Microsoft 365 anbinden

Die Anbindung hat zwei Seiten: In Ihrem Microsoft-Verzeichnis registrieren Sie eine Anwendung, hier tragen Sie drei Werte daraus ein.

Voraussetzung: eine verifizierte Domain und im Microsoft-Portal die Berechtigung, Anwendungen zu registrieren. Fehlt Ihnen diese Berechtigung, geben Sie diese Seite an Ihre IT weiter — Sie brauchen am Ende nur die drei Werte.

Teil 1 — Die Anwendung registrieren

1. Öffnen Sie das Microsoft-Verwaltungsportal und dort die Anwendungsregistrierungen.
2. Neue Registrierung anlegen:
   • Name — frei wählbar. Ihre Leute sehen ihn später auf dem Zustimmungsbildschirm von Microsoft, also wählen Sie etwas Sprechendes.
   • Kontotypen — für den internen Betrieb nur Konten in diesem Verzeichnis. Das ist die sicherere Variante. Mehrere Organisationen brauchen Sie nur, wenn sich auch Externe anmelden sollen.
   • Umleitungs-URI — Plattform Web. Tragen Sie zunächst einen Platzhalter ein; den exakten Wert bekommen Sie in Teil 3.
3. Registrieren.

Auf der Übersichtsseite stehen zwei der drei benötigten Werte:

• Anwendungs-ID (Client)
• Verzeichnis-ID (Mandant)

Teil 2 — Ein Client-Secret erzeugen

Das Secret ist das Passwort, mit dem sich die Plattform gegenüber Microsoft ausweist.

1. In der Anwendung Zertifikate und Geheimnisse öffnen.
2. Neues Client-Secret anlegen, mit sprechender Beschreibung und einer Laufzeit.
3. Bestätigen.

Der Wert ist nur ein einziges Mal sichtbar. Kopieren Sie ihn sofort. Verlassen Sie die Seite ohne zu kopieren, müssen Sie ein neues Secret erzeugen. Achten Sie darauf, den Wert zu nehmen — nicht die daneben stehende Kennung des Secrets. Diese Verwechslung ist der häufigste Fehler.

Berechtigungen müssen Sie in der Regel nicht anpassen: Es werden nur die Basis-Identitätsdaten benötigt, die jede neue Registrierung bereits mitbringt. Nur wenn Ihre Organisation die Zustimmung durch einzelne Personen unterbindet, muss eine administrative Zustimmung einmalig erteilt werden.

Teil 3 — Die Werte eintragen

Administration → Enterprise SSO → Identitätsanbieter hinzufügen → Microsoft 365:

Feld	Wert
Anzeigename	frei wählbar; erscheint auf der Anmeldeschaltfläche
Verzeichnis-ID	die Verzeichnis-ID (Mandant) aus der Übersichtsseite
Client-ID	die Anwendungs-ID (Client)
Client-Secret	der Wert aus Teil 2

Nach dem Speichern zeigt das Panel die exakte Umleitungs-URI an. Kopieren Sie sie von dort und tragen Sie sie im Microsoft-Portal unter Authentifizierung anstelle des Platzhalters ein.

Konstruieren Sie diese Adresse nicht selbst. Sie enthält eine Kennung, die erst beim Speichern entsteht, und muss zeichengenau übereinstimmen — einschließlich Groß- und Kleinschreibung und eines eventuellen Schrägstrichs am Ende.

Teil 4 — Aktivieren

Der Anbieter ist nach dem Speichern zunächst inaktiv. Legen Sie den Schalter um. Lässt er sich nicht umlegen, ist noch keine Domain verifiziert.

Danach schalten Sie die automatische Aufnahme ein.

Testen

Öffnen Sie ein privates Browserfenster und rufen Sie die Anmeldeseite auf. Erwartet: Weiterleitung zu Microsoft, Anmeldung, beim ersten Mal ein Zustimmungsbildschirm, danach Rückkehr auf die Startseite mit frischer Mitgliedschaft.

Das Secret läuft ab — planen Sie das ein

Client-Secrets haben eine begrenzte Laufzeit, und es gibt keine Vorwarnung. Läuft es ab, schlagen alle Anmeldungen über diesen Weg schlagartig fehl.

Legen Sie sich einen Kalendereintrag deutlich vor Ablauf. Die Rotation ohne Ausfall:

1. Im Microsoft-Portal ein neues Secret erzeugen und den Wert kopieren.
2. Hier beim betroffenen Anbieter das Client-Secret ersetzen und speichern.
3. Erst danach das alte Secret im Portal löschen.

Die kurze Überlappung sorgt dafür, dass laufende Sitzungen nicht abbrechen.

Wenn es hakt

Symptom	Ursache und Abhilfe
Fehler zum Client beim Rückweg	Secret falsch oder abgelaufen. Neues erzeugen und eintragen.
„Die Umleitungs-URI ist nicht konfiguriert"	Die URI im Portal weicht ab. Exakt aus dem Panel kopieren.
„Zustimmung fehlt"	Eine administrative Zustimmung ist nötig — durch eine berechtigte Person im Portal erteilen.
Anmeldung klappt, aber die Person landet auf der Einstiegsseite	Automatische Aufnahme ist aus, oder die Domain der Adresse ist nicht verifiziert.
Speichern schlägt fehl	Die Verzeichnis-ID ist keine gültige Kennung, oder es steckt ein Tippfehler darin.

Sicherheit

• Das Client-Secret ist einem Passwort gleichwertig. Verschicken Sie es nicht per Mail oder Chat, sondern fügen Sie es direkt in das Formular ein.
• Es wird verschlüsselt gespeichert und ist danach nie wieder sichtbar — auch nicht für Sie.
• Wer das Secret besitzt, kann sich im Namen Ihrer Organisation als diese Anwendung ausweisen. Bei Verdacht sofort rotieren.
• Löschen Sie die Anwendung im Portal, brechen alle darüber angemeldeten Sitzungen kurz darauf ab. Planen Sie das als Wartung ein.