Exchange Shared Mailbox: Einrichtung & Best Practices

Eine Exchange Shared Mailbox ist ein Postfach ohne eigenen Login: Mehrere Mitarbeitende greifen mit ihren persönlichen Konten darauf zu, lesen dieselben Nachrichten und antworten unter einer gemeinsamen Adresse wie info@ oder support@. Das Postfach selbst braucht in Microsoft 365 keine eigene Lizenz, solange es unter 50 GB bleibt. Genau an dieser Speichergrenze, an falsch vergebenen Berechtigungen und am aktivierten Anmeldekonto scheitern die meisten Einrichtungen im Alltag.

Typisches Szenario im Mittelstand: Die Buchhaltung bekommt eine Sammeladresse, drei Jahre später hängen dort 48 GB Rechnungs-PDFs, und an einem Dienstagmorgen gehen plötzlich keine Mails mehr raus. Wer die Grenzwerte und die Berechtigungslogik von Anfang an kennt, verhindert genau solche Ausfälle.

Was ist eine Exchange Shared Mailbox?

Ein freigegebenes Postfach ist ein vollwertiges Exchange-Postfach mit eigener SMTP-Adresse, eigenem Kalender und eigener Ordnerstruktur, aber ohne aktives Benutzerkonto zum Anmelden. Der Zugriff erfolgt ausschließlich über Berechtigungen, die du den persönlichen Konten deiner Mitarbeitenden zuweist. Microsoft dokumentiert diese Postfachart als Standardweg für gemeinsam bearbeitete Adressen im Bereich freigegebene Postfächer.

Der praktische Unterschied zu einem privaten Postfach: Nachrichten bleiben nach dem Lesen für alle sichtbar, der Bearbeitungsstand ist am Ordner ablesbar, und ausgehende Antworten tragen die Team-Adresse statt eines Personennamens. Fällt jemand aus, bleibt der Vorgang trotzdem im Zugriff des Teams.

Shared Mailbox, reguläres Postfach oder Verteilerliste?

Die Auswahl entscheidet sich an einer einzigen Frage: Sollen Nachrichten zentral archiviert und gemeinsam beantwortet werden, oder nur verteilt werden? Eine Verteilerliste kopiert eingehende Mails in die persönlichen Postfächer der Mitglieder und speichert selbst nichts. Damit ist nach zwei Wochen niemand mehr in der Lage zu sagen, wer geantwortet hat.

Die Faustregel für KMU: Kundenkontakt gehört ins freigegebene Postfach, interne Ankündigungen in eine Verteilerliste, projektbezogene Zusammenarbeit mit Dateien eher in eine Microsoft 365 Gruppe. Mischformen wie eine Verteilerliste plus Weiterleitungsregeln erzeugen erfahrungsgemäß doppelte Antworten und lassen sich kaum sauber dokumentieren.

Typische Team-Postfächer: info@, support@, buchhaltung@

Drei Adressen decken in kleineren Unternehmen den größten Teil des Bedarfs ab. info@ ist der offizielle Erstkontakt und steht meist im Impressum, support@ bündelt technische Anfragen mit Bearbeitungsstatus, und buchhaltung@ nimmt Rechnungen sowie Zahlungsbelege entgegen. Rechtlich relevante Adressen wie datenschutz@ oder widerruf@ kommen je nach Geschäftsmodell dazu.

Wichtig bei buchhaltung@: Dort landen die größten Anhänge, entsprechend schnell wächst das Postfach. Wer eingehende Rechnungen ohnehin in ein Dokumentenmanagement überführt, sollte das Team-Postfach als Durchlaufstation behandeln und nicht als Langzeitarchiv. Grundlegende Fragen zur Infrastruktur dahinter behandele ich im Hosting-Hub.

Lizenzierung und Speicher: 50 GB gratis, 100 GB mit Exchange Online Plan 2

Ein freigegebenes Postfach in Microsoft 365 bietet laut Microsoft Learn standardmäßig bis zu 50 GB Speicherplatz, ohne dass dem Postfach selbst eine Lizenz zugewiesen werden muss. Wird diese Grenze überschritten, ist zwingend eine Exchange Online Plan 2-Lizenz erforderlich, die das Limit auf 100 GB anhebt. Beide Werte beziehen sich auf das Postfach als Objekt, nicht auf die Zahl der zugreifenden Personen.

Eine Lizenz brauchst du außerdem, sobald du auf dem Postfach zusätzliche Funktionen aktivieren willst: ein Online-Archiv, Aufbewahrungsrichtlinien oder einen In-Place-Hold. Diese Features hängen an der Lizenz, nicht am Speicherverbrauch. Wer also aus Compliance-Gründen ein rechtssicheres Archiv für info@ braucht, kommt an der Zuweisung nicht vorbei.

Wann zugreifende Benutzer eine eigene M365-Lizenz brauchen

Jeder Mitarbeitende, der auf ein freigegebenes Postfach zugreift, benötigt eine eigene lizenzierte Microsoft 365- beziehungsweise Exchange-Mitgliedschaft. Darauf weist LessLicense in seiner Übersicht zu den Lizenzanforderungen hin: Das Postfach gewährt unlizenzierten Nutzern keinen kostenlosen Zugang.

Praktisch bedeutet das: Zehn Servicekräfte mit E5-, E3- oder Business-Standard-Lizenz können ein und dasselbe Team-Postfach ohne Zusatzkosten nutzen. Ein Aushilfskonto ohne Lizenz dagegen darf sich nicht darüber anmelden, auch nicht indirekt über einen freigegebenen Client-PC. Diese Lücke fällt in Audits regelmäßig auf, weil sie technisch oft trotzdem funktioniert.

Was passiert beim Überschreiten des 50-GB-Limits

Erreicht ein unlizenziertes freigegebenes Postfach die 50-GB-Grenze, kann es laut Microsoft Learn keine neuen E-Mails mehr senden. Nach einiger Zeit wird auch der Empfang gestoppt, und Absender erhalten eine Unzustellbarkeitsmeldung. Für ein Postfach im Impressum ist das ein echter Geschäftsausfall, weil externe Anfragen ohne interne Warnmeldung abprallen.

Drei Gegenmaßnahmen greifen zuverlässig: eine Exchange Online Plan 2-Lizenz zuweisen und damit auf 100 GB gehen, ein Online-Archiv aktivieren und alte Nachrichten automatisiert dorthin verschieben, oder Anhänge konsequent in ein Dateisystem auslagern. Reines Löschen im Ordner Gelöschte Elemente hilft nur begrenzt, weil der Papierkorb weiter auf das Kontingent zählt, bis er geleert wird.

Exchange Shared Mailbox einrichten: drei Wege im Vergleich

Für die Einrichtung gibt es drei Oberflächen, die sich in Tempo und Detailtiefe unterscheiden: das Microsoft 365 Admin Center für den Standardfall, das Exchange Admin Center für erweiterte Postfacheinstellungen und Exchange Online PowerShell für Massenanlage und Automatisierung. Funktional führen alle drei zum selben Objekt in Exchange Online.

Schritt für Schritt im Microsoft Admin Center

Im Microsoft Admin Center findest du den Einstieg unter Teams und Gruppen, dann Freigegebene Postfächer. Über die Schaltfläche zum Hinzufügen vergibst du einen Anzeigenamen sowie die gewünschte E-Mail-Adresse, etwa [email protected]. Das Postfach wird angelegt, ein zugehöriges Entra-ID-Konto entsteht automatisch im deaktivierten Zustand.

Direkt danach folgt der zweite Schritt: Mitglieder hinzufügen. Alle ausgewählten Personen erhalten damit Vollzugriff, und in Outlook wird das Postfach über Automapping automatisch eingeblendet. Bis die Anzeige im Client erscheint, vergeht abhängig von Cache und Autodiscover häufig etwas Zeit; ein Neustart des Clients beschleunigt das.

Prüfe vor der Freigabe an die Fachabteilung noch zwei Punkte: ob die Adresse als primäre SMTP-Adresse gesetzt ist und ob eine Testmail von extern tatsächlich ankommt. Gerade bei frisch verbundenen Domains scheitert das an fehlenden MX- oder SPF-Einträgen, nicht am Postfach.

Erweiterte Einstellungen im Exchange Admin Center

Das Exchange Admin Center ist die richtige Oberfläche, sobald es über die Grundanlage hinausgeht. Unter Empfänger und Postfächer öffnest du das freigegebene Postfach und findest dort Optionen, die im vereinfachten Admin Center fehlen: zusätzliche E-Mail-Aliase, Nachrichtengrößenbeschränkungen, Zustellungsoptionen mit Weiterleitung und die Einstellung, ob das Postfach im globalen Adressbuch erscheint.

Ein häufig übersehener Schalter betrifft die Absenderprüfung: Standardmäßig darf ein Team-Postfach Nachrichten von allen Absendern annehmen. Für interne Adressen wie personal-intern@ kann es sinnvoll sein, den Empfang auf authentifizierte Absender aus der eigenen Organisation zu beschränken. Diese Einstellung sitzt in den Nachrichtenflussoptionen des jeweiligen Postfachs.

Exchange Shared Mailbox per Exchange Online PowerShell anlegen

Für mehrere Postfächer auf einmal ist Exchange Online PowerShell schneller und vor allem reproduzierbar. Nach der Verbindung mit Connect-ExchangeOnline legt ein einzelner Befehl das Objekt an:

New-Mailbox -Shared -Name "Info Team" -DisplayName "Info Team" -Alias info -PrimarySmtpAddress [email protected]

Berechtigungen folgen im zweiten Schritt und lassen sich in derselben Sitzung setzen:

Add-MailboxPermission -Identity [email protected] -User [email protected] -AccessRights FullAccess -InheritanceType All
Add-RecipientPermission -Identity [email protected] -Trustee [email protected] -AccessRights SendAs -Confirm:$false

Der Vorteil gegenüber der Klickstrecke zeigt sich bei der Dokumentation: Ein Skript im Versionsverwaltungssystem beschreibt exakt, wer wann welche Rechte bekommen hat. Bei einer Prüfung ist das deutlich belastbarer als ein Screenshot aus dem Admin Center. Für die Abfrage bestehender Rechte reicht Get-MailboxPermission -Identity [email protected].

Berechtigungen der Exchange Shared Mailbox richtig vergeben

Vollzugriff und Senderecht sind zwei getrennte Berechtigungen, und genau das führt zu den meisten Supportfällen. Wer nur FullAccess besitzt, kann alle Nachrichten lesen, bearbeiten und Ordner anlegen, beim Versuch einer Antwort unter der Team-Adresse aber eine Fehlermeldung erhalten. In der englischsprachigen Microsoft-Dokumentation läuft das Thema unter Shared Mailbox Permissions.

Die Wahl zwischen SendAs und SendOnBehalf ist eine Kommunikationsentscheidung, keine technische. Im Kundenkontakt wirkt der Zusatz im Auftrag von häufig unpassend, intern schafft er Klarheit über die tatsächliche Absenderin. Beide Rechte gleichzeitig zu vergeben, führt zu unvorhersehbarem Verhalten und sollte vermieden werden. Set-Mailbox -Identity [email protected] -GrantSendOnBehalfTo [email protected] setzt die zweite Variante.

Gesendete und gelöschte Elemente korrekt ablegen

Standardmäßig speichert Exchange Online Antworten aus einem freigegebenen Postfach im Ordner Gesendete Elemente des sendenden Benutzers, nicht im Team-Postfach. Für ein Support-Postfach ist das ein Problem: Der Verlauf eines Vorgangs ist dann über mehrere private Postfächer verstreut, und Kolleginnen sehen nicht, ob bereits geantwortet wurde. Zwei PowerShell-Parameter beheben das dauerhaft:

Set-Mailbox -Identity [email protected] -MessageCopyForSentAsEnabled $true -MessageCopyForSendOnBehalfEnabled $true

Danach legt Exchange zusätzlich eine Kopie der gesendeten Nachricht (Sent Items) im freigegebenen Postfach ab. Die Einstellung wirkt serverseitig und gilt damit unabhängig vom Client. Beim Verhalten gelöschter Nachrichten ist die Lage komplizierter: Hier entscheidet teilweise der Client, ob die Nachricht im Papierkorb des Benutzers oder des Team-Postfachs landet. In der klassischen Outlook-Version steuert das ein Registry-Wert, der pro Arbeitsplatz gesetzt werden muss. Teste das Verhalten deshalb mit den Clients, die im Unternehmen tatsächlich im Einsatz sind, statt es vorauszusetzen.

Automapping und Zugriff für Benutzer steuern

Automapping blendet ein freigegebenes Postfach automatisch in Outlook ein, sobald ein Benutzer Vollzugriff erhält. Das ist bequem, wird aber ab einer gewissen Anzahl von Postfächern zum Problem: Jedes zusätzliche eingebundene Postfach belastet das Outlook-Profil und verlängert Synchronisationszeiten spürbar. Bei Konten mit Zugriff auf viele Team-Postfächer lohnt es sich, die automatische Einbindung abzuschalten und das Postfach manuell als zusätzliches Konto zu hinterlegen:

Add-MailboxPermission -Identity [email protected] -User [email protected] -AccessRights FullAccess -InheritanceType All -AutoMapping:$false

Eine bereits erteilte Berechtigung lässt sich nicht nachträglich auf AutoMapping:$false umstellen. Du entfernst sie mit Remove-MailboxPermission und vergibst sie anschließend neu mit dem gesetzten Parameter. Plane diesen Schritt außerhalb der Kernarbeitszeit, weil das Postfach währenddessen kurzzeitig aus dem Client verschwindet.

Sicherheit: Warum das Entra-ID-Konto deaktiviert bleiben muss

Zu jedem freigegebenen Postfach gehört ein Benutzerkonto in Entra ID, ehemals Azure AD, und dieses Konto ist standardmäßig deaktiviert. Es sollte laut den in Microsoft-365-Best-Practices dokumentierten Empfehlungen auch niemals für direkte Logins aktiviert werden. Der Grund ist weniger technisch als organisatorisch: Ein aktives Konto mit geteiltem Passwort zerstört die Nachvollziehbarkeit.

Sobald sich fünf Personen mit denselben Zugangsdaten anmelden, zeigen die Anmeldeprotokolle nur noch das Team-Konto. Wer eine Rechnung freigegeben oder eine Kundenzusage verschickt hat, ist nicht mehr rekonstruierbar. Kommt es zu einem Vorfall, fehlt genau die Zuordnung, die eine Meldung nach Artikel 33 DSGVO verlangt. Passende Werkzeuge zur Dokumentation solcher Prozesse findest du in meiner Übersicht zu Sicherheits- und Datenschutz-Tools.

Praktischer Nebeneffekt der deaktivierten Variante: Du musst kein Passwort rotieren, wenn jemand das Unternehmen verlässt. Es reicht, die Postfachberechtigung zu entziehen, und der Zugriff ist beendet. Bei geteilten Zugangsdaten müsstest du dagegen alle verbleibenden Nutzer neu informieren.

Active Directory und On-Premises: was anders läuft

In einer reinen Cloud-Umgebung verwaltest du das Objekt komplett in Exchange Online. Läuft dagegen eine Hybridbereitstellung mit lokalem Active Directory, ist das On-Premises-AD die führende Quelle: Änderungen an Adressen oder Attributen musst du dort vornehmen, die Synchronisierung überträgt sie anschließend in die Cloud. Wer stattdessen direkt online ändert, riskiert, dass der nächste Sync-Lauf die Anpassung überschreibt.

Ein zweiter Unterschied betrifft die Berechtigungen. In hybriden Szenarien werden Postfachberechtigungen nicht in jedem Fall zwischen lokaler Organisation und Exchange Online übertragen, wenn Postfach und Benutzer auf unterschiedlichen Seiten liegen. Plane Migrationen deshalb so, dass ein Team-Postfach und seine Nutzer gemeinsam wechseln, und prüfe die Rechte nach dem Umzug erneut mit Get-MailboxPermission. Wer parallel eigene Serverdienste betreibt, findet Auswahlkriterien in meinem vServer-Vergleich.

Lokale Exchange-Server haben zudem einen eigenen Lebenszyklus: Ältere Versionen erreichen nach und nach ihr Supportende, womit Sicherheitsupdates entfallen. Für Anleitungen aus dem Netz heißt das, den Veröffentlichungsstand zu prüfen, bevor du Befehle aus einem Exchange-2016-Tutorial in einer Exchange-Online-Umgebung ausführst.

Exchange Postfach in eine Shared Mailbox umwandeln

Die Umwandlung eines Benutzerpostfachs in ein freigegebenes Postfach ist der Standardweg beim Austritt von Mitarbeitenden. Statt das Postfach zu löschen und die Adresse zu verlieren, konvertierst du es, entfernst anschließend die Lizenz und gibst dem Nachfolgeteam Vollzugriff auf den bestehenden Verlauf. Eingehende Mails an die alte Adresse landen weiterhin dort und gehen nicht verloren.

Im Microsoft 365 Admin Center findest du die Aktion in der Detailansicht des Benutzers unter der Postfach-Registerkarte. Per Skript reicht ein Befehl:

Set-Mailbox -Identity [email protected] -Type Shared

Drei Punkte sind nach der Konvertierung zu prüfen. Erstens die Postfachgröße: Liegt sie über 50 GB, brauchst du weiterhin eine Exchange Online Plan 2-Lizenz, sonst tritt der Sendestopp ein. Zweitens das Anmeldekonto: Es sollte in Entra ID deaktiviert werden, damit kein Restzugang bestehen bleibt. Drittens bestehende Regeln und Weiterleitungen im Postfach, die nach dem Austritt oft unerwünscht sind und leise weiterlaufen.

Eine Wartezeit solltest du einplanen. Die Umstellung wird nicht in jedem Fall sofort in allen Diensten sichtbar, und die Lizenz solltest du erst entfernen, wenn das Postfach im Admin Center tatsächlich als freigegebenes Postfach geführt wird. Wer zu früh entlizenziert, riskiert im ungünstigsten Fall den Verlust von Postfachinhalten nach Ablauf der Aufbewahrungsfrist für gelöschte Postfächer.

Best Practices für den Betrieb von Team-Postfächern

Der Betrieb entscheidet über den Nutzen, nicht die Einrichtung. Ein Team-Postfach ohne definierte Zuständigkeit produziert nach wenigen Wochen die klassische Situation, in der entweder alle oder niemand antwortet. Lege deshalb vor der Freigabe fest, wer in welchem Zeitfenster verantwortlich ist und wie der Bearbeitungsstand sichtbar gemacht wird, üblicherweise über Unterordner wie In Bearbeitung und Erledigt oder über Kategorien.

Zweiter Betriebsaspekt ist die Berechtigungshygiene. Rechte werden schnell vergeben und selten entzogen, sodass nach zwei Jahren häufig Personen Vollzugriff auf buchhaltung@ haben, die längst in einer anderen Abteilung arbeiten. Ein halbjährlicher Export über Get-MailboxPermission je Team-Postfach mit Abgleich gegen die Personalliste kostet wenig Zeit und schließt die häufigste Lücke. Für die Dokumentation solcher wiederkehrenden Prüfungen eignen sich die Werkzeuge aus meinem Überblick zu DSGVO-Software für KMU.

Dritter Punkt ist die Größe. Weil Anhänge in Team-Postfächern überproportional anfallen, gehört die Postfachgröße in dein Monitoring. Bewährt hat sich ein Schwellwert bei rund 80 Prozent des Kontingents, also etwa 40 GB im unlizenzierten Fall, verbunden mit einer klaren Entscheidung: Lizenz zuweisen, Archiv aktivieren oder Ablage in ein Dokumentenmanagement verlagern.

Wenn ein Team-Postfach mehr als etwa 50 Vorgänge am Tag verarbeitet, stößt das Modell an Grenzen. Ohne Ticketnummer und Statusfeld werden Doppelbearbeitungen wahrscheinlich, und Auswertungen zu Antwortzeiten sind nicht möglich. Dann ist ein Helpdesk- oder Servicedesk-System die passendere Lösung, während das freigegebene Postfach als Eingangskanal davor bestehen bleibt. Weitere Auswahlhilfen zu angrenzenden Sicherheitsthemen sammle ich im Compliance-Bereich.

Fazit: Exchange Shared Mailbox sauber aufsetzen

Ein Team-Postfach in Exchange Online ist schnell erstellt, der Aufwand liegt in den Details. Entscheidend sind vier Punkte: das 50-GB-Limit ohne Lizenz beziehungsweise 100 GB mit Exchange Online Plan 2, die eigene Microsoft-365-Lizenz jedes zugreifenden Mitarbeitenden, die getrennte Vergabe von Vollzugriff und Senderecht sowie das dauerhaft deaktivierte Entra-ID-Konto. Wer zusätzlich die Kopie gesendeter Elemente aktiviert und die Postfachgröße überwacht, verhindert die beiden häufigsten Ausfallursachen im Alltag.

Für den Start reicht das Microsoft 365 Admin Center vollkommen aus. Sobald mehrere Postfächer entstehen oder Berechtigungen nachvollziehbar dokumentiert werden sollen, ist der Weg über Exchange Online PowerShell die belastbarere Variante, weil jede Änderung als Skript reproduzierbar bleibt.