Kann natürlich sein, dass ich jetzt wieder einen Denkfehler habe aber ein Kumpel sagte von Anfang an, dass ich die User einzeln anlegen soll, da ich so flexibler in der Rechtevergabe bin.
Vollkomen richtig so. In O365 gilt: Anzahl an unterschiedlichen Geburtsurkunden = Anzahl an O365-Lizenzen (mit dem notwendigen Funktionsumfang). Ist afair auch so in den AGBs verordnet wenn ich mich recht entsinne...
Zu der besseren Rechtevergabe kommt noch hinzu, dass bei einem dedizierten Funktionspostfach/Benutzer immer wieder das Passwort-Problem hinzukommt:
10 Leute haben direkten Zugriff auf das Funktionspostfach. Sie haben also potentiell Kenntnis von den Zugangsdaten des Funktionspostfachs ("kann er nicht, weil nur ich das Passwort eintippe" geht in Richtung "Security through obscurity" und ist daher wertlos).
Jetzt geht einer der 10 Mitarbeiter im Bösen. Da er aber potentiell Kenntnis von den Zugangsdaten hat bzw. davon ausgegangen werden muss, muss der Zugriff unterbunden werden. Das kann durch zwei Methoden passieren:
1) Deaktivierung des Kontos. Was bei einem Funktionskonto unsinnig ist.
2) Änderung der Zugangsdaten. Was dazu führt, dass die neuen Zugangsdaten bei 10+ Geräten neu eingegeben werden müssen, was blödsinnig aufwändig ist. Also "macht man das nicht".
Hätte der in Ungnade gegangene Mitarbeiter nur
delegierten Zugriff auf das Funktionspostfach, reicht es aus das Passwort seines Kontos zu ändern und/oder sein Konto zu deaktivieren und/oder den Zugriff dieses Benutzers auf das Funktionspostfachs zu entfernen. Das ist um den Faktor 10 einfacher als Punkt 2) weiter oben.
Weiterhin, Nachvollziehbarkeit:
"Wer hat über das Funktionskonto ein Penisbild an den Vorsitzenden des Fördervereins geschickt?"
--> nicht nachvollziehbar. In den Logs steht nur Uhrzeit und "Funktionskonto" & ggf. ein Computername.
Bei einem geteilten Postfach hingegen steht in den Logs dick und fett der delegierte Benutzer...
Dabei sei aber noch darauf hingewiesen, dass die Weitergabe von Zugangsdaten persönlicher Konten unterbunden und per Richtlinie/Hausordnung/Arbeitsvertrag mit Sanktionen belegt werden muss, ansonsten kann der Betroffene auch einfach sagen "war ich nicht; ich hab mein Passwort letztens an T-Bone90 weitergegeben damit er an meinem Computer was installieren kann".
Auch das
Erfragen von Zugansgsdaten damit man bei einem Benutzer was installieren kann wenn er nicht da ist, muss sanktioniert werden.
Das geht in Richtung Betriebskultur und muss vom Vorstand/Management sowie DSB durchgedrückt werden. Nicht vom Admin.
Ein kompetenter DSB & ggf. Betriebsrat führen dich zur Schlachtbank, wenn du potentiell ohne Nachollziehbarkeit Zugriff auf persönlich-dienstliche Konten bzw. Emails erlangen möchtest.
Wo ich nur noch nicht sicher bin ist die Tatsache, wenn jemand an eine
Funktion@xxxx.de schreibt. User 1 ist der Gruppe
Funktion@xxxx.de zugeordnet, also bekommt er diese Email dann.
Er antwortet und schreibt von seiner persönlichen Email
User1@xxxx.de.
Denkt ihr das ist gut oder wäre es besser, er nimmt als Antwortadresse die
Funktion@xxxx.de? bzgl. würde das überhaupt gehen. Oder ist es "professioneller", wenn als Antwortmail die persönliche eigene genutzt wird?
Es sollte als Antwortadresse die Adresse genommen werden, die der Absender auch angeschrieben hat, aus mehreren Gründen:
1) Die anderen Mitglieder der Gruppe die auch Zugriff auf das gemeinsame Postfach haben, können die Korrespondenz später nachvollziehen. Wichtig: Die Funktion dass Emails die von einem geteilten Postfach gesendet werden sollen auch im Ordner "Gesendete Objekte" des geteilten Postfachs kopiert werden.
2) Es wird dadurch vermieden dass der Absender ein paar Monate später bei einem separaten Anliegen nur an die persönliche Email-Adresse schreibt von der er zuletzt Informationen bekommen hatte, obwohl das Anliegen eigentlich an die Funktion zu richten wäre.
Ziel muss sein, dass der Absender nicht unbewusst seinen "persönlichen" Ansprechpartner bekommt, der dann vielleicht im Urlaub ist oder gekündigt wurde oder oder.