Die Ablaufrichtlinie für Microsoft-365-Gruppen bremst den Wildwuchs

In vielen Tenants, die ich betreue, wachsen Microsoft-365-Gruppen und Teams schneller, als es Überblick und Governance guttut. Meist sieht das so aus. Nach einem Jahr hat eine Migration, ein Projekt oder ein Workshop den Tenant durchlaufen, und auf einmal gibt es zahlreiche verwaiste Teams, Gruppen ohne Besitzer oder Duplikate, deren Zweck niemand mehr kennt. Fehlen klare Richtlinien, wird dieser Wildwuchs zu einem ernsten Problem für Sicherheit, Datenhaltung und Nutzererfahrung. Deshalb sollte man die Ablaufrichtlinie für Microsoft-365-Gruppen ebenso konsequent einsetzen wie die Kontrollen für Namen und Erstellung.

Aktive Gruppen verlängern sich vor dem Ablaufdatum automatisch

Die Lebensdauer von Gruppen steuert man seit einiger Zeit zentral im Microsoft Entra Admin Center unter Gruppen → Ablauf und Lebensdauer. Dort legt man die Standardlebensdauer neuer Microsoft-365-Gruppen auf 180 oder 365 Tage oder auf einen eigenen Wert fest. Voraussetzung ist mindestens Entra ID P1. Gruppen, die tatsächlich genutzt werden, verlängern sich automatisch, etwa wenn Mitglieder Dateien posten, in Teams chatten oder SharePoint-Seiten bearbeiten. Die Aktivität wird tenantweit erfasst, sodass lebendige Gruppen nicht versehentlich verschwinden. Rückt das Ablaufdatum näher, bekommen die Besitzer eine Warnung per Mail und können die Verlängerung auch selbst anstoßen.

Tipp aus der Praxis: Die Ablaufbenachrichtigungen gehen an das Postfach der Gruppenbesitzer. Viele übersehen diese Mails, und manche Besitzer sind gar nicht mehr aktiv. Es lohnt sich daher, pro Gruppe mindestens zwei Besitzer vorzuschreiben und die Gruppenbesitzer in festen Abständen zu überprüfen.

Läuft eine Gruppe trotzdem ab, wird sie zunächst nur vorläufig gelöscht (Soft Delete). Sie bleibt noch 30 Tage im Hintergrund erhalten und lässt sich in dieser Zeit ohne Weiteres im Entra Admin Center oder per PowerShell wiederherstellen. Danach ist sie endgültig weg.

Namensrichtlinien erzwingen Präfixe und Suffixe und sperren unerwünschte Begriffe

Gerade in großen Organisationen ärgert man sich immer wieder über Gruppennamen, die kryptisch und uneinheitlich sind oder sogar vertrauliche Begriffe enthalten. Die Namensrichtlinien für Microsoft-365-Gruppen unter Gruppen → Namensrichtlinie schreiben Präfixe (z. B. „DE-“, „PROJ-“) und Suffixe (wie „-Team“) vor und sperren bestimmte Wörter. Man konfiguriert sie zentral, und sie gelten für alle neuen Gruppen; vorhandene Gruppen bleiben unberührt. Wie die Optionen zusammenspielen und welche Syntax gilt, erklärt die Dokumentation zur Namensrichtlinie.

Nur eine festgelegte Sicherheitsgruppe darf neue Gruppen anlegen

Häufig werde ich gefragt, wie sich verhindern lässt, dass jeder Nutzer neue Gruppen anlegt und damit auch Teams, Planner, SharePoint-Sites usw. Das regelt eine Verzeichniseinstellung (Directory Setting) namens „Group.Unified“, die man per Microsoft Graph PowerShell setzt. Eine Oberfläche dafür bietet das Entra Admin Center derzeit (Mai 2025) nicht. Am Ende dürfen nur noch Mitglieder einer bestimmten Sicherheitsgruppe wie „M365-Gruppen-Ersteller“ neue Gruppen erstellen. Auf diese Weise lässt sich Teams-Sprawl besonders wirksam eindämmen; ausführlicher habe ich das im Beitrag zur Teams-Governance beschrieben. Voraussetzung ist Entra ID P1, und die Einrichtung sieht so aus:

# Voraussetzungen: PowerShell 7, Microsoft.Graph.Modul, Entra ID P1
Connect-MgGraph -Scopes Directory.ReadWrite.All
$group = Get-MgGroup -Filter "displayName eq 'M365-Gruppen-Ersteller'"
$template = Get-MgDirectorySettingTemplate | Where-Object {$_.DisplayName -eq "Group.Unified"}
$setting = $template.CreateDirectorySetting()
$setting["EnableGroupCreation"] = $false
$setting["GroupCreationAllowedGroupId"] = $group.Id
New-MgDirectorySetting -DirectorySetting $setting

Besitzerlose Gruppen brauchen im Lebenszyklus eigene Aufmerksamkeit

Neben Ablaufrichtlinie und Namensregeln gerät der Umgang mit besitzerlosen (Ownerless) Gruppen und Teams oft aus dem Blick. Wurden alle Besitzer entfernt oder sind sie inaktiv, erhalten ausgewählte Nutzergruppen eine Benachrichtigung, damit jemand einen neuen Besitzer bestimmt. Einstellen lässt sich das direkt im Entra Admin Center unter Gruppen-Optionen. Hilfreich ist außerdem, dass die Wiederherstellung einer gelöschten Gruppe innerhalb von 30 Tagen sämtliche Ressourcen zurückholt, also Mailbox, SharePoint, Teams und Planner. Das gilt allerdings nur, solange die Gruppe nicht endgültig gelöscht wurde. Einzelheiten stehen in der offiziellen Dokumentation zum Lebenszyklus.

Die folgende einfache Grafik zeigt den Lebenszyklus mit Ablauf, Soft Delete und dem Umgang mit Besitzern:

flowchart TD
  A["Gruppe erstellt"] --> B["Aktive Nutzung"]
  B --> C["Ablaufdatum erreicht?"]
  C -- "Nein" --> B
  C -- "Ja" --> D["Benachrichtigung an Besitzer"]
  D --> E["Gruppe verlängert?"]
  E -- "Ja" --> B
  E -- "Nein" --> F["Gruppe soft gelöscht (30 Tage)"]
  F --> G["Wiederherstellung möglich"]
  G --> B
  F --> H["Permanent gelöscht nach 30 Tagen"]

Abbildung: Lebenszyklus einer Microsoft-365-Gruppe mit Ablauf, Soft Delete und Wiederherstellung.

Ein aktiv gesteuerter Gruppen-Lebenszyklus hält den Tenant dauerhaft aufgeräumt

Ablaufrichtlinie, Namensregeln und eingeschränkte Gruppenerstellung gehören für mich zusammen. Gemeinsam bilden sie einen der wichtigsten Hebel, um Microsoft 365 sauber und sicher zu halten. Mit der einmaligen Wahl eines Ablaufzeitraums ist es allerdings nicht getan. Die Prozesse müssen regelmäßig geprüft und fehlende Besitzer nachgetragen werden, außerdem sollte man das Reporting nutzen (Gruppenerstellung verwalten). Spätestens wenn Microsoft 365 Copilot und andere KI-Tools in Teams und SharePoint mit den Gruppendaten arbeiten, rächt sich fehlende Governance schnell. Wer jetzt eine solide Lifecycle-Strategie aufsetzt, erspart sich später viel Arbeit und hat Daten, Zugriffe und Compliance auch langfristig selbst im Griff.