Microsoft 365 selbst verwalten oder mit GDAP-Partner
Mit GDAP verwaltet ein Partner Ihren Microsoft-365-Tenant über einzelne, befristete Rollen statt über dauerhafte Vollrechte. Die Alternative ist ein Global Admin im eigenen Haus. Beide Wege sind vertretbar. Im Alltag fällt der Unterschied oft kaum auf. Bei einem Sicherheitsvorfall kann er entscheidend sein.
Schnellurteil
Selbstverwaltung trägt, solange der Tenant sauber eingerichtet ist und eine Person im Haus die Zeit hat, ihn sauber zu halten. Wenn MFA, Conditional Access, Mail-Authentifizierung und ein Postfach-Backup nicht eingerichtet und dokumentiert sind, wird aus der Kostenfrage ein Betriebsrisiko.
- Bis rund 10 Postfächer, jemand im Haus kennt Entra ID:Selbstverwaltung, nach einem einmaligen Härtungs-Projekt
- Global-Admin-Rechte liegen beim Chef oder bei einer Person nebenbei:GDAP-Partner, mindestens für die Sicherheitskonfiguration
- Regulierte Branche oder Nachweispflicht gegenüber Prüfern und Versicherern:GDAP-Partner mit dokumentierter Rechtevergabe
- Historisch gewachsener Tenant, niemand kennt den Stand:Bestandsaufnahme zuerst, Modellentscheidung danach
Die Unterschiede im Überblick
Reihenfolge der Spalten: alphabetisch (Betreuung vor Selbstverwaltung)
Rechtemodell
Betreuung über GDAP-Partner
Einzelne Entra-Rollen, jede Beziehung mit Ablaufdatum
Selbstverwaltung im eigenen Tenant
Global-Admin-Rechte, meist dauerhaft vergeben, zeitliche Befristung nur mit zusätzlicher Konfiguration
Wer kann Rechte entziehen
Betreuung über GDAP-Partner
Sie selbst, im Microsoft 365 Admin Center, ohne Rückfrage beim Partner
Selbstverwaltung im eigenen Tenant
Nur ein Konto mit Global-Admin-Rechten
MFA
Betreuung über GDAP-Partner
Einrichtung und Überwachung in der Stufe 365°, in 180° nicht enthalten
Selbstverwaltung im eigenen Tenant
Technisch möglich, muss für alle Konten eingerichtet und überwacht werden
Conditional Access
Betreuung über GDAP-Partner
In der Stufe 365° enthalten, in 180° nicht
Selbstverwaltung im eigenen Tenant
Setzt passende Lizenzierung und Einarbeitung in Entra ID voraus
Mail-Authentifizierung (SPF, DKIM, DMARC)
Betreuung über GDAP-Partner
SPF, DKIM, DMARC werden in der Stufe 365° verwaltet, in 180° nicht
Selbstverwaltung im eigenen Tenant
Muss selbst gesetzt und überwacht werden
Backup der Postfächer
Betreuung über GDAP-Partner
Kein Bestandteil von 180° und 365°, es gibt ihn als eigenen Baustein je Benutzer
Selbstverwaltung im eigenen Tenant
Separat zu beschaffen, ohne eigenes Backup nur innerhalb der Aufbewahrungsfristen wiederherstellbar
Reaktion bei Störung
Betreuung über GDAP-Partner
Vertraglich vereinbart: Reaktion in 180° innerhalb von 3 Werktagen, in 365° innerhalb eines Werktages
Selbstverwaltung im eigenen Tenant
Je nach interner Verfügbarkeit, ohne vertragliche Zusage
Änderungen im Tagesgeschäft
Betreuung über GDAP-Partner
Über den vereinbarten Weg beim Partner
Selbstverwaltung im eigenen Tenant
Sofort selbst umsetzbar, klarer Vorteil
Laufende Kosten
Betreuung über GDAP-Partner
Monatlich pro Microsoft-365-Lizenz je Stufe (180° oder 365°), Grundpreis bei 12 Monaten Laufzeit, Lizenzen nach Microsoft-Preisliste
Selbstverwaltung im eigenen Tenant
Keine Betreuungskosten, nur die Microsoft-Lizenzen
Lizenzkontrolle
Betreuung über GDAP-Partner
Monatlicher Lizenzbericht in 180° und 365°
Selbstverwaltung im eigenen Tenant
Läuft weiter, bis jemand hinsieht
Nachweis gegenüber Prüfern
Betreuung über GDAP-Partner
Rechtevergabe dokumentiert, AV-Vertrag nach Art. 28 DSGVO
Selbstverwaltung im eigenen Tenant
Selbst zu dokumentieren
Ausstieg
Betreuung über GDAP-Partner
Rechte entziehen, alle Zugänge und Daten bleiben bei Ihnen
Selbstverwaltung im eigenen Tenant
Kein Ausstieg nötig, klarer Vorteil
| Kriterium | Unser AngebotBetreuung über GDAP-PartnerBefristete, granulare Rollen | Selbstverwaltung im eigenen TenantGlobal Admin im Haus |
|---|---|---|
| Rechtemodell | Einzelne Entra-Rollen, jede Beziehung mit Ablaufdatum | Global-Admin-Rechte, meist dauerhaft vergeben, zeitliche Befristung nur mit zusätzlicher Konfiguration |
| Wer kann Rechte entziehen | Sie selbst, im Microsoft 365 Admin Center, ohne Rückfrage beim Partner | Nur ein Konto mit Global-Admin-Rechten |
| MFA | Einrichtung und Überwachung in der Stufe 365°, in 180° nicht enthalten | Technisch möglich, muss für alle Konten eingerichtet und überwacht werden |
| Conditional Access | In der Stufe 365° enthalten, in 180° nicht | Setzt passende Lizenzierung und Einarbeitung in Entra ID voraus |
| Mail-Authentifizierung (SPF, DKIM, DMARC) | SPF, DKIM, DMARC werden in der Stufe 365° verwaltet, in 180° nicht | Muss selbst gesetzt und überwacht werden |
| Backup der Postfächer | Kein Bestandteil von 180° und 365°, es gibt ihn als eigenen Baustein je Benutzer | Separat zu beschaffen, ohne eigenes Backup nur innerhalb der Aufbewahrungsfristen wiederherstellbar |
| Reaktion bei Störung | Vertraglich vereinbart: Reaktion in 180° innerhalb von 3 Werktagen, in 365° innerhalb eines Werktages | Je nach interner Verfügbarkeit, ohne vertragliche Zusage |
| Änderungen im Tagesgeschäft | Über den vereinbarten Weg beim Partner | Sofort selbst umsetzbar, klarer Vorteil |
| Laufende Kosten | Monatlich pro Microsoft-365-Lizenz je Stufe (180° oder 365°), Grundpreis bei 12 Monaten Laufzeit, Lizenzen nach Microsoft-Preisliste | Keine Betreuungskosten, nur die Microsoft-Lizenzen |
| Lizenzkontrolle | Monatlicher Lizenzbericht in 180° und 365° | Läuft weiter, bis jemand hinsieht |
| Nachweis gegenüber Prüfern | Rechtevergabe dokumentiert, AV-Vertrag nach Art. 28 DSGVO | Selbst zu dokumentieren |
| Ausstieg | Rechte entziehen, alle Zugänge und Daten bleiben bei Ihnen | Kein Ausstieg nötig, klarer Vorteil |
Was ist GDAP und was ersetzt es?
GDAP steht für Granular Delegated Admin Privileges. Ein Partner bekommt damit einzelne Rollen in Entra ID für einen befristeten Zeitraum, statt dauerhafter Vollrechte auf den Tenant. Bis zur Umstellung durch Microsoft lief die Betreuung durch Partner über das Vorgängermodell DAP. Dabei erhielt der Partner einen einzigen, unbefristeten Zugang mit allen Rechten. Wer dieses Modell heute noch angeboten bekommt, sollte nachfragen, warum.
- Rechte hängen an benannten Rollen, nicht an einem Alles-oder-nichts-Zugang.
- Jede Partnerbeziehung hat ein Ablaufdatum und muss aktiv verlängert werden.
- Im Microsoft 365 Admin Center sehen Sie, welche Rollen der Partner aktuell hält.
- Sie beenden die Beziehung selbst, ohne Mitwirkung des Partners.
Bei der Wahl eines Partners sollten Sie diesen Punkt konkret prüfen. Ein Dienstleister, der dauerhafte Global-Admin-Rechte verlangt, arbeitet nach einem Modell, das Microsoft durch GDAP ersetzt hat.
Wo Selbstverwaltung trägt
Ein Betrieb mit zehn Postfächern, erzwungener MFA und einem Menschen, der Entra ID versteht, braucht für den Alltag keinen Partner. Änderungen passieren in Minuten statt über einen Ticketweg. Es gibt keine monatliche Position im Budget und keine Vertragsbindung. Die Person, die den Tenant verwaltet, arbeitet im Haus und kennt die Abläufe.
Diese Konstellation ist seltener, als sie sich anfühlt. Wo sie tatsächlich vorliegt, ist ein Betreuungsvertrag eine Ausgabe ohne Gegenwert. Das sagen wir Ihnen im Erstgespräch genau so.
Ein Test für Selbstverwaltung
Nennen Sie ohne nachzusehen: wie viele Konten in Ihrem Tenant Global-Admin-Rechte haben, wann zuletzt ein Postfach aus dem Backup wiederhergestellt wurde und welche Lizenzen Sie im letzten Monat bezahlt und nicht genutzt haben. Wer alle drei Antworten hat, verwaltet den Tenant tatsächlich selbst. Wer keine hat, benutzt ihn nur.
Wo Selbstverwaltung in der Praxis kippt
Der Bruch entsteht selten durch eine falsche Einstellung. Er entsteht dadurch, dass für Dinge, die im Tagesgeschäft nichts kaputt machen, niemand zuständig ist. Dabei zeigen sich immer wieder dieselben Schwachstellen:
- MFA ist aktiviert, aber nicht erzwungen. Ein einziges Konto ohne zweiten Faktor genügt.
- Conditional Access existiert nicht. Anmeldungen von beliebigen Geräten und aus beliebigen Ländern sind erlaubt.
- SPF ist gesetzt, DKIM und DMARC sind es nicht. Der eigene Absender lässt sich fälschen.
- Es gibt kein Backup der Postfächer. Gelöschte Inhalte lassen sich nur innerhalb der Aufbewahrungsfristen von Microsoft wiederherstellen.
- Global-Admin-Rechte liegen auf mehreren Konten. Niemand weiß mehr genau, auf welchen.
- Lizenzen laufen für Personen weiter, die das Unternehmen längst verlassen haben.
Global Admin ist kein Arbeitsplatz
Ein Konto mit dauerhaften Global-Admin-Rechten, das gleichzeitig E-Mails liest und im Browser unterwegs ist, ist die kürzeste Verbindung zwischen einer Phishing-Mail und dem gesamten Tenant. Administrative Rechte gehören auf ein getrenntes Konto, das ausschließlich dafür benutzt wird. Das gilt unabhängig davon, ob Sie selbst verwalten oder einen Partner haben.
Was Visgenix als GDAP-Partner übernimmt
Ihr Team öffnet Outlook, Teams und SharePoint und kann einfach loslegen. Für Ordnung im Tenant sorgt Visgenix: Als GDAP-Partner für Microsoft 365 pflegen wir Tenant, Benutzer und Lizenzen. In der Stufe 365° kommt die Sicherheitskonfiguration dazu, also genau der Teil, der im Alltag gern liegen bleibt. Für Störungen gilt die vertraglich vereinbarte Reaktionszeit.
- Beide Stufen (180° und 365°): Tenant-Konfiguration, Domain und DNS, GDAP-Administration, Exchange, SharePoint und Teams, Benutzer und Postfächer, 24/7-Überwachung des Tenants, monatlicher Lizenzbericht.
- Nur Stufe 365°: MFA-Einrichtung und Überwachung, Conditional Access, Verwaltung von SPF, DKIM und DMARC, Microsoft Defender (managed), Onboarding und Offboarding von Mitarbeitenden.
- Ein Postfach-Backup gehört nicht zu den beiden Stufen. Es gibt dieses Backup als eigenen Baustein je Benutzer. Wie Sie es absichern, klären wir im Erstgespräch.
Für Microsoft 365 gibt es bei Visgenix zwei Stufen, 180° und 365°. Abgerechnet wird pro Microsoft-365-Lizenz, der Grundpreis gilt bei 12 Monaten Laufzeit. Bei einer Störung reagieren wir in 180° innerhalb von 3 Werktagen, in 365° innerhalb eines Werktages. Für Endgeräte und Server legt die SLA-Stufe des Vertrags die Reaktionszeit fest.
Was die Zusammenarbeit angenehm macht: ein fester Ansprechpartner und 12 Monate Preisgarantie auf den vereinbarten Preis. Den rechtlichen Rahmen setzt ein AV-Vertrag nach Art. 28 DSGVO.
Woran Sie einen guten GDAP-Partner erkennen
Nach den konkreten Rollen fragen
Lassen Sie sich die konkreten Entra-Rollen nennen und die Laufzeit der Beziehung. Wer pauschal Global Admin verlangt, arbeitet nicht nach dem GDAP-Modell.
Zeigen lassen, wo Sie die Rechte entziehen
Die Partnerbeziehungen stehen im Microsoft 365 Admin Center. Ein Partner sollte Ihnen diese Stelle ohne Umstände zeigen.
Nach dem Postfach-Backup fragen
Microsoft sichert die Inhalte nicht im Sinne eines Backups. Ein Verweis auf Microsoft allein beantwortet die Frage nicht.
Fragen, nach welchen Kriterien der Partner empfiehlt
Unsere Empfehlungen folgen dokumentierten Kriterien. Diese Frage dürfen Sie jedem Partner direkt stellen.
Die Reaktionszeit vertraglich festhalten
Eine Zusage ohne Vertrag ist keine Zusage. Fragen Sie getrennt nach der Zeit bis zur Aufnahme und der Zeit bis zur Bearbeitung. Das sind zwei verschiedene Zahlen.
Welches Modell zu Ihrem Tenant passt
Bis rund 10 Postfächer, technikaffine Person im Haus
Selbstverwaltung ist tragfähig. Sinnvoll ist ein einmaliges Projekt, das MFA, Conditional Access, Mail-Authentifizierung und Backup einrichtet und dokumentiert. Danach führen Sie den Tenant selbst weiter.
10 bis 50 Postfächer, keine feste IT-Zuständigkeit
Diese Konstellation ist im Mittelstand am häufigsten. Gleichzeitig scheitert die Selbstverwaltung hier am zuverlässigsten. Ein Partner übernimmt über GDAP die Sicherheitskonfiguration und die Störungsbearbeitung. Die übrigen Aufgaben bleiben im Haus.
Regulierte Branche oder Nachweispflicht
Das betrifft zum Beispiel Kanzleien, Praxen und Unternehmen mit Cyberversicherung. Die Konfiguration muss vollständig eingerichtet sein. Außerdem muss jemand sie gegenüber Prüfern belegen können. Dokumentierte Rechtevergabe und AV-Vertrag sind Teil der Antwort.
Historisch gewachsener Tenant, niemand kennt den Stand
Vor der Entscheidung für ein Modell steht die Bestandsaufnahme: Wer hält welche Rechte, welche Lizenzen laufen, welche Sicherheitsregeln greifen tatsächlich. Erst danach lässt sich sinnvoll entscheiden.
Die Modelle schließen sich nicht aus
Ein verbreiteter Mittelweg teilt die Aufgaben auf. Der Partner übernimmt Sicherheitskonfiguration und Störungsbearbeitung. Benutzer anlegen, Passwörter zurücksetzen und Gruppen pflegen bleibt im Haus. GDAP ermöglicht diese Aufteilung, weil die Rollen einzeln vergeben werden.
Häufige Fragen
Bekommt ein GDAP-Partner Zugriff auf unsere E-Mails?
Ein GDAP-Partner bekommt nur dann Zugriff auf Ihre E-Mails, wenn Sie ihm eine Rolle vergeben, die das einschließt. GDAP vergibt einzelne Entra-Rollen statt eines pauschalen Vollzugriffs. Im Microsoft 365 Admin Center sehen Sie, welche Rollen der Partner hält. Für die Betreuung eines Tenants ist Postfachzugriff in der Regel nicht erforderlich. Lassen Sie sich die Rollenliste vor der Beauftragung nennen.
Sichert Microsoft unsere Postfächer nicht selbst?
Nicht im Sinne eines Backups. Microsoft betreibt den Dienst hochverfügbar und repliziert die Daten, gelöschte Inhalte bleiben aber nur für die eingestellten Aufbewahrungsfristen wiederherstellbar. Eine Sicherung, die unabhängig von Ihrem Microsoft-Konto besteht, ist damit nicht abgedeckt. Ein eigenes Backup der Postfächer ist deshalb nötig, unabhängig davon, wer den Tenant verwaltet. Die Fristen für Ihre Lizenz stehen in der Microsoft-Dokumentation zur Aufbewahrung.
Können wir die Partnerrechte jederzeit wieder entziehen?
Ja, Sie können die Partnerrechte jederzeit selbst entziehen. Die Partnerbeziehung steht im Microsoft 365 Admin Center und lässt sich dort beenden, ohne Mitwirkung des Partners. Zusätzlich läuft jede GDAP-Beziehung nach der vereinbarten Frist automatisch aus und muss aktiv verlängert werden. Das ist der wesentliche Unterschied zum alten DAP-Modell, das unbefristet galt.
Unser bisheriger Dienstleister hat Vollzugriff. Was tun wir damit?
Prüfen Sie zuerst, worauf der Zugriff beruht: eine alte DAP-Beziehung oder ein eigenes Global-Admin-Konto beim Dienstleister. In beiden Fällen ist die Umstellung auf GDAP der nächste Schritt, unabhängig davon, ob Sie den Dienstleister behalten. Danach sollte die Rechteliste so kurz sein, dass Sie jede Rolle einer konkreten Aufgabe zuordnen können.