Microsoft 365 oprydning: månedlig tjekliste i drift

I betaler for brugere, der ikke logger ind. I har gæster fra gamle projekter, som stadig kan åbne Teams og SharePoint. Og en enkelt glemt admin-konto kan være nok til at gøre en hændelse dyr. Denne Microsoft 365 oprydning er en fast rutine, der kan køres på under en time om måneden.

• Stop licens-lækage: Find inaktive brugere (90 dage) og fjern licens efter korrekt offboarding.
• Luk bagdøre: Gennemgå og fjern gæstebrugere, der ikke længere har et aktivt formål.
• Ryd op i grupper: Identificér forældreløse Microsoft 365 Groups/Teams uden ejer og få en ejer på.
• Skærp roller: Tjek Global Admin og andre privilegerede roller, og nedgrader hvor det er muligt.
• Dokumentér beslutninger: Log hvem der blev lukket, hvornår, og hvorfor – så revision og compliance bliver let.

Hvorfor Microsoft 365 oprydning bør være en fast rutine

Microsoft peger selv på, at inaktive konti er et oplagt angrebsmål, og anbefaler at arbejde systematisk med inaktive brugere og login-data (Microsoft Learn, 2024). CISA anbefaler løbende validering af konti og rettigheder for at reducere risikoen for bl.a. ransomware (CISA, 2023).

På økonomisiden er der et klassisk hul i processen: En bruger kan være blokeret, men licensen faktureres stadig, indtil den fjernes (Microsoft licensing guidance, løbende). Og spild er ikke småpenge: CoreView estimerer, at op mod 19% af M365-licenser kan være ubrugte eller underudnyttede (CoreView, 2024).

Micro “Før → Efter” #1 (licenser)

Før: Medarbejder stopper → konto blokeres → licensen bliver siddende “for en sikkerheds skyld”.

Efter: Medarbejder stopper → konto blokeres → mailbox konverteres til Shared Mailbox → licens fjernes → I betaler kun for aktive brugere.

Sådan definerer I “inaktiv bruger” uden at diskutere i ugevis

Brug en enkel driftstommelfingerregel: 90 dage uden login = inaktiv til oprydningskøen. Det matcher den praktiske “stale account”-tænkning i mange Microsoft-rapporter og giver jer en klar tærskel, der kan håndhæves.

Undtagelser, I må navngive på forhånd:

• Servicekonti (skal være dokumenteret, stærkt beskyttet og helst uden mailbox).
• Sæson- og vikar-konti (få en dato på, hvornår de genaktiveres eller lukkes).
• Delte postkasser (skal ikke have brugerlicens, hvis de er shared og inden for grænserne).

Tjekliste: Månedlig M365 oprydning (60 minutter)

Fokus er identiteter og licenser i Microsoft 365 Business Premium/E3 – uden krav om Entra ID P2. Kør den samme dag hver måned, og gem et kort notat i jeres driftlog.

Område	Hvad I tjekker	Kriterie (beslutningsregel)	Handling
Inaktive brugere	Sidste login / seneste aktivitet	≥ 90 dage uden login og ingen kendt undtagelse	Blokér sign-in → start offboarding (se nedenfor) → fjern licens når data er sikret
Gæstebrugere	Gæster i Entra ID / Teams	Projekt afsluttet, eller ingen sponsor/ejer kan forklare adgangen	Fjern gæst eller blokér midlertidigt → dokumentér hvem der godkendte
Grupper/Teams	Microsoft 365 Groups uden ejer	0 ejere eller ejere er inaktive/forladt virksomheden	Tildel ny ejer (forretning) → vurder om Team skal arkiveres/slettes
Licenser	Licens tildelt vs. faktisk behov	Ingen login + licens stadig aktiv, eller dobbelttildelinger	Fjern licens → flyt til korrekt plan ved behov → hold styr på NCE/CSP bindinger
Privilegerede roller	Global Admin, Exchange/SharePoint/Teams Admin m.fl.	Rollen bruges sjældent eller uden navngiven opgave	Nedgrader til least privilege → brug separate admin-konti hvor relevant

Sådan finder I inaktive brugere i Microsoft 365 (GUI først)

Hvis I vil undgå scripts, så start i de indbyggede rapporter og brugerlisten:

1. Microsoft 365 admin center: Gå til Brugere → Aktive brugere. Sortér og filtrér på tegn på inaktivitet (fx ingen nylig aktivitet). Eksportér listen til CSV, hvis I skal have et beslutningsspor.
2. Microsoft Entra admin center: Brug brugerlisten til at spotte konti uden tydelig aktivitet og konti, der burde være disabled men ikke er.
3. PowerShell (når GUI ikke er nok): Brug rapportering af sidste login/LastLogonDate for at få en entydig 90-dages-liste, især hvis I har mange brugere (Microsoft Learn, 2024).

Praktisk driftregel: Lad én person i IT samle listen, men lad forretningen (leder/sponsor) godkende lukning. Det reducerer fejl, når en konto faktisk er “stille” men stadig nødvendig.

Sådan offboarder I korrekt: blokér → shared mailbox → fjern licens

Målet er to ting på én gang: Luk adgangen nu, og bevar data på en kontrolleret måde.

1. Blokér login med det samme (Entra ID bruger: Block sign-in). Det stopper adgang, også hvis password lækkes.
2. Sikr ejerskab af data: Tjek OneDrive/SharePoint-delinger og hvem der skal overtage.
3. Konvertér mailbox til Shared Mailbox (Exchange): Giv den relevante leder/adgangsgruppe adgang. Sæt evt. autosvar.
4. Fjern licens, når mailbox/dokumenter er overdraget. Licenser frigives ikke automatisk ved blokering (Microsoft licensing guidance).
5. Slet først til sidst, når I har en besluttet retention/backup-praksis. Hvis I arbejder med compliance og revisionskrav, så afklar det under jeres compliance-spor.

Micro “Før → Efter” #2 (gæster)

Før: Ekstern konsulent får gæsteadgang i Teams → projektet slutter → ingen fjerner gæsten.

Efter: Ekstern får gæsteadgang → sponsor og slutdato registreres → månedlig gennemgang fjerner gæster uden aktiv sponsor → færre uønskede delinger og mindre phishing-risiko (Hornetsecurity, 2024).

Fejl der koster mest: det I skal stoppe med at gøre

• At beholde licenser “for en sikkerheds skyld”: Det bliver sjældent rullet tilbage, og fakturaen kører videre.
• At lade gæster leve evigt: Hvis ingen kan forklare formålet, så har adgangen ingen berettigelse.
• At have Global Admin på hverdagskontoen: Når den konto bliver phishet, er skaden større og hurtigere.
• At acceptere grupper uden ejere: Ingen ejer = ingen ansvarlig for medlemskaber og delinger.

Hvordan vælger I mellem manuel oprydning og automatisering (Entra ID P2)?

Hvis I kører Business Premium uden Entra ID P2, er manuel/semi-manuel månedlig oprydning realistisk og nok til at fjerne de værste risici.

Vælg automatisering (Access Reviews) når:

• I har mange gæster og eksterne samarbejder, og sponsorstyring glipper.
• I har krav om dokumentation af “hvem godkendte adgangen” på faste intervaller.
• I vil have faste review-cycles på grupper og applikationer (Microsoft Learn, Access Reviews).

Praktisk tommelfingerregel: Hvis I bruger mere end 2–3 timer pr. måned på oprydning og efterarbejde, så giver det mening at vurdere P2 eller et governance-setup.

FAQ: Microsoft 365 oprydning i praksis

Hvordan finder jeg inaktive brugere i Office 365/Microsoft 365?

Start i Microsoft 365 admin center og Entra ID med fokus på seneste login/aktivitet. Brug 90-dages-reglen til at lave en lukkeliste, og bekræft undtagelser (servicekonti, sæsonbrugere).

Frigives licensen automatisk, når jeg blokerer en bruger?

Nej. Blokering stopper adgang, men licensen kan stadig være tildelt og dermed faktureret. Fjern licensen eksplicit, når mailbox og data er håndteret (Microsoft licensing guidance).

Skal vi slette brugeren, eller er det nok at deaktivere?

Deaktivér/blokér først. Konvertér mailbox til Shared Mailbox og fjern licens. Slet først, når I har besluttet, at data ikke længere skal bevares, og jeres retention/backup-krav er opfyldt.

Hvordan rydder vi op i gæstebrugere i Teams?

Lav en månedlig liste over gæster i Entra ID. For hver gæst: kræv en aktiv sponsor (navngiven intern ejer) og et formål. Hvis ingen sponsor kan bekræfte behovet, så fjern gæsten.

Hvad gør vi med Teams og grupper uden ejere?

Tildel en ny ejer med forretningsansvar (ikke kun IT). Hvis ingen vil eje gruppen, så er det et tegn på, at Team’et skal arkiveres eller lukkes efter en kort høringsperiode.

Hvor mange admin-konti bør vi have?

Hold Global Admin på et minimum og brug separate admin-konti til drift. Tommelfingerregel i SMB: 2–4 navngivne, beskyttede admin-konti til nøddrift + rollebaserede admins til daglige opgaver.

Hvornår giver det mening at købe Entra ID P2 for Access Reviews?

Når I har mange gæster, hyppige organisationsændringer eller krav om auditspor for adgangsgodkendelser. Hvis I ofte opdager “gamle” adgange for sent, er Access Reviews typisk det næste trin.

Sådan implementerer I rutinen fra næste måned

1. Udpeg én ansvarlig for Microsoft 365 oprydning og læg en fast kalenderaftale (30–60 min.).
2. Beslut 90-dages-reglen og skriv 5–10 undtagelser ned (servicekonti, sæson, fælles postkasser).
3. Kør første liste: inaktive brugere, gæster, grupper uden ejere, admin-roller, licenser med lav/ingen brug.
4. Offboard 3–5 konti som pilot med flowet: blokér → shared mailbox → fjern licens → dokumentér.
5. Lav en enkel driftlog (dato, antal konti lukket, antal licenser frigivet, beslutningstager) og gem den i jeres IT-dokumentation.
6. Hvis listen bliver ved med at vokse: aftal et governance-setup og få det ind i jeres it-sikkerhed– og driftsprocesser.