M365-Synchronisation

Die Synchronisation zwischen KlarKonform und Microsoft 365 stellt sicher, dass Benutzerdaten konsistent und aktuell sind. Das System verwendet ein pessimistisches Pattern, bei dem M365 immer die autoritative Datenquelle ist.

Synchronisationsmuster

Pessimistisches Pattern

Bei allen Schreiboperationen wird zuerst M365 aktualisiert, dann lokal synchronisiert:

┌─────────────────────────────────────────────────────────────────────┐
│              PESSIMISTISCHER SYNC-ABLAUF                            │
├─────────────────────────────────────────────────────────────────────┤
│                                                                     │
│  Benutzer            KlarKonform           Microsoft 365            │
│     │                    │                      │                   │
│     │  1. Anderung       │                      │                   │
│     │  anfordern         │                      │                   │
│     │ ──────────────────▶│                      │                   │
│     │                    │  2. In M365          │                   │
│     │                    │  schreiben           │                   │
│     │                    │ ────────────────────▶│                   │
│     │                    │                      │                   │
│     │                    │  3. Bestatigung      │                   │
│     │                    │◀────────────────────│                   │
│     │                    │                      │                   │
│     │                    │  4. Aktualisierte    │                   │
│     │                    │  Daten abrufen       │                   │
│     │                    │ ────────────────────▶│                   │
│     │                    │                      │                   │
│     │                    │  5. M365-Daten       │                   │
│     │                    │◀────────────────────│                   │
│     │                    │                      │                   │
│     │                    │  6. Lokal            │                   │
│     │                    │  speichern           │                   │
│     │                    │ ─────┐               │                   │
│     │                    │◀─────┘               │                   │
│     │                    │                      │                   │
│     │  7. Erfolg         │                      │                   │
│     │◀──────────────────│                      │                   │
│     │                    │                      │                   │
└─────────────────────────────────────────────────────────────────────┘

Warum pessimistisch?

Ansatz	Beschreibung	Risiko
Optimistisch	Lokal speichern, dann sync	Inkonsistenz bei M365-Fehler
Pessimistisch	M365 zuerst, dann lokal	Keine Inkonsistenz moglich

Das pessimistische Pattern garantiert:

Keine verwaisten lokalen Datensatze
SSO-Identitat stimmt immer uberein
Audit-Trail in M365 vollstandig

Synchronisationsarten

1. Bulk-Synchronisation

Synchronisiert alle M365-Benutzer eines Tenants.

Ausloeser:

Automatisch beim Onboarding
Manuell ueber Mitarbeiter > Von M365 synchronisieren

Ablauf:

Das System prueft alle M365-Benutzer
Fuer jeden Benutzer mit E-Mail-Adresse:
- Falls bereits vorhanden: Profil wird aktualisiert
- Falls neu: Benutzer wird angelegt
Rollen werden aus Security Groups synchronisiert
Synchronisation wird als abgeschlossen markiert

2. Einzel-Import

Importiert einen spezifischen M365-Benutzer.

Ablauf:

Verfugbare M365-Benutzer abrufen (nicht importierte)
Benutzer auswahlen
Profil aus M365 laden
Lokalen Benutzer erstellen

3. Profil-Update

Aktualisiert einen bestehenden Benutzer (pessimistisch).

Ablauf:

Anderungen validieren
Zuerst M365 aktualisieren
Dann aktualisierte Daten aus M365 abrufen
Zuletzt lokal speichern

Synchronisierte Felder

Synchronisierte Daten aus M365

Bei jeder Synchronisation werden folgende Daten aktualisiert:

Feld	Beschreibung
Anzeigename	Vollstaendiger Name
Vorname	Vorname
Nachname	Nachname
E-Mail-Adresse	Primaere E-Mail
Position	Stellenbezeichnung
Abteilung	Abteilungszuordnung
Mobilnummer	Mobiltelefon
Geschaeftstelefone	Bueronummern
Buerostandort	Office-Standort
Adresse	Strasse, Stadt, PLZ, Land
Bevorzugte Sprache	Spracheinstellung
Kontostatus	Aktiv oder deaktiviert

Nur in KlarKonform gespeichert

Diese Felder werden nicht mit M365 synchronisiert und muessen in KlarKonform gepflegt werden:

Feld	Beschreibung
Mitarbeitertyp	Beschaeftigungsart (Angestellter, Freelancer, etc.)
Mitarbeiterstatus	Interner Status (Aktiv, Ausgeschieden, etc.)
Remote-Mitarbeiter	Home-Office-Kennzeichnung
DSGVO ignorieren	DSGVO-Ausnahme-Kennzeichnung
DSGVO-Begruendung	Grund fuer Ausnahme
Eintrittsdatum	Beginn der Beschaeftigung
Austrittsdatum	Ende der Beschaeftigung

Rollen-Synchronisation

Rollen werden aus M365 Security Groups abgeleitet:

┌─────────────────────────────────────────────────────────────────┐
│              ROLLEN-MAPPING                                     │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  M365 Security Group              →    KlarKonform Rolle        │
│  ─────────────────────────────────────────────────────────────  │
│  KlarKonform-[Tenant]-Admin       →    Admin                    │
│  KlarKonform-[Tenant]-User        →    User                     │
│  KlarKonform-[Tenant]-HR          →    HR                       │
│  KlarKonform-[Tenant]-Accounting  →    Accounting               │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

Rollenzuweisung

Security Groups werden in M365/Entra ID verwaltet
Bei Sync werden Gruppenmitgliedschaften abgefragt
Lokale Rollen werden entsprechend aktualisiert
Mindestens Rolle "User" wird zugewiesen

Automatische Aktualisierungen

Nach jeder Profilaenderung werden automatisch folgende Aktionen ausgefuehrt:

Zwischengespeicherte Benutzerdaten werden aktualisiert
Aenderungen werden im Aktivitaetsprotokoll erfasst

Fehlerbehandlung

M365-Verbindungsfehler

Bei Verbindungsproblemen wird die Synchronisation automatisch mehrfach versucht. Falls kein gueltiges Admin-Token vorhanden ist, wird die Synchronisation verschoben.

Typische Fehler

Fehler	Ursache	Losung
"No valid admin token"	Token abgelaufen	Warten auf Erneuerung
"Access denied"	Fehlende Berechtigung	Admin-Consent prufen
"User not found"	Benutzer in M365 geloscht	Lokalen Benutzer prufen

Monitoring

Letzte Synchronisation

Die Ubersichtsseite zeigt den Zeitstempel der letzten Synchronisation:

┌─────────────────────────────────────────────┐
│ Mitarbeiter                                 │
├─────────────────────────────────────────────┤
│ Letzte Synchronisation: 02.02.2026, 10:30   │
└─────────────────────────────────────────────┘

Sync-Status pro Benutzer

Fuer jeden Benutzer wird der Zeitpunkt der letzten Synchronisation angezeigt.

Veraltete Daten: Benutzer, deren letzter Sync mehr als 24 Stunden zurueckliegt, sollten erneut synchronisiert werden.

Best Practices

Synchronisation planen

Aktion	Empfehlung
Initiale Einrichtung	Automatisch bei Onboarding
Laufender Betrieb	Wochentlich manuell oder bei Bedarf
Nach M365-Anderungen	Sofort synchronisieren
Bei Problemen	Einzelnen Benutzer reimportieren

Datenqualitat sicherstellen

In M365 pflegen: Stammdaten sollten in M365 gepflegt werden
Lokale Felder erganzen: DSGVO-Felder in KlarKonform erganzen
Regelmasig prufen: Sync-Status uberwachen

M365-Synchronisation

On this page