Microsoft 365 Accounts für neue Mitarbeitende automatisch anlegen und einrichten

Wenn neue Teammitglieder an Bord kommen, zählt vor allem eins: ein reibungsloser erster Arbeitstag. Damit der Start glückt, brauchen sie ab Minute eins Zugriff auf ihr Microsoft-365-Konto inklusive E-Mail-Postfach, der richtigen Lizenz, Microsoft Teams und allen wichtigen Berechtigungen. In wachsenden Unternehmen ohne eigene IT-Abteilung landet diese Aufgabe meistens bei HR oder im Office-Management. Was nach „mal eben schnell erledigt“ aussieht, entpuppt sich in der Praxis oft als zähe, fehleranfällige Routine mit unzähligen Folgeschritten. In diesem Artikel erfährst du, wie du dir diese Routine sparst und Microsoft-365-Konten automatisch anlegst. 

Warum die manuelle Kontoanlage in M365 schnell aufwendig wird

Ein neues Microsoft-365-Konto anzulegen, klingt nach einer Sache von fünf Klicks. In Wahrheit ist es aber der Startschuss für einen echten Klick-Marathon aus 10 bis 15 Folgeaufgaben: Du musst eine freie Lizenz heraussuchen, Sicherheitsgruppen einrichten, die Zwei-Faktor-Authentifizierung (MFA) vorbereiten, Software zuweisen, das Postfach prüfen und Sicherheitsregeln (Conditional Access) aktivieren. 

Das Problem: Diese Schritte sind über das Admin Center, Microsoft Entra ID, die Lizenzverwaltung und die Sicherheitsrichtlinien verstreut. Da verliert man schnell den Überblick.

In der Praxis geht dabei leicht etwas unter.  Wird die Lizenz vergessen, läuft das Postfach nach einer kurzen Kulanzzeit ab. Bleibt die MFA offen oder passen die Gruppenrechte nicht, stehen neue Mitarbeitende am ersten Tag ohne Zugriffe da. Zudem können unvollständige Berechtigungen später zu Sicherheitslücken führen.

Drei Pflichtfelder werden besonders häufig übersehen:

• UsageLocation (Nutzungsstandort): Ohne diese Länderkennung lässt sich in M365 schlichtweg keine Lizenz zuweisen.
• UPN (UserPrincipalName / Benutzername): Gibt es einen Namen doppelt oder uneinheitlich, bricht der Vorgang ohne klare Fehlermeldung einfach ab.
• Passwort-Profil: Wenn du hier nicht die Pflicht zur Passwortänderung aktivierst, bleibt das unsichere Start-Passwort dauerhaft gültig.

Die 3 realistischen Wege zur automatischen Kontoerstellung

Für kleine und mittlere Unternehmen (KMU) im DACH-Raum gibt es drei typische Methoden, um Microsoft 365-Konten automatisch anzulegen. Die folgende Übersicht zeigt dir auf einen Blick, welcher Weg zu welchem Szenario passt, bevor wir uns die Details anschauen.

Weg 1: CSV-Import über das Microsoft 365 Admin Center

Der CSV-Import über das hauseigene Microsoft 365 Admin Center läuft klassischerweise in vier Schritten ab:

1. Du lädst dir eine fertige CSV-Tabellenvorlage aus dem Admin Center herunter.
2. Du trägst die wichtigsten Pflichtfelder für die neuen Teammitglieder ein (Benutzername bzw. UPN, Anzeigename und den Nutzungsstandort).
3. Du lädst die ausgefüllte Datei hoch und wartest, bis Microsoft die Daten geprüft hat.
4. Direkt im Anschluss weist du den neuen Konten die passenden Lizenzen zu.

In der Praxis stößt diese Methode allerdings schnell an ihre Grenzen: Pro Datei kannst du maximal 249 Nutzer gleichzeitig anlegen. Zudem läuft die Zuweisung von Abteilungs-Gruppen, Vorgesetzten oder Software-Paketen trotzdem nicht automatisch ab. Ein echtes Sicherheitsrisiko kommt am Ende dazu: Die automatisch generierten Start-Passwörter landen unverschlüsselt im Klartext in der Ergebnisdatei.

Für wen sich das eignet: Dieser Weg ist sinnvoll, wenn du nur sehr selten und unregelmäßig eine Gruppe von 5 bis 50 neuen Mitarbeitenden auf einmal anlegen musst und im Alltag keine dauerhafte Onboarding-Lösung benötigst.

Weg 2: PowerShell mit Microsoft Graph SDK

Bei dieser Methode klickt niemand mehr Konten von Hand an. Stattdessen schreibt eine IT-Fachkraft ein kleines Skript, also eine Art Bauanleitung, die Microsoft 365 selbstständig abarbeitet. Das Skript legt die Konten an, vergibt Lizenzen und ordnet Gruppen zu, und das für viele Mitarbeitende auf einmal. Microsoft stellt dafür ein eigenes Werkzeug bereit: das Microsoft Graph PowerShell SDK. 

Wichtig zu wissen: Die älteren Werkzeuge namens MSOnline und AzureAD wurden von Microsoft endgültig abgeschaltet. Einige Anleitungen im Netz nutzen aber noch diese alten Bausteine, was in der Praxis oft zu Fehlern führt.

Der Haken an solchen Skripten: Sie tun stur genau das, was im Code steht, und schlagen nicht von allein Alarm, wenn etwas schiefgeht. Kleine Tippfehler fallen deshalb oft erst Tage später auf, wenn die neue Kollegin an ihrem ersten Tag nicht arbeiten kann. Drei Punkte sind in der Praxis besonders fehleranfällig:

• Fehlendes Länderkennzeichen: Vergisst das Skript diese Angabe, lehnt Microsoft 365 die spätere Lizenzzuweisung ab, oft völlig ohne Fehlermeldung im Skript.
• Doppelte Benutzernamen: Existiert ein Name schon, bricht der Vorgang stillschweigend ab. Das Konto wird nicht angelegt, und niemand bemerkt es rechtzeitig.
• Weitreichende Zugriffsrechte: Damit das Skript arbeiten kann, braucht es volle Schreibrechte auf alle Konten im Unternehmen. Diese Rechte gehören streng abgesichert in ein eigenes technisches Konto und sollten niemals über den persönlichen Login von Mitarbeitenden laufen.

Für wen sich das eignet: Dieser Weg ist sinnvoll für Unternehmen, die eine eigene IT-Abteilung haben, die solche Skripte schreiben, überwachen und laufend anpassen kann. Typisch ist das ab rund 100 Mitarbeitenden mit regelmäßigen Onboardings.

Weg 3: HR-getriggerte Automatisierung über HR-Systeme

Bei der HR-getriggerten Automatisierung wird die komplette M365-Kontoerstellung direkt aus deinem vorhandenen HR-System ausgelöst. Sobald du in Personio, BambooHR, Factorial oder anderen HRIS einen neuen Eintrag für ein neues Teammitglied anlegst, startet im Hintergrund automatisch die gesamte Einrichtungskette. 

Das Erstellen des Kontos in Entra ID, die Lizenzzuweisung, das Zuweisen der richtigen Berechtigungen und das passende Software-Paket laufen ohne manuelle Arbeit durch. Die Mehr-Faktor-Authentifizierung greift dabei über eine zentrale Richtlinie, die für alle Konten gilt, statt pro Person eingerichtet zu werden.

Im Gegensatz zu den Wegen 1 und 2 muss hier niemand mehr CSV-Tabellen händisch pflegen oder komplexe IT-Skripte warten. Neue Mitarbeitende sind am ersten Tag sofort voll ausgestattet. Beim Austritt übernimmt dasselbe System ein sauberes Offboarding inklusive automatischem Lizenzentzug und der sicheren Weiterleitung von Daten.

Wichtig zu wissen: Microsoft bietet eine solche HR-getriggerte Bereitstellung über den eigenen Dienst Microsoft Entra zwar auch selbst an, allerdings haben diese fertigen Microsoft-Konnektoren einen Haken: Sie sind fast ausschließlich für riesige Enterprise-Systeme (wie Workday oder SAP SuccessFactors) gebaut. Für die HR-Tools, die in kleinen und mittleren Unternehmen im DACH-Raum Standard sind (wie Personio oder BambooHR), gibt es von Microsoft keinen fertigen Konnektor. Diese Verbindung müsstest du mit hohem IT-Aufwand selbst entwickeln lassen. Genau diese Lücke schließt deeploi: Die Plattform bringt die fertige Verbindung zwischen gängigen HR-Systemen und Microsoft 365 mit, ohne dass du auch nur eine einzige Zeile Code selbst bauen musst.

Für wen sich das eignet: Dieser Weg ist die ideale Lösung für KMU ohne eigene, riesige IT-Abteilung oder mit einem ohnehin überlasteten Team (typischerweise zwischen 30 und 300+ Mitarbeitenden), die sich ein fehlerfreies und schnelles IT-Onboarding wünschen.

{{cta}}

M365-Konten anlegen: Welche Lösung passt zu deinem Unternehmen?

Diese Übersicht hilft dir dabei, schnell den passenden Weg für dein Unternehmen zu finden, abhängig von Teamgröße und vorhandener IT-Expertise.

Passt die gewählte Methode nicht zur echten Unternehmensgröße, entstehen schnell handfeste Risiken. Ein Betrieb mit 80 Mitarbeitenden, der Konten immer noch händisch anlegt, verliert fast zwangsläufig den Überblick: Ungenutzte, teure Lizenzen bleiben aktiv, die Zwei-Faktor-Authentifizierung (MFA) wird übersehen oder das Offboarding beim Ausscheiden von Teammitgliedern verzögert sich. Jeder dieser Punkte ist nicht nur ein Kostenfresser, sondern auch ein echtes Sicherheits- und Compliance-Problem.

Automatisierte Kontoerstellung berührt sensible Beschäftigtendaten und unterliegt der DSGVO. Eine Plattform, die HR-System und Microsoft 365 verbindet, sollte deshalb saubere Grundlagen mitbringen: einen Auftragsverarbeitungsvertrag, nachvollziehbare Zugriffsrechte und zertifizierte Sicherheitsstandards. deeploi ist ISO 27001-zertifiziert und schafft damit die Basis für eine datenschutzkonforme Verarbeitung, ohne dass du die rechtliche Absicherung selbst zusammenstellen musst.

Mit deeploi M365-Konten in 3-5 Minuten statt 2 Stunden anlegen

Suchst du keine Skript-Anleitung, sondern eine Plattform, die die komplette Kette übernimmt? Genau das macht deeploi: Sobald in das HR-System ein neuer Mitarbeitender angelegt wird, startet automatisch die M365-Kontoerstellung, ohne dass HR oder Accidental IT Owner einen einzigen Klick im Admin Center machen.

✓ Konto, Lizenz, Sicherheitsgruppen, Software-Bundle und Gerätevorbereitung werden in 3 bis 5 Minuten ausgelöst statt in 2 bis 3 Stunden Handarbeit. Der Onboarding-Aufwand sinkt um bis zu 95 Prozent.

✓ Du schreibst und wartest keine Skripte. Die Verbindung zwischen HR-System und Microsoft 365 ist fertig eingebaut, du musst nichts selbst entwickeln und nichts aktuell halten.

✓ Läuft doch einmal etwas nicht rund, steht dir der deeploi-Support auf Deutsch und Englisch zur Seite. Die erste Reaktion erfolgt im Schnitt nach 12 Minuten, garantiert sind 30 Minuten. Du bist mit IT-Fragen also nie allein.

✓ Beim Austritt läuft die Kette rückwärts. deeploi setzt die M365-Lizenz automatisch inaktiv, aktiviert die E-Mail-Weiterleitung und überträgt geschäftskritische Daten an die Nachfolge. So bleibt kein verwaistes Konto zurück, das später zum Sicherheitsrisiko wird.

✓ Weil jede Kontoerstellung demselben standardisierten Ablauf folgt, entstehen keine Fehler und keine vergessenen Berechtigungen.

Das M365-Konto ist dabei nur ein Baustein. deeploi automatisiert das gesamte IT-Onboarding aus einer Hand, von der Geräteverwaltung über die Softwareverteilung bis zur Sicherheitskonfiguration.

{{cta}}

FAQ

Wie viele Nutzer kann ich per CSV-Import gleichzeitig anlegen?

Im Microsoft 365 Admin Center sind maximal 249 Nutzer pro CSV-Datei möglich. Bei größeren oder regelmäßigen Onboardings splittest du entweder in mehrere Dateien, wechselst auf PowerShell oder lässt die Konten gleich automatisch aus deinem HR-System anlegen, etwa mit deeploi. Dann entfällt der manuelle Import komplett.

Brauche ich IT-Wissen, um die M365-Kontoerstellung zu automatisieren?

Für den nativen Weg über PowerShell oder die Microsoft-Schnittstelle ja, dort schreibst und wartest du Skripte. Eine HR-getriggerte Plattform wie deeploi kommt ohne IT-Wissen aus. Du verbindest dein HR-System einmalig, danach läuft die Kontoerstellung automatisch, auch wenn niemand im Team IT-Fachkraft ist.

Muss ich beim Erstellen des Kontos sofort eine Lizenz zuweisen?

Nein, Konten lassen sich ohne Lizenz anlegen, etwa für Pre-Hire-Setups vor dem ersten Arbeitstag. UsageLocation ist jedoch Pflicht, sobald eine Lizenz zugewiesen wird, sonst blockiert Microsoft 365 die Zuweisung stillschweigend. Bei einer automatisierten Lösung wie deeploi wird dieses Pflichtfeld direkt mitgesetzt, sodass die Lizenzzuweisung nicht ins Leere läuft.

Was passiert beim Austritt mit dem Microsoft-365-Konto?

Manuell muss jemand daran denken, Lizenz zu entziehen, das Postfach umzuleiten und Daten zu sichern, was leicht vergessen wird und verwaiste Konten hinterlässt. Bei deeploi läuft das Offboarding automatisch. Die Lizenz wird inaktiv gesetzt, die E-Mail-Weiterleitung aktiviert und geschäftskritische Daten gehen an die Nachfolge.

‍