Microsoft 365 in Hochschule und Forschung
Identität, Lizenzen und Governance für den föderalen CampusMicrosoft 365 in Hochschule und Forschung
Zehntausende Konten, dutzende IT-Fürstentümer, ein Personalrat, ein Shibboleth-IdP und ein Rechenzentrum, das Microsoft nie besonders mochte: Wer Microsoft 365 auf dem Campus einführt, braucht mehr als eine Migrationsanleitung.
Hochschulen und Forschungseinrichtungen nutzen Microsoft 365 längst, nur selten aus einem Guss. Die Verwaltung arbeitet in Teams, die Lehre im LMS, die Fakultät Maschinenbau hat sich irgendwann einen eigenen Tenant geklickt, und die Telefonanlage im Keller ist älter als die meisten Erstsemester. Dieser Kompetenzbereich sortiert das Thema so, wie es sich an Hochschulen tatsächlich stellt: nicht nach Produkten, sondern nach den Fragen, an denen Projekte dort hängen bleiben.
Sie finden hier 30 Fachartikel, die aufeinander aufbauen, dazu Beratungsbausteine zum Festpreis und Workshops für Rechenzentrum, Verwaltung und dezentrale Administratoren. Alles aus der Feder eines einzelnen Beraters mit rund 30 Jahren Microsoft-Enterprise-Erfahrung, nicht aus einer Marketingabteilung.
Dass dieser Kompetenzbereich so umfangreich geworden ist, hat einen persönlichen Grund: Ich bin in einem Professorenhaushalt aufgewachsen. Die Hochschule mit ihren Gremien, ihren Eigenheiten und ihrem ganz eigenen Tempo begleitet mich seit der Kindheit. Sie liegt mir am Herzen, und das darf man den Texten ruhig anmerken.
|
Auf einen Blick |
|---|
Warum der Campus anders tickt
Eine Hochschule ist aus IT-Sicht kein großes Unternehmen und auch keine große Behörde. Sie ist eine Föderation. Das Präsidium beschließt, das Rechenzentrum betreibt, die Fakultäten machen trotzdem, was sie für richtig halten, und irgendwo sitzt ein Lehrstuhl-Administrator, der seit 2009 einen eigenen Mailserver pflegt und daran auch nichts ändern möchte.
Skizze 1: Zuständigkeiten und Populationen auf dem Campus
Dazu kommen vier Personengruppen mit völlig unterschiedlichen Anforderungen. Studenten sind viele, wechseln ständig und bringen ihre eigenen Geräte mit. Wissenschaftler wollen in Ruhe forschen und mit der halben Welt zusammenarbeiten. Die Verwaltung hantiert mit Prüfungsdaten, Berufungsakten und Personalvorgängen. Und Gäste stehen in keinem Quellsystem sauber drin.
|
Merkmal |
Unternehmen |
Kommune |
Hochschule |
|---|---|---|---|
|
Nutzer und Fluktuation |
stabil, planbar |
sehr stabil |
zehntausende, jedes Semester tausende Wechsel |
|
Entscheidungen |
Geschäftsführung |
Verwaltungsspitze und Rat |
Präsidium, Senat, Gremien, Semesterrhythmus |
|
IT-Organisation |
zentral |
zentral, oft mit Dienstleister |
zentral plus Fakultäts- und Lehrstuhl-IT |
|
Mitbestimmung |
Betriebsrat |
Personalrat |
Personalrat, teils getrennt für wissenschaftliches Personal |
|
Lizenzmodell |
Enterprise-Pläne |
Enterprise-Pläne, Rahmenverträge |
Education-Pläne, Student Use Benefit, Bundesvertrag |
|
Identitätswelt |
Active Directory und Entra ID |
Active Directory und Entra ID |
dazu Shibboleth, DFN-AAI, eduroam |
|
Haltung zu Microsoft |
pragmatisch |
pragmatisch bis vorsichtig |
oft skeptisch, starke Open-Source-Kultur |
|
Freiheit von Forschung und Lehre ist kein Governance-Verbot Das Grundrecht schützt Inhalte und Methoden von Forschung und Lehre. Es schützt nicht das Recht, ohne Mehr-Faktor-Authentifizierung auf Prüfungsdaten zuzugreifen. Wer das sauber trennt, bekommt auch an einer Hochschule Regeln durch, die halten. |
|---|
Zum Einstieg: Microsoft 365 an Hochschulen: Wo der Campus anders tickt als Verwaltung und Wirtschaft. Für Institute außerhalb der Hochschulen: Microsoft 365 in außeruniversitären Forschungseinrichtungen: Institute zwischen Zentrale und Eigenständigkeit.
Datenschutz, Personalrat und die Souveränitätsfrage
An kaum einem Ort wird über Microsoft 365 so grundsätzlich gestritten wie an Hochschulen. Die Datenschutzkonferenz hat sich kritisch positioniert, die Landesaufsichten fahren unterschiedliche Linien, und im Senat sitzt mindestens ein Informatikprofessor, der das alles schon immer gesagt hat. Gleichzeitig arbeitet die Verwaltung längst damit. Aus dieser Lage kommt man nicht mit Grundsatzdebatten heraus, sondern mit abgestuften Freigaben, sauberer Konfiguration und einer Dienstvereinbarung, die der Personalrat mitgeschrieben hat statt abgenickt.
|
Keine Rechtsberatung Ich bin Techniker, kein Jurist. Die Artikel beschreiben, was technisch möglich und organisatorisch sinnvoll ist, und benennen, wo Ihr Datenschutzbeauftragter und Ihr Justiziariat gefragt sind. Landesrecht unterscheidet sich, und zwar nicht nur in Nuancen. |
|---|
Lizenzen und Verträge: Education ist ein eigenes Universum
Wer aus der Enterprise-Welt kommt, erkennt die Education-Lizenzierung nicht wieder. Es gibt eigene Pläne, eigene Regeln für Studenten, gepoolten Speicher und einen Rahmenvertrag, den die meisten Hochschulen geerbt haben, ohne ihn je ganz gelesen zu haben. Der häufigste Fehler: Studenten und Personal gleich zu lizenzieren. Der zweithäufigste: Funktionen zu nutzen, die der Student Use Benefit gar nicht abdeckt.
|
Drei Dinge, die man wissen sollte (Stand September 2026) Lizenzbedingungen ändern sich gern leise. Prüfen Sie den aktuellen Stand, bevor Sie darauf ein Budget bauen. |
|---|
Identität: Entra ID trifft Shibboleth
Hier liegt der technische Kern. Jede Hochschule hat eine gewachsene Identitätswelt: Campus-Management und Personalsystem als Quellen, ein Identity-Management-System in der Mitte, Active Directory für die lokale Anmeldung und ein Shibboleth-IdP, über den Bibliothek, LMS und die halbe Wissenschaftswelt angebunden sind. Entra ID kommt als weiterer Mitspieler dazu, und die Frage, wer künftig wen authentifiziert, entscheidet über Sicherheit, Ausfallverhalten und Betriebslast der nächsten zehn Jahre.
Skizze 2: Identitätsquellen, Verzeichnisse und die Föderationsfrage
|
Variante |
Idee |
Knackpunkt |
|---|---|---|
|
Shibboleth authentifiziert für Entra ID |
Ein Login für alles, der IdP bleibt Chef |
Fällt der IdP aus, steht auch Microsoft 365. MFA und Conditional Access werden kniffliger. |
|
Beide nebeneinander |
Entra ID meldet selbst an, Shibboleth bleibt für die Wissenschaftsdienste |
Zwei Anmeldewelten, zwei MFA-Registrierungen, mehr Erklärbedarf beim Helpdesk. |
|
Entra ID authentifiziert für Shibboleth |
MFA und Conditional Access an einer Stelle |
Der IdP hängt an der Cloud. Attributfreigabe und Föderationsregeln müssen sauber bleiben. |
|
Praxis-Tipp: Der Kalender ist Teil der Architektur MFA-Pflicht, Lizenzumstellungen und Migrationswellen nie in die erste Vorlesungswoche und nie in die Prüfungsphase legen. Klingt banal, wird aber erstaunlich oft missachtet, und dann steht der Helpdesk am Montagmorgen vor 4.000 Tickets. |
|---|
Wo es um die lokale Anmeldung geht, hilft der Kompetenzbereich Kerberos weiter.
Zusammenarbeit: Teams, SharePoint, Exchange und die Open-Source-Nachbarn
Teams ersetzt kein Moodle, SharePoint ersetzt kein Forschungsdatenrepositorium, und Exchange Online ersetzt nicht automatisch den Mailinglisten-Server, an dem drei Fachgesellschaften hängen. Die sinnvolle Frage lautet nicht, welches Werkzeug gewinnt, sondern was wohin gehört. Das eigentliche Problem ist fast nie das Werkzeug, sondern die fehlende Ansage.
Copilot: Erst aufräumen, dann ausrollen
Copilot findet alles, worauf der Nutzer zugreifen darf. In zehn Jahre alten SharePoint-Strukturen ist das oft deutlich mehr, als irgendjemand beabsichtigt hat: Berufungsunterlagen, Prüfungsdaten, Personalvorgänge. Deshalb gilt an Hochschulen dieselbe Reihenfolge wie überall, nur mit höherem Einsatz: Berechtigungslage prüfen, pilotieren, dann ausrollen.
Telefonie: Von der Campus-Anlage zu Teams Phone
Die großen Campus-Telefonanlagen kommen ans Ende ihrer Laufzeit, die Wartung wird teuer, und die Hersteller schieben Richtung Cloud. Teams Phone ist für viele Hochschulen der naheliegende Nachfolger, weil Teams ohnehin da ist. Ein erfolgreicher Machbarkeitstest mit hundert Nutzern ist allerdings noch keine Architekturentscheidung. Die Arbeit steckt in dem, was im Test nicht vorkam: Notruf mit Standortbezug auf einem Campus mit vierzig Gebäuden, Pforte, Leitwarte, Aufzugnotruf, Labortelefone, Fax, und eine Koexistenzphase, die sich über mehrere Semester zieht.
Skizze 3: Migrationspfad und Koexistenz von Altanlage und Teams Phone
|
Aus der Praxis: Ich betreibe das selbst Meine eigene Telefonie läuft über Direct Routing mit eigenem Session Border Controller. Ich kenne das Thema deshalb nicht nur aus Konzeptpapieren, sondern auch aus dem eigenen Betrieb, Störung und Fehlersuche inklusive. Das schärft den Blick dafür, wie viel Betriebskompetenz eine Anbindungsvariante im Haus wirklich verlangt. |
|---|
Forschung: Daten, Exportkontrolle, vertrauliche Projekte
Microsoft 365 ist in der aktiven Projektphase ein gutes Werkzeug für die Zusammenarbeit. Es ist kein Langzeitarchiv, kein Repositorium und kein Ort für Terabyte an Messreihen. Wer das sauber abgrenzt, erspart sich Ärger mit Förderbedingungen. Heikler wird es bei Exportkontrolle und vertraulichen Industriekooperationen: Hier geht es um Vertraulichkeitsbezeichnungen, eingeschränkte Projekträume und die Frage, welcher Gast worauf zugreifen darf.
|
Eine Aufbewahrungsbezeichnung ist kein Archiv Und auch kein Backup. Sie verhindert das Löschen für eine bestimmte Zeit, mehr nicht. Für die langfristige Sicherung von Forschungsdaten braucht es das Forschungsdatenmanagement Ihrer Einrichtung und fachliche Repositorien. |
|---|
Security und Notfall
Offene Netze, zehntausende private Geräte, hohe Fluktuation, dezentrale Administration und wertvolle Daten: Hochschulen sind ein dankbares Ziel. Übernommene Studentenkonten sind der übliche Einstieg. Die gute Nachricht ist, dass die wirksamsten Maßnahmen unspektakulär sind. Die schlechte: Im Ernstfall entstehen die großen Schäden selten durch den Angreifer allein, sondern weil jemand, der es kann, unter Druck den falschen Knopf drückt. Das lässt sich üben.
Nicht nur Universitäten: Institute und kleinere Hochschulen
Neben den großen Universitäten gibt es mehrere hundert Einrichtungen, die vor denselben Fragen stehen, nur mit drei statt dreißig IT-Leuten. Gerade für sie lohnt sich ein kompaktes, fest umrissenes Konzept mehr als ein Großprojekt.
|
Einrichtungstyp |
Typische Lage |
Wo es meist brennt |
|---|---|---|
|
Universität |
eigenes Rechenzentrum, starke Fakultäten, viele Altdienste |
Identität und Föderation, Governance, Telefonie |
|
Hochschule für angewandte Wissenschaften |
kleine IT, pragmatisch, enge Industriekontakte |
Lizenzierung, Lifecycle, Security |
|
Kunst- und Musikhochschule |
sehr kleine IT, viele Lehrbeauftragte |
Sonderrollen, Gastkonten, Grundschutz |
|
Forschungsinstitut |
100 bis 1.500 Köpfe, international, drittmittelgetrieben |
Gäste, vertrauliche Projekte, Exportkontrolle |
|
Hochschulverbund, gemeinsames IT-Zentrum |
ein Dienstleister für mehrere Einrichtungen |
Mandantenfrage, übergreifende Zusammenarbeit |
Beratung zum Festpreis
Meine Beratung ist in klar umrissene Bausteine geschnitten: fester Umfang, fester Liefergegenstand, fester Preis. Das macht die Beschaffung einfach und das Ergebnis überprüfbar. Danach begleite ich auf Wunsch kontinuierlich weiter, als Sparringspartner auf Abruf.
|
Baustein |
Umfang |
Festpreis zzgl. USt. |
|---|---|---|
|
Microsoft-365-Einführungskonzept, Hochschuledition |
4,5 Tage |
6.750 € |
|
Teams-Einführungskonzept für Lehre und Verwaltung |
4,5 Tage |
6.750 € |
|
Teams-Telefonie-Grobkonzept |
3,5 Tage |
5.250 € |
|
Entra-ID-Überprüfung |
werkzeuggestützt, rein lesend |
2.000 € |
|
Copilot- und Oversharing-Überprüfung |
werkzeuggestützt, rein lesend |
2.000 € |
Alle Einzelheiten: Beratung für Hochschulen und Forschungseinrichtungen.
Schulungen und Workshops
Vom halbtägigen Entscheider-Workshop für Präsidium und Kanzler bis zur zweitägigen Vertiefung Identität und Föderation für das Rechenzentrum: Alle Formate sind Inhouse-Individualworkshops, zugeschnitten auf Ihre Umgebung. Zur Übersicht: Schulungen für Hochschulen und Forschungseinrichtungen.
Alle Fachartikel im Überblick
Einordnung und Entscheidung
Identität, Föderation und Zusammenarbeit
Telefonie, Forschung und Betrieb
Häufige Fragen
Ist Microsoft 365 an Hochschulen datenschutzrechtlich überhaupt zulässig?
Eine pauschale Antwort gibt es nicht. Die Datenschutzkonferenz hat sich kritisch geäußert, die Landesaufsichten gehen unterschiedlich damit um, und es kommt stark darauf an, welche Dienste Sie für welche Personengruppe wie konfiguriert einsetzen. In der Praxis arbeiten viele Hochschulen mit abgestuften Freigaben, Datenschutz-Folgenabschätzung und bewusst abgeschalteten Funktionen. Die Entscheidung trifft Ihre Hochschulleitung mit dem Datenschutzbeauftragten, ich liefere die technische Grundlage dafür.
Müssen wir uns zwischen Microsoft 365 und Open Source entscheiden?
Nein. Koexistenz ist an Hochschulen der Normalfall und bleibt es. Entscheidend ist eine klare Zuordnung: welcher Anwendungsfall in welches Werkzeug gehört, wer zuständig ist und wo die Daten liegen. Das kostet einen Nachmittag Arbeit und erspart Jahre an Verwirrung.
Brauchen Studenten eine eigene Lizenz?
Ja, aber sie muss nicht teuer sein. Über den Student Use Benefit erhalten Hochschulen, die ihr Personal mit A3 oder A5 lizenzieren, Studentenlizenzen in einem festen Verhältnis dazu. Welche Funktionen diese Lizenzen abdecken und welche nicht, sollten Sie vor jedem Rollout prüfen, vor allem bei Security-Funktionen und Telefonie.
Können wir unseren Shibboleth-IdP behalten?
Ja. Die Frage ist nicht ob, sondern in welcher Rolle. Es gibt drei tragfähige Architekturvarianten mit jeweils eigenen Folgen für MFA, Ausfallverhalten und Betrieb. Welche zu Ihnen passt, hängt davon ab, wie viele Dienste am IdP hängen und wie viel Betriebskapazität Ihr Rechenzentrum hat.
Wie lange dauert eine Telefonie-Migration auf dem Campus?
Bei mehreren tausend Nebenstellen realistisch über mehrere Semester, mit einer Koexistenzphase, in der Altanlage und Teams Phone parallel laufen. Das Grobkonzept steht dagegen in dreieinhalb Tagen und liefert Mengengerüst, Anbindungsvariante, Umgang mit Sonderanschlüssen, Migrationswellen und ein Kostenbild über fünf Jahre.
Arbeiten Sie auch für außeruniversitäre Institute?
Ja, ausdrücklich. Gerade Institute mit kleiner IT-Mannschaft, vielen internationalen Gästen und vertraulichen Drittmittelprojekten haben einen Bedarf, der in keiner Standardberatung vorkommt.
Wie beschaffen wir Ihre Leistung?
Die Festpreis-Bausteine sind abgeschlossene Arbeitspakete mit klarem Liefergegenstand und damit in aller Regel unkompliziert zu beauftragen. Für die kontinuierliche Beratung bietet sich ein Tagekontingent mit Abruf nach Bedarf an. Welche Wertgrenzen und Verfahren bei Ihnen gelten, weiß Ihre Vergabestelle. Ich liefere die Leistungsbeschreibung so, dass sie damit arbeiten kann.
Dieses Consulting-Dokument steht als PDF zum Download bereit: https://www.boddenberg.de/ArtikelPdf/microsoft-365-in-2.pdf — © Ulrich B. Boddenberg · boddenberg.de
