Microsoft-365-NCE-Tenant-Einrichtung
Das Wichtigste in Kürze
- Die Einrichtung von Microsoft-365-Tenants basiert im NCE-Modell auf kaufmännischen Regeln: Für lizenzbasierte Abonnements gilt ein 7-Tage-Stornierungsfenster, während der Übergang in den Extended Service Term (EST) bei Versäumnis expliziter Kündigungen droht.
- Partnerzugriffe müssen zwingend vom unbegrenzten DAP auf befristetes GDAP mit Auto-Extend umgestellt werden. Break-Glass-Accounts sind cloud-only anzulegen, von Standard-MFA auszunehmen und konsequent zu überwachen.
- Rechtliche Vorgaben aus dem NIS-2-Umsetzungsgesetz und dem Cyber Resilience Act (CRA) erfordern angepasste Risikomanagement-Prozesse, gestufte Meldefristen sowie eine erweiterte Audit-Log-Aufbewahrung in Microsoft Purview.
- Die Implementierung von Copilot und autonomen KI-Agenten verlangt eine präventive Rechtestrukturierung über SharePoint Advanced Management (SAM) sowie eine genaue Budgetierung der Copilot Credits und Kapazitätspakete.
Ein neuer Microsoft-365-Tenant ist eine kaufmännische, rechtliche und sicherheitstechnische Weichenstellung. Dieser Ratgeber führt Sie Schritt für Schritt durch den Einrichtungsprozess für einen Microsoft-365-Tenant.
Unser Leitfaden richtet sich vorrangig an MSP, CSP-Reseller, IT-Einkauf und technische Administratoren. Sie erhalten Informationen, die von der Vertragsstellung über die Technik bis hin zur Compliance reichen.
Wie ist die kaufmännische NCE-Architektur aufgebaut?
Darum geht es:
- Rollenmodell und Vertragsgrundlage im CSP-Programm
- Laufzeiten, Stornierungsfristen und Seat-Regeln
- Preissteuerung, Auto-Renewal und aktuelles SKU-Portfolio
New Commerce Experience (NCE) ist Microsofts aktuelles Lizenzmodell für das Cloud-Solution-Provider (CSP)-Programm. Es ersetzt das „Legacy CSP“-Modell.
Welche Rollen und Verträge regeln die Partnerbeziehung?
Im CSP-Programm gibt es vier typische Rollen. Der Direct Provider bezieht Lizenzen direkt von Microsoft. Der Indirect Provider beliefert wiederum Indirect Reseller. Am Ende steht der Endkunde, der die Lizenzen nutzt. Vor der ersten Bestellung muss der Endkunde das Microsoft Customer Agreement (MCA) akzeptieren. Das MCA ist die rechtliche Grundlage jeder NCE-Bestellung. Ohne Zustimmung im Tenant lässt sich kein NCE-Abonnement aktivieren. Die Rolle bestimmt dabei auch, wer im Streitfall vertraglicher Ansprechpartner ist. Für den Endkunden lohnt sich daher ein Blick auf die eigene Position in dieser Kette.
Wie funktionieren Laufzeiten und Stornierungsfristen?
Bei NCE gibt es drei Commitment-Stufen: Monatlich, Jährlich (1 Jahr) und 3 Jahre. Längere Laufzeiten führen meist zu besseren Konditionen, aber weniger Flexibilität. Die Stornierungsfrist beträgt aktuell sieben Kalendertage ab Bestellung oder Verlängerung für lizenzbasierte Abonnements. Diese Frist wurde 2022 von ursprünglich 72 Stunden verlängert und gilt seither unverändert. Eine Ausnahme bilden Marketplace-SaaS-Angebote über AppSource, für die weiterhin 72 Stunden gelten. Nach Ablauf der jeweiligen Frist ist eine Stornierung nicht mehr möglich. Die Subskription läuft dann bis zum Laufzeitende weiter. Für die Praxis ist es wichtig zu wissen, dass sich die Anzahl der Seats jederzeit während der Laufzeit aufstocken lässt. Eine Verringerung der Anzahl ist dagegen nur innerhalb des Sieben-Tage-Fensters möglich. Diese Asymmetrie sollten Sie bei der Bedarfsplanung einplanen, um keine Überraschungen zu erleben. Ein zusätzlicher Hebel ist das Mid-Term-Upgrade auf eine höhere Suite, etwa von Business Standard zu Premium. Das bisherige Investment wird dabei anteilig angerechnet. Ein Downgrade ist dagegen erst zum Laufzeitende möglich.
Wie lassen sich Kosten und Lizenzwahl steuern?
Co-Terminosity bedeutet, Zusatz- und Nachkauf-Lizenzen auf ein gemeinsames Enddatum auszurichten. Während der Laufzeit gilt in der Regel ein Preisschutz. Bei Verlängerung können sich jedoch Preise oder Wechselkurse ändern. NCE-Abonnements verlängern sich standardmäßig automatisch. Aus Gründen der Risikominimierung empfiehlt es sich, Auto-Renewal bewusst zu prüfen und gegebenenfalls zu deaktivieren. Beim SKU-Portfolio stehen für KMU die Suiten Business Basic, Standard und Premium zur Auswahl. Für größere Organisationen gibt es Enterprise-Pläne wie E3, E5, F1 und F3. Microsoft hatte Teams bereits ab Oktober 2023 aus den EWR/Schweiz-Suiten herausgelöst. Ab April 2024 galt das weltweit, Teams war seitdem nur noch separat lizenzierbar. Seit dem 1. November 2025 ist die Bundle-Variante mit Teams wieder wählbar. Ihr Gesamtpreis entspricht dabei der Kombination aus Suite ohne Teams und separatem Teams-Enterprise-Zukauf. Sie können frei wählen, ob Microsoft Teams gebündelt oder separat lizenziert wird, ohne dass Ihnen ein finanzieller Nachteil entsteht. Für den IT-Einkauf und MSP lohnt sich ein regelmäßiger Lizenz-Review. Ungenutzte Seats verursachen unnötige Kosten. Ein quartalsweiser Abgleich zwischen tatsächlicher Nutzerzahl und aktivem Bestand schafft Transparenz. So lassen sich Über- und Unterlizenzierung frühzeitig erkennen.
Wie wird ein Tenant technisch und geografisch eingerichtet?
Darum geht es:
- Primärdomäne und Grundidentität des Tenants
- Datenstandort und regulatorische Einordnung
- Custom Domain und abgesicherte E-Mail-Zustellung
Wie lege ich Identität und Primärdomäne fest?
Jeder Tenant erhält bei der Ersterstellung eine .onmicrosoft.com-Domäne. Sie dient als technische Primäridentität. Diese Domäne sollte sorgfältig gewählt werden. Eine spätere Änderung ist mit administrativem Aufwand verbunden. Direkt danach folgen Tenant-ID und grundlegende Organisationseinstellungen. Eine klare Namenskonvention erleichtert später die Verwaltung mehrerer Tenants. Das gilt besonders für MSP mit vielen Kundenumgebungen.
Welche Rolle spielt der Datenstandort?
Die EU Data Boundary legt fest, dass Kundendaten innerhalb der EU verarbeitet und gespeichert werden. Für Organisationen mit Sitz in Deutschland oder der EU ist das oft ein zentrales Kriterium. Der Grund liegt in der DSGVO sowie in Nachwirkungen des Schrems-II-Urteils. Das EU-US Data Privacy Framework bietet darüber hinaus eine rechtliche Grundlage für Datentransfers.
Wie richte ich Domain und E-Mail-Zustellung sicher ein?
Nach der Verifizierung der Custom Domain über öffentliche DNS-Einträge folgt die Absicherung der E-Mail-Zustellung. Drei Standards sind hierfür zentral. SPF legt fest, welche Server im Namen der Domain senden dürfen. DKIM signiert Nachrichten kryptografisch. DMARC definiert, wie mit Nachrichten umgegangen wird, die nicht authentifiziert sind. Eine konsequente Enforcement-Policy bei DMARC kann vor Domain-Spoofing schützen. Zudem regelt Autodiscover die automatische Client-Konfiguration. Vor dem produktiven Rollout empfiehlt sich ein gezielter Testversand. So lässt sich prüfen, ob alle drei Standards korrekt zusammenspielen. Fehlkonfigurationen bei SPF oder DMARC führen sonst schnell zu Zustellproblemen.
Wie sichere ich Partnerzugriffe und die Identitätsbasis ab?
Darum geht es:
- Ablösung veralteter Partnerzugriffe durch Rollenverwaltung
- Trennung von Alltags- und Admin-Konten inklusive Notfallzugang
- Phishing-resistente Anmeldeverfahren und bedingter Zugriff
Warum ersetzt GDAP das alte DAP-Modell?
DAP (Delegated Admin Privileges) gewährte Partnern unbefristeten Global-Administrator-Zugriff auf Kunden-Tenants. Dieses Modell gilt als sicherheitskritisch, da es keine Zeit- oder Rollenbegrenzung beinhaltet. Microsoft hat DAP daher zugunsten von GDAP (Granular Delegated Admin Privileges) abgelöst. GDAP vergibt befristete und tatsächlich benötigte Rollen. Bestehen in Ihrer Umgebung noch alte DAP-Verbindungen, sollten diese umgehend identifiziert und vollständig bereinigt werden. Nach der Umstellung auf GDAP verhindert eine korrekt konfigurierte Auto-Extend-Funktion, dass vereinbarte Partner-Zugriffsrechte nach Ablauf des Bewilligungszeitraums unbeabsichtigt auslaufen.
Wie trenne ich Alltags- von Admin-Zugängen?
Administrative Tätigkeiten sollten nie über Alltagskonten ausgeführt werden. Empfehlenswert ist dafür ein separates, dediziertes Admin-Konto. Darüber hinaus benötigt jeder Tenant sogenannte Break-Glass-Accounts. Das sind dokumentierte Notfallkonten für den Fall eines Aussperrens, etwa bei MFA-Ausfall. Sie sind bewusst von der Standard-MFA-Pflicht ausgenommen. Wichtig: Break-Glass-Accounts müssen cloud-only in der .onmicrosoft.com-Domäne angelegt werden. Eine Synchronisierung aus dem lokalen Active Directory ist dabei ausgeschlossen, weder über Entra Connect Sync noch über Entra Cloud Sync. Nur so bleiben die Accounts auch bei einem Ausfall der Synchronisierung erreichbar. Ihre Nutzung sollte streng überwacht und protokolliert werden.
Wie gelingt eine phishing-resistente Anmeldung?
Nutzen Sie keine SMS- oder Push-Benachrichtigungen mehr. Passkeys (FIDO2), zertifikatsbasierte Anmeldung und Number Matching im Microsoft Authenticator sind sicherer. Darüber hinaus steuert Conditional Access den Zugriff über Kriterien wie Standort, Gerätezustand und Risikobewertung. Bei standortbasierten Richtlinien lassen sich inzwischen auch IPv6-Adressbereiche berücksichtigen. Das ist bei wachsender IPv6-Verbreitung im Unternehmensnetz ein wichtiger Aspekt. Es ermöglicht mehr Feinsteuerung als die einfachen Security Defaults.
Welche Zero-Trust- und Compliance-Maßnahmen sind empfehlenswert?
Darum geht es:
- Netzwerksicherheit statt VPN
- Bereits geltende Pflichten aus NIS-2 und CRA
- Schutz vor unautorisiertem Datenabfluss
Wie sieht eine moderne Sicherheits-Baseline aus?
Security Service Edge (SSE)-Dienste wie Entra Private Access und Entra Internet Access ersetzen zunehmend klassische VPN-Lösungen. Microsoft Defender for Business oder Defender for Endpoint sichern ebenfalls die Geräteebene ab. Beide Bausteine gehören zu einer zeitgemäßen Zero-Trust-Architektur. Automated Investigation and Response (AIR) reagiert umgehend auf Sicherheitsalarme und informiert Sie zuverlässig.
Was ist im Zusammenhang mit NIS-2 und CRA wichtig?
Das deutsche NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Kraft. Betroffene Unternehmen mussten sich bis zum 6. März 2026 beim BSI registrieren. Diese Frist ist bereits verstrichen. Wer noch nicht registriert ist, sollte dies umgehend nachholen. Zu den Pflichten zählen unter anderem Risikomanagement und gestufte Meldefristen bei Vorfällen. Der europäische Cyber Resilience Act (CRA) betrifft primär Hersteller vernetzter Produkte und Software. Vollständig anwendbar wird der CRA ab dem 11. Dezember 2027. MSP mit eigenen Softwareprodukten sollten diese Fristen im Blick behalten. Denken Sie auch daran, dass eine verlängerte Audit-Log-Aufbewahrung in Microsoft Purview die Nachweisfähigkeit im Ernstfall erhöht.
Wie verhindere ich unautorisierten Datenabfluss?
Sensitivity Labels in Microsoft Purview kennzeichnen vertrauliche Inhalte. Darauf aufbauend lassen sich Freigaben und Weiterleitungen gezielt einschränken. Besonders kritisch sind anonyme Freigabelinks und ungeprüfte Schatten-IT-Anwendungen. Idealerweise adressieren Sie beide Risiken vor dem Rollout oder in den ersten Phasen. Eine eindeutige Klassifizierung von Beginn an erspart Ihnen spätere, aufwendige Nacharbeiten. Sie erleichtert zudem den Nachweis der Sorgfaltspflicht gegenüber Aufsichtsbehörden.
Wie bereite ich den Tenant auf KI-Agenten vor?
Darum geht es:
- Kaufmännische Besonderheiten von Microsoft 365 Copilot
- Rechteprüfung vor der Implementierung / Aktivierung der KI
- Zentrale Steuerung autonomer KI-Agenten
Was ist bei der Copilot-Lizenzierung zu beachten?
Microsoft 365 Copilot ist fest an bestehende Hauptlizenzen wie Business Standard oder E3 gebunden. Eine Erstattung nach Aktivierung ist in der Regel nicht vorgesehen. Vor dem Kauf sollten daher die technischen Voraussetzungen genau geprüft werden. Dazu zählen etwa passende Basislizenzen und aktuelle Client-Versionen. Auch eine funktionierende Microsoft-365-Apps-Umgebung für Unternehmen ist in der Regel eine Grundvoraussetzung.
Wie vermeide ich Over-Sharing durch KI?
Historisch gewachsene, zu weit gefasste Freigaben führen dazu, dass vertrauliche Daten durch die KI plötzlich für Unbefugte sichtbar und auffindbar werden. Eine Rechteprüfung vor der Aktivierung der KI ist deshalb unverzichtbar. Als zentrales Werkzeug dient dabei SharePoint Advanced Management (SAM), das seit Kurzem automatisch mit jeder Copilot-Lizenz enthalten ist. Zwei Funktionen von SAM sind dabei zentral: Restricted Content Discovery und Restricted Access Control. Damit lassen sich einzelne Sites gezielt vor Copilot und Suche verbergen oder strikt eingrenzen. Die ergänzende Restricted SharePoint Search wird von Microsoft dagegen schrittweise eingestellt und eignet sich nur noch als befristete Übergangslösung. Im Microsoft-365-Admin Center lassen sich zudem autonome KI-Agenten über globale KI-Kontrollen steuern. Auch Connector-Restriktionen gehören zu einer verantwortungsvollen Agenten-Governance.
Wie gelingt der fehlerfreie Übergang in den Betriebsalltag?
Darum geht es:
- Software-Architektur mit Blick auf künftige Veränderungen
- Zusammenfassung als Master-Checkliste
- Nützliche Umsetzungsphasen für die Praxis
Warum lohnt sich Architektur mit Weitblick?
Starre technische Abhängigkeiten zwischen Tenants erschweren spätere Anpassungen. Das betrifft besonders Carve-outs, Fusionen oder Tenant-zu-Tenant-Migrationen. Eine sauber dokumentierte, modulare Struktur erleichtert solche Schritte. Weitsicht zahlt sich oft erst Jahre später aus. Wer Custom Domains, Identitäten und Datenstandorte trennt, gewinnt meist an Flexibilität. Tenant-zu-Tenant-Migrationen bleiben technisch beherrschbarer, statt zum Risiko zu werden.
Checkliste: Die vier Phasen des Tenants
| Phase | Fokus | Aufgaben |
|---|---|---|
| Phase 1: Kaufmännisch | NCE-Vertrag | MCA akzeptieren, Commitment wählen, 7-Tage-Fenster beachten, Co-Terminosity herstellen, Auto-Renewal festlegen |
| Phase 2: Provisioning | Technik und Standort | Tenant-ID und Primärdomäne festlegen, EU Data Boundary konfigurieren, Custom Domain mit SPF, DKIM und DMARC absichern |
| Phase 3: Identity und GDAP | Zugriff und Identität | Legacy-DAP bereinigen, GDAP nach Least-Privilege einrichten, Break-Glass-Accounts anlegen, phishing-resistente MFA und Conditional Access aktivieren |
| Phase 4: Compliance und KI | Recht und KI-Governance | NIS-2-Pflichten und Log-Retention umsetzen, Defender ausrollen, KI-Tenant-Kontrollen konfigurieren |
Eine sorgfältige NCE-Tenant-Einrichtung ist die Basis für sicheres, planbares und zukunftsfähiges Arbeiten mit Microsoft 365.
Quellen:
https://learn.microsoft.com/en-us/partner-center/customers/new-commerce-cancellation-policy
https://learn.microsoft.com/en-us/partner-center/customers/subscription-lifecycle
https://www.microsoft.com/en-us/licensing/news/Microsoft365-Teams-EEA
https://www.microsoft.com/en-us/licensing/news/microsoft365-teams-ww
https://www.microsoft.com/en-us/licensing/news/microsoft365-teams-2025
https://learn.microsoft.com/en-us/privacy/eudb
https://learn.microsoft.com/en-us/entra/fundamentals/data-storage-eu
https://learn.microsoft.com/en-us/graph/api/resources/delegatedadminrelationships-api-overview
https://learn.microsoft.com/en-us/partner-center/dap-faq
https://learn.microsoft.com/en-us/partner-center/customers/expiring-gdap-relationships-and-auto-extend-gdap
https://learn.microsoft.com/en-us/partner-center/developer/assign-licenses-to-a-user
https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/security-emergency-access
https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/whatis-azure-ad-connect
https://learn.microsoft.com/en-us/microsoft-365/copilot/get-ready-copilot-sharepoint-advanced-management
https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251205_NIS-2-Umsetzungsgesetz_in_Kraft.html
https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Cyber_Resilience_Act/cyber_resilience_act_node.html
https://learn.microsoft.com/en-us/partner-center/customers/extended-service-terms
https://learn.microsoft.com/en-us/partner-center/announcements/2025-october
https://learn.microsoft.com/en-us/microsoft-copilot-studio/billing-licensing
https://learn.microsoft.com/en-us/microsoft-copilot-studio/faq-billing-licensing
https://www.microsoft.com/licensing/guidance/Copilot-Credits
Häufige Fragen und Antworten zu Microsoft-365-NCE-Tenants
Antwort: Ja. Jede nachträgliche Aufstockung öffnet ein eigenes, unabhängiges 7-Tage-Fenster ausschließlich für die neu hinzugefügten Seats. Die ursprünglich bestellten Lizenzen bleiben davon unberührt und sind für die gesamte Laufzeit gebunden. In der Praxis bedeutet das: Wer den Bedarf zunächst unterschätzt hat, kann kurzfristig nachbestellen und erhält für genau diese Zusatzmenge eine erneute Korrekturmöglichkeit.
Antwort: Es reicht nicht mehr uneingeschränkt. Seit dem 4. Mai 2026 hat Microsoft die bisherige kostenlose Übergangsfrist für nicht verlängerte NCE-Abonnements abgeschafft. Wird Auto-Renewal lediglich deaktiviert, ohne dass Sie im Partner Center explizit „Cancel at end of term“ auswählen, wechselt das Abonnement bei Laufzeitende automatisch in den kostenpflichtigen Extended Service Term (EST). Dieser läuft monatlich mit einem Aufschlag von mindestens drei Prozent auf den Listenpreis weiter (bei SKUs ohne passenden Monatsplan sogar teils deutlich höher). Nur eine ausdrückliche Kündigungsauswahl stoppt den Dienst tatsächlich zum Laufzeitende.
Antwort: Nicht der Tenant an sich entscheidet, sondern die Rechnungsadresse des jeweiligen Enrollments. Enrollments mit EEA- oder Schweizer Rechnungsadresse können weiterhin die spezifischen EEA-SKUs beziehen, alle übrigen Enrollments nutzen die globalen „no Teams“-SKUs beziehungsweise seit November 2025 wahlweise die Bundle-Variante mit Teams. Ein einzelner Konzern kann damit innerhalb desselben Tenants unterschiedliche SKU-Linien parallel führen, je nachdem, unter welchem Enrollment die jeweiligen Lizenzen bestellt wurden.
Antwort: Eine neue Berechtigung in der App-Registrierung tritt nicht rückwirkend in Kraft. Jede bereits bestehende GDAP-Beziehung mit einem Kunden-Tenant muss einzeln über die Access-Assignment-API aktualisiert werden, um die neue Rolle zu erhalten. Ohne diesen Schritt schlagen automatisierte Aufrufe für Bestandskunden fehl, selbst wenn neue Kunden die Rolle korrekt erhalten. Für MSP mit vielen Kunden-Tenants lohnt sich daher ein Skript, das alle aktiven GDAP-Beziehungen durchläuft und fehlende Rollen gezielt nachträgt.
Antwort: Eine einzelne GDAP-Beziehung lässt sich für maximal 730 Tage, also rund zwei Jahre, einrichten. Ist Auto-Extend aktiviert, verlängert sich die Beziehung bei nahendem Ablauf automatisch um jeweils sechs weitere Monate, bis sie explizit beendet wird. Läuft eine Beziehung ohne Auto-Extend tatsächlich ab, verliert der Partner den administrativen Zugriff auf den Kunden-Tenant vollständig. Bestehende Lizenzen und laufende Abonnements des Kunden bleiben davon unberührt, lediglich die Verwaltungsmöglichkeit durch den Partner endet.
Antwort: Mitarbeiter mit regulärer Microsoft-365-Copilot-Lizenz nutzen viele Agenten-Szenarien ohne Zusatzkosten, solange die Interaktion über ihre authentifizierte Identität läuft. Für autonome Agenten außerhalb dieses Rahmens, etwa in Copilot Studio, erfolgt die Abrechnung über Copilot-Studio-Credit-Packs oder nutzungsbasiert über ein Azure-Abonnement (Pay-As-You-Go). Da der Verbrauch pro Aktion je nach Komplexität schwankt, dient der Copilot Credit als zentrale Währung. Microsoft toleriert bei gebuchten Credit-Packs vorübergehend eine Auslastung von bis zu 125 Prozent des gebuchten Kontingents. Nach dem Erreichen dieser Obergrenze werden betroffene Agenten automatisch deaktiviert, bis neue Kapazität nachgebucht wird. Diese Grenze sollte fest in der Budgetplanung berücksichtigt werden.
Wichtiger Hinweis zu unseren Inhalten und Links
Informationen und Kaufberatung: Die auf dieser Webseite bereitgestellten Inhalte, Produktvergleiche und Testberichte wurden mit größter Sorgfalt recherchiert und erstellt. Sie dienen der allgemeinen Information und Orientierung. Da sich Produktmerkmale, Preise oder Verfügbarkeiten kurzfristig ändern können, sind alle Angaben ohne Gewähr. Eine Haftung für Schäden oder Fehlkäufe, die aus der Nutzung dieser Informationen entstehen, ist ausgeschlossen, soweit uns nicht vorsätzliches oder grob fahrlässiges Handeln vorliegt. Bitte prüfen Sie vor dem Kauf die Angaben direkt beim jeweiligen Anbieter oder Händler.
Externe Links: Wir wählen unsere Partner und die verlinkten Angebote sorgfältig aus und bewerten diese redaktionell, um Ihnen den bestmöglichen Mehrwert zu bieten. Auf die aktuelle und zukünftige Gestaltung sowie auf die Inhalte der verlinkten Seiten externer Anbieter haben wir jedoch keinen Einfluss. Zum Zeitpunkt der Verlinkung wurden die Zielseiten auf offensichtliche Rechtsverstöße überprüft; solche waren nicht erkennbar. Eine permanente inhaltliche Kontrolle der verlinkten Seiten ist jedoch ohne konkrete Anhaltspunkte einer Rechtsverletzung nicht zumutbar. Bei Bekanntwerden von Rechtsverletzungen werden wir derartige Links umgehend entfernen.