Microsoft 365 anbinden

• Ein Konto mit der Rolle Globaler Administrator (oder Administrator für privilegierte Rollen zusammen mit Exchange-Administrator).
• Einen Windows- oder Linux-Rechner mit Browser und PowerShell (Windows PowerShell 5.1 oder PowerShell 7).
• Die Liste der Personen, die in Mailefant Administrator (in der Regel Ihre IT) oder Prüfer (z. B. Steuerberatung, Betriebsprüfung) sein sollen.

Avamboo schickt Ihnen zwei Links, einen für die Anmelde-App Mailefant und einen für die Abruf-App Mailefant Sync. Öffnen Sie jeden Link, melden Sie sich als Administrator an und bestätigen Sie mit „Akzeptieren“. Damit erhält die jeweilige App die unten genannten Berechtigungen für Ihren Mandanten.

Die zwei Apps sind bewusst getrennt: Die Web-Oberfläche kennt nur die Anmelde-App und kann deshalb keine Postfächer lesen. Mails liest nur der Abrufdienst.

Mailefant ändert, versendet oder löscht keine Mail in den Postfächern Ihrer Mitarbeitenden.

Avamboo schickt Ihnen das Skript onboard-tenant.ps1 und den fertigen Befehl mit Ihren Angaben (Admins, Prüfer, Journal-Adresse). Sie installieren einmal die zwei Microsoft-Module und starten den Befehl:

Install-Module ExchangeOnlineManagement, Microsoft.Graph.Authentication -Scope CurrentUser
.\onboard-tenant.ps1 -AppId <von Avamboo> -SyncAppId <von Avamboo> -Slug <von Avamboo> `
    -Admins it@ihre-firma.de -Auditors steuerberatung@ihre-firma.de `
    -JournalAddress <von Avamboo>

Das Skript öffnet zweimal die normale Microsoft-Anmeldung im Browser (einmal für Microsoft Graph, einmal für Exchange Online) und erledigt dann:

1. Es prüft, ob die Zustimmung aus Schritt 1 vollständig ist. Fehlt etwas, zeigt es den Link erneut an und ändert nichts.
2. Es weist den genannten Personen die App-Rollen zu: Mailefant.Admin für Administratoren, Mailefant.Auditor für Prüfer. Wer keine Rolle hat, ist in Mailefant normaler Benutzer.
3. Für das Journal: Es legt ein freigegebenes Postfach für unzustellbare Journalberichte an (Exchange verlangt eines, bevor es eine Journalregel annimmt) und eine Journalregel, die zu jeder Mail einen Bericht an die Journal-Adresse von Mailefant schickt. Gibt es schon eine Journalregel an dieselbe Adresse, warnt es (jede Mail käme sonst doppelt).
4. Am Ende zeigt es Ihre Mandanten-ID und eine Zusammenfassung. Schicken Sie die Ausgabe an Avamboo.

Das Skript kann gefahrlos noch einmal laufen: Ist alles eingerichtet, meldet es no changes. Neue Rechte brauchen bei Microsoft manchmal bis zu einer Stunde, bis sie überall gelten.

Rollen später ändern: im Entra Admin Center unter Unternehmensanwendungen > Mailefant > Benutzer und Gruppen. Eine Änderung gilt ab der nächsten Anmeldung der Person.

• Legt Ihren Mandanten in Mailefant an und verbindet ihn mit Ihrem Microsoft-365-Mandanten. Anmeldungen werden nur aus Ihrem Mandanten angenommen, Journalberichte nur archiviert, wenn sie aus Ihrem Mandanten stammen.
• Richtet die Journal-Adresse ein (ein Empfänger auf dem Mailefant-Server, der nur Mails von Exchange Online annimmt).
• Schaltet den Abruf Ihrer Postfächer ein, auf Wunsch ohne bestimmte Postfächer.
• Überwacht Abruf und Journal und meldet sich, wenn etwas ausbleibt.

• Postfächer: alle Benutzer- und freigegebenen Postfächer (keine Gäste), alle Ordner einschließlich Junk-E-Mail und der wiederherstellbaren Elemente (was ein Benutzer endgültig gelöscht hat, solange Exchange es noch hält). Nicht archiviert werden Entwürfe und der Postausgang; eine versendete Mail wird aus „Gesendete Elemente“ archiviert. Der Abruf läuft alle 5 Minuten. Vorhandene Mails werden bei der Einrichtung vollständig übernommen.
• Journal: jede Mail, die Exchange Online ab dem Einschalten der Journalregel transportiert, unverändert, mit allen tatsächlichen Empfängern einschließlich Bcc und aufgelöster Verteilerlisten. Diese Empfängerliste sehen nur Administratoren und Prüfer.

Online-Archive (Archivpostfächer) übernimmt Avamboo auf Wunsch einmalig bei der Einrichtung, mit einer eigenen App, die danach wieder entfernt wird: Sie erhalten dafür einen dritten Zustimmungslink und den Befehl für das Skript mit dem Zusatz -ArchiveImport. Das Skript legt dann ein verstecktes Arbeitspostfach an, über das die Archive kopiert werden. Die App darf die Archive lesen und exportieren, schreiben und löschen darf sie nur in diesem Arbeitspostfach. Nach der Übernahme entfernt derselbe Befehl mit -RemoveArchiveImport Postfach und Rechte wieder.

Ihre Mitarbeitenden öffnen die Mailefant-Adresse, die Avamboo Ihnen nennt, und klicken auf Mit Microsoft anmelden. Es gelten Ihre Regeln aus Entra ID (Mehrfaktor-Anmeldung, Kennwortregeln, gesperrte Konten).

Was jemand sieht, hängt von seiner App-Rolle ab: Benutzer sehen nur ihre eigenen Mails und die Suche, Administratoren und Prüfer zusätzlich „Aufbewahrung“ und „Zugriffsprotokoll“ (siehe Im Archiv suchen und Export für die Betriebsprüfung).

Hinweise:

• Gastkonten (B2B) können sich nicht anmelden. Ein externer Prüfer braucht ein normales Konto in Ihrem Entra ID.
• Eine Sitzung endet nach 30 Minuten ohne Aktivität, spätestens nach 12 Stunden.
• Mitarbeitende, die das Unternehmen verlassen: Konto in Entra ID sperren. Wenn es sofort wirken soll, sagen Sie Avamboo Bescheid; Avamboo sperrt das Konto dann zusätzlich in Mailefant. Die Mails bleiben archiviert.