Immer wieder hören wir und sprechen über die Microsoft Core Services. Nun stellt sich immer wieder die Frage, was sind diese und warum sind diese so wichtig? In diesem Beitrag gebe ich euch Antworten auf all diese Fragen.
Microsoft Core-Onlinedienste
Die Microsoft Core-Onlinedienste waren zuerst nur wirklich die Kerndienste wie Entra ID, Exchange Online und SharePoint Online (BPOS) und wurden durch Microsoft immer wieder erweitert, so zuletzt durch die Microsoft 365 Copilot Services. Diese Dienste bilden das Rückgrat der Microsoft 365- und Azure-Plattformen und sind essenziell für Identitätsmanagement, Kommunikation, Zusammenarbeit und Datenschutz.
Aus diesem Grund zählen auch OnPremises Software, wie die Microsoft 365 Apps (Word, PowerrPoint, Excel, OneNote und Outlook) nicht zu den Microsoft Core Onlineservices.
In den Produktterms, also den Allgemeinen Geschäftsbedingungen, die für alle Business Services gelten (Office 365 – Microsoft 365 Business Standard über Enterprise bis Edu und F Lizenzen).
So zählt Microsoft diese Dienste im August 2025 auf:
„Der Begriff „Kern-Onlinedienste“ bezieht sich nur auf die in der nachstehenden Tabelle aufgeführten Dienste, ohne jegliche Vorschauversionen.
| Onlinedienste | |
|---|---|
| Microsoft Dynamics 365-Kerndienste | Die folgenden Dienste, die jeweils eigenständige Dienste sind oder wie jeweils in einem/einer mit der Marke Dynamic 365 versehenen Plan oder Anwendung enthalten: Dynamics 365 Contact Center, Dynamics 365 Customer Service, Dynamics 365 Customer Insights, Dynamics 365 Field Service, Dynamics 365 Business Central, Dynamics 365 Supply Chain Management, Dynamics 365 Intelligent Order Management, Dynamics 365 Finance, Dynamics 365 Commerce, Dynamics 365 Human Resources, Dynamics 365 Project Operations und Dynamics 365 Sales. Dynamics 365 Core Services umfassen nicht (1) Dynamics 365-Dienste für unterstützte Geräte oder Software, einschließlich, aber nicht beschränkt auf Dynamics 365 für Applikationen, Tablets, Telefone oder eines dieser Programme; (2) LinkedIn Sales Navigator oder (3), soweit nicht ausdrücklich in den Lizenzierungsbestimmungen für den entsprechenden Dienst definiert, alle anderen Dienste mit eigener Marke, die mit Dynamics 365-Kerndiensten zur Verfügung gestellt oder mit diesen verbunden werden. |
| Office 365-Services | Die folgenden Dienste, die jeweils eigenständige Dienste sind oder wie jeweils in einem/einer mit der Marke Office 365 oder Microsoft 365 versehenen Plan oder Suite enthalten: Customer Lockbox, Exchange Online-Archivierung, Exchange Online-Schutz, Exchange Online, Microsoft Bookings, Microsoft Forms, Microsoft Planner, Microsoft Stream (Classic), Microsoft Teams, Microsoft To-Do, Microsoft Defender für Office 365, Office für das Web, OneDrive for Business, Project, SharePoint, Sway, Viva Insights, Whiteboard, Viva Engage und Microsoft 365 Copilot. Zu den Office 365-Services gehören nicht Microsoft 365-Apps für Unternehmen, ein Teil eines PSTN-Dienstes, der außerhalb der Kontrolle von Microsoft betrieben wird, eine Client-Software oder ein separater, mit der Schutzmarke versehener Dienst, der mit einem Plan oder einer Suite der Marke Office 365 oder Microsoft 365 zur Verfügung gestellt wird, z. B. ein Bing oder ein Dienst der Marke „für Office 365“. |
| Microsoft 365-Compliancedienste | Folgende Dienste, jeweils als eigenständiger Dienst oder als Bestandteil eines Plans oder einer Suite unter der Marke Microsoft 365: Microsoft Purview Customer Lockbox, Microsoft Purview Data Loss Prevention, Microsoft Purview Customer Key, Microsoft Purview Data Lifecycle Management, Microsoft Purview Information Barriers, Microsoft Purview Privileged Access Management, Microsoft Purview Compliance Manager, Microsoft Purview Information Protection, Microsoft Information Governance, Microsoft Purview- Insider-Risikomanagement, Microsoft Purview Communication Compliance, Microsoft Purview Records Management, Microsoft Purview eDiscovery und Microsoft Purview Audit, Microsoft Priva Privacy Risk Management und Microsoft Priva Subject Rights Request. |
| Microsoft Azure Core Services | Azure KI, Azure Content Safety, Anomalieerkennung, API Management, App Service (API Apps, Logic Apps, Mobile Apps, WebJobs, Functions), Lab Services, Application Gateway, Azure Monitor, Automation, Azure API für FHIR, Azure App Configuration, Azure Bastion, Azure KI Bot Service, Azure Cache for Redis, Azure KI Suche, Azure-Kommunikationsdienste, Azure Container Apps, Azure Container Instances, Azure Container Registry (ACR), Azure Cosmos DB, Azure Data Explorer, Azure Database for MySQL, Azure Database for PostgreSQL, Azure Databricks, Azure DDOS Protection, Azure DevOps, Azure DNS, Microsoft Entra ID, Azure Event Grid, Microsoft Fabric, Azure Firewall, Azure KI Dokument Intelligenz, Azure Health Data Services, Azure KI Immersive Reader, Azure Kubernetes Service, Azure Managed Grafana, Azure Machine Learning, Azure KI Metrics Advisor, Azure NetApp Files, Azure AI Foundry (einschließlich Azure OpenAI), Azure Red Hat OpenShift, Azure VMware Solution, Microsoft Purview Data Map (klassich), Microsoft Purview Data Catalog (klassisch), Microsoft Purview Data Estate Insights (klassisch), Microsoft Purview Data Policies (klassisch), Azure Resource Manager, Azure Spring Apps, Azure Time Series Insights, Azure KI Video Indexers, Azure Web PubSub, Backup, Batch, Cloud Services, Computer Vision, Content Moderator, Azure KI Custom Vision, Data Factory, Data Lake Analytics, Data Lake Store, Event Hubs, Express Route, Face, HDInsight, Import/Export, IoT Hub, Key Vault, Language Understanding, Load Balancer, Media Services, Microsoft Azure Portal, Notification Hubs, Azure KI Personalisierung, Power BI Embedded, QnA Maker, Microsoft Defender for Cloud, Service Bus, Service Connector, Service Fabric, Azure SignalR Service, Site Recovery, Speech Services, SQL Database, SQL Managed Instance, SQL Server Stretch Database, Storage, StorSimple, Stream Analytics, Synapse Analytics, Text Analytics, Traffic Manager, Azure KI Übersetzer, Virtual Machines, Virtual Machine Scale Sets, Virtual Network und VPN Gateway. |
| Microsoft Intune-Onlinedienste | Clouddienste-Teil von Microsoft Intune. |
| Microsoft Power-Plattform-Core Services | Die folgenden Dienste, die jeweils eigenständige Dienste sind oder wie jeweils in einem/einer mit der Marke Office 365 oder Microsoft Dynamics 365 versehenen Plan oder Suite enthalten: Microsoft Power BI, Microsoft Power Apps, Microsoft Power Automate, Microsoft Power Pages und Microsoft Copilot Studio. Die Microsoft Power-Plattform-Core Services enthalten keine Clientsoftware, einschließlich, aber nicht beschränkt auf Power BI Report Server, Power BI, PowerApps oder Microsoft Power Automate mobile-Anwendungen, Power BI Desktop oder Power Apps Studio. |
| Microsoft 365 Copilot Chat | Microsoft 365 Copilot Chat, verwendet mit einem Arbeits- oder Schulkonto. |
| Microsoft 365 Copilot for Sales | Microsoft 365 Copilot for Sales. |
| Microsoft Defender Experts | Clouddienste-Teil von Microsoft Defender Experts. |
| Microsoft Defender für Cloud-Apps | Der Cloud-Service-Teil von Microsoft Defender für Cloud-Apps (früher Microsoft Cloud App Security). |
| Microsoft Defender für Endpunktdienste | Clouddienste-Teil von Microsoft Defender für Endpunkt. |
| Microsoft Defender for Identity | Clouddienste-Teil von Microsoft Defender for Identity. |
| Microsoft Defender XDR | Clouddienste-Teil von Microsoft Defender XDR. |
| Microsoft Dragon Copilot | Microsoft Dragon Copilot |
| Microsoft Sentinel | Clouddienste-Teil von Microsoft Sentinel. |
| Windows 365 | Der Cloud-Service-Teil von Windows 365, mit Ausnahme des Windows-Betriebssystems, das auf Windows 365-Cloud-PCs ausgeführt wird.“ |
Quelle: https://www.microsoft.com/licensing/terms/product/PrivacyandSecurityTerms/EAEAS#Core-Onlinedienste
Datenschutz und Compliance
Ein zentrales Thema bei den Core Services ist die Einhaltung internationaler Datenschutzstandards. Microsoft bietet eine Vielzahl von Zertifizierungen und Programmen an, darunter:
- ISO 27001, 27017, 27018, 27701, 42001
- SOC 2 Type 1 und Type 2
- BSI C5, FedRAMP High, GDPR, CCPA, HIPAA
- EU Boundary Program: Datenverarbeitung innerhalb Europas zur Einhaltung der DSGVO
Für die Core Services gelten damit auch die Data Protection Agreement (DPA . aka.ms/DPA) und die SLA gemeinsam wie die Productterms (PT).
Dazu schreibt Microsoft in den Produkt Terms dann (AGB)
„Sicherheitsverfahren und -richtlinien für Core-Onlinedienste
Zusätzlich zu den Sicherheitsverfahren und -richtlinien für Onlinedienste im DPA erfüllt jeder Core-Onlinedienst auch die in der nachstehenden Tabelle aufgeführten Kontrollstandards und Rahmenkonzepte und verwirklicht und unterhält die in Anhang A des DPA beschriebenen Sicherheitsmaßnahmen zum Schutz der Kundendaten.
| Onlinedienst | SSAE 18 SOC 1 Typ II | SSAE 18 SOC 2 Typ II |
|---|---|---|
| Office 365-Services | Ja | Ja |
| Microsoft 365-Compliancedienste | Ja | Ja |
| Microsoft Dynamics 365-Kerndienste | Ja | Ja |
| Microsoft Azure Core Services | Variiert* | Variiert* |
| Microsoft Intune-Onlinedienste | Ja | Ja |
| Microsoft Power-Plattform-Core Services | Ja | Ja |
| Microsoft 365 Copilot Chat | Ja | Ja |
| Microsoft 365 Copilot for Sales | Ja | Ja |
| Microsoft Defender Experts | Variiert* | Variiert* |
| Microsoft Defender für Cloud-Apps | Ja | Ja |
| Microsoft Defender für Endpunktdienste | Ja | Ja |
| Microsoft Defender for Identity | Ja | Ja |
| Microsoft Defender XDR | Ja | Ja |
| Microsoft Dragon Copilot | Ja | Ja |
| Microsoft Sentinel | Ja | Ja |
| Windows 365 | Ja | Ja |
* Der aktuelle Umfang ist im Prüfungsbericht detailliert aufgeführt und im Microsoft Trust Center zusammengefasst.
Speicherstelle der Kundendaten im Ruhezustand für Core-Onlinedienste:
Bezüglich der Core-Onlinedienste speichert Microsoft die Kundendaten im Ruhezustand innerhalb bestimmter geografischer Hauptgebiete (jeweils eine geografische Zone) wie folgt, sofern in den spezifischen Bedingungen für Onlinedienste nicht anders angegeben:
- Office 365-Services. Wenn der Kunde seinen Mandanten in Australien, Brasilien, Deutschland, der Europäischen Union, Frankreich, Indien, Japan, Kanada, Katar, Norwegen, Schweden, der Schweiz, Südafrika, Südkorea, den Vereinigten Arabischen Emiraten, im Vereinigten Königreich oder in den Vereinigten Staaten versorgt, speichert Microsoft die folgenden ruhenden Kundendaten nur in jener geografischen Zone: (1) Exchange Online-Postfachinhalte (E-Mail-Text, Kalendereinträge und Inhalt von E-Mail-Anhängen), (2) SharePoint Online-Website-Inhalte und die auf dieser Website gespeicherten Dateien sowie (3) Dateien, die auf OneDrive for Business hochgeladen wurden, (4) Microsoft Teams-Chatnachrichten (einschließlich privater Nachrichten, Kanalnachrichten, Besprechungsnachrichten und in Chats verwendeter Bilder) und für Kunden, die Microsoft Stream (Classic) (auf SharePoint) verwenden, Besprechungsaufzeichnungen und (5) alle gespeicherten Interaktionsinhalte mit Microsoft 365 Copilot, soweit nicht in den vorherigen Verpflichtungen enthalten. Wenn der Kunde ein Erweitertes Datenresidenz-Abonnement erwirbt, speichert Microsoft bestimmte Kundendaten in Übereinstimmung mit diesem Abschnitt und dem Abschnitt „Zusagen zur Erweiterten Datenresidenz“ in der Produktdokumentation unter https://aka.ms/adroverview in der jeweiligen geografischen Zone.
- Microsoft Intune-Onlinedienste. Wenn der Kunde ein Microsoft Intune Tenant-Konto bereitstellt, um in einer verfügbaren Geo eingesetzt zu werden, speichert Microsoft dann für diesen Service ruhende Kundendaten in der spezifischen Geo, außer in den im Microsoft Intune Trust Center beschriebenen Fällen.
- Microsoft Power-Plattform-Core Services. Wenn der Kunde einen Power Platform Core Service bereitstellt, um in einer verfügbaren Geo genutzt zu werden, dann speichert Microsoft für diesen Service ruhende Kundendaten in der spezifischen Geo, außer in den im Microsoft Power Platform Trust Center beschriebenen Fällen.
- Microsoft Azure Core Services. Der Kunde kann bestimmte Azure-Dienste so konfigurieren, dass sie in einem bestimmten geografischen Gebiet bereitgestellt werden. Siehe https://azure.microsoft.com/de-de/explore/global-infrastructure/products-by-region/table oder eine Nachfolgewebsite. Wenn der Kunde einen bestimmten Dienst derart konfiguriert, dass er in einem Rechenzentrum innerhalb einer Großregion (jeweils als „Geo“ bezeichnet) bereitgestellt wird, speichert Microsoft die Kundendaten-at-rest innerhalb dieses bestimmten Geo. Bei einigen Diensten hat der Kunde unter Umständen nicht die Möglichkeit, die Bereitstellung in einer bestimmten Geo oder außerhalb der USA zu konfigurieren und kann Sicherungen (Backups) an anderen Orten speichern. Weitere Informationen finden Sie im Microsoft Trust Center (das Microsoft von Zeit zu Zeit aktualisieren kann, aber Microsoft wird keine Ausnahmen für vorhandene Dienste in der allgemeinen Version hinzufügen).
- Microsoft 365 Copilot for Sales. Wenn Microsoft 365 Copilot for Sales Kundendaten generiert und wenn ein Kunde einen Dynamics 365 Core Service bereitstellt, der in einer verfügbaren Geo genutzt werden soll, dann werden ruhende Kundendaten in der spezifischen Geo gespeichert, außer in den im Microsoft Dynamics 365 Trust Center beschriebenen Fällen. Wenn Microsoft 365 Copilot for Sales Kundendaten generiert und ein Kunde ein Customer Relationship Management-System eines Drittanbieters verwendet, speichert Microsoft 365 Copilot for Sales diese Kundendaten im Ruhezustand, je nachdem, wo in den Office 365-Diensten der Kunde seinen Mandanten wie oben beschrieben bereitgestellt hat. Für die zugrunde liegenden Kundendaten im Zusammenhang mit Office 365-Diensten und Microsoft Dynamics 365 (die nicht von Microsoft 365 Copilot for Sales generiert wurden) gelten weiterhin die jeweiligen oben genannten Aussagen für diese Dienste.
- Microsoft Defender für Cloud-Apps. Wenn der Kunde seinen Tenant in der Europäischen Union oder den Vereinigten Staaten bereitstellt, speichert Microsoft die ruhenden Kundendaten nur in dieser Geo, außer wie im Trust Center für Microsoft Defender for Cloud-Apps beschrieben.
- Microsoft Dynamics 365 Core Services. Wenn der Kunde einen Dynamics 365 Core Service bereitstellt, um in einer verfügbaren Geo genutzt zu werden, speichert Microsoft dann für diesen Service ruhende Kundendaten in der spezifischen Geo, außer in den im Microsoft Dynamics 365 Trust Center beschriebenen Fällen.
- Microsoft Defender für Endpunktdienste. Wenn der Kunde einen Microsoft Defender für Endpunkt-Mandanten bereitstellt, um in einem verfügbaren geografischen Raum eingesetzt zu werden, speichert Microsoft für diesen Dienst dann die ruhenden Kundendaten im spezifischen Geo, mit Ausnahme der im Trust Center für Microsoft Defender für Endpunkt beschriebenen Fälle.
- Microsoft Defender for Identity. Wenn der Kunde einen Microsoft Defender for Identity-Mandanten bereitstellt, um in einem verfügbaren geografischen Raum eingesetzt zu werden, speichert Microsoft für diesen Dienst dann die ruhenden Kundendaten im spezifischen Geo, mit Ausnahme der im Trust Center für Microsoft Defender for Identity beschriebenen Fälle.
- Microsoft Defender XDR. Wenn der Kunde einen Microsoft Defender XDR-Mandanten bereitstellt, um in einem verfügbaren geografischen Raum eingesetzt zu werden, speichert Microsoft für diesen Dienst dann die ruhenden Kundendaten im spezifischen Geo, mit Ausnahme der im Microsoft Defender XDR Trust Center beschriebenen Fälle.
- Microsoft Dragon Copilot. Sofern in der Produktdokumentation zu Microsoft Dragon Copilot nichts anderes beschrieben ist: (1) Für Kunden mit einem Microsoft 365/Microsoft Entra ID-Mandanten, der in den USA, Kanada, Frankreich oder Deutschland bereitgestellt wird, speichert Microsoft ruhende Kundendaten für Microsoft Dragon Copilot innerhalb dieses geografischen Gebiets. (2) Für Kunden mit einem Microsoft 365/Microsoft Entra ID-Mandanten, der in Irland oder Belgien bereitgestellt wird, speichert Microsoft ruhende Kundendaten für Microsoft Dragon Copilot in Frankreich. Und (3) Für Kunden mit einem Microsoft 365/Microsoft Entra ID-Mandanten, der in Österreich oder den Niederlanden bereitgestellt wird, speichert Microsoft ruhende Kundendaten für Microsoft Dragon Copilot in Deutschland.
- Windows 365. Wenn ein Windows 365-Mandant innerhalb eines verfügbaren Geo bereitgestellt wird, speichert Microsoft für diesen Mandanten ruhende Kundendaten in diesem angegebenen Geo. Wenn der Kunde Windows 365-Cloud-PCs innerhalb desselben Mandanten für verschiedene verfügbare Geos bereitstellt, speichert Microsoft für jeden Cloud-PC ruhende Cloud-PC-Kundendaten in diesem angegebenen Geo.“
Ausnahmen
Zu den Microsoft Online Core Services gelten damit zum Beispiel nicht:
„Zu den Office 365-Services gehören nicht Microsoft 365-Apps für Unternehmen, ein Teil eines PSTN-Dienstes, der außerhalb der Kontrolle von Microsoft betrieben wird, eine Client-Software oder ein separater, mit der Schutzmarke versehener Dienst, der mit einem Plan oder einer Suite der Marke Office 365 oder Microsoft 365 zur Verfügung gestellt wird, z. B. ein Bing oder ein Dienst der Marke „für Office 365“.
Warum sind die Core Services so wichtig?
Microsoft Online CoreServices:
1. Es gelten die AGB wie die DPA (aka.ms/dpa)
2. Es gelten die Enterprise & Business Verträge für die Dienste.
3. Die Dienste unterfallen dem EU Boundary Program.
4. Änderungen müssen zwingend mind. 6 Monate in Realität 1 Jahr vorher angekündigt werden.