umgebungen sinnvoll. In den meisten Fällen empfehlen wir Wellen: Zuerst zieht eine Pilotgruppe um, danach folgen Bereiche mit klaren Strukturen und schließlich besonders komplexe Abteilungen oder Projekte.

Für jede Welle sollten Datenverantwortliche benannt sein. Sie prüfen nicht nur, ob Dateien vorhanden sind. Sie bestätigen auch, ob Berechtigungen, Metadaten, wichtige Links, gemeinsame Postfächer und Arbeitsabläufe funktionieren.

Teams und SharePoint getrennt betrachten

Microsoft Teams ist mehr als Chat. Hinter einem Team können ein Microsoft-365-Gruppe, eine SharePoint-Website, ein Planner-Plan, ein OneNote-Notizbuch, Apps und weitere Dienste stehen. Standardkanäle nutzen typischerweise die zugehörige Team-Website. Private und geteilte Kanäle können eigene SharePoint-Websites mit abweichenden Berechtigungen besitzen.

Erstelle daher für jedes wichtige Team eine Abhängigkeitsliste:

• Team-Besitzer und Mitglieder
• Standardkanäle sowie private und geteilte Kanäle
• Dateien und zugehörige SharePoint-Websites
• Registerkarten, Apps und Bots
• Besprechungs- und Telefonieanforderungen
• Verknüpfte Planner-Pläne, Notizbücher und Formulare
• Gastbenutzer und externe Zusammenarbeit

Bei SharePoint ist zusätzlich zu klären, ob Websites eigene Berechtigungen verwenden oder Gruppen aus Entra ID eingebunden sind. Freigabelinks verdienen besondere Aufmerksamkeit. Ein Link aus dem Quellmandanten bleibt nicht automatisch im Ziel gültig. Kommuniziere deshalb rechtzeitig, welche Links nach dem Cutover ersetzt werden müssen und welche zentralen Einstiegsseiten sich ändern.

Phase 4: OneDrive und persönliche Arbeitsdaten sicher umziehen

OneDrive wird oft unterschätzt, weil es persönliche Speicherbereiche sind. In der Praxis liegen dort jedoch häufig Entwürfe, Projektdateien, geteilte Arbeitsordner und Inhalte, die später in Teams oder SharePoint weiterverwendet werden.

Wichtig ist die Unterscheidung zwischen Besitz und Freigabe. Die Dateien eines Benutzers können übertragen werden, aber Freigaben an Kollegen, Gäste oder Gruppen müssen im Zielmandanten geprüft und neu gesetzt werden. Plane außerdem, wie lange die Nutzer noch auf den alten Mandanten zugreifen dürfen. Eine kurze Parallelphase kann hilfreich sein, erzeugt aber Verwirrung, wenn nicht klar kommuniziert wird, welcher Speicherort führend ist.

Eine praxistaugliche Nutzerkommunikation beantwortet konkret:

• Ab wann melde ich mich im neuen Mandanten an?
• Wo finde ich meine Dateien und Teams?
• Welche Links funktionieren nicht mehr?
• Was muss ich bei der OneDrive-Synchronisation auf meinem Gerät tun?
• An wen wende ich mich bei fehlenden Daten oder Zugriffsproblemen?

Phase 5: Pilot, Test und Cutover vorbereiten

Ein Pilot ist kein symbolischer Test mit zwei IT-Mitarbeitenden. Wähle eine Gruppe aus, die typische Arbeitsweisen abbildet: Mitarbeitende mit OneDrive-Freigaben, Team-Besitzer, Personen mit mobilen Geräten, Nutzer von Fachanwendungen und idealerweise auch externe Zusammenarbeit.

Dokumentiere für den Pilot verbindliche Tests:

• Anmeldung mit der vorgesehenen MFA-Methode
• Zugriff auf Teams und Kanäle
• Bearbeitung von SharePoint- und OneDrive-Dateien
• Prüfung von Besitzern, Mitgliedern und Gästen
• Versand und Empfang von E-Mails
• Funktion von Anwendungen mit Entra-ID-Anmeldung
• Prüfung wichtiger Automatisierungen
• Zugriff von verwalteten und nicht verwalteten Geräten

Der Cutover braucht einen Ablaufplan mit Zuständigkeiten, Zeitfenstern und einer Entscheidungskette. Lege fest, wann Schreibzugriffe im Quellmandanten eingeschränkt werden, wann die finale Datenübertragung startet und wer fachlich abnimmt. Ebenso wichtig ist ein Rückfallplan: Was geschieht, wenn eine geschäftskritische Anwendung im Ziel nicht funktioniert?

Nach dem Umzug: Stabilisieren, aufräumen, absichern

Nach der Produktivsetzung beginnt die Stabilisierungsphase. Das Support-Team braucht eine priorisierte Liste bekannter Einschränkungen, Eskalationswege und klare Ansprechpartner. Häufige Themen sind alte Browser-Lesezeichen, nicht aktualisierte OneDrive-Clients, fehlende Gruppenmitgliedschaften und Anwendungen mit veralteten Anmeldeinformationen.

Prüfe außerdem, ob alte Zugriffe wirklich entfernt wurden. Dazu zählen Gastkonten, Freigabelinks, Administratorrollen, App-Berechtigungen und Gerätebeziehungen. Der alte Mandant sollte nicht dauerhaft als unkontrollierte Schattenumgebung weiterlaufen.

Für die technische und organisatorische Planung größerer Umstellungen hilft es, Weiterbildung nicht als Einzelmaßnahme zu sehen. Unser Beitrag Weiterbildung fürs IT-Team planen: so geht’s zeigt, wie du Rollen, Lernziele und Praxisanforderungen im Team zusammenbringst.

Passende Seminare und Termine zu Microsoft 365, Entra ID, SharePoint, Teams, PowerShell und Cloud-Technologien findest du bei uns auf cmt.de. Wenn mehrere Kolleginnen und Kollegen denselben Zielmandanten und eure konkreten Regeln verstehen müssen, kann auch ein gemeinsames Inhouse-Training sinnvoll sein. Hinweise für die Vorbereitung findest du in Inhouse-Schulung planen: so wird sie ein Erfolg.