Du verwaltest Dienste, keine Maschinen mehr
Der Mandant ist am ersten Tag betriebsbereit, und genau das täuscht. Die Standardeinstellungen sind auf Zusammenarbeit ausgelegt, nicht auf dein Haus.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Ein Mandant läuft sofort, und niemand hat entschieden, wie er laufen soll
Nach der Einrichtung funktioniert alles: Postfächer, Teams, Dateiablage, Besprechungen. Was in dieser Zeit nicht passiert, ist eine Entscheidung. Wer darf Teams anlegen, dürfen Gäste eingeladen werden, wie lange bleiben Links gültig, was passiert mit Inhalten von Beschäftigten, die gehen, und darf sich jemand von einem privaten Gerät anmelden. Jede dieser Fragen hat eine Voreinstellung, und die ist auf möglichst reibungslose Zusammenarbeit ausgelegt.
Auffällig wird das erst später und dann schlagartig. Bei einer Auskunftsanfrage muss jemand sagen, welche Inhalte über eine Person gespeichert sind. Nach einem übernommenen Konto muss jemand nachvollziehen, worauf zugegriffen wurde. Und wenn ein Fachbereich zweihundert Teams angelegt hat, von denen die Hälfte drei Mitglieder und keinen Besitzer mehr hat, ist das Aufräumen ein Projekt und keine Einstellung.
Der zweite Unterschied zum klassischen Betrieb ist das Tempo. Microsoft ändert Funktionen laufend und kündigt das im Nachrichtenbereich des Mandanten an. Wer diese Meldungen nicht regelmäßig durchgeht, erklärt Änderungen im Nachhinein und erfährt von Fachbereichen, dass sich etwas verändert hat. Ein Wartungsfenster gibt es nicht mehr, dafür eine Ankündigung mit Datum, die jemand lesen muss.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet, und wer setzt um
Im Mandanten liegen fachliche und technische Entscheidungen dicht beieinander, und deshalb landen ständig Fragen bei der Administration, die dort nicht hingehören. Diese fünf Zeilen sind die häufigsten.
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Wer Teams anlegen darf | Die Geschäftsleitung gemeinsam mit den Fachbereichen, denn es ist eine Frage der Arbeitsorganisation und nicht der Technik | Die Microsoft-365-Administration begrenzt die Erstellung, erzwingt Namensmuster und richtet einen Ablauf für Besitzerwechsel ein | Freie Erstellung für alle wirkt zunächst wie gelebte Selbstständigkeit. Nach einem Jahr gibt es vier ähnlich benannte Teams zum selben Vorhaben, und niemand weiß, in welchem die gültige Fassung liegt. |
| Gastzugriff für externe Beteiligte | Der einladende Fachbereich benennt den Gast und den Zweck, Datenschutz und Informationssicherheit setzen den Rahmen | Die Administration konfiguriert die zulässigen Domänen, die Gültigkeitsdauer und die Überprüfung bestehender Gäste | Projekte enden, Gäste bleiben. Ohne regelmäßige Überprüfung sammelt der Mandant über Jahre externe Konten mit Zugriff auf Ablagen, die längst andere Inhalte enthalten. |
| Aufbewahrung und Löschung | Datenschutz und Fachbereiche gemeinsam, denn Aufbewahrungspflichten und Löschfristen sind fachliche Vorgaben | Die Administration bildet die Vorgaben in Richtlinien ab und weist nach, dass sie greifen | Aufbewahrung wird eingerichtet, Löschung nicht. Der Mandant hält danach alles unbegrenzt, und bei der ersten Auskunftsanfrage steht mehr im Ergebnis, als jemand erwartet hat. |
| Lizenzstufe | Die Geschäftsführung zusammen mit der IT-Leitung, weil es eine Kostenentscheidung mit fachlichen Folgen ist | Die Administration ordnet über Gruppen zu und meldet, welche geplanten Funktionen in der gebuchten Stufe fehlen | Ein Sicherheitskonzept wird beschlossen, dessen Bausteine erst in der höheren Stufe enthalten sind. Die Lücke fällt auf, wenn die Umsetzung beginnt, und dann ist das Budget verteilt. |
| Bedingter Zugriff | Die Informationssicherheit legt fest, unter welchen Bedingungen eine Anmeldung zulässig ist | Die Administration baut die Richtlinien, testet sie im Berichtsmodus und dokumentiert jede Ausnahme | Eine Regel ohne Ausnahme sperrt auch die Verwaltung aus. Ohne zwei ausgenommene Notfallkonten mit hinterlegten Zugangsdaten bleibt dann nur der Weg über den Hersteller. |
Wer Teams anlegen darf
- Wer entscheidet
- Die Geschäftsleitung gemeinsam mit den Fachbereichen, denn es ist eine Frage der Arbeitsorganisation und nicht der Technik
- Wer setzt um
- Die Microsoft-365-Administration begrenzt die Erstellung, erzwingt Namensmuster und richtet einen Ablauf für Besitzerwechsel ein
- Stolperfalle
- Freie Erstellung für alle wirkt zunächst wie gelebte Selbstständigkeit. Nach einem Jahr gibt es vier ähnlich benannte Teams zum selben Vorhaben, und niemand weiß, in welchem die gültige Fassung liegt.
Gastzugriff für externe Beteiligte
- Wer entscheidet
- Der einladende Fachbereich benennt den Gast und den Zweck, Datenschutz und Informationssicherheit setzen den Rahmen
- Wer setzt um
- Die Administration konfiguriert die zulässigen Domänen, die Gültigkeitsdauer und die Überprüfung bestehender Gäste
- Stolperfalle
- Projekte enden, Gäste bleiben. Ohne regelmäßige Überprüfung sammelt der Mandant über Jahre externe Konten mit Zugriff auf Ablagen, die längst andere Inhalte enthalten.
Aufbewahrung und Löschung
- Wer entscheidet
- Datenschutz und Fachbereiche gemeinsam, denn Aufbewahrungspflichten und Löschfristen sind fachliche Vorgaben
- Wer setzt um
- Die Administration bildet die Vorgaben in Richtlinien ab und weist nach, dass sie greifen
- Stolperfalle
- Aufbewahrung wird eingerichtet, Löschung nicht. Der Mandant hält danach alles unbegrenzt, und bei der ersten Auskunftsanfrage steht mehr im Ergebnis, als jemand erwartet hat.
Lizenzstufe
- Wer entscheidet
- Die Geschäftsführung zusammen mit der IT-Leitung, weil es eine Kostenentscheidung mit fachlichen Folgen ist
- Wer setzt um
- Die Administration ordnet über Gruppen zu und meldet, welche geplanten Funktionen in der gebuchten Stufe fehlen
- Stolperfalle
- Ein Sicherheitskonzept wird beschlossen, dessen Bausteine erst in der höheren Stufe enthalten sind. Die Lücke fällt auf, wenn die Umsetzung beginnt, und dann ist das Budget verteilt.
Bedingter Zugriff
- Wer entscheidet
- Die Informationssicherheit legt fest, unter welchen Bedingungen eine Anmeldung zulässig ist
- Wer setzt um
- Die Administration baut die Richtlinien, testet sie im Berichtsmodus und dokumentiert jede Ausnahme
- Stolperfalle
- Eine Regel ohne Ausnahme sperrt auch die Verwaltung aus. Ohne zwei ausgenommene Notfallkonten mit hinterlegten Zugangsdaten bleibt dann nur der Weg über den Hersteller.
Sechs Bereiche, für die du im Mandanten geradestehst
- 01 Identitäten, Rollen und die Anmeldung an allen Diensten.
- 02 Lizenzen, ihre Zuordnung und die Kosten dahinter.
- 03 Endgeräte, ihre Einrichtung und ihr gemeldeter Zustand.
- 04 Freigaben nach außen, Gäste und externe Zusammenarbeit.
- 05 Aufbewahrung, Löschung und Auskunft über gespeicherte Inhalte.
- 06 Angekündigte Änderungen und ihre Wirkung auf euren Betrieb.
Was die Rolle im Mandanten verantwortet
Die Aufgaben lassen sich an sechs Punkten festmachen. Sie sind zugleich die Liste, an der du in einem Bewerbungsgespräch prüfst, wie weit eine Stelle tatsächlich reicht und wo sie an einen Dienstleister abgegeben wurde.
Den Mandanten bewusst einstellen statt übernehmen
Du gehst die Voreinstellungen zu Teamerstellung, Gastzugriff, Freigabelinks und externer Zusammenarbeit einzeln durch und triffst zu jeder eine Entscheidung, die schriftlich begründet ist. Das ist der einzige Zeitpunkt, an dem das billig zu haben ist.
Identitäten und Anmeldung absichern
Mehrstufige Anmeldung für alle, Richtlinien für den bedingten Zugriff nach Gerät und Standort, getrennte Konten für Verwaltungsaufgaben und zwei Notfallkonten, die von jeder Regel ausgenommen sind. Ohne die letzten beiden sperrst du dich irgendwann selbst aus.
Endgeräte in die Verwaltung holen
Geräte werden über Intune eingerichtet, bekommen Richtlinien für Verschlüsselung und Aktualität und melden ihren Zustand zurück. Erst damit lässt sich der Zugriff an eine Bedingung knüpfen, denn ein unbekanntes Gerät ist sonst so gut wie ein bekanntes.
Aufbewahren und löschen können
Du richtest Aufbewahrungsrichtlinien und Vertraulichkeitsbezeichnungen ein und kannst Inhalte zu einer Person auffinden. Wichtiger als das Aufbewahren ist das Löschen: Wer nur Aufbewahrung einstellt, hält am Ende alles unbegrenzt und hat sich das Problem nur verschoben.
Lizenzen zuordnen und begründen
Zuordnung über Gruppen statt einzeln, regelmäßiger Abgleich mit den tatsächlich aktiven Konten und ein Überblick darüber, welche Funktion in welcher Stufe enthalten ist. Ein großer Teil der geplanten Sicherheitsfunktionen scheitert nicht an der Technik, sondern an der gebuchten Stufe.
Angekündigte Änderungen vorwegnehmen
Du gehst die Ankündigungen im Nachrichtenbereich durch, entscheidest, was euch betrifft, und informierst die Fachbereiche vorher. Damit verlässt du die Rolle des Erklärers im Nachhinein und wirst zu dem, der Änderungen im Haus steuert.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Was den Tag tatsächlich füllt
Der geplante Teil besteht aus Konten und Lizenzen, Anfragen zu Berechtigungen und Freigaben, dem Zustand der verwalteten Geräte, der Durchsicht der Anmeldeprotokolle auf auffällige Muster und dem Nachrichtenbereich mit den angekündigten Änderungen. Der ungeplante Teil sind Meldungen aus den Fachbereichen, und ein großer Teil davon sind keine Störungen, sondern Fragen nach dem richtigen Vorgehen.
Was in dieser Rolle wegfällt, ist die Hardware. Kein Wartungsfenster mehr, keine Serverneustarts, keine Speichererweiterung um drei Uhr nachts. Was dazukommt, ist Abstimmung: Weil im Mandanten fachliche und technische Entscheidungen ineinandergreifen, verbringst du mehr Zeit mit Datenschutz, Fachbereichen und Interessenvertretung als in einer klassischen Betriebsrolle.
Falsch erwartet wird meist die Tiefe. Die Rolle deckt Exchange Online, SharePoint Online, Teams, Intune und die Sicherheitswerkzeuge gleichzeitig ab, und zwar jeweils bis zu dem Punkt, an dem der normale Betrieb steht. Wer erwartet, in jedem dieser Dienste tief zu werden, wird enttäuscht; die Tiefe ist genau das, was die Spezialrollen daneben ausmacht.
Wo die Rolle endet, und wann sich eine Spezialisierung lohnt
Zur Windows-Server-Administration verläuft die Grenze an der Synchronisierung. Konten und Gruppen, die aus dem lokalen Verzeichnis kommen, werden dort gepflegt, du verantwortest, was daraus im Mandanten wird. Beide Seiten müssen sich darüber verständigt haben, welche Seite maßgeblich ist, sonst korrigiert jede Seite Fehler, die die andere wieder herstellt.
Zu Exchange und SharePoint ist die Grenze eine Frage der Tiefe, nicht der Zuständigkeit. Du legst Postfächer an, richtest Freigaben ein und stellst Aufbewahrung ein. Du baust aber kein Regelwerk für den Nachrichtentransport mit Connectoren und Absenderprüfung, und du konfigurierst keine Suchdienste und keine Farm. Diese beiden Bereiche haben eine eigene Tiefe, und wer sie nebenbei mitmacht, macht sie in beiden Fällen ungenau.
Ab wann sich die Trennung lohnt, hängt an drei Fragen und nicht an der Beschäftigtenzahl. Erstens: Gibt es noch lokale Server für diese Dienste oder einen laufenden Umzug, denn Hybridbetrieb bindet dauerhaft eigene Arbeitszeit. Zweitens: Hängen fachliche Anforderungen an einem einzelnen Dienst, etwa Archivierung von Nachrichten oder gelenkte Dokumente. Drittens: Ist ein Dienst geschäftskritisch, etwa der Mailversand bei einem Versandhändler. Trifft nichts davon zu, ist die Spezialisierung eine Aufgabe im Kalender und keine eigene Stelle.
Der Weg hinein, und welche Prüfungen wirklich helfen
Der häufigste Einstieg führt aus dem Anwendersupport oder aus der klassischen Systemadministration. Wer aus dem Support kommt, kennt die Fragen der Fachbereiche und muss sich das Modell des Mandanten aneignen. Wer aus dem Serverbetrieb kommt, hat das Modell und muss sich daran gewöhnen, dass ein großer Teil der Arbeit aus Absprache besteht und nicht aus Konfiguration.
Bei den Nachweisen ist die Lage hier klarer als bei Windows Server. Die Grundlagenprüfung ordnet Dienste und Lizenzen ein und ist als Einstieg brauchbar, die Rollenprüfung zum Microsoft-365-Administrator deckt Identität, Sicherheit und Compliance ab, die Prüfung zur Endgeräteverwaltung ergänzt Intune, und die Identitätsprüfung geht in die Tiefe von Entra ID. Diese Reihenfolge entspricht ungefähr dem, was Stellen tatsächlich verlangen.
Was Prüfungen nicht ersetzen, ist ein eigener Mandant. Ein Probemandant kostet nichts außer Zeit und erlaubt genau das, was im Betrieb niemand ausprobiert: eine Zugriffsrichtlinie scharf schalten und sich dabei selbst aussperren, eine Aufbewahrungsrichtlinie greifen sehen, eine Lizenz entziehen und beobachten, was mit den Daten passiert. Diese drei Versuche sind im Gespräch mehr wert als zwei bestandene Prüfungen.
Woran sich zwei Leute mit gleicher Berufsdauer unterscheiden
Der erste Unterschied ist die Arbeitsweise. Der eine klickt jede Änderung im Verwaltungsportal, die andere macht denselben Vorgang über PowerShell und hat damit eine Auswertung, eine Wiederholbarkeit und einen Nachweis. Spätestens wenn jemand fragt, welche Konten seit neunzig Tagen keine Anmeldung hatten, trennt sich das sichtbar.
Der zweite Unterschied ist der Umgang mit Änderungen des Herstellers. Wer die Ankündigungen liest und die eigenen Fachbereiche vorwarnt, wird als jemand wahrgenommen, der den Betrieb steuert. Wer sie ignoriert, erklärt jeden Monat, warum sich etwas verändert hat, und wirkt dabei so überrascht wie die Fachbereiche selbst.
Der dritte Unterschied liegt in der Bereitschaft, Entscheidungen zurückzugeben. Ob ein Fachbereich Gäste einladen darf, ist keine Frage an die Administration. Wer sie trotzdem beantwortet, übernimmt eine Verantwortung, die er nicht tragen kann, und steht bei der nächsten Prüfung allein da. Wer sie sauber an Datenschutz und Fachbereich zurückgibt, bekommt dafür eine belastbare Grundlage.
Wohin die Rolle führt
Die naheliegendste Richtung ist die Sicherheit, weil die Rolle ohnehin schon an Identitäten, Geräten und Zugriffsregeln arbeitet. Von dort führt der Weg zu Defender und Purview, zur Auswertung von Anmeldevorgängen und weiter in Richtung Informationssicherheit oder Identity- und Access-Management.
Die zweite Richtung ist Azure. Wer Identitäten im Mandanten beherrscht, hat den Zugang zur Cloudinfrastruktur bereits in der Hand, und die entsprechende Administrationsprüfung ist der übliche nächste Schritt. Die dritte Richtung ist die Tiefe in einem Dienst, also genau die Spezialisierung, die weiter oben beschrieben ist. Die vierte ist Governance: Wer Regeln für die Zusammenarbeit im Haus formulieren kann, arbeitet irgendwann mehr mit Datenschutz und Fachbereichen als mit Verwaltungsportalen.
Das Gehaltskapitel unten zeigt die Berufsgattung IT-Systemadministration. Der Vergleich mit den Zellen, in denen Planung und Steuerung stecken, ist auch hier aufschlussreich: Der Sprung entsteht dort, wo eine Stelle Entscheidungen enthält, und nicht dort, wo jemand ein weiteres Verwaltungsportal beherrscht.
Dazu passende Kurse
Mit welchen Entscheidungen ein Mandant anfängt, zeigen Kurse, in denen du Mandant, Lizenzen und Identitäten von Grund auf einrichtest .
Wer den Mandanten anschließend gegen Angriffe auf Konten absichern will, findet dafür die Kurse rund um Defender und Entra ID .
Die amtlichen Zahlen zu dieser Rolle
Die Zahlen kommen aus der Berufsgattung IT-Systemadministration auf dem Anforderungsniveau Spezialist, wobei das Anforderungsniveau den Zuschnitt der Stelle beschreibt und nicht die Berufserfahrung der Person. Es handelt sich um Bruttomonatsverdienste von Vollzeitbeschäftigten ohne Sonderzahlungen, Weihnachts- und Urlaubsgeld fehlen also und der Jahresverdienst liegt entsprechend über dem Zwölffachen. Für den Vergleich taugt der Median besser als der Durchschnitt, weil einzelne sehr gut bezahlte Stellen den Durchschnitt nach oben ziehen. Eine eigene Gattung für den Cloudbetrieb gibt es in der Klassifikation nicht, deshalb steht diese Rolle in derselben Zelle wie der klassische Serverbetrieb, obwohl der Arbeitsalltag ein anderer ist.
Amtliche Medianverdienste, April 2025
Brutto im MonatStatistisches Bundesamt, Verdiensterhebung. Vollzeit, ohne Sonderzahlungen. Die Hälfte der Beschäftigten verdient weniger als der Median, die andere Hälfte mehr.
KldB 43343, Durchschnitt 5.495 €, gerundet rund 62.000 € im Jahr ohne Sonderzahlungen
- Vollzeitbeschäftigte, Bruttomonatsverdienst ohne Sonderzahlungen. Weihnachts- und Urlaubsgeld, Prämien und Boni sind nicht enthalten, der Jahresverdienst liegt also über dem Zwölffachen.
- Das Anforderungsniveau beschreibt den Zuschnitt der Stelle, nicht die Berufserfahrung. Fachkraft, Spezialist und Experte sagen etwas über die Komplexität der Tätigkeit aus, nicht über Dienstjahre.
- Die Erhebung geht regional nur bis auf die Bundeslandebene. Für einzelne Städte gibt es keine amtlichen Zahlen, weil der Zufallsfehler zu groß wäre.
Quelle: Statistischer Bericht Verdienste , Statistisches Bundesamt (Destatis). Den eigenen Fall prüfst du im Entgeltatlas der Bundesagentur für Arbeit . Beachte dort: Entgelte oberhalb der Beitragsbemessungsgrenze sind der Statistik nicht bekannt, bei gut bezahlten IT-Rollen steht deshalb nur eine Untergrenze.
Ein sehr gutes, praxisorientiertes und nachhaltiges Seminar. So sollte es immer sein. Vielen Dank.
Ein sehr guter und verständlicher Überblick über die Grundlagen im Umgang mit BricsCAD.
Alle meine Erwartungen wurden erfüllt und ich habe mich sehr gut aufgenommen gefühlt, jede Frage wurden Probleme direkt beseitigt.
Häufige Fragen
Was macht ein Microsoft-365-Administrator den ganzen Tag?
Brauche ich noch Serverwissen, wenn alles in der Cloud läuft?
Welche Prüfung lohnt sich für den Einstieg?
Worin unterscheidet sich die Rolle vom Exchange- oder SharePoint-Administrator?
Passt thematisch dazu
Bevor du die erste Regel scharf schaltest, lohnt der Blick darauf, wie eine Zugriffsrichtlinie aufgebaut ist und wo ihre Ausnahmen hingehören .
Weil viele Sicherheitsvorhaben an der gebuchten Stufe scheitern, gehört was in welcher Lizenzstufe tatsächlich enthalten ist zur Planung dazu.
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem IT-Berufe-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Einen Mandanten versteht man erst, wenn man sich darin einmal ausgesperrt hat
Bei cmt richtest du Identitäten, Zugriffsrichtlinien und Aufbewahrung in einer eigenen Umgebung ein und siehst dabei, was eine Einstellung an ganz anderer Stelle auslöst.
Passt dazu
- Windows-Server-Administrator: das Verzeichnis ist der eigentliche Kern
- Exchange-Administrator: eine Rolle, in der Ausfall sofort auffällt
- SharePoint-Administrator: Berechtigungen sind die eigentliche Arbeit
- Identity- und Access-Management: wer darf was, und wer hat das entschieden