Dieser Artikel führt Administratoren durch die Aktivierung des Microsoft 365-Connectors für ihre Organisation in Claude – einschließlich der Gewährung von Microsoft Entra-Zustimmung, der Beschränkung des Zugriffs und der Verwaltung von Berechtigungen. Nach Abschluss der Einrichtung können Personen in Ihrem Mandanten Microsoft 365 mit ihren eigenen Claude-Konten verbinden, um in Claude nach SharePoint, OneDrive, Outlook und Teams zu suchen. Sie können auch Schreib-Tools aktivieren, mit denen Claude E-Mails senden, Kalenderereignisse verwalten, Dateien erstellen und aktualisieren sowie Teams-Nachrichten im Namen eines Mitglieds senden kann.
Der Microsoft 365-Connector ist in allen Claude-Plänen verfügbar: Free, Pro, Max, Ultra, Team und Enterprise.
Anweisungen für Endbenutzer zum Verbinden und Verwenden von Microsoft 365 nach Abschluss der Einrichtung finden Sie unter Mit Microsoft 365 verbinden.
Wichtig: Dieser Artikel behandelt Geschäfts- und Schulkonten, die einen Microsoft Entra-Mandanten erfordern. Persönliche Microsoft-Konten benötigen keine Admin-Einrichtung und werden nicht in Team- und Enterprise-Plänen angezeigt. Weitere Informationen finden Sie unter Mit Microsoft 365 verbinden.
Übersicht über die Einrichtung
Zwei Dinge müssen geschehen, bevor jemand in Ihrer Organisation Microsoft 365 verbinden kann, plus ein optionaler dritter Schritt, wenn Sie Schreib-Tools aktivieren möchten:
In Team- und Enterprise-Plänen: Ein Claude-Organisationseigentümer aktiviert den Microsoft 365-Connector für die Organisation.
In jedem Mandanten: Ein Microsoft Entra Global Administrator erteilt eine einmalige Zustimmung, die die Integration für Ihren Mandanten autorisiert.
So aktivieren Sie Schreib-Tools: Ein Microsoft Entra-Administrator stimmt dem aktualisierten Berechtigungssatz zu, und Sie aktivieren Schreib-Tools für Ihre Organisation. Siehe Schreib-Tools aktivieren unten.
Nach Abschluss dieser Schritte können Mitglieder Microsoft 365 mit ihren eigenen Claude-Konten verbinden, indem sie die Schritte unter Mit Microsoft 365 verbinden befolgen.
Aktivieren Sie den Connector für Ihre Organisation
Dieser Schritt gilt nur für Team- und Enterprise-Pläne. Überspringen Sie bei Free-, Pro-, Max- und Ultra-Plänen zum nächsten Abschnitt.
Melden Sie sich bei Claude an.
Navigieren Sie zu Organisationseinstellungen > Connectors.
Klicken Sie oben auf der Seite auf „+ Hinzufügen
Suchen Sie Microsoft 365 und klicken Sie auf „Zu Ihrem Team hinzufügen
Microsoft Entra-Administratorzustimmung erteilen
Ein Microsoft Entra Global Administrator in Ihrem Mandanten muss die Integration autorisieren, bevor jemand eine Verbindung herstellen kann. Es gibt zwei Möglichkeiten, dies zu tun.
Option 1: Zustimmung über Claude
Wenn Ihr Microsoft Entra Global Administrator ein Claude-Konto hat, kann er während des standardmäßigen Verbindungsflusses Zustimmung erteilen:
Navigieren Sie zu Anpassen > Connectors.
Suchen Sie Microsoft 365 und klicken Sie auf „Verbinden
Wählen Sie „Geschäfts- oder Schulkonto
Authentifizieren Sie sich mit Microsoft 365-Anmeldedaten.
Überprüfen und akzeptieren Sie die angeforderten Berechtigungen, indem Sie das Kontrollkästchen aktivieren, um Zugriff im Namen der gesamten Organisation zu gewähren.
Danach können andere Personen im selben Entra-Mandanten eine Verbindung herstellen, indem sie die standardmäßigen Schritte für Endbenutzer befolgen. Sie sehen die Zustimmungsaufforderung nicht – sie authentifizieren sich einfach und beginnen, die Integration zu nutzen.
Option 2: Manuelle Einrichtung in Microsoft Entra ID
Verwenden Sie diesen Pfad, wenn Ihr Microsoft Entra Global Administrator kein Claude-Konto hat oder wenn Sie die App-Installation und Berechtigungseinrichtung beheben müssen. Sie können die Connector-Apps hinzufügen und die Administratorzustimmung direkt in Microsoft Entra ID erteilen.
Dieser Prozess fügt zwei Service-Prinzipale zu Ihrem Mandanten hinzu. Jeder Prinzipal stellt eine Identität auf Serviceebene für eine der beiden M365 MCP für Claude-App-Registrierungen her, sodass diese auf die Daten und Ressourcen Ihrer Organisation über die Microsoft Graph API zugreifen und mit ihnen interagieren können.
1. Fügen Sie die Service-Prinzipale hinzu
Fügen Sie mit Microsoft Graph Explorer beide erforderlichen Service-Prinzipale hinzu:
M365 MCP Client for Claude:
POST https://graph.microsoft.com/v1.0/servicePrincipals
{"appId":"08ad6f98-a4f8-4635-bb8d-f1a3044760f0"}
M365 MCP Server for Claude:
POST https://graph.microsoft.com/v1.0/servicePrincipals
{"appId":"07c030f6-5743-41b7-ba00-0a6e85f37c17"}
2. Administratorzustimmung erteilen
Erstellen Sie die folgenden URLs und besuchen Sie sie in Ihrem Browser, und ersetzen Sie {your-tenant-id} durch die Mandanten-ID Ihrer Organisation.
M365 MCP Client for Claude:
https://login.microsoftonline.com/{your-tenant-id}/adminconsent?client_id=08ad6f98-a4f8-4635-bb8d-f1a3044760f0
M365 MCP Server for Claude:
https://login.microsoftonline.com/{your-tenant-id}/adminconsent?client_id=07c030f6-5743-41b7-ba00-0a6e85f37c17Wenn Sie jede URL besuchen, werden Sie aufgefordert, den delegierten Berechtigungen zuzustimmen, die von der Integration im Namen Ihrer Organisation erforderlich sind.
3. Einrichtung abschließen
Team- und Enterprise-Pläne: Ein Claude-Organisationseigentümer muss den Connector in Organisationseinstellungen > Connectors aktivieren. Dann können sich Mitglieder einzeln verbinden.
Free-, Pro-, Max- und Ultra-Pläne: Mitglieder können eine Verbindung herstellen, indem sie zu Anpassen > Connectors navigieren, Microsoft 365 suchen und auf „Verbinden
Beschränken Sie, wer den Connector verwenden kann
Um zu begrenzen, welche Personen in Ihrem Mandanten sich über Claude bei Microsoft 365 authentifizieren können:
Gehen Sie zum Microsoft Entra Admin Center unter entra.microsoft.com.
Navigieren Sie zur Unternehmensanwendung M365 MCP Server for Claude.
Gehen Sie zu Eigenschaften und setzen Sie Zuweisung erforderlich? auf „Ja
Fügen Sie unter Benutzer und Gruppen die spezifischen Benutzer oder Gruppen hinzu, die Zugriff haben sollen.
Wiederholen Sie die gleichen Schritte für die Unternehmensanwendung M365 MCP Client for Claude.
Beide Komponenten müssen auf denselben Satz autorisierter Personen beschränkt werden.
Einschränken, welche Berechtigungen der Connector verwenden kann
Um einzuschränken, auf welche Ressourcentypen die Integration zugreifen kann, widerrufen Sie selektiv Berechtigungen aus dem Standardsatz autorisierter Bereiche. Dies erfordert Microsoft Entra-Administratorzugriff.
Gehen Sie als Microsoft Entra-Administrator zu entra.microsoft.com.
Wählen Sie "Unternehmensanwendungen" aus.
Entfernen Sie neben dem Suchfeld den Filter für den Anwendungstyp.
Suchen Sie nach "M365 MCP Server for Claude" und klicken Sie darauf.
Gehen Sie zu Berechtigungen.
Wählen Sie auf der Registerkarte Administratorzustimmung in der Microsoft Graph-Berechtigungsliste die Berechtigung aus, die Sie widerrufen möchten, und klicken Sie auf die Schaltfläche "…".
Wählen Sie "Berechtigung widerrufen" und bestätigen Sie mit "Ja, widerrufen".
Nach dem Widerruf geben Versuche, auf eine Ressource mit dieser Berechtigung zuzugreifen, einen Fehler "Fehler beim Aufrufen des Tools" zurück.
Mitglieder können auch einzelne Tools in ihren eigenen Microsoft 365-Einstellungen deaktivieren, um zu verhindern, dass Claude versucht, auf ein Tool zuzugreifen, für das die Berechtigung widerrufen wurde.
Um eine widerrufene Berechtigung wiederherzustellen, führen Sie die Schritte zum Erteilen der Administratorzustimmung aus, die in Option 2: Manuelle Einrichtung in Microsoft Entra ID beschrieben sind. Dies setzt die Berechtigungen auf den Standardzustand zurück.
Schreib-Tools aktivieren
Schreib-Tools ermöglichen es Claude, E-Mails zu versenden, Entwürfe und Kalenderereignisse zu verwalten, Postfacheinstellungen zu aktualisieren und Dateien in OneDrive und SharePoint zu erstellen und zu aktualisieren sowie Nachrichten in Microsoft Teams zu versenden. Lese- und Suchtools funktionieren gleich, unabhängig davon, ob Schreib-Tools aktiviert sind.
1. Erneut den aktualisierten Berechtigungen zustimmen
Der Berechtigungssatz des Connectors umfasst nun zusätzliche Microsoft Graph-Bereiche zur Unterstützung von Schreib-Tools. Wenn Ihr Mandant vor dem Start der Schreib-Tools oder der Teams-Schreib-Tools zugestimmt hat, muss ein Microsoft Entra Global Administrator den aktualisierten Berechtigungssatz überprüfen und genehmigen, bevor die Schreib-Tools aktiviert werden. Überprüfen und genehmigen Sie die aktualisierten Berechtigungen für den Connector im Zustimmungsfluss Unternehmensanwendungen Ihres Mandanten.
2. Schreib-Tools für Ihre Organisation aktivieren
Gehen Sie zu Organisationseinstellungen > Connectors, suchen Sie "Microsoft 365" und wählen Sie für jedes Schreib-Tool eine Einstellung: Immer zulassen, Genehmigung erforderlich oder Blockiert. Ihre Änderungen werden sofort nach dem Speichern angewendet. Enterprise-Pläne können Schreib-Tools für eine Teilmenge von Benutzern über benutzerdefinierte Rollen aktivieren.
Für Microsoft Teams legen Sie jedes Teams-Schreib-Tool einzeln fest: Die Tools zum Versenden, Posten und Antworten können auf Genehmigung erforderlich oder Blockiert eingestellt werden (Mitglieder bestätigen jeden Versand), und das Starten eines neuen Chats kann auch auf Immer zulassen eingestellt werden. Wenn Ihre Organisation den Microsoft 365-Connector zum ersten Mal nach dem 9. November 2026 hinzugefügt hat, können die Tools zum Versenden, Posten und Antworten auch auf Immer zulassen eingestellt werden, und Mitglieder können dann Immer zulassen dafür wählen. Das Entfernen und erneute Hinzufügen des Connectors behält normalerweise das ursprüngliche Installationsdatum Ihrer Organisation bei.
Wenn Sie eine Benachrichtigung zu diesen Tools sehen, können Sie sie jetzt in Schreib-Tools überprüfen, in Tool-Einschränkungen überprüfen oder auf der Registerkarte Tools auf Immer zulassen setzen. Die Beschränkung endet sofort für jedes Tool, das Sie auf Immer zulassen setzen, und Mitglieder können dann Immer zulassen dafür wählen. Einige Mitglieder haben möglicherweise in der Vergangenheit Immer zulassen für dieses Tool gewählt. Diese frühere Wahl kann sofort wirksam werden, damit Claude sie nicht mehr fragen muss. Claude fragt alle anderen standardmäßig, bis sie es wählen.
Wenn Sie mehr als einen Microsoft 365-Connector haben, speichern Sie das Tool auf jedem. Ein Immer zulassen, das vor dem 9. November 2026 gespeichert wurde, beendet die Beschränkung nicht, bis Sie es erneut speichern. Für die übrigen Tools müssen Mitglieder jeden Einsatz noch genehmigen, bis die Beschränkung am oder nach dem 9. Dezember 2026 aufgehoben wird. Alle diese Tools, die Sie bis dahin nicht eingestellt haben, werden auf Genehmigung erforderlich geändert, es sei denn, der gesamte Connector ist auf Blockiert eingestellt.
Änderungen, die Sie speichern, werden sofort angewendet. Ein Tool, das auf Immer zulassen eingestellt ist, wird sofort aktiviert, wenn es standardmäßig blockiert war. Mit Immer zulassen kann Claude ein Tool verwenden, ohne vorher jemanden zu fragen, auch im Modus "Automatisch genehmigen" und in einigen geplanten Aufgaben, z. B. einer Cloud-geplanten Aufgabe, die auf "Automatisch genehmigen" eingestellt ist, oder einer Claude Code-Routine. Geplante Aufgaben können den Zugriff auf Tools mit Genehmigung erforderlich verlieren. In Cowork können Mitglieder Immer zulassen für Schreib-Tools nur wählen, wenn die Organisationseinstellung "Immer zulassen" für Connector-Tools zulassen aktiviert ist.
Das Setzen der Standardbeschränkung eines Connectors auf Keine Beschränkung aktiviert kein Tool, das standardmäßig blockiert ist.
Organisationen, die HIPAA aktiviert haben, sind nicht Teil dieser Änderungen an Standardblöcken und Beschränkungen: Sie erhalten keine Benachrichtigung, und weder das Setzen auf Immer zulassen noch das erstmalige Hinzufügen des Connectors beendet diese Beschränkung.
Wenn Ihre Team- oder Enterprise-Organisation den Connector vor dem 9. November 2026 hinzugefügt hat, gelten zwei Beschränkungen bis mindestens zum 9. Dezember 2026:
Wenn Ihre Organisation den Connector vor dem Start der Schreib-Tools oder der Teams-Schreib-Tools verwendet hat, sind einige Schreib-Tools bis mindestens zum 9. Dezember 2026 standardmäßig blockiert. Um sie früher zu aktivieren, gehen Sie zu Organisationseinstellungen > Connectors, suchen Sie "Microsoft 365" und wählen Sie für jedes Tool eine Einstellung. Am oder nach dem 9. Dezember 2026 wird jedes Tool, das noch standardmäßig blockiert ist, auf Genehmigung erforderlich eingestellt, es sei denn, der gesamte Connector ist auf Blockiert eingestellt. Wenn eines dieser Tools zu den 11 Outlook-, Kalender- und Teams-Tools mit einer Beschränkung gehört, die Anthropic am oder nach diesem Datum aufhebt, können Sie es jetzt auf Immer zulassen setzen. Es wird sofort aktiviert. Sobald es auf jedem Ihrer Microsoft 365-Connectors gespeichert ist, endet die Beschränkung für dieses Tool, und Mitglieder können Immer zulassen dafür wählen. Claude kann es dann verwenden, ohne vorher jemanden zu fragen, auch im Modus "Automatisch genehmigen" und in einigen geplanten Aufgaben, z. B. einer Cloud-geplanten Aufgabe, die auf "Automatisch genehmigen" eingestellt ist, oder einer Claude Code-Routine. Geplante Aufgaben können den Zugriff auf Tools mit Genehmigung erforderlich verlieren. Organisationen, die HIPAA aktiviert haben, sind nicht Teil dieser Änderungen an Standardblöcken und Beschränkungen. Enterprise-Pläne können Schreib-Tools für eine Teilmenge von Benutzern über benutzerdefinierte Rollen aktivieren.
Benutzer können Immer zulassen für 11 Tools nicht wählen, daher bestätigen sie jeden Einsatz im Chat und in Cowork. Dies sind die Tools, die E-Mails oder Teams-Nachrichten versenden, Kalenderereignisse erstellen, ändern, löschen oder beantworten oder automatische Antworten einrichten. Das Starten eines neuen Teams-Chats gehört nicht dazu und kann auf Immer zulassen eingestellt werden.
Beide Beschränkungen enden am oder nach dem 9. Dezember 2026. Siehe Am oder nach dem 9. Dezember 2026: Änderungen an Schreib-Tools unten.
3. Überprüfen
Bitten Sie Claude nach der Aktivierung, eine risikoarme Schreibaktion auszuführen, z. B. "Entwerfen Sie eine E-Mail für mich, versenden Sie sie aber nicht", um zu bestätigen, dass Schreib-Tools aktiv sind.
Hinweis: E-Mails, die Claude versendet, enthalten einen Attributions-Header, der sie als agentinitiert kennzeichnet. Dateischreibvorgänge, Kalenderschreibvorgänge und Teams-Nachrichten sind derzeit nicht gekennzeichnet. Wenn Claude ein Kalenderereignis erstellt oder aktualisiert, sendet Microsoft 365 automatisch eine Einladung oder Aktualisierungsmitteilung an die Teilnehmer. Anhänge werden in Schreib-Tools nicht unterstützt, daher lehnen Versenden, Weiterleiten und Entwerfen alle Nachrichten mit Anhängen ab. Schreib-Tools unterliegen auch Beschränkungen pro Benutzer für Schreibvorgänge, Versendungen und Empfänger.
Am oder nach dem 9. Dezember 2026: Änderungen an Schreib-Tools
Dies gilt für Team- und Enterprise-Organisationen, die den Microsoft 365-Connector vor dem 9. November 2026 hinzugefügt haben.
Am oder nach dem 9. Dezember 2026 hebt Anthropic eine Beschränkung für 11 Tools auf. Bis dahin fragt Claude Benutzer im Chat und in Cowork vor jedem Einsatz dieser Tools.
Die 11 Tools:
Outlook: E-Mail versenden, E-Mail weiterleiten, Entwurf versenden, automatische Antworten einrichten
Kalender: Ereignis erstellen, ändern, löschen oder beantworten
Teams: Chat-Nachricht versenden, in einem Kanal posten, in einem Kanal antworten
Was Sie jetzt tun können:
Wählen Sie eine Einstellung für jedes Schreib-Tool. Ihre Änderungen werden sofort nach dem Speichern angewendet.
Wenn Sie eine Benachrichtigung zu diesen Tools sehen, können Sie sie jetzt auf Immer zulassen setzen. Benutzer müssen jeden Einsatz noch genehmigen, bis die Beschränkung aufgehoben wird.
Ein blockiertes Tool wird sofort aktiviert, wenn Sie es auf Immer zulassen oder Genehmigung erforderlich setzen.
Eine Cloud-geplante Aufgabe, die auf Automatisch genehmigen eingestellt ist, oder eine Claude Code-Routine kann ein Tool verwenden, das auf Immer zulassen eingestellt ist, ohne jemanden zu fragen. Geplante Aufgaben können den Zugriff auf Tools mit Genehmigung erforderlich verlieren.
Wenn die Beschränkung aufgehoben wird:
Alle 11 Tools, die Sie nicht einzeln eingestellt haben, werden auf Genehmigung erforderlich eingestellt, auch wenn die Standardbeschränkung des Connectors Keine Beschränkung ist.
Einstellungen, die Sie gespeichert haben, werden beibehalten. Ein Tool, das Sie auf Blockiert eingestellt haben, bleibt Blockiert.
Benutzer können Immer zulassen für eines dieser Tools nur wählen, wenn Sie dieses Tool auf Immer zulassen eingestellt haben. In Cowork muss auch "Immer zulassen" für Connector-Tools zulassen aktiviert sein. Dies ist standardmäßig deaktiviert.
Schreib-Tools, die noch standardmäßig blockiert sind und die Sie nicht geändert haben, werden aktiviert und auf Genehmigung erforderlich eingestellt. Um ein Tool deaktiviert zu lassen, setzen Sie es auf Blockiert.
Wenn Sie den gesamten Connector auf Blockiert eingestellt haben, bleiben seine Tools blockiert.
Das Entfernen und erneute Hinzufügen des Connectors hebt die Beschränkung nicht auf. Organisationen, die den Connector zum ersten Mal nach dem 9. November 2026 hinzufügen, haben sie nicht.
Berechtigungsreferenz
Der Microsoft 365-Connector verwendet delegierte Berechtigungen, was bedeutet, dass Claude im Namen jedes einzelnen Benutzers handelt und nur auf Daten zugreifen kann, die dieser Benutzer bereits in Microsoft 365 einsehen darf. Berechtigungen sind standardmäßig schreibgeschützt. Claude kann Inhalte nur senden, erstellen oder aktualisieren, wenn Sie Schreib-Tools aktivieren.
Während der Authentifizierung fordert die Integration die folgenden Berechtigungen an:
Grundlegender Zugriff
User.Read: Anmelden und Benutzerprofil lesenopenid: Mit Organisationskonto anmeldenoffline_access: Datenzugriff aufrechterhaltenemail: E-Mail-Adresse anzeigenprofile: Grundlegende Profilinformationen anzeigen
E-Mail (Outlook)
Mail.Read: E-Mail-Nachrichten lesenMail.ReadBasic: E-Mail-Metadaten lesen (Absender, Betreff, Datum)Mail.Read.Shared: E-Mails in Postfächern lesen, auf die der Benutzer Zugriff hatHinweis: Der Zugriff auf freigegebene Postfächer ist über die Berechtigung
Mail.Read.Sharedenthalten. Benutzer können freigegebene Postfächer, auf die sie Delegatenzugriff haben, in Microsoft 365 durchsuchen, einschließlich Vollzugriff und Zugriff auf Ordnerebene. Es ist keine Einrichtung erforderlich, die über die standardmäßige Admin-Zustimmung und die bereits in Microsoft 365 konfigurierten delegierten Berechtigungen hinausgeht.
MailboxFolder.Read: Postfachordnerstruktur lesenMailboxItem.Read: Elemente im Postfach lesenMailboxSettings.Read: Postfacheinstellungen lesen, z. B. die Zeitzone des Benutzers
Hinweis: Die E-Mail-Suche umfasst das primäre Postfach jedes Benutzers, einschließlich des Archivordners, und alle freigegebenen Postfächer, auf die er zugreifen kann. Sie deckt das separate Online-Archivpostfach (auch In-Place Archive genannt) nicht ab, daher werden Nachrichten, die eine Aufbewahrungsrichtlinie dorthin verschoben hat, nicht in den Ergebnissen angezeigt.
Kalender
Calendars.Read: Kalenderereignisse lesenCalendars.Read.Shared: Mit dem Benutzer freigegebene Kalender lesen
Teams-Chat
Chat.Read: Teams-Chatnachrichten lesenChat.ReadBasic: Teams-Chat-Metadaten lesenChatMember.Read: Informationen über Chat-Teilnehmer lesenChatMessage.Read: Teams-Chatnachrichten lesen
Teams-Kanäle
Team.ReadBasic.All: Namen und Beschreibungen von Teams lesenChannel.ReadBasic.All: Kanalnamen und Beschreibungen lesenChannelMessage.Read.All: Kanalnachrichten lesen
Besprechungen
OnlineMeetings.Read: Online-Besprechungen lesenOnlineMeetingTranscript.Read.All: Besprechungstranskripte lesenOnlineMeetingAiInsight.Read: KI-generierte Besprechungserkenntnisse lesenOnlineMeetingArtifact.Read.All: Besprechungsaufzeichnungen und Artefakte lesenOnlineMeetingRecording.Read.All: Besprechungsaufzeichnungen lesen
Dateien (OneDrive und SharePoint)
Files.Read: Benutzerdateien lesenFiles.Read.All: Alle Dateien lesen, auf die der Benutzer zugreifen kannSites.Read.All: Elemente in SharePoint-Websites lesen
Schreibberechtigungen
Die folgenden Berechtigungen unterstützen Schreib-Tools und sind im aktualisierten Zustimmungssatz enthalten:
Mail.Send: E-Mail senden und weiterleitenMail.ReadWrite: Entwürfe erstellen, aktualisieren und löschen; Nachrichten verschieben und kennzeichnenCalendars.ReadWrite: Kalenderereignisse erstellen, aktualisieren, löschen und auf Einladungen antwortenFiles.ReadWrite.All: Dateien und Ordner in OneDrive und SharePoint erstellen, aktualisieren und löschen. Gelöschte Elemente werden in den Papierkorb verschoben.MailboxSettings.ReadWrite: Kategorien, Posteingangsregeln und automatische Antworten verwaltenChatMessage.Send: Eine Teams-Chatnachricht im Namen des Benutzers sendenChannelMessage.Send: In einem Teams-Kanal posten oder antwortenChat.Create: Einen neuen Chat im Namen des Benutzers startenPeople.Read: Personen in der Organisation suchen, um einen Chat zu starten
Benutzerverzeichnis
User.ReadBasic.All: Grundlegende Profilinformationen für alle Benutzer in der Organisation lesen (wird zum Ermitteln der Verfügbarkeit für Besprechungen verwendet)
Der Microsoft 365-Connector durchsucht SharePoint im gesamten Mandanten mit den Berechtigungen des Benutzers. Sucheinschränkungen für bestimmte Websites werden nicht unterstützt.
Datenschutz und Sicherheit
Berechtigungsvererbung: Claude spiegelt die vorhandenen Microsoft 365-Berechtigungen jedes Benutzers wider. Mitglieder können über Claude nicht auf etwas zugreifen, das sie nicht bereits direkt in Microsoft 365 sehen könnten.
Auf Ihre Anfrage hin. Claude greift auf Microsoft 365 zu, wenn Sie es anfordern, oder wenn eine von Ihnen eingerichtete geplante Aufgabe dies benötigt.
Widerrufbarer Zugriff: Mitglieder können ihre eigene Integration unter Anpassen > Connectors trennen. Besitzer von Team- und Enterprise-Plänen können den Connector auch für die gesamte Organisation unter Organisationseinstellungen > Connectors entfernen.
Weitere Informationen finden Sie im Sicherheitsleitfaden für Microsoft 365-Connector.
Fehlerbehebung
Ein Mitglied kann sich nicht authentifizieren
Bestätigen Sie, dass das Konto an einen Microsoft Entra-Mandanten gebunden ist, nicht an ein persönliches Microsoft-Konto.
Bestätigen Sie, dass die Microsoft 365-Lizenz aktiv ist.
Bestätigen Sie, dass die Administratorgenehmigung mit Option 1 oder Option 2 oben erteilt wurde.
Überprüfen Sie, ob eine Richtlinie für bedingten Zugriff in Ihrem Mandanten die Verbindung blockiert. Siehe unten: Bedingter Zugriff blockiert die Verbindung.
Mitglieder sehen Fehler vom Typ „Fehler beim Aufrufen des Tools"
Eine Berechtigung wurde möglicherweise selektiv in Microsoft Entra widerrufen. Mitglieder können das entsprechende Tool in ihren Microsoft 365-Einstellungen deaktivieren, um den Fehler zu unterdrücken, oder Sie können die Berechtigung wiederherstellen, indem Sie die Schritte zur Administratorgenehmigung in Option 2: Manuelle Einrichtung in Microsoft Entra ID wiederholen.
Ein Teams-Tool gibt einen 403-Fehler „Fehlender Bereich
Der Connector-Berechtigungssatz enthält jetzt Team.ReadBasic.All, das Claude benötigt, um die Teams aufzulisten, denen ein Benutzer angehört. Wenn Ihr Mandant vor dem Hinzufügen dieser Berechtigung zugestimmt hat, geben Teams-Tools, die darauf angewiesen sind, einen 403-Fehler „Fehlender Bereich
Hinweis: Wenn Sie die Administratorgenehmigung wiederholen, erteilen Sie dem Connector den vollständigen aktuellen Berechtigungssatz, einschließlich der Schreibberechtigungen. Wenn Sie absichtlich Schreibberechtigungen widerrufen haben, widerrufen Sie diese danach erneut.
Schreibtools werden für Mitglieder nicht angezeigt
Bestätigen Sie, dass ein Microsoft Entra-Administrator dem aktualisierten Berechtigungssatz zugestimmt hat, der Schreibbereiche enthält.
Bestätigen Sie, dass Schreibtools in der Microsoft 365-Connector-Konfiguration aktiviert sind, oder dass das Mitglied durch eine rollenbasierte Zugriffsrichtlinie abgedeckt ist, die diese gewährt.
Lassen Sie das Mitglied Microsoft 365 unter Anpassen > Connectors trennen und erneut verbinden.
Claude findet Dateien nicht, die SharePoint-Suche findet
Dies gilt nur, wenn die SharePoint-eigene Suche eine Datei findet und Claude nicht. Wenn Claude SharePoint- und OneDrive-Dateien durchsucht, fügt es isDocument=true zu jeder Abfrage hinzu, sodass es nur Dateien findet, die der Suchindex Ihres Mandanten als Dokumente markiert. Wenn der Index einige Dateien nicht markiert, findet Claude sie nicht, und es wird kein Fehler angezeigt.
So überprüfen Sie, ob dies die Ursache ist:
Melden Sie sich bei Graph Explorer als Benutzer an, der eine fehlende Datei öffnen kann. Stimmen Sie
Files.Read.Allzu, falls Sie dazu aufgefordert werden.Führen Sie diese Suche aus und ersetzen Sie
budgetdurch ein Wort aus der fehlenden Datei. Wählen Sie ein Wort, das nur wenige andere Dateien enthalten:POST https://graph.microsoft.com/v1.0/search/query
{"requests":[{"entityTypes":["driveItem"],"query":{"queryString":"
(budget)"},"size":100,"sortProperties":
[{"name":"LastModifiedTime","isDescending":true}]}]}
Führen Sie es erneut mit dem hinzugefügten Dokumentfilter mit demselben Wort aus:
POST https://graph.microsoft.com/v1.0/search/query
{"requests":[{"entityTypes":["driveItem"],"query":{"queryString":"(budget) AND
isDocument=true"},"size":100,"sortProperties":
[{"name":"LastModifiedTime","isDescending":true}]}]}
Vergleichen Sie die Ergebnisse:
Wenn eine Word-, Excel-, PowerPoint- oder PDF-Datei, die Sie erwartet haben, nur in der ersten Suche angezeigt wird, markiert Ihr Suchindex sie nicht als Dokument. Öffnen Sie einen Fall beim Microsoft Support und teilen Sie beide Suchen mit.
Wenn die Datei in keiner der beiden Suchen angezeigt wird, ist dies nicht die Ursache.
Bedingter Zugriff blockiert die Verbindung
Ein Block für bedingten Zugriff wird auf eine von drei Arten angezeigt:
Ein Benutzer sieht „Autorisierung mit dem MCP-Server fehlgeschlagen
Ein bereits verbundenes Mitglied erhält einen Fehler, wenn Claude ein Microsoft 365-Tool verwendet. Der Fehler enthält einen
AADSTS-Code, einen Hinweis, dass die Anfrage durch eine Richtlinie für bedingten Zugriff blockiert wurde, sowie die Trace-ID und Korrelations-ID, die Sie in Entra suchen können.Mitglieder werden aufgefordert, Microsoft 365 regelmäßig erneut zu verbinden, viel häufiger als das normale 90-Tage-Ablaufdatum. Dies deutet normalerweise auf eine Anmeldehäufigkeitsrichtlinie hin.
Das Verbinden von Microsoft 365 beinhaltet mehr als die Anmeldung, die das Mitglied sieht. Nachdem sich das Mitglied in Microsoft in seinem Browser angemeldet hat, tauschen Claudes Server diese Anmeldung gegen Zugriffstokens aus, und später tauschen diese Tokens gegen Microsoft 365-Zugriff im Namen des Mitglieds aus. In unseren Tests evaluieren Entra Ihre Richtlinien für bedingten Zugriff gegen diese serverseitigen Anfragen, die von Anthropics ausgehenden IP-Adressen stammen. Sie identifizieren das Mitglied und tragen das Gerät, das beim Verbinden des Mitglieds aufgezeichnet wurde, nicht das aktuelle Gerät oder Netzwerk des Mitglieds. Eine Richtlinie kann also die eigene Anmeldung des Mitglieds bestehen und die Verbindung einen Moment später blockieren, oder sie Tage später blockieren. Erfahren Sie mehr über Anthropics ausgehende IP-Adressen
Finden Sie die Richtlinie, die die Verbindung blockiert
Gehen Sie im Microsoft Entra Admin Center zu Anmeldungsprotokolle und öffnen Sie die Registerkarte Benutzeranmeldungen (nicht interaktiv). Die eigene Anmeldung des Mitglieds wird auf der interaktiven Registerkarte angezeigt und wird normalerweise als erfolgreich angezeigt, daher ist der Block dort selten.
Filtern Sie nach dem betroffenen Mitglied. Die blockierten Anfragen können unter M365 MCP Server for Claude oder M365 MCP Client for Claude angezeigt werden. Daher ist das Filtern nach Mitglied zuverlässiger als das Filtern nach Anwendung. Filtern Sie nicht nach Ressource, da dies einige Zeilen ausblendet.
Öffnen Sie den fehlgeschlagenen Eintrag und wählen Sie die Registerkarte Bedingter Zugriff aus. Sie zeigt die Richtlinie an, die die Anfrage blockiert hat.
Der Fehlercode zeigt Ihnen, welche Art von Richtlinie es ist:
AADSTS70043: eine Anmeldehäufigkeitsrichtlinie. Siehe den nächsten Abschnitt.AADSTS53003: eine Richtlinie, die den Zugriff blockiert. Die Registerkarte „Bedingter ZugriffAADSTS50076: eine Richtlinie, die Multi-Faktor-Authentifizierung bei einer serverseitigen Anfrage erforderlich macht. Das Trennen und erneute Verbinden von Microsoft 365 behebt das Problem. Wenn es weiterhin auftritt, siehe Sicherheitsleitfaden für Microsoft 365-Connector.AADSTS53000: eine Richtlinie erfordert ein konformes Gerät. Der ähnliche CodeAADSTS530003bedeutet, dass eine Richtlinie ein verwaltetes Gerät erfordert. In beiden Fällen muss sich das Mitglied von einem Gerät aus erneut verbinden, das die Richtlinie erfüllt. Erfahren Sie mehr im Sicherheitsleitfaden für Microsoft 365-Connector.
Schließen Sie Anthropics IP-Bereiche aus Anmeldehäufigkeits- und Standortrichtlinien aus
Da die serverseitigen Anfragen von Anthropics IP-Bereichen stammen, blockiert eine Richtlinie, die Anmeldungen auf Ihr eigenes Netzwerk beschränkt oder eine Anmeldehäufigkeit erzwingt, diese für jedes Mitglied. Das Ausschließen der beiden Claude-Anwendungen aus der Richtlinie ist allein nicht ausreichend. Wir empfehlen, auch Anthropics IP-Bereiche aus der Richtlinie auszuschließen.
Hinweis: Verwenden Sie diese Ausnahme nicht für eine Gerätekonformitätsrichtlinie. Die serverseitigen Anfragen enthalten das Gerät, das beim Verbinden des Mitglieds aufgezeichnet wurde, daher gilt eine Geräterichtlinie weiterhin für sie, und das Ausschließen von Anthropics IP-Bereichen würde die Geräteprüfung für den Connector deaktivieren. Mitglieder, die durch eine Geräterichtlinie blockiert werden, müssen sich von einem Gerät aus erneut verbinden, das diese erfüllt. Weitere Informationen finden Sie im Microsoft 365 Connector-Sicherheitsleitfaden.
Wenn die Richtlinie, die die Anfrage blockiert hat, eine Anmeldehäufigkeits- oder Standortrichtlinie ist:
Gehen Sie im Microsoft Entra Admin Center zu Bedingter Zugriff > Benannte Standorte und erstellen Sie einen IP-Bereichsstandort. Fügen Sie jeden aktuellen IPv4-Bereich vollständig aus Anthropics Liste der ausgehenden IP-Adressen hinzu. Lassen Sie Als vertrauenswürdiger Standort markieren deaktiviert, damit die Ausnahme andere Richtlinien, die vertrauenswürdige Standorte verwenden, nicht beeinflusst. Wenn Anthropic einen Bereich zu dieser Liste hinzufügt, fügen Sie ihn auch zu diesem Standort hinzu.
Öffnen Sie die Richtlinie, die die Anfrage blockiert hat, und gehen Sie zu Bedingungen > Standorte > Ausschließen.
Fügen Sie den erstellten benannten Standort hinzu. Behalten Sie alle vorhandenen Ausnahmen für die Claude-Anwendungen bei.
Speichern Sie die Richtlinie und warten Sie einige Minuten, bis die Änderung angewendet wird.
Lassen Sie ein betroffenes Mitglied Microsoft 365 in Anpassen > Connectors trennen und erneut verbinden.
Hinweis: Das Ausschließen der Bereiche hebt die Richtlinie für jede Anfrage auf, die von Anthropics Adressen kommt, was bedeutet, dass alle Microsoft 365 Connector-Aktivitäten für alle Ihre Mitglieder aufgehoben werden. Bei einer Anmeldehäufigkeitsrichtlinie bedeutet dies auch, dass die Hintergrundanfragen des Connectors nicht mehr daran gebunden sind, daher bleibt eine Verbindung angemeldet, bis sie nach 90 Tagen Inaktivität abläuft. Wenn Sie die regelmäßigen Wiederverbindungen lieber beibehalten möchten, lassen Sie die Richtlinie unverändert. Mitglieder, die aufgefordert werden, sich erneut zu verbinden, können sich in ihrem Browser von Microsoft abmelden oder ein privates Browserfenster verwenden, bevor sie sich erneut verbinden. Wenn Sie die Auswirkung einer Änderung vor der Durchführung überprüfen möchten, klonen Sie die Richtlinie zunächst im reinen Berichtsmodus.
Häufig gestellte Fragen
Was passiert, wenn ein Mitglied versucht, sich zu verbinden, bevor die Zustimmung erteilt wird?
Es wird eine Fehlermeldung angezeigt, die angibt, dass ein Administrator App-Berechtigungen erteilen muss, bevor die Integration verwendet werden kann. Die Verbindung schlägt fehl, bis ein Microsoft Entra Global Administrator die erforderlichen Berechtigungen genehmigt.
Kann der Microsoft 365 Connector mit der Unternehmenssuche verwendet werden?
Ja. Wenn die Unternehmenssuche aktiviert ist, kann sie Microsoft 365 zusammen mit anderen verbundenen Diensten für eine einheitliche Suche in Slack, Google Workspace, Microsoft 365 und mehr abfragen.
Welche Dateitypen kann der Connector lesen?
Claude liest Word-, Excel-, PowerPoint-Dateien (einschließlich älterer .doc-, .xls- und .ppt-Dateien), PDF- und Nur-Text-Formate wie .txt, .md und .csv von SharePoint und OneDrive. Andere Formate, einschließlich OneNote, können nicht gelesen werden. Die vollständige Liste finden Sie unter Mit Microsoft 365 verbinden.
Kann die Integration Microsoft 365-Daten ändern?
Nur nachdem ein Entra-Administrator Schreibbereiche gewährt hat. Mit aktivierten Schreibtools kann Claude E-Mails senden, Entwürfe und Kalenderereignisse verwalten, Postfacheinstellungen aktualisieren, Dateien in OneDrive und SharePoint erstellen und aktualisieren sowie Nachrichten in Microsoft Teams senden (in einem Kanal posten/antworten, eine Chatnachricht senden oder einen neuen Chat im Namen des Benutzers starten), immer innerhalb der vorhandenen Microsoft 365-Berechtigungen jedes Mitglieds. Ohne diese ist die Integration schreibgeschützt. Claude kann Teams-Einstellungen oder -Berechtigungen nicht ändern, sondern nur Nachrichten senden.