Diese Anleitung zeigt Schritt für Schritt, wie Sie Microsoft Teams für KMU einrichten und absichern. Im Mittelpunkt stehen die Einrichtung von Teams und Kanälen, die richtigen Rollen sowie die vier sicherheitsrelevanten Stellschrauben Gastzugriff, externer Zugriff (Federation), Besprechungsrichtlinien und Aufbewahrung. Sie arbeiten im Teams admin center (admin.teams.microsoft.com), im Microsoft 365 admin center und in Entra ID (entra.microsoft.com) und, wo es reproduzierbar sein soll, mit dem PowerShell-Modul MicrosoftTeams.

Voraussetzungen

Prüfen Sie vor dem Start Lizenzen, Rollen und Dateidienste:

Lizenzen: Jeder Benutzer braucht eine Lizenz mit Teams. Seit der Lizenzumstellung (EWR und Schweiz 2023, weltweit April 2024) gibt es Microsoft-365-Pläne mit und ohne Teams; bei Plänen ohne Teams ist eine separate Teams-Lizenz nötig. Prüfen Sie im Microsoft 365 admin center unter Abrechnung > Ihre Produkte, welche Variante Sie haben.
SharePoint und OneDrive aktiv: Ohne SharePoint keine Dateien in Teams; ohne OneDrive keine Dateifreigabe in Chats und keine Aufzeichnungen privater Besprechungen.
Rolle: Nach dem Prinzip der minimalen Rechte die Rolle Teams Administrator statt Global Administrator. Für Gastzugriff- und Cross-Tenant-Einstellungen sind zusätzlich Rechte in Entra ID nötig.
PowerShell-Modul: MicrosoftTeams in PowerShell 7 oder Windows PowerShell 5.1.

Modul installieren und verbinden:

Install-Module -Name MicrosoftTeams -Scope CurrentUser
Import-Module MicrosoftTeams
Connect-MicrosoftTeams
Get-CsTenant | Select-Object DisplayName

Verifizieren: Get-CsTenant gibt den Namen Ihres Tenants aus.

Schritt 1: Teams anlegen und verstehen, was im Hintergrund passiert

Ein Team ist technisch eine Microsoft-365-Gruppe. Die GroupId in den Teams-Cmdlets entspricht der Identity aus Get-UnifiedGroup. Mit jedem Team entsteht eine SharePoint-Teamsite für die Dateien der Standardkanäle. Legen Sie Teams auf Private an, damit nicht jeder im Tenant beitreten kann.

Im Portal: Erstellen Sie das Team in der Teams-App oder im Teams admin center. Verwaltet wird es im Teams admin center unter Teams > Manage teams.

Per PowerShell:

# Neues Team anlegen (Team = M365-Gruppe)
New-Team -DisplayName "Contoso Marketing" -Description "Collaboration space for Marketing" -Visibility Private

Notieren Sie die zurückgegebene GroupId für Mitglieder und Kanäle. Grenzen: 25.000 Mitglieder, 100 Besitzer und 1.000 Kanäle pro Team (inklusive gelöschter Kanäle der letzten 30 Tage).

Verifizieren: Get-Team -DisplayName "Contoso Marketing" | Select-Object GroupId, Visibility zeigt die GroupId und Private.

Schritt 2: Kanäle anlegen – Standard, privat und freigegeben (shared)

Die drei Kanaltypen unterscheiden sich in Sichtbarkeit und Dateispeicher:

Standard: für alle Team-Mitglieder sichtbar. Standard-Kanäle teilen sich die SharePoint-Site des Teams.
Privat: nur für ausgewählte Team-Mitglieder; Gäste sind möglich. Jeder private Kanal erhält eine eigene SharePoint-Site.
Freigegeben (shared / Microsoft Teams Connect): bindet Personen aus anderen Teams oder Tenants per Entra B2B Direct Connect ein, ohne Gastkonto. Eigene SharePoint-Site. Gäste können nicht hinzugefügt werden; nur Team-Besitzer legen shared Kanäle an.

Wichtig: Auf die SharePoint-Site eines privaten oder shared Kanals haben auch Team-Besitzer und Admins ohne Kanal-Mitgliedschaft keinen Zugriff.

# Kanäle anlegen - MembershipType: Standard | Private | Shared
New-TeamChannel -GroupId IHRE-GROUPID -DisplayName "Architecture"
New-TeamChannel -GroupId IHRE-GROUPID -DisplayName "Engineering" -MembershipType Private -Owner "chef@contoso.de"
New-TeamChannel -GroupId IHRE-GROUPID -DisplayName "PartnerProjekt" -MembershipType Shared

Private und shared Kanäle zählen zum Limit von 1.000 Kanälen pro Team. Ein privater Kanal fasst bis zu 5.000 Mitglieder, ein shared Kanal 5.000 direkte Mitglieder und lässt sich mit bis zu 50 Teams teilen.

Verifizieren: Get-TeamChannel -GroupId IHRE-GROUPID | Select-Object DisplayName, MembershipType listet die drei Kanäle mit ihrem Typ.

Schritt 3: Rollen vergeben – Besitzer, Mitglied, Gast

Vergeben Sie Rollen nach dem Prinzip der minimalen Rechte:

Besitzer (Owner): verwaltet Team, Mitglieder und Einstellungen (maximal 100 pro Team).
Mitglied (Member): arbeitet im Team mit.
Gast (Guest): externer Nutzer, gekennzeichnet mit dem Label (Guest).

Private und shared Kanäle haben zusätzlich eigene Owner-/Member-Rollen, die unabhängig vom Eltern-Team sind. Planen Sie mindestens zwei Besitzer pro Team, damit das Team nicht verwaist.

# Mitglieder und Besitzer hinzufügen (Rolle Owner oder Member)
Add-TeamUser -GroupId IHRE-GROUPID -User "max@contoso.de" -Role Member
Add-TeamUser -GroupId IHRE-GROUPID -User "chef@contoso.de" -Role Owner

Verifizieren: Get-TeamUser -GroupId IHRE-GROUPID zeigt mindestens zwei Einträge mit der Rolle owner.

Schritt 4: Gastzugriff sicher konfigurieren

Gastzugriff ist organisationsweit und funktioniert erst, wenn er auf vier Ebenen erlaubt ist; das ist die häufigste Fehlerquelle:

Entra External ID / B2B Collaboration (entra.microsoft.com)
Teams admin center: Users > Guest access > Allow guest access = On
Microsoft 365 Groups (Gäste in Gruppen erlauben)
SharePoint/OneDrive External Sharing

Im Portal: In Entra unter External Identities > External collaboration settings festlegen, wer Gäste einladen darf, am besten nur bestimmte Rollen. Danach im Teams admin center unter Users > Guest access den Schalter aktivieren und die Gastfunktionen einstellen.

Für Gäste ist keine Teams-Lizenz nötig; abgerechnet wird über Entra External ID nach monatlich aktiven Nutzern. Änderungen können bis zu 24 Stunden brauchen. Ein Gast muss mindestens einem Team angehören.

Verifizieren: Get-CsTeamsClientConfiguration | Select-Object AllowGuestUser zeigt True. Ein eingeladener Testgast erhält die Einladungs-E-Mail und sieht das Team nach der Anmeldung.

Schritt 5: Externen Zugriff (Federation) einschränken

Externer Zugriff steht standardmäßig auf „Alle externen Domänen erlauben“, also offene Federation. Grenzen Sie ihn auf eine Allowlist mit Partnerdomänen ein. Es gibt vier Modi: alle erlauben, nur bestimmte erlauben, nur bestimmte blockieren, alle blockieren.

Im Portal: Teams admin center > Users > External access. Dort wählen Sie den Modus; im Reiter Policies pflegen Sie Richtlinien pro Benutzergruppe (je Richtlinie maximal 100 Domänen pro Liste). Organisationseinstellung und Benutzerrichtlinie müssen beide erlauben, und die Gegenseite muss Ihre Domäne ebenfalls zulassen.

# Nur bestimmte Domänen erlauben (Allowlist, ersetzt die bisherige Liste)
$list = New-Object Collections.Generic.List[String]
$list.Add("partner.de"); $list.Add("kunde.com")
Set-CsTenantFederationConfiguration -AllowedDomainsAsAList $list
# Chat mit privaten Teams-Konten (Teams Free) abschalten
Set-CsTenantFederationConfiguration -AllowTeamsConsumer $false

Pro Benutzer lässt sich Federation ebenfalls steuern, etwa global aus und für ein Partnerteam an:

# Federation global deaktivieren
Set-CsExternalAccessPolicy -Identity Global -EnableFederationAccess $false
# Eigene Policy für Partner anlegen und zuweisen
New-CsExternalAccessPolicy -Identity "PartnerExternal" -EnableFederationAccess $true
New-CsBatchPolicyAssignmentOperation -PolicyType ExternalAccessPolicy -PolicyName "PartnerExternal" -Identity @("meganb@contoso.de")

Verifizieren: Get-CsTenantFederationConfiguration | Select-Object AllowedDomains, AllowTeamsConsumer zeigt die Partnerdomänen und False. Ein Chat mit einer nicht gelisteten Domäne wird in Teams als nicht möglich angezeigt.

Shared Kanäle für Externe brauchen zusätzlich Entra Cross-Tenant Access bzw. B2B Direct Connect (beidseitig). Hat eine externe Person zusätzlich ein Gastkonto bei Ihnen, suchen Sie im Teams admin center nach ext:user@domain.com, um ihr Arbeitskonto statt des Gastkontos zu finden.

Schritt 6: Besprechungsrichtlinien absichern – Lobby, Präsentieren, Aufzeichnung

Einige Standardwerte der Besprechungsrichtlinien sind aus Sicherheitssicht zu offen. Die Werte sind Vorgaben pro Organisator und in den Besprechungsoptionen änderbar; erzwingen lassen sie sich nur über Besprechungsvorlagen oder Vertraulichkeitsbezeichnungen (Teams Premium).

Im Portal: Teams admin center > Meetings > Meeting policies. Relevante Abschnitte: Meeting join & lobby (Lobby), Content sharing (Wer darf präsentieren) und Recording & transcription (Aufzeichnung).

Einstellung	Default	Empfehlung KMU
Wer kann die Lobby umgehen	Personen in meiner Organisation und Gäste (`EveryoneInCompany`)	Belassen; für vertrauliche Besprechungen `OrganizerOnly`
Einwählende dürfen Lobby umgehen	Aus	Aus lassen
Anonyme/Einwähler dürfen Meeting starten	Aus	Aus lassen
Wer darf präsentieren	Alle (`EveryoneUserOverride`)	Nur Organisatoren und Co-Organisatoren

# Lobby und Start-Verhalten absichern
Set-CsTeamsMeetingPolicy -Identity Global -AutoAdmittedUsers EveryoneInCompany -AllowPSTNUsersToBypassLobby $false
# Wer darf präsentieren einschränken
Set-CsTeamsMeetingPolicy -Identity Global -DesignatedPresenterRoleMode OrganizerOnlyUserOverride
# Aufzeichnung mit explizitem Einverständnis, Download blockieren
Set-CsTeamsMeetingPolicy -Identity Global -AllowCloudRecording $true -ExplicitRecordingConsent Enabled
Set-CsTeamsMeetingPolicy -Identity Global -ChannelRecordingDownload Block

Aufzeichnungen landen in OneDrive (private Meetings) bzw. SharePoint (Kanal-Meetings). Externe und Gäste sehen sie nur bei expliziter Freigabe. Für Webinare und Town Halls gilt ein eigenes Cmdlet:

# Webinar-/Town-Hall-Aufzeichnung (eigenes Cmdlet)
Set-CsTeamsEventsPolicy -Identity Global -RecordingForWebinar Enabled -RecordingForTownhall Enabled

Hinweis: Die Lobby-Parameter AutoAdmittedUsers, AllowPSTNUsersToBypassLobby und UsersCanAdmitFromLobby gehören zu Set-CsTeamsMeetingPolicy. Die Microsoft-Learn-Seite zu Lobby-Optionen zeigt dafür in den Beispielen Set-CsTeamsEventsPolicy; dieses Cmdlet kennt die Parameter laut Cmdlet-Referenz nicht.

Verifizieren: Get-CsTeamsMeetingPolicy -Identity Global | Select-Object AutoAdmittedUsers, DesignatedPresenterRoleMode, ExplicitRecordingConsent, ChannelRecordingDownload zeigt die gesetzten Werte. In einer neuen Testbesprechung zeigen die Besprechungsoptionen bei „Wer darf präsentieren“ die neue Vorgabe.

Schritt 7: Dateien über SharePoint/OneDrive und App-Richtlinien

Die Dateiablage läuft vollständig über SharePoint und OneDrive:

SharePoint aktiv: sonst keine Dateien in Teams.
OneDrive for Business aktiv: sonst keine Dateifreigabe in Chats und keine privaten Meeting-Aufzeichnungen.
Separate Sites beachten: Dateien privater und shared Kanäle sieht nur, wer Mitglied des Kanals ist.

App-Richtlinien verwalten Sie im Teams admin center unter Teams apps > Permission policies (welche Apps erlaubt sind) und Setup policies (welche Apps angeheftet werden). Beschränken Sie Drittanbieter-Apps und geben Sie nur frei, was gebraucht wird.

Verifizieren: Ein Testbenutzer lädt im Standardkanal eine Datei hoch; sie erscheint in der SharePoint-Teamsite unter Dokumente. Eine nicht freigegebene Drittanbieter-App lässt sich in der Teams-App nicht hinzufügen.

Schritt 8: Aufbewahrung (Retention) in Microsoft Purview einrichten

Aufbewahrung steuern Sie nicht in Teams, sondern in Microsoft Purview unter Datenlebenszyklusverwaltung > Aufbewahrungsrichtlinien. Legen Sie dort eine Richtlinie für die Speicherorte Teams-Kanalnachrichten und Teams-Chats an. Zur Vererbung:

Shared Kanäle erben die Aufbewahrungseinstellungen des übergeordneten Teams.
Private Kanäle erben sie ebenfalls, sobald Microsoft ihre Nachrichten in die Gruppenpostfächer migriert hat. Vorher gilt der eigene Speicherort „Teams private channel messages“; eine bestehende Richtlinie dafür bleibt wirksam.
Bei externem Zugriff gelten eDiscovery und Retention nur eingeschränkt für externe Teilnehmer.

Verifizieren: In Purview zeigt die Richtlinie den Status Ein und die Speicherorte Teams-Kanalnachrichten und Teams-Chats. Abgelaufene Nachrichten löscht ein Zeitgeberauftrag, der typischerweise alle 1 bis 7 Tage läuft.

Troubleshooting

Gast kann nicht beitreten: Gastzugriff nur an einer Ebene aktiviert. Entra External ID, Teams admin center, Microsoft 365 Groups und SharePoint-Freigabe gemeinsam prüfen, bis zu 24 Stunden warten.
Externe Federation funktioniert nicht: Organisationseinstellung und Benutzerrichtlinie müssen erlauben, und die Gegenseite muss Ihre Domäne ebenfalls zulassen.
Lobby-Cmdlet meldet unbekannten Parameter: Vermutlich wurde Set-CsTeamsEventsPolicy verwendet. Nehmen Sie Set-CsTeamsMeetingPolicy.
Externer in shared Kanal lässt sich nicht hinzufügen: Cross-Tenant Access bzw. B2B Direct Connect ist nicht beidseitig konfiguriert, oder die Person wurde über ihr Gastkonto statt über ihr Arbeitskonto ausgewählt (Suche mit ext:).
Keine Dateien in Teams sichtbar: SharePoint oder OneDrive ist deaktiviert, oder der Benutzer ist nicht Mitglied des privaten bzw. shared Kanals.

Häufige Fragen

Brauche ich eine Zusatzlizenz für Gäste?

Nein, siehe Schritt 4. Aktiviert werden muss der Gastzugriff auf allen vier Ebenen.

Warum hat jeder private Kanal eine eigene SharePoint-Site?

So bleibt der Dateizugriff auf die Kanalmitglieder beschränkt; auch Team-Besitzer ohne Kanalmitgliedschaft sehen die Dateien nicht.

Was ist der Unterschied zwischen Gast und shared Kanal?

Ein Gast ist ein externes Konto, das Ihrem Tenant hinzugefügt wird. Ein shared Kanal bindet Externe per B2B Direct Connect mit ihrem eigenen Arbeitskonto ein, ohne Gastkonto.

Sollte ich „Wer darf präsentieren“ wirklich ändern?

Ja, zumindest für Besprechungen mit Externen. Der Standard „Alle“ lässt jeden Teilnehmer präsentieren. Organisatoren können Teilnehmer bei Bedarf in der Besprechung zu Referenten machen.

Welche Rolle reicht für die Verwaltung?

In der Regel die Rolle Teams Administrator. Global Administrator ist für reine Teams-Aufgaben überdimensioniert und widerspricht dem Prinzip der minimalen Rechte.

Fazit

Teams ist schnell eingerichtet, einige Standardwerte müssen Sie aber aktiv anpassen: Externer Zugriff steht offen, shared Kanäle sind aktiv und „Wer darf präsentieren“ steht auf „Alle“. Mit den Cmdlets aus dem Modul MicrosoftTeams bleibt die Konfiguration dokumentiert und wiederholbar.

Weiterführende Anleitungen und Quellen

Entra ID: Benutzer, Gruppen und Lizenzen verwalten – Grundlage für Rollen und Lizenzzuweisung in Teams.
SharePoint und OneDrive: Freigaben und externe Gäste – wichtig für die Dateiablage und externes Teilen in Teams.
Microsoft 365: MFA und Conditional Access in Entra ID – zusätzliche Absicherung für Gäste und externe Zugriffe.
Alle Anleitungen der Kategorie Microsoft 365

Quellen (Microsoft Learn, geprüft September 2026):