> ## Documentation Index
> Fetch the complete documentation index at: https://docs.anny.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Microsoft 365 mit eigener App-Registrierung verbinden

> Verbinde die Microsoft-365-Integration über eine App-Registrierung in deinem eigenen Tenant, wenn die anny-App dort nicht freigegeben werden darf.

Die [Microsoft-365-Integration](https://docs.anny.co/m365-workspace.md) verbindet sich normalerweise über die anny-App: Ein:e Administrator:in erteilt einmalig die Zustimmung für die Organisation. Manche Organisationen dürfen fremde Apps in ihrem Tenant aber nicht freigeben, zum Beispiel wenn ein Rechenzentrum den Tenant zentral verwaltet.

Für diesen Fall legst du in deinem eigenen Tenant eine App-Registrierung an und trägst ihre Zugangsdaten in anny ein. App, Berechtigungen und geheimer Schlüssel bleiben dann unter deiner Kontrolle.

Dieser Artikel richtet sich an Administrator:innen von Microsoft Entra ID.

> [!NOTE]
>
> Die eigene App-Registrierung ist Teil des Enterprise-Plans. Ohne ihn zeigt die Integration nur den Button **Autorisieren**.

## Voraussetzungen

* Eine anny Organisation im Enterprise-Plan und Admin-Rechte in deinem anny Account
* Eine Microsoft-365-Organisation mit Exchange-Online-Postfächern (Cloud, nicht On-Premise)
* Ein Konto in Microsoft Entra ID, das App-Registrierungen anlegen und die Administratorzustimmung für Anwendungsberechtigungen erteilen darf, zum Beispiel mit der Rolle Global Administrator oder Privileged Role Administrator
* Die Kalender, die du verbinden möchtest, existieren bereits (z. B. Raumpostfächer für deine Räume)

## Benötigte Berechtigungen

Die App-Registrierung braucht diese Berechtigungen von Microsoft Graph, jeweils als **Anwendungsberechtigung**:

* `Calendars.ReadWrite`: Termine in den verbundenen Kalendern lesen, anlegen, ändern und löschen und über Änderungen benachrichtigt werden
* `User.Read.All`: Konten in der Auswahl **Microsoft Kalender** anzeigen und die Verbindung prüfen
* `MailboxSettings.Read`: In der **Fehlerdiagnose** erkennen, ob automatische Antworten eines Postfachs Termine stören

`MailboxSettings.Read` ist optional: Die Synchronisation läuft auch ohne diese Berechtigung, die Fehlerdiagnose prüft dann nur keine automatischen Antworten.

> [!WARNING]
>
> Delegierte Berechtigungen funktionieren hier nicht. anny arbeitet ohne angemeldete Person, deshalb braucht auch kein Raumpostfach ein Konto mit Passwort.

## Verbindung einrichten

Die Beschriftungen im Microsoft Entra Admin Center können je nach Sprache und Version leicht abweichen.

**1. App registrieren**

Öffne im Microsoft Entra Admin Center **App-Registrierungen** und klicke auf **Neue Registrierung**. Vergib einen Namen, zum Beispiel `anny`, und wähle **Nur Konten in diesem Organisationsverzeichnis**. Eine Umleitungs-URI brauchst du nicht.

**2. Berechtigungen hinzufügen**

Öffne **API-Berechtigungen** → **Berechtigung hinzufügen** → **Microsoft Graph** → **Anwendungsberechtigungen** und wähle die Berechtigungen aus der Liste oben. Klicke danach auf **Administratorzustimmung erteilen**. Neben jeder Berechtigung steht dann, dass die Zustimmung erteilt wurde.

**3. Geheimen Clientschlüssel erstellen**

Öffne **Zertifikate & Geheimnisse** → **Geheime Clientschlüssel** → **Neuer geheimer Clientschlüssel** und wähle eine Laufzeit. Microsoft begrenzt sie auf höchstens 24 Monate. Kopiere danach sofort den **Wert**, nicht die ID: Microsoft zeigt ihn nur einmal an.

**4. IDs kopieren**

Kopiere aus der **Übersicht** der App-Registrierung die **Verzeichnis-ID (Mandant)** und die **Anwendungs-ID (Client)**.

**5. Integration in anny öffnen**

Öffne in der Seitenleiste **Account › Apps & Integrationen**, wähle unter **Alle Apps und Integrationen** **Microsoft 365** aus und klicke auf **Einrichten**.

**6. Zugangsdaten eintragen**

Klicke im Abschnitt **Verbindung** unter dem Button **Autorisieren** auf **Eigene App-Registrierung verwenden**. Trage **Verzeichnis-ID (Mandant)**, **Anwendungs-ID (Client)** und **Geheimer Clientschlüssel** ein und klicke auf **Verbindung prüfen**. anny speichert die Zugangsdaten erst, wenn Microsoft sie akzeptiert und die Berechtigungen ausreichen.

**7. Kalender verbinden und aktivieren**

Ab hier ist alles wie bei der normalen Verbindung: Lege fest, welche Kalender mit welchen Ressourcen gekoppelt werden, und aktiviere die Integration. Die Schritte findest du unter [Microsoft 365 mit anny verbinden](https://docs.anny.co/m365-workspace.md).

## Geheimen Clientschlüssel erneuern

Läuft der Schlüssel ab, deaktiviert sich die Integration und die betroffenen Admins erhalten eine Benachrichtigung. anny warnt nicht vorab, trage dir das Ablaufdatum also selbst ein und erneuere den Schlüssel rechtzeitig.

**1. Neuen Schlüssel erstellen**

Erstelle im Microsoft Entra Admin Center einen neuen geheimen Clientschlüssel und kopiere den **Wert**.

**2. Integration deaktivieren**

Deaktiviere die Integration über den **Toggle** im Seitenkopf. Zugangsdaten lassen sich nur im deaktivierten Zustand ändern.

**3. Zugangsdaten neu eintragen**

Klicke im Abschnitt **Verbindung** auf **Neu verbinden**, trage alle drei Werte ein und klicke auf **Verbindung prüfen**.

**4. Integration aktivieren**

Aktiviere die Integration wieder. Lösche danach den alten Schlüssel im Microsoft Entra Admin Center.

## Zugriff auf einzelne Postfächer begrenzen

Die Anwendungsberechtigungen gelten zunächst für alle Postfächer deines Tenants. Auf ausgewählte Raum- und Ressourcenpostfächer begrenzt du den Zugriff in Exchange Online: Die Anleitung unter [Microsoft-365-Kalenderzugriff auf einzelne Postfächer begrenzen](https://docs.anny.co/m365-resource-calendar-scope.md) gilt auch für deine eigene App. Beachte dabei:

* Nimm die IDs der Unternehmensanwendung, die zu deiner App-Registrierung gehört.
* Statt der Rolle `Application MailboxSettings.ReadWrite` genügt `Application MailboxSettings.Read`.
* `User.Read.All` bleibt in Entra ID. Ohne diese Berechtigung lehnt anny die Verbindung ab.

## Zurück zur anny-App wechseln

Deaktiviere die Integration und wähle auf ihrer Detailseite die **drei Punkte** → **Authentifizierung entfernen**. Danach zeigt der Abschnitt **Verbindung** wieder den Button **Autorisieren**.

## Einschränkungen

* **Nur geheime Clientschlüssel:** Zertifikate als Zugangsdaten werden nicht unterstützt.
* **Keine Erinnerung vor dem Ablauf:** anny meldet sich erst, wenn der Schlüssel abgelaufen ist und sich die Integration deaktiviert hat.
* **Nur Microsoft 365:** Die Integration **Microsoft Teams** verbindet sich weiterhin über ihre eigene anny-App.

## FAQ

> [accordion] Warum sehe ich den Link „Eigene App-Registrierung verwenden“ nicht?
>
> Der Link erscheint nur im Enterprise-Plan. Ist die Integration bereits verbunden, klicke zuerst im Abschnitt **Verbindung** auf **Neu verbinden**.

> [accordion] Kann jemand den geheimen Clientschlüssel in anny auslesen?
>
> Nein. anny speichert ihn verschlüsselt und zeigt ihn nach dem Eintragen nicht mehr an. Deshalb sind die Felder leer, wenn du auf **Neu verbinden** klickst, und du trägst alle drei Werte neu ein.

> [accordion] Brauchen Raumpostfächer ein Konto mit Passwort?
>
> Nein. Die Anwendungsberechtigungen greifen ohne Anmeldung auf die Postfächer zu.

## Troubleshooting

> [accordion] „Microsoft hat diese Zugangsdaten abgelehnt“
>
> Prüfe, ob du den **Wert** des geheimen Clientschlüssels kopiert hast und nicht seine ID, ob der Schlüssel noch gültig ist und ob Verzeichnis-ID und Anwendungs-ID zur selben App-Registrierung gehören. Ein neuer Schlüssel kann ein paar Minuten brauchen, bis er funktioniert.

> [accordion] „Der App-Registrierung fehlen Berechtigungen“
>
> Microsoft hat die Zugangsdaten akzeptiert, aber anny darf die Konten deines Tenants nicht lesen. Prüfe, ob `User.Read.All` als **Anwendungsberechtigung** eingetragen ist und ob die Administratorzustimmung erteilt wurde. Neue Berechtigungen können etwas dauern, bis sie greifen.

> [accordion] Eine Meldung nennt „tenant“ oder „client\_id“ als ungültige UUID
>
> Verzeichnis-ID und Anwendungs-ID sind IDs im Format `00000000-0000-0000-0000-000000000000`. Eine Domain wie `firma.onmicrosoft.com` wird nicht akzeptiert.

> [accordion] „Bitte deaktiviere die Integration, bevor du diese Aktion durchführst“
>
> Solange die Integration aktiv ist, lassen sich die Zugangsdaten nicht ändern. Deaktiviere sie über den **Toggle** im Seitenkopf und versuche es erneut.

> [accordion] Die Integration hat sich selbst deaktiviert
>
> Meist ist der geheime Clientschlüssel abgelaufen oder wurde gelöscht. Trage einen neuen ein, wie unter [Geheimen Clientschlüssel erneuern](#geheimen-clientschlüssel-erneuern) beschrieben. Weitere Ursachen stehen unter [Microsoft 365 mit anny verbinden](https://docs.anny.co/m365-workspace.md).

> Wichtige Informationen für Agenten:
>
> **Abgrenzung:** Sichtbar unter Integrationen › Kalendersynchronisation › Workspace, direkt unter „Microsoft 365“. Gilt NUR für die organisationsweite Integration „Microsoft 365“ mit App-Registrierung im Kunden-Tenant (Client Credentials). Standardweg ist Admin Consent für die anny-App: `/m365-workspace`. NICHT: persönliche Outlook-Integration, Outlook-Add-In, MS-Teams-App, MS-Teams-Videomeeting.
>
> **UI-Pfad:** Seitenleiste **Account › Apps & Integrationen** → **Microsoft 365** → Abschnitt **Verbindung** → Link **Eigene App-Registrierung verwenden** unter **Autorisieren**. Felder **Verzeichnis-ID (Mandant)**, **Anwendungs-ID (Client)**, **Geheimer Clientschlüssel**; Button **Verbindung prüfen**. Der Link ist bewusst unauffällig.
>
> **Quirks:** (1) Plan-Feature `microsoft365-customer-app` im Plan `enterprise-v2`, nicht in der Feature-Liste des Plans sichtbar; geprüft nur beim Eintragen der Zugangsdaten, eine bestehende Verbindung läuft nach einem Downgrade weiter. (2) Endpoint `POST integrations/microsoft365/{uuid}/authentication` mit `tenant`, `client_id`, `client_secret`; Tenant und Client-ID müssen UUIDs sein, sonst 422. (3) anny speichert erst, wenn Microsoft ein Token ausstellt und `GET users` erfolgreich ist; sonst 400 mit `integrations.microsoft365.bad_authentication` bzw. `integrations.microsoft365.missing_permissions`; ohne Plan 403 `integrations.microsoft365.plan_required`; bei aktiver Integration 400 `integration_active`. (4) Die gespeicherten Zugangsdaten bestimmen den Weg, nicht eine Einstellung: **Authentifizierung entfernen** führt zurück zum Admin Consent; solange Zugangsdaten gespeichert sind, zeigt das Panel nur das Formular. (5) Secret wird nie zurückgegeben, `client_id` schon. (6) Bei abgelaufenem Secret deaktiviert sich die Integration und benachrichtigt die Admins (`authentication_failed`). (7) `MailboxSettings.Read` nutzt nur die Fehlerdiagnose (`automaticRepliesSetting`); ein 403 dort wird toleriert. (8) Keine Zertifikate. Microsoft empfiehlt für Produktion eigentlich Zertifikate statt Secrets; bei Rückfragen an den Support verweisen.
>
> **Beziehungen:** `/m365-workspace` (Standardweg, Regeln, Optionen), `/m365-resource-calendar-scope` (Begrenzung per Exchange RBAC for Applications). Microsoft: [https://learn.microsoft.com/entra/identity-platform/how-to-add-credentials](https://learn.microsoft.com/entra/identity-platform/how-to-add-credentials)


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.