Microsoft 365 für Ihre Umgebung einrichten

Mit einer eigenen Microsoft Entra-App kann Ihre Organisation dieselbe App für Anmeldung mit Microsoft sowie für Outlook, Teams und SharePoint verwenden. Sie bestimmen zentral, welche Integrationen und Schreibaktionen verfügbar sind. Benutzer schalten anschließend nur ihre persönlichen Verknüpfungen unter Einstellungen → Tools → Verknüpfungen ein oder aus.

Die persönlichen Integrationen funktionieren mit unterstützten Modellen von OpenAI, Claude, Gemini und Mistral. Das gewählte Modell muss Tools verwenden können. Bei persönlichen Verknüpfungen folgt der Zugriff den Rechten des angemeldeten Microsoft-Benutzers. Organisationszustimmung meldet nicht automatisch alle Mitarbeiter an und gibt der KI keinen eigenständigen Zugriff auf alle Postfächer. Die zentrale SharePoint-Wissensdatenbank verwendet separate App-Rechte und die bestehenden Wissensdatenbankrechte, wie weiter unten in diesem Artikel beschrieben.

Was benötigen Sie?

• Eine Microsoft 365-Organisation mit Microsoft Entra ID und Konten mit Zugriff auf die gewünschten Dienste.
• Einen Administrator, der eine App registrieren und Organisationszustimmung für die gewählten Microsoft Graph-Berechtigungen erteilen darf. Nur eine Azure-Abonnementrolle reicht hierfür nicht aus; Ihre Entra-Rolle muss diese Zustimmung erlauben.
• Verwaltungsrechte in der richtigen AI-Umgebung, um Integrationen verfügbar zu machen.
• Einen Plattformadministrator, der den Microsoft Identity Provider für diese AI-Umgebung im Google Cloud Identity Platform einrichten kann.
• Eine App-Registrierung in Ihrem eigenen Microsoft-Verzeichnis, mit einem Client Secret und den zwei Redirect-URLs der passenden Marke.

Anmeldung mit Microsoft und Zugriff auf Microsoft-Daten sind zwei getrennte Funktionen. Nur eine funktionierende Microsoft-Anmeldung bedeutet nicht automatisch, dass Outlook, Teams oder SharePoint eingerichtet sind.

1. Registrieren Sie eine Organisations-App

Öffnen Sie das Microsoft Entra Admin Center und navigieren Sie zu App registrations → New registration. Verwenden Sie einen aussagekräftigen Namen, z. B. AI-Public – Ihr Organisationsname. Wählen Sie für eine eigene Organisation Accounts in this organizational directory only (Single tenant).

Speichern Sie die folgenden Daten aus Overview:

Daten	Wofür?
Directory (tenant) ID	Das Microsoft-Verzeichnis Ihrer Organisation; dies wird im Feld Microsoft ID der AI-Umgebung eingetragen.
Application (client) ID	Die registrierte App; dies wird im Microsoft Identity Provider verwendet.

Diese beiden IDs sind unterschiedlich. Tragen Sie bei Microsoft ID nicht die Client ID oder das Firebase-Tenant-ID ein.

2. Richten Sie die richtigen Redirect-URLs ein

Gehen Sie zu Authentication → Add a platform → Web. Fügen Sie für Ihre Marke beide untenstehenden URLs exakt so hinzu. Die erste verarbeitet die Anmeldung; die zweite die Zustimmung für die Arbeitskonto-Integrationen.

Marke	Anmeldung mit Microsoft	Arbeitskonto-Integrationen
AI-School	https://ai-school-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-school-pro.cloudfunctions.net/completeConnectorOAuth
AI-Corporate	https://ai-corporate.firebaseapp.com/__/auth/handler	https://europe-west1-ai-corporate.cloudfunctions.net/completeConnectorOAuth
AI-Public	https://ai-public-pro.firebaseapp.com/__/auth/handler	https://europe-west1-ai-public-pro.cloudfunctions.net/completeConnectorOAuth

Verwenden Sie die URLs der Marke, auf der Ihre Umgebung läuft. Ihr eigener Organisationsname oder Tenant-ID muss in diesen URLs nicht eingetragen werden. Die Website-URL, Dashboard-URL und .web.app-URL ersetzen diese Callbacks nicht. Registrieren Sie sie als Web, auch wenn Sie die Integration aus einem Browser verwenden. Sie müssen keine implizite Token-Ausgabe oder Public-Client-Flow aktivieren.

3. Erstellen Sie ein Client Secret und weisen Sie Berechtigungen zu

Gehen Sie zu Certificates & secrets → Client secrets → New client secret. Wählen Sie eine passende Laufzeit und speichern Sie den Value sicher, sobald er sichtbar ist. Übermitteln Sie den Wert über den vereinbarten sicheren Kanal für Plattformverwaltung; die Secret ID ist nicht das Client Secret. Behalten Sie das Ablaufdatum im Auge und ersetzen Sie das Secret vor Ablauf, auch im Identity Provider.

Gehen Sie anschließend zu API permissions → Add a permission → Microsoft Graph → Delegated permissions. Fügen Sie nur die Rechte hinzu, die Ihre Organisation für die Integrationen und Aktionen anbieten möchte.

Integration	Leserechte	Zusätzliche Schreibrechte
Profil / Basis	User.Read; der Anmeldeflow fordert auch openid, profile, email und offline_access an	Keine
Outlook Mail	Mail.Read	Entwürfe: Mail.ReadWrite. Senden: Mail.Send.
Outlook Kalender	Calendars.Read	Schreiben: Calendars.ReadWrite.
Microsoft Teams	Chat.Read, ChannelMessage.Read.All	Posten: Team.ReadBasic.All, Channel.ReadBasic.All, ChannelMessage.Send.
SharePoint / OneDrive	Sites.Read.All, Files.Read.All	Diese Arbeitskonto-Integration bietet keine Schreibaktionen.

Mail.ReadWrite gewährt kein Senderecht; dafür ist separat Mail.Send erforderlich. Teams-Posten schreibt Textnachrichten in einen gewählten Kanal, keine privaten Chatnachrichten. Für diese Integration verwenden Sie Delegated permissions, keine Application permissions. Auch bei Rechten mit All im Namen bleibt der delegierte Zugriff durch die Rechte des Benutzers eingeschränkt.

Klicken Sie auf Grant admin consent for Ihre Organisation und prüfen Sie, dass die gewählten Rechte als erteilt angezeigt werden. So können Mitarbeiter den genehmigten Zugriff nutzen, ohne selbst Organisationsrechte erteilen zu müssen. Microsoft kann dennoch je nach Richtlinie eine Anmeldung, MFA oder erneute Zustimmung verlangen.

4. Verknüpfen Sie die App an zwei Stellen mit der AI-Umgebung

Lassen Sie den Plattformadministrator die richtige Umgebung auswählen und folgende Einstellungen vornehmen:

1. In Admin → Umgebung → Tenant: Aktivieren Sie die Anmeldemethode Microsoft und tragen Sie bei Microsoft ID die Directory (tenant) ID ein.
2. In Google Cloud → Identity Platform → den betreffenden Tenant → Identity providers → Microsoft: Aktivieren Sie den Provider und tragen Sie die Application (client) ID sowie den Client Secret Value derselben Entra-App ein.

Der Identity Provider gehört zum Firebase/Identity Platform-Tenant Ihrer AI-Umgebung, nicht zu einer anderen Organisation oder der allgemeinen Admin-Umgebung. Die Arbeitskonto-Integration verwendet die App aus diesem Provider erneut. Das Client Secret gehört nicht in Benutzerpräferenzen, Chatnachrichten oder gewöhnliche Umgebungsfelder.

Übermitteln Sie an die Plattformverwaltung den Organisationsnamen, die Marke, die Directory ID, die Client ID, den Secret-Wert über den sicheren Kanal, das Ablaufdatum und die gewünschten Integrationen/Rechte. Eine App-ID allein reicht nicht aus.

5. Geben Sie die Integrationen und Schreibaktionen frei

Öffnen Sie die Verwaltungsumgebung Ihrer Organisation → Tools → MCP. Schalten Sie bei Suite-Schnellverknüpfungen die Integration Microsoft 365 ein. Die Microsoft-Zeilen werden sichtbar; wenn die gesamte Suite deaktiviert ist, bleiben diese Zeilen verborgen.

Wählen Sie pro Integration, ob sie verfügbar ist. In der Spalte Schreibaktionen wählen Sie separat:

• Outlook Mail → Entwürfe: Entwürfe erstellen und ändern.
• Outlook Mail → Senden: Einen bestehenden Entwurf tatsächlich senden.
• Outlook Kalender → Schreiben: Termine erstellen und ändern.
• Microsoft Teams → Posten: Textnachrichten in einem gewählten Teams-Kanal posten.

Klicken Sie auf Speichern. Eine Schreibaktion funktioniert nur, wenn sowohl die Integration als auch das zugehörige Verwaltungsrecht aktiviert sind, Microsoft die erforderlichen Rechte erteilt hat und der Benutzer die Verknüpfung persönlich eingeschaltet hat. Der Benutzer erhält dafür kein zusätzliches Schreibrechteformular.

Verfügbarkeit

Die Einstellungen müssen auch vom Backend Ihrer Marke unterstützt werden. Diese Schreibeerweiterung wurde am 7. Oktober 2026 gezielt veröffentlicht und für OnderwijsSupport auf AI-Corporate getestet. Das bedeutet nicht automatisch, dass dieselbe Erweiterung bereits für AI-Public, AI-Public oder jede andere Umgebung freigegeben ist. Fragen Sie die Plattformverwaltung um Bestätigung, wenn Schreibaktionen fehlen.

6. Überprüfen Sie die Einrichtung

Lassen Sie einen Benutzer sich in der richtigen AI-Umgebung anmelden und die gewünschte Integration gemäß Microsoft-Integrationen verwenden einschalten. Prüfen Sie, ob Microsoft den Namen Ihrer eigenen Entra-App anzeigt.

Testen Sie zuerst einen erkennbaren Entwurf und einen Termin ohne Teilnehmer. Prüfen Sie die gespeicherten Elemente in Outlook. Testen Sie anschließend das Senden mit einem vereinbarten Testempfänger und das Posten in Teams in einem vereinbarten Testkanal. Ein Termin mit Teilnehmern kann Einladungen oder Updates versenden. Ein akzeptierter Sendeauftrag ist noch keine bestätigte Zustellung.

Bei Erweiterung der Rechte versucht die Verknüpfung, Tokens zu erneuern. Wenn Microsoft erneute Anmeldung oder Zustimmung verlangt, soll der Benutzer die bestehende Verknüpfung erneut verbinden. Es muss keine zweite App oder separate Benutzereinstellung erstellt werden.

Fehlerbehebung

Problem	Überprüfung
AADSTS50011 / Redirect-Mismatch	Beide Callbacks exakt als Web registriert, für die richtige Marke.
Ein anderer App-Name erscheint bei Zustimmung	Die richtige AI-Umgebung, Directory ID und tenant-spezifischer Microsoft Identity Provider; anschließend erneut verbinden.
Anmeldung funktioniert, aber Integration nicht	Auch Connector-Callback, Graph-Berechtigungen und Organisationszustimmung prüfen.
Lesen funktioniert, Schreiben nicht	Verwaltungsrecht, zugehöriges delegiertes Graph-Recht, erteilte Zustimmung und Backend-Verfügbarkeit prüfen.
Client Secret ungültig oder abgelaufen	Den Value, nicht die Secret ID; neues Secret auch im Identity Provider aktualisieren.
Integration fehlt beim Benutzer	Verfügbarkeit in Tools, Benutzerrechte für Verknüpfungen und die ausgewählte AI-Umgebung prüfen.

Weitere Informationen

• Tools verwalten
• Microsoft-Integrationen verwenden
• Microsoft: Eine App registrieren
• Microsoft: Redirect-URLs
• Microsoft Graph: Berechtigungsübersicht

Zentrale SharePoint-Wissensdatenbank: Microsoft einrichten

Ein zentral verknüpfter Ordner funktioniert über die Organisations-App, ohne dass jeder Mitarbeiter eine persönliche SharePoint-Verknüpfung aktiviert. Dafür sind zwei separate Berechtigungen erforderlich: das Anwendungsrecht Sites.Selected mit Admin-Zustimmung und eine read-Berechtigung für die ausgewählte SharePoint-Site. Ein funktionierender Microsoft-Login oder nur Admin-Zustimmung reicht nicht aus.

1. Überprüfen Sie die Organisations-App

Verwenden Sie dieselbe Single-Tenant-App-Registrierung wie für die Microsoft-Anmeldung in Ihrer KI-Umgebung. Eine bestehende App kann erweitert werden; eine zweite Integrations-App ist nicht notwendig. Überprüfen Sie in Microsoft Entra → App registrations → Ihre App → Übersicht die Directory (Tenant) ID und Application (Client) ID. Verwenden Sie unten die Client-ID, nicht die Objekt-ID.

Die Directory-ID muss in Admin → Umgebung → Tenant → Microsoft ID eingetragen sein. Die Client-ID und der Wert eines gültigen Client-Secrets müssen beim Microsoft Identity Provider genau dieser KI-Umgebung zugeordnet sein. Diese Konfiguration wird vom Plattformmanagement gepflegt. Ein abgelaufenes Secret verhindert auch den zentralen Import; beachten Sie das Ablaufdatum.

Die zentrale Serververbindung verwendet client_credentials und benötigt keine zusätzliche Redirect-URL. Die bestehenden Web-Redirects für Anmeldung und persönliche Arbeitskonto-Integrationen bleiben erforderlich; verwenden Sie die markenspezifischen URLs aus der Tabelle weiter oben in diesem Artikel.

2. Fügen Sie das Anwendungsrecht hinzu und erteilen Sie Admin-Zustimmung

1. Öffnen Sie API permissions → Add a permission → Microsoft Graph → Application permissions.
2. Suchen Sie Sites.Selected, wählen Sie dieses Recht aus und klicken Sie auf Add permissions.
3. Lassen Sie einen berechtigten Entra-Administrator Grant admin consent for Ihre Organisation ausführen.
4. Überprüfen Sie, dass Sites.Selected, Typ Application, als erteilt angezeigt wird.

Die delegierten Rechte für persönliche Outlook-, Teams- und SharePoint-Verknüpfungen können in derselben App verbleiben. Sie ersetzen das Anwendungsrecht für die zentrale Wissensdatenbank nicht. Für diesen zentralen Import ist kein Anwendungsrecht Sites.Read.All, Sites.ReadWrite.All oder Sites.FullControl.All erforderlich.

3. Gewähren Sie der App separat Leserechte für die Site

Diese Verwaltungsaktion kann mit dem Microsoft Graph Explorer durchgeführt werden. Verwenden Sie ein Verwaltungs-Konto in demselben Microsoft-Verzeichnis mit der Rolle SharePoint Administrator oder einer höheren geeigneten Administratorrolle und Zugriff auf die betreffende Site. Eine Azure-Abonnementrolle oder nur Eigentümerschaft der App reicht hierfür nicht aus.

1. Melden Sie das Verwaltungskonto im Graph Explorer an und überprüfen Sie die angezeigte Organisation.
2. Öffnen Sie Ihr Profilmenü → Consent to permissions, suchen Sie Sites.FullControl.All und wählen Sie Consent, um die erforderliche Berechtigung für Graph Explorer in diesem Verwaltungskontext zu erteilen. Bei einigen Abfragen können Sie das vollständige Berechtigungsfenster auch über Modify Permissions → Open the permissions panel öffnen. Dies ist eine delegated Verwaltungsberechtigung zur Verwaltung von Site-Berechtigungen; fügen Sie sie nicht als umfassende Anwendungsberechtigung in der Wissensdatenbank-App hinzu. Verwenden Sie kontobasierte Berechtigungen, wenn keine Organisationsgenehmigung für alle Benutzer erforderlich ist.
3. Suchen Sie die Site-ID mit dem folgenden GET. Ersetzen Sie den Beispielhost und den Site-Pfad durch Ihre eigene Ordner-URL. Bei einer URL mit /teams/ verwenden Sie diesen Pfad anstelle von /sites/.

GET https://graph.microsoft.com/v1.0/sites/uworganisatie.sharepoint.com:/sites/uwsite?$select=id,displayName,webUrl

Der Wert id in der Antwort ist die vollständige Site-ID, einschließlich Hostname und zwei GUIDs. Überprüfen Sie auch displayName und webUrl: Die Berechtigung muss für die Site erteilt werden, in der Ihr Ordner tatsächlich liegt.

4. Überprüfen Sie zuerst bestehende Berechtigungen mit GET an der folgenden Adresse. Ist Ihre Client-ID dort bereits mit der Rolle read vorhanden, müssen Sie keine zweite Berechtigung anlegen. Lassen Sie bestehende weitergehende oder abweichende Berechtigungen von Ihrem Microsoft-Administrator bewerten.

GET https://graph.microsoft.com/v1.0/sites/SITE-ID/permissions

5. Fehlt die Berechtigung, wählen Sie POST, verwenden dieselbe Adresse und füllen im Request Body das folgende JSON aus. Ersetzen Sie die beiden Beispielwerte; CLIENT-ID-IHRER-APP ist die Application (Client) ID Ihrer Integrations-App, nicht die des Graph Explorers.

{
  "roles": ["read"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "CLIENT-ID-VAN-UW-APP",
        "displayName": "NAAM-VAN-UW-INTEGRATIE-APP"
      }
    }
  ]
}

6. Wählen Sie Run query. Eine erfolgreiche Hinzufügung gibt 201 Created zurück. Überprüfen Sie in der Antwort die Rolle read und die Client-ID; Graph kann diese unter grantedToIdentitiesV2 anzeigen. Prüfen Sie danach erneut mit GET. Bewahren Sie die Berechtigungs-ID für Verwaltung und eventuellen späteren Widerruf auf.
7. Wiederholen Sie dies nur für jede weitere Site, deren Wissensdatenbank-Ordner Sie bewusst verknüpfen möchten.

Sitegrant und Wissensdatenbankrechte

Die Microsoft-Berechtigung gewährt der App Leserechte für die gesamte ausgewählte Site. Die KI-Umgebung importiert jedoch nur den ausgewählten Ordner und dessen Unterordner. Verwenden Sie vorzugsweise eine separate Site für zentral geteiltes Wissen. Die bestehenden Wissensdatenbankrechte bestimmen, welche Benutzer die importierten Dokumente erhalten; individuelle SharePoint-Rechte werden nicht übernommen.

4. Verknüpfen Sie den Ordner und überprüfen Sie das Ergebnis

Öffnen Sie Verwaltung → Wissensdatenbank → Hinzufügen → SharePoint-Ordner → Ordner verknüpfen und verwenden Sie die echte Ordner-URL, keinen Einladungslink oder OneDrive-Übersichtslink. Wählen Sie Bereich, Zielgruppe und Veröffentlichungsstatus gemäß der Wissensdatenbank-Anleitung. Eine zentrale Quelle erfordert keinen persönlichen Connector in den Benutzereinstellungen.

Überprüfen Sie mit Aktualisieren, ob die Dokumente fehlerfrei verarbeitet wurden. Verwenden Sie Jetzt synchronisieren für eine erneute Prüfung und stellen Sie anschließend eine konkrete Chatfrage zu einem importierten Dokument. Prüfen Sie, ob die Antwort die richtige zentrale Wissensquelle angibt.

Problem	Überprüfung auf Microsoft-Seite
Anmeldung funktioniert, aber der zentrale Ordner nicht	Sites.Selected muss vom Typ Application sein und Admin-Zustimmung haben; überprüfen Sie außerdem die separate Site-Berechtigung.
403 Forbidden beim Zugriff auf den Ordner	Richtige Microsoft-Verzeichnis-ID, Site-ID, Client-ID und read-Berechtigung; Admin-Zustimmung allein gewährt keinen Site-Zugriff.
403 bei der Verwaltungsaktion im Graph Explorer	Delegierte Berechtigung Sites.FullControl.All, erteilte Zustimmung, Administratorrolle und Zugriff auf die Ziel-Site. Fügen Sie kein breit gefächertes Recht zur Integrations-App als Lösung hinzu.
Site funktioniert, Ordner nicht gefunden	Überprüfen Sie die echte Ordner-URL, Dokumentbibliothek und den Site-Pfad; eine OneDrive-Verknüpfung kann auf eine andere Site verweisen.
Secret abgelaufen oder ungültig	Lassen Sie vom Plattformmanagement den neuen Secret-Wert Value im richtigen Microsoft Identity Provider aktualisieren.

Für OnderwijsSupport auf AI-Corporate wurde diese zentrale Verknüpfung am 14. Oktober 2026 veröffentlicht und getestet. Die Verfügbarkeit auf AI-School, AI-Public oder einer anderen Umgebung muss vom Plattformmanagement bestätigt werden.

Microsoft-Dokumentation: Selected permissions, Sitegrant hinzufügen und Sitegrants überprüfen.