13 Fragen und Antworten zur Microsoft 365-Einführung an der ETH Zürich

Am 20. Oktober 2021 sprach Urs Spätig als Gastreferent an der 63. Microsoft 365 & SharePoint Community von IOZ. In seinem 30-minütigen Referat gewährte er einen exklusiven Einblick in das Vorgehen, wie die renommierteste Schweizer Bildungsinstitution Microsoft Teams in einem beschleunigten Verfahren an seine rund 10’000 Mitarbeitenden ausrollte.

Am digitalen Anlass nahmen rund 150 Personen teil, welche grosses Interesse an den Ausführungen von Senior Projektleiter Spätig zeigten. In diesem Blogbeitrag beantwortet Urs Spätig die offenen Fragen, welche während des Referats eingegangen sind.

Den Kommunikationsrichtlinien der ETH Zürich folgend wurde das Referat nicht aufgezeichnet und stand den Teilnehmenden exklusiv zur Verfügung.

Zusammenfassung der wichtigsten Inhalte aus dem Referat:

• Die ETH Zürich ist eine grosse Organisation: Sie umfasst rund 10’000 Mitarbeitende und über 20’000 Studierende. Und sie wächst schnell: Die hier genannten Zahlen stellen beim Personal ein Wachstum von 40%, bei den Studierenden gar ein Wachstum von 75% dar seit dem Jahr 2007.
• Diese Grösse und dieses Wachstum zieht grosse Vielfalt in der IT der ETH Zürich nach sich. In der Informatiklandschaft finden sich verschiedene Plattformen und Applikationen, die von einer grossen und heterogenen User Population genutzt werden, welche über unterschiedlichste Kanäle und Geräte darauf zugreifen.
• Die ETH befand sich Im Frühling 2020 bereits in einem Pilot-Vorhaben für den Roll-out von Microsoft 365. Die IT-interne Pilotgruppe hätte erst ausgeweitet werden sollen, bevor schliesslich der organisationsweite Roll-out angestanden hätte.
• Aufgrund der globalen Lage wurde Microsoft Teams mit den Funktionen Online-Meetings, interne Telefonie, Chat und Bildschirm teilen sofort an alle Mitarbeitenden ausgerollt. Für Teams sprachen die Skalierbarkeit, Usability und Verfügbarkeit auf allen Betriebssystemen.
• Da an der ETH mit besonders schützenswerten Informationen wie beispielsweise Forschungsresultaten gearbeitet wird, sind Governance- und Kontrollmechanismen wichtig. Es ist gemäss Urs Spätig eine «Gratwanderung zwischen Offenheit und Kontrolle».
• Ein besonderes Augenmerk liegt darauf, die Nutzenden nicht einfach mit der neuen Infrastruktur alleine zu lassen und sie mit den vielen Tools aus M365 nicht zu überfordern.
• Die Grösse der ETH bringt auch ein unterschiedliches Spektrum an Akzeptanz versus Ablehnung von Microsoft 365 mit sich.

Beantwortung der offenen Fragen:

Frage aus der IOZ-Community: Wie stellen Sie sicher, dass bei der Löschung von Sitecollections die dazugehörenden M365-Gruppen ebenfalls mitgelöscht werden und diese nicht als «Datenleichen» im System verbleiben? Falls Sie ein Tool dafür einsetzen, welches?

Antwort U. Spätig:  Zur Löschung haben wir noch keinen System-gestützen Prozess umgesetzt. Es gibt aber entsprechende Tools, die helfen, den gesamten Lifecycle zu überprüfen.

Sie haben erwähnt, dass die Anträge auf neue Apps für Microsoft Teams genau daraufhin geprüft werden, ob ein Risiko für schützenswerte Daten der ETH besteht – beispielsweise aufgrund von in den AGBs festgehaltenen Nutzungsrechten von Dritten. Wie haben Sie diesen Antrags- und Freigabeprozess umgesetzt?

Wir haben dazu ein recht umfangreiches Formular entwickelt. Dieses behandelt technische und rechtliche Fragen und wird in Form einer Checkliste abgearbeitet. Wenn sämtliche Fragen beantwortet sind, wird der Antrag dem Steuerungsgremium vorgelegt. Dieses entscheidet dann über die Freigabe.

Welche Sicherheitsmechanismen von Microsoft 365 werden verwendet, um die die wertvollen Forschungsdaten zu schützen?

Für M365 sind dies folgende Mechanismen:
– Datenspeicherorte Schweiz/EU
– Möglichkeiten der Wiederherstellung von gelöschten Daten
– eine mehrstufige Authentifizierung (MFA) beim Login

Zusätzlich muss der/die Informationseigner/in dieser vertraulichen Daten mit der Auslagerung in die Cloud einverstanden sein. 

Gab es keine Probleme mit dem Datenschützer betreffend Speicherung der Daten im MS-Umfeld?

Wir haben in Abstimmung mit dem Chief IT Security Officer, mit dem Rechtsdienst und dem CISO der ETH ein ISDS-Konzept (Informationssicherheit- und Datenschutzkonzept) erstellt. Wichtige Punkte waren, dass die Datenspeicherung in der Schweiz oder in der EU erfolgt, dass Gerichtsstand Schweiz ist und dass alle Nutzer von M365/Teams die Nutzungsregeln während des Bestellprozesses zwingend bestätigen müssen.

Trotz der dargelegten Sicherheitsmassnahmen bleibt ein Restrisiko. Insbesondere können amerikanische Behörden Microsoft unter Androhung von Strafen zur Herausgabe von Daten zwingen («Cloud-Act»).

In welcher Microsoft Cloud Region liegen die Daten des ETH-Tenants?

Die Speicherung der Daten findet in Rechenzentren von Microsoft in der Schweiz oder an Standorten in der Europäischen Union (Globale Region 1 – EMEA) statt. Sämtliche Anwendungen, bei welchen Microsoft die Datenspeicherung ausserhalb der Schweiz oder der EU vornimmt, wurden deaktiviert.

Gibt es ein Stammdaten-System (ausser Azure) für die Verwaltung der Benutzer?

Wir synchronisieren die Benutzer aus unserem Active Directory. Dort werden sie aus den Quellsystemen (IAM- und HR-System) gespiesen.

Sie haben erwähnt, dass an gewissen ETH-Instituten Microsoft Teams für das Aufzeichnen von Vorlesungen genutzt wird. Nach welchem Zeitraum werden die aufgezeichneten Vorlesungen wieder gelöscht?

Bis vor Kurzem wurden die Aufzeichnungen automatisch in Stream gespeichert. Dort gab es keine Beschränkung. Seit Sommer 2021 werden die Daten auf SharePoint abgelegt; auch dort gibt es keine Vorgaben. Solange das Team existiert oder die Datei nicht manuell gelöscht wird, ist sie verfügbar. Microsoft hat allerdings angekündigt, eine Auto-Expiration-Funktion einzuführen. Mit dieser soll es möglich sein, in OneDrive oder SharePoint gespeicherte Meeting-Aufzeichnungen nach einem voreingestellten Zeitraum automatisch zu löschen.

Gibt es verschiedene Subscriptions – bspw. pro Departement, um die Verrechnung pro Department zu gewährleisten oder auch um Rechte für die Administration einzuschränken?

Die Informatikdienste bieten Azure- und M365 als zentralen Dienst an. Es gibt keine interne Weiterverrechnung. Dies war einer der Gründe, weshalb wir uns gegen ein Modell mit verschiedenen Subscriptions entschieden haben.

Wie hat die ETH beim Microsoft 365-Roll-out das Change Management betrieben?

Wir haben neben dem unter Punkt 2 erwähnten Prozess ziemlich früh begonnen, die vorgenommenen Änderungen zentral zu dokumentieren, um Nachvollziehbarkeit zu garantieren. In regelmässig stattfindenden Meetings werden alle involvierten Stellen über Changes informiert. Wichtige Änderungen werden erst auf der Test-Umgebung konfiguriert und getestet, bevor sie auf der Produktion eingespielt werden.

Welches waren die drei grössten Schmerzpunkte und wie würden Sie diese nun umschiffen, wenn Sie den beschleunigten Roll-out von Microsoft Teams nochmals durchführen könnten?

Das ist eine schwierige Frage. Durch den beschleunigten Roll-out war der Ressourcenbedarf viel höher, als wir dies unter normalen Projektumständen erwartet hätten. Wir mussten sehr schnell Konkretes liefern, ohne dass wir gross verschiedene Lösungswege haben prüfen können. Eine weitere Schwierigkeit ist der sog. Hybid-Exchange-Modus; dieser verunmöglicht es uns, gewisse Funktionalitäten zu nutzen (z.B. die ToDo-App). Ich empfehle auf jeden Fall, sich das Know-how zu holen und Herkulesaufgaben nicht alleine im Trial- und Error-Modus stemmen zu wollen.

Wie führt die ETH das Onboarding und die Schulung neuer Nutzerinnen und Nutzer durch? Sind die Schulungsinhalte Use-Case-basiert und es werden Best Practices vermittelt oder geht vor allem darum, Teams etc. funktional zu erklären?

Wir haben drei Schulungsangebote aufgebaut:

• Ein Basismodul für Leute, die sich neu mit dem Thema Microsoft 365 und Microsoft Teams befassen
• Ein Vertiefungsmodul spezifisch für Teams
• Ein Vertiefungsmodul Collaboration, in welchem wir die weiteren Apps (OneNote, Planner, etc.) vorstellen

Das Basismodul ist jeweils eine vor Ort Veranstaltung im Schulungsraum und ist als Training aufgesetzt. Die Vertiefungsmodule führen wir als Webinar durch; dort werden Best-Practices vorgestellt.

Wie gehen Sie mit dem Aufbrechen der «Silos» bezüglich Support um: Wie stellen Sie das Know-How in der Supportorganisation sicher?

Wir haben den Ansatz gewählt, dies über verschiedene Arbeitsgruppen zu lösen. In diesen Gruppen werden wie erwähnt Experten für spezifische Themen (AD, Exchange, usw.) beigezogen, um entsprechende Aufgaben gemeinsam zu bearbeiten. Dieser interdisziplinäre Ansatz hat den Vorteil, dass von Beginn weg, Themen nicht in einem Silo behandelt, sondern aus einer übergreifenden (Cloud-) Sicht behandelt werden.

Können Sie bereits gewisse Angaben machen zu den Eckpunkten oder allenfalls Regeln des Dokumentenmanagements durch die Nutzer*innen in SharePoint Online?

Dies ist noch in Aufbau – allerdings werden wir keine zentralen Vorgaben machen.