Microsoft 365: globaler Admin und Notfallzugang für kleine Firmen

Die Empfehlung von Microsoft in Kurzform

Ein kleiner Betrieb sollte in Microsoft 365 zwei benannte Personen als globale Administratoren haben und dazu zwei Notfallkonten, die keiner einzelnen Person gehören. Microsoft rät, die Rolle „Globaler Administrator“ an weniger als fünf Konten zu vergeben. Die Notfallkonten sind reine Cloud-Konten mit der Adresse auf ihre-firma.onmicrosoft.com, sie melden sich mit einem Passkey (FIDO2) auf einem Sicherheitsschlüssel an, und jemand prüft sie mindestens alle 90 Tage.

Die Anmeldedaten der Notfallkonten gehören laut Microsoft an getrennte, sichere und feuerfeste Orte, an die mehrere berechtigte Personen herankommen. Mit dem Handy eines Mitarbeiters verbinden sollen Sie diese Konten ausdrücklich nicht. Fehlt diese Vorsorge und sperrt sich der einzige Administrator aus, muss die Firma gegenüber Microsoft nachweisen, dass ihr der Zugang zusteht. Grundlage dieser Seite sind die Microsoft-Dokumentationen zu Konten für den Notfallzugriff (Stand 04.06.2026), zu bewährten Methoden für Rollen (Stand 01.06.2026) und zu den Administratorrollen (Stand 07.10.2026), abgerufen am 14.10.2026.

Der globale Administrator darf fast alles

Wer das Abonnement für die Firma abgeschlossen hat, ist automatisch globaler Administrator. Das ist der Inhaber oder der IT-Dienstleister, der den Mandanten damals angelegt hat. Mit dieser Rolle setzt man die Kennwörter aller Benutzer und aller anderen Administratoren zurück, verwaltet die Domains und kauft Abonnements. Seine eigene Rollenzuweisung kann ein globaler Administrator nicht aufheben, damit die Firma nie ganz ohne dasteht.

Das schützt nur vor einem Bedienfehler. Microsoft nennt in der Notfall-Dokumentation selbst den Fall, dass die Person mit dem letzten globalen Administratorzugriff die Organisation verlässt. Löschen lässt sich das letzte globale Administratorkonto nicht, aber das hilft wenig, wenn niemand mehr Kennwort und zweiten Faktor kennt. Ebenso aufgezählt sind ein Mobilfunkausfall und Geräte, die alle gleichzeitig nicht verfügbar sind. In einer Firma mit acht Leuten ist das zum Beispiel das Handy des Chefs: kaputt, verloren oder mit ihm im Urlaub ohne Netz.

Wie viele Administratoren eine Firma mit zehn Leuten braucht

Microsoft empfiehlt zwei Dinge, die sich auf den ersten Blick widersprechen: so wenige globale Administratoren wie möglich und trotzdem mehr als einen. Für einen Betrieb ohne eigene IT-Abteilung ergibt sich daraus eine überschaubare Aufstellung.

Das sind höchstens vier globale Administratoren, also unter der Grenze von fünf. Für Aufgaben wie das Zurücksetzen von Kennwörtern nennt Microsoft engere Rollen, etwa Kennwortadministrator oder Helpdeskadministrator. Ein Helpdeskadministrator hilft allerdings nur Benutzern ohne Administratorrechte. Das Kennwort eines globalen Administrators setzt nur ein anderer globaler Administrator oder ein privilegierter Authentifizierungsadministrator zurück. Microsoft rät deshalb, mindestens einen privilegierten Authentifizierungsadministrator zu haben.

Für den Alltag rät Microsoft zu getrennten Konten. Wer mit dem Administratorkonto auch E-Mails liest, bietet jeder Phishing-Mail ein Konto mit vollen Rechten über die ganze Firma an. Konten, die nur zur Verwaltung dienen, müssen laut Microsoft nicht lizenziert werden. Ihr Name sollte nicht verraten, dass es ein Administratorkonto ist.

Notfallkonto einrichten, Schritt für Schritt

1. Konto anlegen. Legen Sie im Microsoft 365 Admin Center einen neuen Benutzer mit einer Adresse auf ihre-firma.onmicrosoft.com an. Kein Konto mit der Firmendomain und keines, das aus einem lokalen Server synchronisiert wird.
2. Rolle zuweisen. Geben Sie dem Konto die Rolle „Globaler Administrator“. Wer Privileged Identity Management nutzt, setzt die Zuweisung auf dauerhaft aktiv.
3. Sicherheitsschlüssel registrieren. Microsoft empfiehlt für Notfallkonten einen Passkey (FIDO2), alternativ die zertifikatbasierte Anmeldung. Laut Microsoft unterstützen auch die Tarife Business Basic und Business Standard Passkeys. Wählen Sie für die Notfallkonten ein anderes Verfahren als für die normalen Administratoren: Melden die sich mit der Authenticator-App an, bekommen die Notfallkonten einen Schlüssel.
4. Keine persönlichen Angaben hinterlegen. Keine Handynummer und keine private Ersatzadresse eines Mitarbeiters. Microsoft führt als Prüfpunkt auf, dass für die Notfallkonten nichts auf Gerät oder persönliche Daten eines einzelnen Benutzers registriert ist.
5. Richtlinien prüfen. Nutzen Sie bedingten Zugriff (ab Microsoft Entra ID P1, enthalten zum Beispiel in Business Premium), dann nehmen Sie die Notfallkonten von Richtlinien aus, die Anmeldungen sperren oder einschränken.
6. Anmeldung testen. Melden Sie sich mit beiden Notfallkonten an und notieren Sie das Datum. Wiederholen Sie den Test mindestens alle 90 Tage und nach jedem Personalwechsel bei denen, die Zugang zu den Schlüsseln haben.

Wo die Zugangsdaten liegen

Für die Sicherheitsschlüssel gilt eine einfache Regel: zwei Schlüssel, zwei Orte, beide verschlossen. Einer kann im Firmensafe liegen, der zweite im Bankschließfach oder bei einer Vertrauensperson der Geschäftsführung. Microsoft rät außerdem, die Kombination eines Safes zu ändern, wenn jemand mit Zugang die Firma verlässt. Am Schlüsselbund des Chefs fehlt der Schlüssel genau dann, wenn auch dessen Handy fehlt.

Den Schlüssel selbst kann kein Passwort-Tresor ersetzen, er ist ein Gerät. Was im Tresor gut aufgehoben ist, ist alles drumherum. Legen Sie in einer Sammlung, die nur Geschäftsführung und Vertretung sehen, einen Eintrag „Microsoft 365 Verwaltung“ an:

• die Adressen beider Notfallkonten und wo die Schlüssel liegen,
• wer welche Administratorrolle hat und seit wann,
• wo die DNS-Einstellungen Ihrer Domain verwaltet werden und der Zugang dorthin,
• das Datum des letzten Tests.

Die benannten Verwaltungskonten laufen auf eine Person. Unser Rat: Jede legt die Anmeldung ihres Verwaltungskontos im persönlichen Bereich ihres eigenen Tresorkontos ab, nicht in der gemeinsamen Sammlung. Fällt sie aus, setzt die zweite Person mit ihrem eigenen Verwaltungskonto das Kennwort zurück. Ehrlich dazu: Wer im Tresor die Kontowiederherstellung bedienen darf, kommt technisch auch an den persönlichen Bereich. Ob der zweite Faktor der Verwaltungskonten in den Tresor gehört, entscheiden Sie bewusst. Der Ratgeber Bestätigungscodes im Team teilen nennt das Administratorkonto der Firmen-E-Mail als Beispiel, bei dem ein getrennter zweiter Faktor sinnvoll sein kann. Wie die Vertretung allgemein an Zugänge kommt, wenn die Geschäftsführung ausfällt, steht im Ratgeber Notfallzugriff auf Firmenpasswörter, dort gibt es auch ein Notfallblatt zum Ausdrucken.

Ausgesperrt: die Wege zurück, der Reihe nach

1. Ein anderer Administrator hilft. Hat die Firma einen zweiten globalen Administrator, setzt er das Kennwort zurück. Fehlt nur der zweite Faktor, weil das Handy weg ist, steht das weitere Vorgehen unter Handy mit Authenticator-App verloren.
2. Das Notfallkonto. Sind alle benannten Administratoren ausgesperrt, meldet sich jemand mit dem Sicherheitsschlüssel aus dem Safe an und repariert die regulären Konten.
3. Selbst zurücksetzen. Laut der Microsoft-Seite zum Zurücksetzen von Kennwörtern (Stand 06.03.2026) kann ein Administrator sein Kennwort über „Kennwort vergessen“ selbst neu setzen, wenn er vorher eine Ersatzadresse und eine Handynummer hinterlegt hat. Für die Notfallkonten gilt das Gegenteil, dort sollen keine persönlichen Angaben stehen.
4. Der Microsoft-Support. Hilft nichts davon, bleibt nur der Support. Er muss prüfen, ob Sie berechtigt sind. Ein IT-Dienstleister hat 2024 in seinem Blog beschrieben, wie das in seinem eigenen Testmandanten lief: Microsoft Defender hatte sein Administratorkonto automatisch deaktiviert, und sein Notfallkonto hatte nicht die Rolle des globalen Administrators. Der Support verlangte Einträge in den DNS-Einstellungen von drei Domains, zwei davon verwaltete er aber im gesperrten Mandanten selbst. Am Ende stand eine Prüfung per Video mit Ausweis, das Ganze dauerte rund zwei Wochen.

Der Einzelfall zeigt, wozu der Zugang zur Domain getrennt von Microsoft 365 dokumentiert sein sollte: Wer beim Domain-Anbieter selbst Einträge setzen kann, hat den ersten Nachweis in der Hand. Wie Sie Domain und Website in eigene Hand bekommen, beschreibt die Seite Domain und Website: Zugänge in eigene Hand.

Fünf Fehler, nach denen Sie im Admin Center suchen

• Das Alltagspostfach ist globaler Administrator. Eine Phishing-Mail an den Chef trifft dann den ganzen Mandanten. Was nach einem Einbruch in ein Postfach zu tun ist, steht unter Firmen-E-Mail gehackt.
• Der frühere IT-Dienstleister ist noch Administrator. Sein Konto hat die Firma nach dem Wechsel vergessen. Prüfen Sie im Admin Center unter den Rollenzuweisungen, wer heute welche Rolle hat. Den geordneten Wechsel behandelt IT-Dienstleister wechseln.
• Mehrere Leute teilen sich ein Administratorkonto. Dann weiß niemand, wer was geändert hat, und beim Weggang einer Person muss das Konto für alle neu gesichert werden. Was beim Ausscheiden eines Mitarbeiters an Zugängen zu ändern ist, listet die Checkliste Mitarbeiter verlässt die Firma.
• Das Notfallkonto wurde angelegt und nie benutzt. Nach zwei Jahren weiß keiner mehr, wo der Schlüssel liegt.
• Für info@ wurde ein eigener Benutzer mit Kennwort angelegt, das alle kennen. Microsoft 365 hat dafür das freigegebene Postfach, siehe Gemeinsames Postfach ohne geteiltes Passwort.

Ein erfundenes Beispiel: Ein Ingenieurbüro mit elf Leuten hat den Mandanten 2019 vom damaligen Dienstleister einrichten lassen. Globale Administratoren sind der Inhaber und ein Konto namens „admin“, dessen Kennwort nur der Dienstleister kannte, der seit drei Jahren nicht mehr für das Büro arbeitet. Der Inhaber löscht das alte Konto, legt zwei Notfallkonten mit je einem Schlüssel an, gibt der Büroleiterin ein eigenes Verwaltungskonto und trägt Notfallkonten, Ort der Schlüssel und Rollen in die Sammlung der Geschäftsführung ein. Die Anmeldung ihres Verwaltungskontos legen er und die Büroleiterin jeweils im eigenen persönlichen Bereich ab. Welche Zugänge so ein Büro sonst noch hat, zeigt die Seite für Ingenieurbüros.

Google Workspace: dieselbe Regel mit anderen Namen

Bei Google heißt die höchste Rolle Super-Administrator. Google empfiehlt in seinen Hinweisen zur Sicherheit von Administratorkonten (Stand 11.10.2026) mehrere Super-Administratoren, jeweils von einer anderen Person verwaltet und nicht geteilt. Für die tägliche Arbeit soll jeder ein separates Konto ohne Administratorrechte nutzen. Sicherheitsschlüssel nennt Google die sicherste Form der Bestätigung in zwei Schritten.

Zusätzlich rät Google, Back-up-Codes für Super-Administratoren vorab zu erzeugen und sicher aufzubewahren, weil die eigenständige Wiederherstellung für Super-Administratoren bei den meisten bestehenden und allen neuen Kunden standardmäßig ausgeschaltet ist. Weil jeder Super-Administrator ein Konto auf seinen Namen hat, legt er diese Codes wie die eigene Anmeldung im persönlichen Bereich seines Tresorkontos ab.