M365 Governance und Compliance Setup – 4 Wochen

Was ist M365 Governance & Compliance?

Microsoft 365 ist extrem flexibel – genau das ist Stärke und Risiko zugleich. Ohne Regeln entsteht schnell:

 

• Datenchaos (wo liegt was?)

• unkontrolliertes Teilen (intern/extern)

• unklare Zuständigkeiten

• rechtliche Risiken bei Aufbewahrung & Löschung

 

Governance beantwortet das „Wie arbeiten wir?“:

 

• Namenskonventionen, Struktur, Verantwortliche

• Regeln für Teams/SharePoint/OneDrive

• Freigabe- und Gastzugriff-Standards

 

Compliance beantwortet das „Was müssen wir einhalten?“:

 

• Datenschutz (z. B. DSGVO)

• Aufbewahrungspflichten (je nach Branche/Anforderungen)

• Löschung, Archivierung, Nachvollziehbarkeit

 

 

Warum Governance in Microsoft 365 so wichtig ist

Viele Unternehmen starten mit Teams/SharePoint schnell – und merken später:

 

• Teams/Sites wachsen unkontrolliert

• Daten werden „irgendwo“ geteilt

• Löschungen passieren zufällig (oder gar nicht)

• Mitarbeitende speichern sensibel ohne klare Schutzmaßnahmen

• bei Prüfungen fehlen klare Nachweise (Policies, Verantwortlichkeiten)

 

Ein Governance-&-Compliance-Setup sorgt dafür, dass Microsoft 365:

 

• sicher bleibt,

• rechtlich sauber ist,

• und trotzdem praktikabel im Alltag.

 

 

 

Rechtliche Vorgaben + interne Anforderungen: unser Ansatz

Wir kombinieren zwei Perspektiven:

 

3.1 Rechtliche Vorgaben & Datenschutz

Gemeinsam mit einem Datenschutz-Experten klären wir:

 

• welche Anforderungen gelten (z. B. DSGVO, interne Richtlinien, Kundenanforderungen)

• welche Datentypen sensibel sind (z. B. HR, Verträge, Kundendaten)

• welche Aufbewahrungs- und Löschregeln erforderlich/sinnvoll sind

 

3.2 Eure internen Wunschvorstellungen

Governance muss zu euch passen – sonst wird sie umgangen. Deshalb definieren wir gemeinsam:

 

• wie Teams/Sites erstellt werden sollen

• wie externe Zusammenarbeit laufen darf

• welche „einfachen“ Standards Mitarbeitende wirklich einhalten können

• Verantwortlichkeiten („Owner“-Konzept) und Freigabeprozesse

 

Ergebnis: Regeln, die auditfähig sind und im Alltag funktionieren.

 

 

Was wir konkret umsetzen (Leistungsumfang)

Je nach eingesetzten M365-Services und Lizenzen setzen wir u. a. um:

 

Governance-Grundstruktur

• Regeln für Teams- & SharePoint-Struktur (z. B. Abteilung/Projekt/Company-wide)

• Namenskonventionen (damit Auffindbarkeit langfristig klappt)

• Owner-/Verantwortlichkeitsmodell (wer pflegt, wer entscheidet)

• Standards für Gastzugriff und externe Freigaben

 

Compliance-Konfiguration in Microsoft 365

• Retention / Aufbewahrungsrichtlinien (Aufbewahren oder Löschen nach Frist)

• Löschfristen je Datentyp/Ort (z. B. Teams-Chats, SharePoint-Dokumente, E-Mails – je nach Scope)

• Automatische Archivierung (wo sinnvoll und passend)

• Richtlinien für Datenlebenszyklus („Data Lifecycle“)

 

Datenschutz-Standards & sichere Zusammenarbeit

• Regeln für Sharing-Links (z. B. Ablaufdatum, nur bestimmte Personen, Einschränkungen)

• Gastzugriff: wann erlaubt, wie gesteuert, wie überprüft

• Standards für sensible Bereiche (z. B. HR/Management/Finance)

Hinweis: Welche Funktionen verfügbar sind, hängt von eurem Microsoft 365 Plan/Lizenzierung ab. Wir richten das Setup so ein, dass es zu eurer Umgebung passt und rechtssicher/praktikabel bleibt.

 

 

Löschfristen, Aufbewahrung & Archivierung: was bedeutet das?

Damit intern alle das Gleiche meinen, definieren wir die Begriffe sauber:

 

• Löschfrist: Inhalte werden nach einer definierten Zeit automatisch gelöscht (z. B. bestimmte Chat-Inhalte nach X Monaten), wenn es eure Vorgaben erlauben.

• Aufbewahrung (Retention): Inhalte müssen für einen bestimmten Zeitraum aufbewahrt werden – auch wenn jemand versucht, sie zu löschen (wichtig z. B. für Nachvollziehbarkeit).

• Archivierung: Inhalte bleiben erhalten, werden aber in einen geordneten Zustand überführt (z. B. Projekt abgeschlossen → Team/Site wird archiviert/gesperrt, Inhalte bleiben lesbar).

 

Wir übersetzen die Anforderungen in klare Regeln, z. B.:

 

• Projektunterlagen: Aufbewahrung X Jahre, danach Löschung

• HR-Unterlagen: besonders restriktiver Zugriff, definierte Fristen

• Teams/SharePoint: Regeln für aktive vs. abgeschlossene Projekte

 

 

 

Datenschutz & Zusammenarbeit: Sharing, Gäste, Teams/SharePoint Regeln

Ein zentraler Compliance-Hebel ist die Frage: Wer kann mit wem welche Daten teilen?
Wir definieren und konfigurieren u. a.:

 

• externe Freigaben nur über kontrollierte Linktypen

• Ablaufdaten/Passcodes (wo sinnvoll)

• Einschränkungen für bestimmte Bereiche

• klare Regeln, wie Teams/Sites entstehen und wer Owner ist

 

So wird Zusammenarbeit möglich, aber kontrolliert.

 

 

Ablauf in 4 Wochen (Projektplan)

Woche 1 – Anforderungen & Grundlagen

• Workshops: rechtliche Vorgaben + interne Wünsche

• Datenklassen & Schutzbedarf definieren

• Zielbild für Governance & Compliance festlegen

 

Woche 2 – Richtlinien-Design

• Retention-/Löschkonzept entwerfen

• Governance-Regeln (Teams/SharePoint/Sharing/Gäste)

• Verantwortlichkeiten & Prozesse definieren

 

Woche 3 – Umsetzung in Microsoft 365

• Konfiguration der relevanten Policies

• Tests mit Pilotbereichen (z. B. ein Team/Site, ein Datentyp)

• Anpassungen aus dem Pilot

 

Woche 4 – Stabilisierung & Übergabe

• Feinschliff, Dokumentation finalisieren

• Übergabe-Workshop (Betrieb, Verantwortlichkeiten, „Do’s & Don’ts“)

 

 

Preis: was beeinflusst die Kosten?

Ab 6.000 €, abhängig von:

 

• Anzahl genutzter M365-Services (Exchange, Teams, SharePoint, OneDrive etc.)

• gewünschter Detailgrad bei Retention/Löschfristen

• Anzahl Datenklassen/Abteilungen mit Sonderregeln

• bestehender Reifegrad (Chaos vs. „schon strukturiert“)

• Lizenzierung (welche Compliance-Features verfügbar sind)

 

 

Ergebnisse & Dokumentation

Am Ende bekommt ihr:

 

• ein umgesetztes Governance-&-Compliance-Setup in Microsoft 365 (nach definierten Vorgaben)

• klare Regeln für Teams/SharePoint/Sharing/Gäste

• Aufbewahrungs-, Lösch- und Archivierungslogik (je nach Scope)

• definierte Verantwortlichkeiten & Prozesse

• Dokumentation (vollständig, strukturiert, auditfähig), inkl.:

  • Richtlinienübersicht (Was gilt wo?)

  • Begründung/Herleitung (Warum so?)

  • Konfigurationsübersicht (Was ist in M365 wie eingestellt?)

  • Betriebsleitfaden (wer macht was im Alltag)