Microsoft-/SharePoint-Anbindung einrichten

Damit CompanyWizard Dokumente aus SharePoint und OneDrive lesen kann, muss sich die Installation einmal bei Microsoft ausweisen. Alles dafür liegt unter Admin → Systemeinstellungen → „Microsoft Graph / SharePoint”.

Sie treffen dort genau eine Entscheidung — die Frage lautet „Wie soll sich CompanyWizard bei Microsoft anmelden?” —, danach zeigt die Seite nur noch, was Ihr Weg braucht.

SharePoint-Import ist ein Pro/Site-Feature (nicht in Free) → Lizenz- & Editionsmodell.

Welcher Weg gilt für mich?

Dieselbe Entscheidung als Liste:

1. Läuft CompanyWizard bei Ihnen als Desktop-App? (Auch dann, wenn die Desktops an einen Server gekoppelt sind.) → weiter mit 2.
2. Darf evanto in Ihrer Microsoft-Anmeldung auftauchen?
   • Ja → Schnellstart. SharePoint-Adresse eintragen, mit Microsoft verbinden und dabei für die Organisation zustimmen, fertig.
   • Nein → Eigene App. Dorthin führen zwei Wege: die Registrierung von Hand im Entra-Portal anlegen — oder sie vom Bereitstellungsassistenten anlegen lassen.
3. Läuft CompanyWizard nur im Browser (Web-Installation)? → Eigene App, ohne Wahlmöglichkeit. Der Schnellstart steht dort nicht zur Verfügung, der Assistent ebenfalls nicht.
4. Alle Wege enden gleich: „Speichern”, „Mit Microsoft verbinden”, „Verbindung testen” — siehe Verbinden und testen.

Funktional sind die Wege gleichwertig — der Schnellstart kann nicht weniger als die eigene App. Es geht allein darum, auf wessen App-Registrierung die Anmeldung läuft.

	Schnellstart	Eigene App
Beschriftung im Formular	„Schnellstart — über die App von evanto”	„Eigene App — Ihre Organisation registriert eine eigene Microsoft-App”
Ihr Aufwand	einmal organisationsweit zustimmen	App registrieren (von Hand oder per Assistent), Werte eintragen
Trägt in	nur Desktop-Installationen	Desktop und Web
evanto erscheint im Zustimmungsdialog	ja	nein

Welche Rechte braucht wer — und was liegt bei Ihnen?

Das ist die Frage, die vor der Moduswahl kommt, und sie hat eine kurze Antwort: Für die Ersteinrichtung brauchen Sie in jedem Weg einen Administrator in Ihrem Microsoft-Verzeichnis, im laufenden Betrieb niemanden — und von evanto ist nirgends etwas zu hinterlegen.

	Schnellstart	Eigene App — von Hand	Eigene App — Assistent
Rolle für die Ersteinrichtung	Cloud-Anwendungsadministrator (für die Zustimmung)	Anwendungs- oder Cloud-Anwendungsadministrator (registrieren und zustimmen)	Globaler Administrator oder Anwendungsadministrator
Rolle im laufenden Betrieb	keine	keine	keine
Von evanto zu hinterlegende Zugangsdaten	keine	keine	keine
Clientgeheimnis	nein (Desktop meldet sich als öffentlicher Client an)	nur bei Web-Installationen, als Umgebungsvariable am Server	nur wenn Sie eine Web-Adresse angeben; wird einmal angezeigt
Wo die App-Registrierung liegt	im evanto-Verzeichnis	in Ihrem Verzeichnis	in Ihrem Verzeichnis
Was in Ihrem Verzeichnis entsteht	eine Unternehmensanwendung „CompanyWizard” (die erteilte Zustimmung)	Registrierung + Unternehmensanwendung	Registrierung + Unternehmensanwendung
Widerruf	Unternehmensanwendung „CompanyWizard” in Entra entfernen	Registrierung entfernen oder Zustimmung zurückziehen	wie „von Hand”

Globaler Administrator ist für die Zustimmung nicht nötig

Für die organisationsweite Zustimmung genügt die Rolle Cloud-Anwendungsadministrator. Microsofts Voraussetzungsliste nimmt Anwendungsberechtigungen (App-Rollen) auf Microsoft Graph davon aus — und genau die fordert CompanyWizard nie an: es werden ausschließlich delegierte Berechtigungen angefordert. → Administratorzustimmung erteilen

Der Bereitstellungsassistent ist der einzige Weg mit einer höheren Anforderung, weil er zusätzlich in Ihr Verzeichnis schreibt: dort verlangt das Formular Globaler Administrator oder Anwendungsadministrator. Lesen Sie die höhere Anforderung also nicht als generelle Voraussetzung — sie gilt nur für den Assistenten.

Müssen Zugangsdaten von evanto bei uns hinterlegt werden?

Nein — keine, an keiner Stelle. Es gibt kein Clientgeheimnis, keinen Schlüssel und kein evanto-Konto in Ihrem Mandanten. Die einzige evanto-Angabe im Schnellstart ist die Anwendungs-ID; sie ist öffentlich, wird mit der Anwendung ausgeliefert und steht im Formular schreibgeschützt. Sie tragen sie nicht ein.

Der Grund, warum es kein Geheimnis gibt: Der Schnellstart trägt nur auf dem Desktop, und der Desktop meldet sich über http://localhost als öffentlicher Client an. Öffentliche Clients haben konstruktiv kein Geheimnis. Ein Clientgeheimnis existiert ausschließlich bei Web-Installationen — und die laufen immer über „Eigene App”.

Ohne Administrator geht es nicht — aus zwei getrennten Gründen

Wird gefragt, ob ein normaler Benutzer nicht selbst zustimmen könnte, lohnt es sich, zwei Dinge auseinanderzuhalten:

• Das Berechtigungs-Flag bei Microsoft: offen. Keine der sechs angeforderten Berechtigungen ist von sich aus zustimmungspflichtig — als delegierte Berechtigungen tragen Files.Read.All und Sites.Read.All ausdrücklich „Administratorzustimmung erforderlich: nein”. (Nur ihre Anwendungs-Varianten tragen „ja” — und die werden nie angefordert.)
• Die Zustimmungsrichtlinie Ihres Mandanten: geschlossen. Microsofts Standard ist heute die von Microsoft verwaltete Richtlinie („Microsoft die Zustimmungseinstellungen verwalten lassen”). Sie lässt Benutzer vielen Berechtigungen selbst zustimmen, nimmt aber ausdrücklich Files.Read.All und Sites.Read.All aus — ebenso die Mail- und Kalenderberechtigungen. Daran ändert auch die Herkunft der App nichts. → App-Zustimmungsrichtlinien

Praktisch heißt das: ein Administrator muss ran. Zwei Ausnahmen gibt es, beide setzen eine bewusste Entscheidung Ihres Administrators voraus und sind kein empfohlener Weg: Ihr Mandant steht noch auf der Altrichtlinie „Benutzerzustimmung für Apps” — oder Ihr Administrator stellt die Richtlinie „nur für ausgewählte Berechtigungen” ein und stuft Files.Read.All/Sites.Read.All selbst als geringe Auswirkung ein. Für den Schnellstart greifen beide Ausnahmen nicht verlässlich: Die evanto-App ist nicht herausgeberverifiziert, und die zweite Richtlinie lässt Benutzerzustimmung nur für verifizierte Herausgeber und für Apps aus Ihrem eigenen Verzeichnis zu.

Warum der Schnellstart im Web nicht angeboten wird

Auf der evanto-App sind nur evanto-eigene Adressen bei Microsoft hinterlegt. Eine Desktop-Installation meldet sich über http://localhost an — das ist bei jedem Kunden gleich und funktioniert deshalb überall. Eine Web-Installation müsste ihre eigene Adresse auf unserer Registrierung eintragen lassen; das ist bewusst nicht vorgesehen. Auf Nicht-Desktop-Hosts ist der Schnellstart daher gesperrt und die Seite meldet es im Klartext.

Weg A — Schnellstart

Vier Schritte, kein Entra-Portal.

1. Modus wählen — „Schnellstart — über die App von evanto”.
2. „Ihre SharePoint-Adresse” eintragen, z. B. https://contoso.sharepoint.com (eine URL pro Zeile), dann „Speichern” — der Knopf steht direkt unter dem Adressfeld.
3. „Mit Microsoft verbinden” anklicken. Es öffnet sich die Microsoft-Anmeldung. Melden Sie sich mit einem Konto an, das Administratorrechte in Ihrer Microsoft-Organisation hat, und setzen Sie im Zustimmungsdialog das Häkchen „Im Namen Ihrer Organisation zustimmen” — damit ist die Freigabe für die ganze Organisation erteilt. Den Mandanten müssen Sie nicht heraussuchen, Microsoft löst ihn aus Ihrer Anmeldung selbst auf.
4. „Verbindung testen” — siehe Verbinden und testen.

Weg B automatisch — die Registrierung anlegen lassen

Wenn Sie eine eigene App wollen, aber nicht durchs Entra-Portal klicken möchten, legt CompanyWizard die Registrierung für Sie an. Das Ergebnis ist dasselbe wie beim manuellen Weg unten: eine Registrierung in Ihrem Verzeichnis, die Ihnen gehört.

Der Knopf „Registrierung automatisch anlegen” erscheint nur, wenn alle vier Bedingungen zutreffen:

• Die Installation läuft als Desktop-App.
• Der Modus steht auf „Eigene App”.
• Keiner der drei Identitätswerte (Anwendungs-ID, Mandanten-ID, Modus) ist durch die Deployment-Konfiguration vorgegeben.
• Sie sind Globaler Administrator oder Anwendungsadministrator in Ihrem Microsoft-Verzeichnis.

Sehen Sie den Knopf nicht, ist eine dieser Bedingungen nicht erfüllt — der manuelle Weg steht unverändert daneben und führt zum selben Ziel.

So läuft es ab

1. Optional: „Adresse Ihrer Web-Installation” ausfüllen — nur, wenn Sie zusätzlich eine Web-Installation betreiben. Dann werden auch die Web-Umleitungen und ein Clientgeheimnis angelegt. Ohne Adresse entsteht kein Geheimnis; der Desktop braucht keins.
2. „Registrierung automatisch anlegen” anklicken. Es öffnet sich eine Microsoft-Anmeldung, bei der Sie erhöhte Rechte bestätigen (siehe unten).
3. CompanyWizard legt die Registrierung an: nur Ihre Organisation (Einzelmandant), öffentlicher Client, Umleitung http://localhost — plus die Web-Umleitungen, falls Sie eine Adresse angegeben haben.
4. CompanyWizard erteilt die organisationsweite Zustimmung für die Leseberechtigungen. Der Gang ins Entra-Portal entfällt damit auch dafür.
5. CompanyWizard gibt die erhöhten Schreibrechte zurück und prüft nach, dass sie wirklich weg sind.
6. Speichern. Der Assistent füllt die Felder oben nur aus — er speichert nicht selbst. Die Meldung sagt es im Klartext: „Registrierung angelegt. Bitte jetzt noch speichern.”
7. „Mit Microsoft verbinden”, dann „Verbindung testen” — wie in jedem Weg, siehe Verbinden und testen. Die organisationsweite Zustimmung hat der Assistent in Schritt 4 bereits erteilt.

Das Clientgeheimnis wird genau einmal angezeigt

Haben Sie eine Web-Adresse angegeben, zeigt CompanyWizard danach ein Clientgeheimnis an — „Das Clientgeheimnis wird nur EINMAL angezeigt und nirgends gespeichert. Übernehmen Sie es jetzt und übermitteln Sie es nicht per E-Mail.”

Übernehmen Sie es sofort in die Serverkonfiguration Ihrer Web-Installation (MicrosoftGraph__ClientSecret, siehe unten). Ist das Fenster einmal zu, lässt sich das Geheimnis nicht wiederherstellen — Sie legen dann in Entra ein neues an.

Die geliehenen Schreibrechte

Damit CompanyWizard eine Registrierung anlegen kann, braucht es für die Dauer des Laufs Schreibrechte auf Ihr Verzeichnis. Das ist die Frage, die Ihre IT-Sicherheit stellt, bevor sie den Knopf freigibt — deshalb steht die Antwort hier und nicht im Kleingedruckten:

• Was angefordert wird: Application.ReadWrite.All und DelegatedPermissionGrant.ReadWrite.All, auf der evanto-Anwendung, in dem Moment, in dem Sie sich erhöht anmelden.
• Wofür: die Registrierung anlegen bzw. ergänzen und die organisationsweite Zustimmung erteilen. Für nichts sonst.
• Wie lange: für die Dauer des Laufs. Danach nimmt CompanyWizard die beiden Berechtigungen wieder zurück — und liest anschließend erneut nach, ob sie wirklich verschwunden sind. Erst dann meldet der Assistent Erfolg. Microsoft zeigt eine frisch erteilte Zustimmung nicht sofort überall an. CompanyWizard wartet deshalb bis zu etwa 45 Sekunden, bis es die Rechte sieht und bis sie wieder fort sind; so lange steht „Registrierung wird angelegt …” auf dem Knopf.
• Im erhöhten Dialog „Im Namen Ihrer Organisation zustimmen” nicht anhaken. Der Assistent braucht die Rechte nur für Ihr eigenes Konto. Mit Häkchen gelten sie für die Dauer des Laufs für jedes Konto Ihrer Organisation; und sollte die Rückgabe scheitern, blieben sie für alle stehen statt nur für Sie.
• Wenn die Rückgabe scheitert: Sie bekommen eine rote Meldung mit dem Pfad, unter dem Sie es selbst entfernen — Entra → Unternehmensanwendungen → CompanyWizard → Berechtigungen. → Fehlerbilder
• Dauerhaft steht davon nichts in Ihrem Verzeichnis. Ein normaler Anwender sieht diese Rechte nie; nach dem Lauf sind sie fort.
• Ältere Versionen: Bis Version 0.88 konnte ein Lauf die Rechte stehen lassen und trotzdem Erfolg melden, wenn Microsoft die frische Zustimmung zu langsam anzeigte. Haben Sie den Assistenten damit benutzt, prüfen Sie unter Entra → Unternehmensanwendungen → CompanyWizard → Berechtigungen, ob Application.ReadWrite.All oder DelegatedPermissionGrant.ReadWrite.All noch eingetragen sind. Ein erneuter Lauf mit einer aktuellen Version entfernt solche Reste mit.

Wollen Sie die evanto-Anwendung anschließend ganz loswerden, gibt es dafür das Häkchen „evanto-Anwendung nach dem Anlegen aus meinem Verzeichnis entfernen”.

Dieses Häkchen entfernt mehr als die geliehenen Rechte

Es löscht die evanto-Unternehmensanwendung vollständig — mitsamt der gewöhnlichen Kalender- und SharePoint-Zustimmung. Setzen Sie es nur, wenn sich diese Installation nicht mehr über die evanto-Anwendung anmeldet; sonst verliert sie damit ihren eigenen Zugang.

Wenn es „CompanyWizard” bei Ihnen schon gibt

Der Assistent sucht vor dem Anlegen nach einer Registrierung dieses Namens und entscheidet dann:

Was er findet	Was er tut
nichts	legt eine neue Registrierung an
eine Registrierung, deren Anwendungs-ID oben im Formular steht	ergänzt genau diese — es wird nur hinzugefügt, nie etwas ersetzt oder entfernt
eine oder mehrere Registrierungen mit anderer Anwendungs-ID	bricht ab und verändert nichts. Die Meldung nennt die gefundenen IDs

Der dritte Fall ist Absicht: Ihr Eintrag der Anwendungs-ID ist die Bestätigung, dass diese Registrierung zu dieser Installation gehört. Wollen Sie die vorhandene weiterverwenden, tragen Sie ihre Anwendungs-ID oben ein und starten den Assistenten erneut. → Fehlerbilder

Weg B — Eigene App von Hand registrieren

Ihre Organisation registriert eine eigene Anwendung in Microsoft Entra. Dieser Weg trägt in allen Installationsarten — und er ist der einzige für Web-Installationen.

Beschriftungen im Entra-Portal ändern sich

Microsoft benennt Menüpunkte regelmäßig um. Der Klickpfad unten beschreibt den Stand zum Zeitpunkt der Erstellung; die maßgebliche Anleitung ist „Anwendung registrieren” bei Microsoft. Die Werte, die Sie eintragen, ändern sich dadurch nicht.

1. Registrierung anlegen

1. Im Entra-Portal anmelden → Identität → Anwendungen → App-Registrierungen → Neue Registrierung.
2. Name frei vergeben (z. B. „CompanyWizard”).
3. Unterstützte Kontotypen: Nur Konten in diesem Organisationsverzeichnis (Einzelmandant).
4. Registrieren — die Übersichtsseite zeigt danach die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant). Beide brauchen Sie in Schritt 4.

2. Umleitungs-URIs hinterlegen

Unter Authentifizierung → Plattform hinzufügen — nur die Zeilen, die auf Ihre Installation zutreffen:

Ihre Installation	Plattform in Entra	Umleitungs-URI
Desktop	Mobile Geräte und Desktopanwendungen	http://localhost
Web	Web	https://<ihr-host>/api/integrations/microsoft/callback

Für Desktop zusätzlich „Öffentliche Clientflows zulassen” auf Ja setzen.

Die fehleranfälligste Angabe der ganzen Anleitung

Die Web-Adresse endet auf /api/integrations/microsoft/callback. Eine abweichende Umleitungs-URI führt bei jeder Anmeldung zu AADSTS50011 → Fehlerbilder.

Tippen Sie die Adressen nicht ab. Sobald Sie im Formular „Eigene App” gewählt haben, stehen beide URIs dort als Kopierfelder unter „Umleitungs-URIs für die Registrierung” — mit dem tatsächlichen Hostnamen Ihrer Installation bereits eingesetzt.

Bestandsregistrierung: die SPA-Plattform wird nicht mehr gebraucht

Ältere Registrierungen tragen zusätzlich die Plattform Einzelseitenanwendung (SPA) mit https://<ihr-host>/msal-redirect.html. Seit die Web-Anmeldung vollständig über den Server läuft, wird sie nicht mehr benötigt und kann in Entra entfernt werden.

Reihenfolge beachten: erst den Server auf einen Stand mit der Server-Anmeldung aktualisieren, dann die SPA-Plattform löschen. Ein älterer Server braucht die SPA-Umleitung für die Ordnerauswahl noch — wer sie vorher entfernt, erntet dort AADSTS50011. Stehen lassen ist unschädlich.

3. Berechtigungen erteilen

Unter API-Berechtigungen → Berechtigung hinzufügen ausschließlich delegierte Berechtigungen wählen:

• Microsoft Graph: User.Read, Files.Read.All, Sites.Read.All, offline_access
• Microsoft Graph, für Kalender und Postfächer: Calendars.Read, Mail.ReadWrite, Mail.ReadWrite.Shared, Mail.Send, Mail.Send.Shared → Postfächer mit Microsoft 365
• SharePoint: AllSites.Read, MyFiles.Read

Eine bereits bestehende Registrierung, die vor den Postfächern angelegt wurde, braucht die Mail-Berechtigungen nachgetragen und anschließend erneut die Administratorzustimmung – sonst meldet „Mit Microsoft verbinden” bei einem Postfach, dass der Postfachzugriff fehlt.

Auch diese Liste steht im Formular als Kopierfeld unter „Benötigte Berechtigungen (delegiert)”.

Anschließend „Administratorzustimmung für <Ihre Organisation> erteilen”. Alternativ erteilen Sie die Zustimmung erst in CompanyWizard: Beim ersten „Mit Microsoft verbinden” (nach Schritt 4) meldet sich ein Administrator an und setzt im Zustimmungsdialog das Häkchen „Im Namen Ihrer Organisation zustimmen”.

Was diese Zustimmung bedeutet und was sie ausdrücklich nicht bedeutet, steht auf Welche Zugriffe die Anwendung hat — die Seite für das Gespräch mit dem Datenschutz.

4. Werte in CompanyWizard eintragen

Zurück in Admin → Systemeinstellungen → „Microsoft Graph / SharePoint”:

1. Anwendungs-ID (Client-ID) aus der Entra-Übersicht eintragen.
2. Mandanten-ID (Tenant, optional) — am besten gleich die Verzeichnis-ID (Mandant) aus der Entra-Übersicht eintragen. Lassen Sie das Feld leer, trägt CompanyWizard sie selbst aus der Anmeldung ein, sobald eine besteht (beim Verbinden oder spätestens beim ersten Test) — allerdings nur ins Formular. Dann noch einmal speichern, im Web danach die Seite neu laden; bis dahin ist „Verbindung testen” mit dem Hinweis „Erst speichern …” gesperrt. Ein von Ihnen eingetragener Wert wird nie überschrieben.
3. Ihre SharePoint-Adresse eintragen (https://contoso.sharepoint.com, eine URL pro Zeile).
4. Speichern.
5. „Mit Microsoft verbinden”, dann „Verbindung testen” — siehe Verbinden und testen.

5. Nur bei Web-Installationen: Clientgeheimnis

Web-Installationen brauchen zusätzlich ein Clientgeheimnis (Entra: Zertifikate & Geheimnisse → Neues Clientgeheimnis). Desktop-Installationen brauchen keines.

Im Web hängt daran die gesamte SharePoint-Nutzung, nicht nur der geplante Abgleich: Ordnerauswahl, interaktiver Import und Verbindungstest beziehen ihre Zugriffstoken über dieselbe serverseitige Anmeldung. Fehlt das Geheimnis, meldet die Oberfläche, dass die Microsoft-Anmeldung nicht eingerichtet ist — und es gibt keine Dateiauswahl.

Das Geheimnis wird nicht in der Oberfläche eingetragen — es wird am Server als Umgebungsvariable gesetzt:

MicrosoftGraph__ClientSecret=<der Geheimniswert>

Das Formular nennt nur den Namen der Variablen. → Umgebungsvariablen & appsettings

Clientgeheimnisse laufen ab

Entra vergibt Geheimnisse befristet. Läuft das Geheimnis ab, scheitert die Anmeldung im Web — notieren Sie das Ablaufdatum bei der Vergabe.

Vor- und Nachteile der drei Wege

Alle drei führen zu derselben Anbindung. Was sie unterscheidet, ist, wer sie danach in der Hand hat:

	Schnellstart	Eigene App — von Hand	Eigene App — Assistent
Aufwand bei der Ersteinrichtung	am geringsten: eine Adresse, einmal verbinden	am höchsten: Registrierung, Umleitungen, Berechtigungen, Zustimmung	gering: ein Knopf, dann speichern
Wessen Zustimmungsdialog Ihre Anwender sehen	den der evanto-Anwendung	den Ihrer eigenen Anwendung	den Ihrer eigenen Anwendung
Wo der Microsoft-Audit-Trail liegt	in Ihrem Verzeichnis (Unternehmensanwendung), die Registrierung selbst bei evanto	vollständig in Ihrem Verzeichnis	vollständig in Ihrem Verzeichnis
Wer die Registrierung pflegt	evanto	Sie — inklusive Ablauf des Clientgeheimnisses bei Web	Sie — dito
Web-Installation möglich	nein	ja	die Registrierung ja (mit Web-Adresse); der Assistent selbst läuft nur auf dem Desktop
Erhöhte Rechte nötig	nein	nein	ja, einmalig und nur während des Laufs
Späterer Wechsel	jederzeit möglich, trennt aber alle bestehenden Verbindungen	dito	dito

Als Faustregel: Spricht nichts dagegen, dass evanto im Zustimmungsdialog auftaucht, ist der Schnellstart der kürzeste Weg. Soll die Registrierung Ihnen gehören, nehmen Sie den Assistenten — es sei denn, in Ihrer Organisation darf eine Anwendung grundsätzlich nicht ins Verzeichnis schreiben, dann bleibt der manuelle Weg.

Verbinden und testen

Egal welcher Weg: Am Ende stehen drei Knöpfe, in dieser Reihenfolge.

1. „Speichern” — direkt unter dem Adressfeld. „Mit Microsoft verbinden” speichert ungespeicherte Änderungen zwar vorher selbst; „Verbindung testen” prüft aber nur den gespeicherten Stand.
2. „Mit Microsoft verbinden” — meldet Sie bei Microsoft an und holt im selben Schritt die Organisationsfreigabe: Ein Administrator setzt im Microsoft-Dialog das Häkchen „Im Namen Ihrer Organisation zustimmen”. Während der Anmeldung heißt der Knopf „Verbinde mit Microsoft…”.
   • Desktop: Die Anmeldung öffnet sich im System-Browser. Danach zeigt der Browser „Anmeldung erfolgreich” — das Fenster können Sie schließen. Ist eine SharePoint-Adresse eingetragen, folgt ein zweiter Microsoft-Dialog für die SharePoint-Zustimmung. Kommt nach 3 Minuten keine Antwort (etwa, weil der Browser-Tab geschlossen wurde), bricht CompanyWizard ab und meldet es; ein Neustart ist nicht nötig.
   • Web: Die ganze Seite wechselt zu Microsoft; eine Anmeldung deckt Microsoft Graph und SharePoint zugleich. Danach landen Sie im Adminbereich auf dem Tab Wissens-Sync, wo die Karte „Microsoft-Verbindung für geplante SharePoint-Synchronisierungen” das Ergebnis meldet — „Microsoft-Verbindung hergestellt. …”. Zum Testen wechseln Sie zurück in die Systemeinstellungen. Verbunden wird im Web Ihr eigenes Konto; jeder Benutzer verbindet sich einmal selbst.
3. „Verbindung testen” — prüft still die bestehende Anmeldung und öffnet nie ein Anmeldefenster. Der Knopf ist gesperrt, solange kein Konto verbunden ist oder Änderungen ungespeichert sind; der graue Hinweis darunter sagt, warum: „Erst verbinden: …” bzw. „Erst speichern: …”.

Steht die Anmeldung, nennt die Seite das Konto: „Verbunden als … (Mandant …).”

Auf dem Desktop ist „Mit Microsoft verbinden” ausgegraut, sobald die Verbindung nachgewiesen ist — Konto verbunden, Ergebnis „Verbindung steht. …”, nichts ungespeichert. Das ist Absicht: Es gibt nichts mehr zu verbinden. „Microsoft-Konto trennen”, eine Änderung im Formular oder ein anderes Testergebnis geben den Knopf wieder frei; ein anderes Konto verbinden Sie also über Trennen, dann Verbinden. Im Web bleibt der Knopf immer bedienbar.

„Zugriff für Ihre Organisation freigeben” gibt es nur noch als Rückfall

Fehlt die Organisationsfreigabe — etwa, weil sich beim Verbinden jemand ohne Administratorrechte angemeldet hat —, erscheint der Hinweis „Ein Administrator Ihrer Organisation muss den Zugriff einmalig freigeben. …” und darunter der Rückfall-Knopf „Zugriff für Ihre Organisation freigeben”. Er öffnet die Freigabeseite von Microsoft direkt im Browser; diese Adresse können Sie auch an Ihren Administrator weitergeben. Danach erneut „Mit Microsoft verbinden”.

Was die Seite meldet

Nach dem Verbinden und bei jedem Test meldet die Seite im Klartext, was noch fehlt, statt Sie am nicht funktionierenden Dateiauswahl-Dialog raten zu lassen:

Meldung	Bedeutung
„Verbindung steht. Zugriff auf Sites und OneDrive.”	Fertig.
„Zugriff steht. Es fehlt noch Ihre SharePoint-Adresse.”	Adresse eintragen, speichern, erneut testen.
„Es lässt sich nur Ihr persönliches OneDrive durchsuchen, keine Team-Sites. …”	Sites.Read.All wurde nicht erteilt — es bricht nichts, die Auswahl ist nur enger.
„Für die SharePoint-Adresse … ließ sich mit dem Konto … kein Zugriffstoken beziehen. …”	Adresse und Konto gehören zu verschiedenen Organisationen, oder die SharePoint-Freigabe fehlt.
„Ihre Organisation hat den Zugriff noch nicht freigegeben.”	Als Administrator erneut „Mit Microsoft verbinden” und das Häkchen setzen.
„Nicht verbunden. Klicken Sie zuerst auf ‚Mit Microsoft verbinden’.”	Es besteht keine Anmeldung (mehr). Verbinden.
„Die Anmeldung wurde abgebrochen oder die Zeit ist abgelaufen. …”	Nur beim Verbinden auf dem Desktop: nicht zu Ende geführt. Erneut verbinden.

Jede dieser Meldungen — und jede Fehlermeldung, die stattdessen erscheinen kann — ist auf Fehlerbilder der Microsoft-Anbindung mit Ursache und Behebung aufgeführt.

Später etwas ändern

Ein Moduswechsel trennt alle bestehenden Verbindungen

Wechseln Sie den Modus oder die Anwendungs-ID, kündigt das Formular es vorher an: „Achtung: Nach dem Wechsel müssen alle bestehenden Microsoft-Verbindungen neu hergestellt werden.”

Konkret: Jeder Nutzer muss sich neu bei Microsoft anmelden — im Web über die Karte „Microsoft-Verbindung für geplante SharePoint-Synchronisierungen” im Tab Wissens-Sync —, und alle SharePoint-Synchronisierungen pausieren, bis ihr Eigentümer sein Konto neu verbunden hat. → Knowledge-Sync einrichten

Im Web meldet die Seite nach dem Speichern einer geänderten Anwendungs-ID, Mandanten-ID oder eines anderen Modus außerdem „Client-ID geändert — Seite neu laden, damit die SharePoint-Anmeldung die neue App-Registrierung verwendet.” Grund: Die Microsoft-Anbindung der Seite wird beim Laden mit den dann gespeicherten Werten eingerichtet; neue Werte greifen erst nach dem Neuladen. Laden Sie die Seite deshalb neu, bevor Sie „Mit Microsoft verbinden” anklicken. Ein Neuladen genügt; ein Neustart ist nicht nötig. Der Desktop übernimmt die Werte ohne Neuladen.

Verwandt

• Welche Zugriffe die Anwendung hat — Berechtigungen, delegierter Zugriff, Datenschutz
• Fehlerbilder der Microsoft-Anbindung
• Dokumente aus SharePoint holen — die Nutzersicht
• Knowledge-Sync einrichten — SharePoint-Ordner wiederkehrend synchronisieren
• Umgebungsvariablen & appsettings