Der entscheidende konzeptionelle Sprung lautet: Microsoft 365 ist eine Suite, kein Produkt. Wer M365 einführt, kauft nicht eine Anwendung, sondern eine integrierte Plattform, in der die Bausteine ineinandergreifen. Eine Datei in SharePoint, ein Chat in Teams, ein Termin in Outlook und die Anmeldung über Entra ID gehören demselben System an – sie teilen Berechtigungen, Suche, Compliance-Regeln und Identität. Genau diese Integration ist der eigentliche Wert; die einzelnen Apps gibt es auch andernorts, das Zusammenspiel nicht.
Für deutsche Unternehmen ist M365 längst Standard. In großen Teilen des Mittelstands ist es die zentrale digitale Arbeitsumgebung, über die ein Großteil der täglichen Kommunikation, Dokumentenarbeit und Terminplanung läuft. Diese Marktstellung hat zwei Konsequenzen: Erstens entscheidet die Qualität des M365-Setups maßgeblich über die Produktivität der gesamten Belegschaft. Zweitens ist M365 der natürliche Ausgangspunkt für weiterführende Themen – Sicherheit, Compliance und nicht zuletzt KI mit Microsoft Copilot.
Der Unterschied zum klassischen, lokal installierten Office liegt im Betriebsmodell. M365 ist ein Cloud-Dienst: E-Mails liegen in Exchange Online, Dateien in SharePoint und OneDrive, die Zusammenarbeit findet in Teams statt, und die Benutzerverwaltung übernimmt Entra ID in der Microsoft-Cloud. Updates kommen kontinuierlich, ohne große Migrationsprojekte. Die Office-Programme selbst werden zwar weiterhin auf den Geräten installiert, doch Lizenz, Daten und Dienste leben in der Cloud. Das verschiebt den Aufwand vom Betrieb eigener Server hin zur Konfiguration und Governance der Cloud-Umgebung.
Dieser Modellwechsel ist tiefgreifender, als er klingt. Wer früher einen Exchange-Server im Keller betrieb, kümmerte sich um Hardware, Backups, Updates und Verfügbarkeit. Mit M365 entfällt dieser Betrieb – an seine Stelle tritt die Verantwortung für saubere Konfiguration, Berechtigungen und Datenschutz-Einstellungen. Die Komplexität verschwindet also nicht, sie verlagert sich. Genau hier setzen Beratung und Governance an.
Viele Probleme in M365-Umgebungen entstehen, weil Unternehmen die Suite wie eine Sammlung von Einzelwerkzeugen behandeln. Teams wird eingeführt, ohne die dahinterliegende SharePoint-Struktur zu durchdenken; Dateien werden an beliebigen Orten abgelegt; Berechtigungen wachsen historisch. Das Ergebnis ist eine Umgebung, die zwar funktioniert, aber unübersichtlich, unsicher und schwer zu durchsuchen ist. Wer M365 dagegen von Anfang an als zusammenhängendes System plant – mit klarer Ablagelogik, sauberen Identitäten und durchdachten Berechtigungen – legt das Fundament für alles Weitere, von der Compliance bis zur KI.
Auch die Abgrenzung zu zwei verwandten Begriffen sorgt regelmäßig für Verwirrung. Microsoft 365 ist nicht dasselbe wie das einmalig gekaufte Office (etwa Office 2021 oder Office 2024), das ohne Cloud-Dienste, ohne fortlaufende Updates und ohne Exchange, Teams oder SharePoint auskommt. Und M365 ist auch nicht identisch mit Azure: Azure ist Microsofts Plattform für Infrastruktur und eigene Anwendungen, während Microsoft 365 die fertige Produktivitäts-Suite für Endanwender ist. Beide nutzen dasselbe Identitätsfundament und greifen in der KI-Welt ineinander, verfolgen aber unterschiedliche Zwecke. Für die meisten Anwenderinnen und Anwender ist M365 das Werkzeug des Alltags, während Azure im Maschinenraum der IT arbeitet.
Der Reiz von M365 liegt in der Verzahnung. Wenn ein Mitarbeitender in Teams eine Datei teilt, landet sie in SharePoint und unterliegt dort den Berechtigungen der jeweiligen Team-Site. Ein Termin, der in Teams angelegt wird, erscheint im Outlook-Kalender, der in Exchange Online liegt. Die Anmeldung an all diesen Diensten läuft über Entra ID – eine Identität für alles. Diese Einheitlichkeit ist der eigentliche Mehrwert gegenüber einer Sammlung getrennter Tools: Daten, Identität und Regeln greifen ineinander.
Für die Praxis bedeutet das: Entscheidungen in einem Baustein wirken sich auf andere aus. Eine zu offen konfigurierte SharePoint-Site macht Dateien nicht nur dort sichtbar, sondern auch in der Suche, in Teams und – sobald aktiviert – für Copilot. Wer M365 verantwortet, denkt deshalb immer in Wirkungsketten, nicht in isolierten Apps.
In der Wahrnehmung vieler Anwender sind SharePoint und OneDrive nur „der Ort, wo Dateien liegen“. Tatsächlich sind sie die strategisch wichtigste Ebene der Suite. Hier entscheidet sich, ob Wissen auffindbar ist, ob Berechtigungen sauber sind und ob spätere Funktionen wie Suche, Records Management oder Copilot vernünftig arbeiten können. Eine durchdachte SharePoint-Architektur – mit klaren Site-Strukturen, sinnvollen Berechtigungsgruppen und einer nachvollziehbaren Ablagelogik – ist die beste Investition, die ein Unternehmen in seine M365-Umgebung tätigen kann. Sie zahlt sich bei jedem weiteren Schritt aus.
Die historische Trennlinie verlief bei der Nutzerzahl: Die Business-Pläne waren auf eine Obergrenze beschränkt, die Enterprise-Pläne nicht. Diese Grenze ist im Mittelstand eine wichtige Orientierung, aber nicht das einzige Kriterium. Mindestens ebenso relevant ist der Bedarf an erweiterten Sicherheits- und Compliance-Funktionen. Eine kleinere Organisation mit hohen Schutzanforderungen kann mit Business Premium sehr weit kommen, während ein größeres Unternehmen aus Verwaltungs- und Compliance-Gründen in der Enterprise-Welt besser aufgehoben ist.
Wichtig ist auch das Mischen: In den meisten Organisationen brauchen nicht alle Mitarbeitenden denselben Plan. Wissensarbeiter mit hohem Schutzbedarf, Sachbearbeiter mit Standardanforderungen und Frontline-Kräfte ohne festen Arbeitsplatz lassen sich gezielt mit unterschiedlichen Lizenzen ausstatten. Eine durchdachte Lizenz-Matrix spart spürbar Kosten, ohne Funktionalität zu opfern.
Als Faustregel aus der Beratungspraxis: Business Basic passt zu Teams, die fast ausschließlich im Browser und mobil arbeiten und keine installierten Desktop-Apps brauchen. Business Standard ist der solide Standard für klassische Büroarbeit ohne erhöhten Sicherheitsbedarf. Business Premium ist für die meisten Mittelständler der empfehlenswerte Plan, weil er Produktivität und ein echtes Sicherheitsfundament verbindet. Enterprise E3 ist der Schritt in die Enterprise-Welt für größere oder schneller wachsende Organisationen, und E5 die Wahl, wenn maximale Sicherheit, Compliance und Telefonie aus einer Hand gefragt sind.
Der Zugang ist die erste und oft entscheidende Sicherheitsebene. Microsoft Entra ID verwaltet, wer sich anmelden darf, und unter welchen Bedingungen. Mehrfaktor-Authentifizierung ist heute der Mindeststandard – ein Passwort allein reicht nicht mehr. Über Conditional Access lassen sich Regeln definieren: Zugriff nur von verwalteten Geräten, nur aus bestimmten Regionen, oder mit zusätzlicher Bestätigung bei auffälligem Verhalten. Diese Mechanismen verhindern einen großen Teil der gängigen Angriffe, lange bevor Schadsoftware oder Phishing überhaupt zum Tragen kommen.
Gerade im Mittelstand wird das Identitätsfundament häufig unterschätzt. Dabei ist die Kompromittierung eines einzigen Kontos ohne Mehrfaktor-Schutz das mit Abstand häufigste Einfallstor. Ein sauber konfiguriertes Entra ID mit MFA und sinnvollen Zugriffsregeln ist deshalb die wirksamste einzelne Sicherheitsmaßnahme überhaupt.
Microsoft Defender bündelt die Bedrohungsabwehr: Schutz vor Phishing und Schadsoftware in E-Mails, Absicherung der Endgeräte, Erkennung kompromittierter Identitäten und Überwachung von Cloud-Apps. Microsoft Purview deckt die Compliance-Seite ab – Datenklassifizierung, Verschlüsselung sensibler Inhalte, Data Loss Prevention zur Verhinderung von Datenabfluss, Aufbewahrungsregeln und revisionssichere Protokollierung. Beide zusammen verwandeln M365 von einer reinen Produktivitäts-Suite in eine ernstzunehmende Sicherheits- und Compliance-Umgebung.
Der Funktionsumfang variiert stark nach Plan. In den höheren Editionen, insbesondere E5, sind die fortgeschrittenen Defender- und Purview-Funktionen enthalten; in günstigeren Plänen sind sie reduziert oder fehlen. Das macht die Plan-Wahl zu einer Sicherheitsentscheidung, nicht nur zu einer Kostenfrage.
Microsoft 365 Copilot ist eine KI-Schicht, die sich über die Suite legt und direkt in Word, Excel, PowerPoint, Outlook und Teams arbeitet. Ihr entscheidender Vorteil gegenüber allgemeinen KI-Werkzeugen ist der Zugriff auf den sogenannten Microsoft Graph – das Geflecht aus E-Mails, Kalendern, Dokumenten, Chats und Berechtigungen innerhalb eines Mandanten. Genau dieser Zugriff macht Copilot mächtig, und genau er macht die Qualität der M365-Umgebung zum entscheidenden Faktor.
Copilot ist nur so gut wie die Daten, auf die es zugreift, und so sicher wie die Berechtigungen, die es respektiert. Eine aufgeräumte SharePoint-Struktur, klare Ablagelogik und saubere Zugriffsrechte sind deshalb keine Kür, sondern Voraussetzung. In einer chaotischen Umgebung liefert Copilot entweder unbrauchbare Ergebnisse, weil es relevante Inhalte nicht findet, oder es legt sensible Informationen offen, weil Berechtigungen zu großzügig vergeben sind. Beides ist gefährlich. Die wichtigste Vorarbeit für Copilot ist deshalb keine KI-Arbeit, sondern Informationsarchitektur.
Hinzu kommt die lizenzielle Voraussetzung: Microsoft 365 Copilot setzt eine geeignete M365-Hauptlizenz voraus und wird als Add-on darauf aufgesetzt. Ohne passende Business- oder Enterprise-Basislizenz ist Copilot gar nicht nutzbar. Die Suite ist damit in doppeltem Sinne Fundament – technisch über den Datenzugriff und kommerziell über die Lizenzvoraussetzung.
Über den Assistenten hinaus entwickelt Microsoft 365 sich zur KI-Plattform. Mit Werkzeugen zum Bauen eigener KI-Agenten lassen sich wiederkehrende Geschäftsprozesse automatisieren – angebunden an die Daten und Dienste der Suite. Damit wird M365 nicht nur Nutzer von KI, sondern Entwicklungsumgebung für unternehmensspezifische KI-Lösungen. Voraussetzung bleibt auch hier eine geordnete Datengrundlage; ohne sie bauen Agenten auf Sand.
Microsoft 365 ist meist die stärkere Wahl, wenn vollwertige Desktop-Office-Apps mit ihrem vollen Funktionsumfang gebraucht werden – etwa bei anspruchsvoller Excel-Arbeit, komplexen Word-Dokumenten oder professionellen Präsentationen. Ebenso, wenn umfangreiche Sicherheits- und Compliance-Anforderungen bestehen, die der tiefe Defender- und Purview-Stack besser abdeckt. Und nicht zuletzt zählt die Verbreitung: Im DACH-Mittelstand ist M365 so dominant, dass Kunden, Partner und Bewerber es als Standard erwarten, was Zusammenarbeit und Einarbeitung erleichtert.
Hinzu kommt das KI-Argument: Wer Microsoft Copilot mit tiefem Office-Bezug nutzen will, ist im M365-Ökosystem zu Hause. Die Integration von Copilot in die installierten Office-Apps ist enger, als es eine reine Web-Suite leisten kann.
Google Workspace ist häufig die bessere Wahl, wenn eine Organisation von Grund auf web- und browserzentriert arbeitet, schlanke und sehr einfach zu bedienende Werkzeuge bevorzugt und die Echtzeit-Zusammenarbeit in geteilten Dokumenten in den Vordergrund stellt. Auch jüngere, digital geprägte Teams und Start-ups fühlen sich in der Workspace-Welt oft schneller zu Hause. Wer keine vollwertigen Desktop-Apps und keinen tiefen Compliance-Stack benötigt, kann mit Workspace einfacher und teils günstiger fahren.
Die ehrliche Einordnung lautet: Es gibt keinen pauschalen Sieger. Die richtige Suite hängt von Arbeitsweise, Sicherheitsbedarf, vorhandener IT-Landschaft und kultureller Passung ab. Im klassischen DACH-Mittelstand fällt die Entscheidung aufgrund von Verbreitung, Desktop-Apps und Compliance-Tiefe häufig zugunsten von Microsoft 365 – aber eben nicht immer und nicht zwangsläufig.
Ein zusätzlicher, oft unterschätzter Faktor ist die bestehende IT-Landschaft. Wer bereits Windows-Geräte, eine Active-Directory-Historie und Microsoft-affine Fachanwendungen einsetzt, profitiert von der nahtlosen Einbindung in das Microsoft-Ökosystem – Identitäten, Geräteverwaltung und Lizenzierung greifen ineinander. Umgekehrt fügt sich Google Workspace besser in eine Welt aus Chromebooks, Android-Geräten und web-nativen Anwendungen. Der Wechsel von der einen in die andere Welt ist technisch machbar, bedeutet aber stets ein Veränderungsprojekt mit Schulungs- und Migrationsaufwand. Diese Wechselkosten sollten ehrlich in die Entscheidung einfließen, statt nur Funktionslisten und Listenpreise zu vergleichen.
Die EU Data Boundary ist Microsofts Zusage, Kundendaten innerhalb des europäischen Wirtschaftsraums zu verarbeiten und zu speichern. Für viele Datenschutz-Fragen ist das ein wichtiger Schritt, weil der Datenstandort innerhalb der EU bleibt. Ergänzend ist der Auftragsverarbeitungsvertrag (AVV beziehungsweise Data Processing Agreement) zentral: Er regelt, unter welchen Bedingungen Microsoft als Auftragsverarbeiter mit den Daten des Kunden umgeht. Microsofts AVV ist in deutschen Unternehmen weit verbreitet und gut etabliert, ersetzt aber nicht die eigene rechtliche Prüfung im konkreten Anwendungsfall.
Auf Tenant-Ebene lassen sich zahlreiche datenschutzrelevante Stellschrauben konfigurieren – von der Datenresidenz über Aufbewahrungsrichtlinien bis zu Regeln für externe Freigaben. Eine bewusste Konfiguration dieser Einstellungen ist Teil der datenschutzkonformen Einführung. Standardeinstellungen sind nicht automatisch die datenschutzfreundlichsten.
Microsoft ist und bleibt ein US-Konzern, dessen Mutterunternehmen US-Recht unterliegt. Auch mit EU Data Boundary und europäischen Subprozessoren ist deshalb ein rechtliches Restrisiko nicht vollständig auszuschließen – das ist die viel diskutierte Schrems-Problematik im Umgang mit US-Anbietern. Für die meisten Unternehmen ist dieses Risiko angesichts der umfangreichen technischen und organisatorischen Maßnahmen vertretbar. Für besonders sensible Bereiche – etwa Berufsgeheimnisträger, kritische Infrastrukturen oder hochsensible personenbezogene Daten – kann eine vertiefte Prüfung oder eine zusätzliche Absicherung sinnvoll sein.
Der größte sichtbare Hebel ist die Lizenz pro Nutzer. Weil sich die Pläne im Preis deutlich unterscheiden, lohnt sich eine differenzierte Lizenz-Matrix: Nicht jeder Mitarbeitende braucht den teuersten Plan. Eine Mischung aus Frontline-, Business- und Enterprise-Lizenzen, abgestimmt auf die jeweiligen Rollen, kann die laufenden Kosten spürbar senken, ohne notwendige Funktionalität zu opfern. Wichtig ist außerdem das Vertragsmodell: Jahresbindungen sind in der Regel günstiger als flexible monatliche Abrechnung, dafür weniger anpassungsfähig bei schwankenden Nutzerzahlen.
Wir geben hier bewusst keine exakten Preise an, weil sie sich je nach Markt, Vertragsweg, Laufzeit und Aktion ändern und zudem regelmäßig angepasst werden. Maßgeblich ist die aktuelle offizielle Preisliste oder das Angebot Ihres Microsoft-Partners. Verlässlich ist hingegen das Prinzip: Die Kosten steigen mit Funktionsumfang und Sicherheitsniveau, und Add-ons setzen auf die Basislizenz auf.
Die TCO-Fallen liegen selten in der Lizenz, sondern im Drumherum. Aus der Praxis kennen wir vor allem diese Posten:
Der entscheidende Perspektivwechsel besteht darin, nicht nur den Lizenzpreis pro Nutzer zu betrachten, sondern die Gesamtkosten über die Nutzungsdauer. Eine günstige Lizenz, die durch hohen Migrations-, Schulungs- und Verwaltungsaufwand erkauft wird, ist am Ende teurer als eine durchdachte Einführung mit dem passenden Plan. Umgekehrt amortisiert sich eine saubere, gut geplante Umgebung über Jahre durch geringeren Betriebsaufwand, höhere Sicherheit und bessere Produktivität. Die TCO-Betrachtung ist deshalb der ehrlichere Maßstab als der reine Lizenzpreis.
Beim Umzug von einer lokalen On-Premise-Umgebung – etwa einem eigenen Exchange-Server und Dateiservern – steht die Übertragung von Postfächern, Dateien und Identitäten im Mittelpunkt. Häufig wird dabei eine Phase des Parallelbetriebs gewählt, um Risiken zu minimieren. Beim Wechsel von Google Workspace geht es zusätzlich um die Überführung von Gmail-Postfächern, Google-Drive-Inhalten und Kalendern sowie um die Gewöhnung der Mitarbeitenden an die andere Arbeitsweise. In beiden Fällen gilt: Die Migration ist die Gelegenheit, Altlasten zu bereinigen, statt sie in die neue Umgebung zu schleppen.
Der häufigste Fehler bei M365-Einführungen ist, Governance auf später zu verschieben. Wer ohne Regeln startet, produziert in kurzer Zeit eine unübersichtliche Umgebung mit wildwüchsigen Teams, unklarer Ablage und zu offenen Berechtigungen – und muss diese später mühsam aufräumen. Deutlich günstiger ist es, von Beginn an klare Regeln festzulegen: wie Teams und Sites entstehen, wo welche Dateien liegen, wie Berechtigungen vergeben und externe Freigaben gehandhabt werden. Diese Governance ist kein bürokratischer Selbstzweck, sondern die Voraussetzung für Sicherheit, Auffindbarkeit und einen späteren Copilot-Einsatz.
