Ausgangslage
Eine Hochschule in Kaunas, Litauen, nutzt seit mehr als zehn Jahren Microsoft 365: E-Mail, Teams, OneDrive und SharePoint für Lehrende, Verwaltung und Studierende. Es gibt etwa 400 Benutzer unter den Beschäftigten und mehrere tausend Studierendenkonten, jedes Jahr kommen weitere hinzu. Die Administration lag bei einem einzigen IT-Mitarbeiter, neben allen anderen Aufgaben: Computer, Ausstattung der Hörsäle und Seminarräume, Netzwerk.
Im Laufe der Jahre sammelte sich an, was sich überall ansammelt, wo Konten von Hand angelegt und „deaktiviert werden, wenn jemand daran denkt“. Ehemalige Studierende hatten weiterhin funktionierende Konten mit E-Mail und Zugriff auf Teams-Kanäle mit Lehrmaterial. Das Gleiche galt für ausgeschiedene Lehrende, teils mit freigegebenen SharePoint-Bibliotheken. Die Multifaktor-Authentifizierung war nur für diejenigen aktiviert, die sie selbst wollten, also für eine Minderheit. Lizenzen waren für die höchste je erreichte Zahl gekauft und seither nicht mehr überprüft worden.
Sie wandten sich nach zwei Ereignissen an uns: Anmerkungen aus einer Cybersicherheitsprüfung zur MFA und ein Phishing-Fall, bei dem E-Mails an Lehrende vom Konto eines ehemaligen Studierenden verschickt wurden. Die Hochschulleitung wollte, dass die Administration nach einem Prozess läuft und nicht aus dem Gedächtnis, und dass der IT-Mitarbeiter wieder zu seinen übrigen Aufgaben zurückkehren kann.
Was erforderlich war
- Ein Konto-Lebenszyklus, der mit den Studierenden- und Personalsystemen verknüpft ist: Immatrikulation legt an, Exmatrikulation deaktiviert, ganz ohne manuelle Arbeit.
- Verpflichtende MFA für alle Konten, mit einer Ausnahmeliste nur für gemeinsam genutzte Konten in Hörsälen und Laboren.
- Conditional Access: Zugriff auf Verwaltungssysteme nur von verwalteten Geräten und nur aus Litauen.
- Eine Lizenzprüfung und eine klare Regel, welche Lizenz welcher Rolle zugewiesen wird.
- Ein Übergang ohne Unterbrechungen während des Semesters und ohne eine Flut von Anrufen bei der IT.
Was wir getan haben
Wochen 1–3: Audit und Konto-Lebenslauf
Nach der Übernahme der Microsoft-365-Administration begannen wir mit einem Audit des Tenants: wie viele Konten es gibt, wann sich jedes zuletzt angemeldet hat, welche Lizenzen vergeben sind, wer Administratorrechte besitzt und wie die Freigabeeinstellungen aussehen. Das Bild entsprach unseren Erwartungen: Etwa ein Drittel der Konten hatte sich seit mehr als einem Jahr nicht angemeldet, teils mit kostenpflichtigen Lizenzen, und es gab acht globale Administratoren, von denen zwei nicht mehr an der Hochschule arbeiteten.
Gemeinsam mit dem Studierendensekretariat und der Personalabteilung bildeten wir den Konto-Lebenslauf ab, von der Immatrikulationsverfügung bis zur Streichung aus dem Register. Wir legten fest, welches System für welche Rolle die maßgebliche Quelle ist, wann ein Konto deaktiviert und wann es gelöscht werden muss.
Wochen 4–7: Entra-ID-Lebenszyklus
Wir konfigurierten Microsoft Entra ID so, dass Konten anhand der Daten aus den Studierenden- und Personalsystemen angelegt und deaktiviert werden: Ein neuer Datensatz erzeugt ein Konto mit der Lizenz und den Gruppen der jeweiligen Rolle, ein geänderter Status deaktiviert die Anmeldung innerhalb eines Tages, und nach einer vereinbarten Frist wird das Konto archiviert und die Lizenz freigegeben. Alte Konten deaktivierten wir in Wellen und benachrichtigten die Fakultäten jeweils eine Woche vor einer Welle, damit alle, die noch Zugriff brauchten, reagieren konnten. Das taten nur wenige.
Wochen 8–10: MFA und Conditional Access
Wir aktivierten MFA in Etappen: zuerst Verwaltung und Lehrende, dann die Studierenden fakultätsweise. Für jede Etappe erstellten wir kurze Anleitungen auf Litauisch und Englisch sowie ein Registrierungsfenster, in dem die Benutzer die App in eigenem Tempo einrichten konnten. Die Conditional-Access-Regeln: Studierenden- und Personalsysteme nur von verwalteten Geräten, Administratorkonten nur mit phishingresistenter MFA, Anmeldungen aus ungewöhnlichen Ländern werden blockiert. Am schwierigsten waren die gemeinsam genutzten Konten in den Hörsälen; dafür legten wir eine eigene Regel an, die den Zugriff auf das Hochschulnetz beschränkt.
Wochen 11–12: Lizenzen und Übergabe
Wir verteilten die Lizenzen nach Rollen neu: Education-Pläne für Studierende und Lehrende, in der Verwaltung nach tatsächlichem Bedarf und keine kostenpflichtigen Lizenzen für gemeinsam genutzte Konten. Drei Administratoren blieben, alle mit getrennten administrativen Konten. Dem IT-Mitarbeiter übergaben wir eine Vorlage für einen Monatsbericht und den Zugang zu unserem Helpdesk.
Ergebnis
Alle aktiven Konten, also 100 %, haben verpflichtende MFA; die Ausnahmeliste ist kurz, dokumentiert und wird jedes Quartal überprüft. Seit der Umstellung wurden keine Phishing-E-Mails aus Konten der Hochschule festgestellt.
Die kostenpflichtigen Lizenzen gingen um etwa 28 % zurück: Ein Teil wurde durch die Deaktivierung ungenutzter Konten frei, ein Teil durch den Wechsel der Pläne passend zu den Rollen. Die Einsparungen blieben in den Folgejahren im Budget der Hochschule.
Der Zugang wird innerhalb von 24 Stunden nach einer Änderung im Studierenden- oder Personalsystem deaktiviert, ohne dass der IT-Mitarbeiter eingreifen muss. Wir messen das anhand der Entra-ID-Protokolle: die Zeit von der Statusänderung bis zur Deaktivierung des Kontos.
„Jeden September hatten wir früher eine Woche mit dem Anlegen von Konten. In diesem Jahr waren sie einfach da, und das fühlte sich seltsam an.“
Was wir in einer ähnlichen Situation raten
- Beginnen Sie mit der maßgeblichen Quelle: Solange Konten nicht mit den Personal- und Studierendensystemen verknüpft sind, bleibt jede Bereinigung nur vorübergehend.
- Deaktivieren Sie alte Konten in Wellen mit Vorankündigung statt auf einmal, verschieben Sie es aber nicht mit der Begründung, „jemand könnte es noch nutzen“.
- Führen Sie MFA in Etappen mit Anleitungen und einem Registrierungsfenster ein; der meiste Widerstand verschwindet, wenn die Menschen es selbst erledigen können.
- Prüfen Sie Lizenzen gemeinsam mit den Konten, nicht getrennt: Meistens ist es dieselbe Liste.
