n8n an Microsoft 365 anbinden: Anmeldung über Entra ID und der Zugriff auf Outlook, Teams und SharePoint

n8n meldet sich an Microsoft 365 über eine Anwendung in Microsoft Entra ID an – je nach Baustein im Namen eines angemeldeten Nutzers oder, für unbeaufsichtigte Abläufe, als eigenständige Anwendung ganz ohne Nutzer. Für Ihr Unternehmen heißt das: Outlook, Teams und SharePoint bleiben unverändert; n8n bekommt einen benannten Zugang, dessen Reichweite Sie bis auf einzelne Postfächer herunterschneiden können.

Das ist die Sorge, die uns in Gesprächen mit Mittelständlern häufig zuerst begegnet: Ein zusätzliches Automatisierungswerkzeug bedeute einen Bruch mit dem eigenen Setup, ein Parallelsystem, eine zweite Wahrheit. Technisch trifft das nicht zu. Dieser Artikel zeigt, welche Microsoft-Dienste n8n von Haus aus erreicht, welche zwei Anmeldewege es gibt – und, das ist der Teil, an dem es in Projekten tatsächlich hängt, wie Sie den Zugriff auf genau den Ausschnitt begrenzen, den ein Workflow braucht.

Welche Microsoft-Dienste n8n von Haus aus erreicht

n8n bringt für die zentralen Microsoft-365-Dienste eigene Bausteine mit, in n8n „Nodes” genannt. Ein Node kapselt die Aufrufe an die Schnittstelle, sodass Sie im Workflow nur noch die Aktion auswählen. Der Stand laut offizieller n8n-Dokumentation am 6. August 2026:

Dienst	Node	Was der Node abdeckt
Outlook	Microsoft Outlook	Nachrichten (lesen, senden, antworten, verschieben, aktualisieren, löschen), Entwürfe, Anhänge, Ordner, Kalender, Termine, Kontakte
Teams	Microsoft Teams	Kanäle, Kanalnachrichten, Chatnachrichten, Aufgaben
SharePoint	Microsoft SharePoint	Dateien hochladen, herunterladen und aktualisieren; Listen abrufen; Listenelemente anlegen, auslesen, aktualisieren und löschen
Excel-Arbeitsmappen in OneDrive	Microsoft Excel (OneDrive)	Tabellenzeilen anhängen, lesen und gezielt suchen; Arbeitsblätter anlegen und auslesen
Excel-Arbeitsmappen in SharePoint	Microsoft Excel (SharePoint)	eigener Node mit abweichendem Umfang: Zeilen lesen, anhängen und aktualisieren; Tabellen lesen, anhängen, anlegen und löschen; Arbeitsblätter anlegen, leeren und löschen
OneDrive	Microsoft OneDrive	Dateien hochladen (bis 4 MB), herunterladen, abrufen, kopieren, umbenennen, suchen, teilen, löschen; Ordner anlegen, Inhalt auflisten, umbenennen, suchen, teilen, löschen
Benutzerverwaltung	Microsoft Entra ID	Benutzer und Gruppen anlegen, ändern, löschen; Mitgliedschaften setzen

Drei Dinge sind daran für die Praxis wichtiger als die Liste selbst.

Erstens: Das sind Standardbausteine, keine Sonderanfertigungen – der Unterschied zwischen „geht grundsätzlich” und „geht ohne Entwicklungsaufwand”.

Zweitens: Was ein Node kann, ist nicht die Obergrenze dessen, was möglich ist. Dazu weiter unten.

Drittens, und das ist der Punkt, an dem Feature-Listen unbrauchbar werden: Die Nodes sind versioniert, und die Versionen unterscheiden sich in dem, was sie können – bis hin zu der Frage, welcher der beiden Anmeldewege pro Baustein überhaupt zur Verfügung steht. Prüfen Sie deshalb gegen die Node-Version in Ihrer Installation, nicht gegen eine Übersicht im Netz. Auch nicht gegen diese.

Eine Abweichung gehört gleich hier genannt, weil sie die Anmeldung betrifft: Im ausgelieferten Stand vom 6. August 2026 – der SharePoint-Node steht dort auf Version 1 – ist der Microsoft-SharePoint-Node der einzige der hier genannten Bausteine, der nicht über Microsoft Graph läuft. Der Node spricht stattdessen den SharePoint-eigenen REST-Dienst auf Ihrem Tenant an ({subdomain}.sharepoint.com/_api/v2.0/) und verlangt dafür ein eigenes Zugangsdaten-Format samt Tenant-Subdomain. Outlook, Teams, OneDrive, Excel und Entra ID laufen dagegen schon heute über Graph.

Diese eine Angabe hat absehbar ein Verfallsdatum: Im n8n-Quellcode liegt eine zweite Node-Version bereit, die auf Graph umstellt. Sie ist dort als „under construction” markiert und bewusst nicht registriert, lässt sich also in keiner ausgelieferten Installation auswählen. Sobald n8n sie ausliefert, gilt dieser Absatz nicht mehr – dann läuft auch SharePoint über Graph. Beide Belegstellen stehen mit Datei und Zeile in den Quellen unter diesem Artikel.

Wie sich n8n anmeldet: zwei Wege, ein Unterschied, der alles bestimmt

Microsoft Graph kennt zwei Zugriffsszenarien, und die Wahl zwischen ihnen ist die eigentliche Weichenstellung des Projekts.

	Im Namen eines Nutzers	Als eigenständige Anwendung
Microsoft-Begriff	delegierte Berechtigungen	Anwendungsberechtigungen
Wer handelt	die Anwendung im Auftrag eines angemeldeten Nutzers	die Anwendung mit eigener Identität, ohne angemeldeten Nutzer
Reichweite	begrenzt durch die erteilte Berechtigung und die Rechte dieses Nutzers	das, was die erteilte Berechtigung umfasst
Wer stimmt zu	Nutzer für die eigenen Daten, sofern die Richtlinien Ihres Mandanten das zulassen; Administrator für alle	ausschließlich ein Administrator
In n8n	Microsoft OAuth2	Microsoft Entra Service Principal (App-Only)

Bei der Reichweite zählen beide Halbsätze. Microsoft schreibt einerseits, die Anwendung könne nichts erreichen, was der angemeldete Nutzer nicht auch erreichen könnte – andererseits, die Befugnisse ergäben sich aus der erteilten Berechtigung und den Rechten des Nutzers. Ein Workflow, der im Namen einer Sachbearbeiterin mit einer Leseberechtigung auf E-Mail läuft, sieht also ihr Postfach und das, was ihr sonst freigegeben ist – etwa ein Funktionspostfach –, nicht aber automatisch die Postfächer der übrigen Belegschaft und auch nicht ihre Dokumentenbibliotheken, solange dafür keine eigene Berechtigung erteilt ist.

Im zweiten Fall gilt diese Deckelung nicht. Microsofts eigenes Beispiel: Eine Anwendung mit der Anwendungsberechtigung Files.Read.All kann jede Datei der Organisation lesen. Anwendungsberechtigungen dürfen laut Microsoft ohnehin nur von einem Privileged Role Administrator oder einem Global Administrator erteilt werden.

Für unbeaufsichtigte Automatisierung ist der zweite Weg der praktikablere, und zwar aus einem konkreten Grund: Es gibt keine Nutzersitzung, die ablaufen kann, und keine Zustimmung, die pro Person verwaltet werden muss. n8n nennt diesen Zugang Microsoft Entra Service Principal (App-Only). Dieser Weg steht aber nicht bei jedem Baustein zur Verfügung. Die n8n-Dokumentation führt zum Stand 6. August 2026 die Nodes für Outlook, Teams, OneDrive, Excel (OneDrive), Excel (SharePoint) und To Do als unterstützt auf; für den Microsoft-SharePoint-Node kündigt n8n die Unterstützung erst an, und der Entra-ID-Node ist dort nicht gelistet. Welche Node-Version das jeweils voraussetzt, steht ebenfalls in der Dokumentation – welche Version bei Ihnen läuft, sehen Sie nur in Ihrer eigenen Installation. Hinzu kommt: Manches existiert bei Microsoft nur für einen angemeldeten Nutzer und ist ohne Nutzer schlicht nicht verfügbar; auch diese Operationen listet n8n zur Zugangsart auf.

Die Einrichtung findet in Ihrer eigenen Microsoft-Umgebung statt:

1. Im Microsoft-Entra-Admin-Center eine Anwendung registrieren, beschränkt auf das eigene Verzeichnis.
2. Die benötigten Anwendungsberechtigungen hinzufügen – ausdrücklich die Anwendungs-, nicht die delegierten Berechtigungen. Für den Verbindungstest der Zugangsdaten kommt Organization.Read.All oder Directory.Read.All dazu.
3. Die Zustimmung für die Organisation erteilen.
4. Ein Client Secret erzeugen und zusammen mit Verzeichnis- und Anwendungs-ID sowie der Graph-Basis-URL in n8n hinterlegen.

Für SharePoint-Zugriffe nennt die n8n-Dokumentation (Stand 6. August 2026) die Berechtigungen Sites.Read.All zum Lesen und Sites.ReadWrite.All zum Schreiben. Zwei Einordnungen dazu: Beim Excel-(SharePoint)-Node gelten sie für beide Zugangsarten, und wer die Anwendung dort auf einzelne Sites begrenzen will, vergibt laut Dokumentation Sites.Selected je Site statt der breiten Berechtigung. Der Microsoft-SharePoint-Node dagegen läuft nur im Namen eines Nutzers; für ihn nennt die Dokumentation zusätzlich die delegierten Berechtigungen SearchConfiguration.Read.All beziehungsweise SearchConfiguration.ReadWrite.All sowie die Tenant-Subdomain.

Die Frage, auf die Ihr Administrator kommen wird

„Heißt das, dieses Werkzeug kann dann alle Postfächer lesen?” Bei einer unbeschränkt erteilten Anwendungsberechtigung: ja. Und das ist der Punkt, an dem ein Automatisierungsvorhaben entweder unnötig scheitert oder unnötig weit aufmacht – wenn beide Seiten annehmen, es gebe nur ganz oder gar nicht.

Es gibt einen Mittelweg, und er ist von Microsoft dafür vorgesehen. Exchange Online kennt eine rollenbasierte Zugriffssteuerung für Anwendungen, in der ein Administrator eine Rolle wie Application Mail.Read an die registrierte Anwendung vergibt – aber gekoppelt an einen Ressourcenbereich. Dieser Bereich lässt sich als Filter über Postfacheigenschaften definieren oder über eine Verwaltungseinheit in Microsoft Entra ID. Microsofts eigenes Beispiel dazu ist ein Raumbuchungssystem, das Kalenderdaten nur für bestimmte Regionen sehen darf. Dasselbe Verfahren deckt unter anderem Mail.Read, Mail.Send, Calendars.ReadWrite und Contacts.Read ab. Wichtig für die Erwartung: Dieser Weg deckt Exchange Online ab – Postfächer, Kalender, Kontakte. Für Dateizugriffe wie das Files.Read.All von eben gilt er nicht. Wo n8n über Graph auf SharePoint-Sites zugreift, ist Sites.Selected je Site das Gegenstück – vergeben statt der breiten Berechtigung, nicht zusätzlich. Eine bereits erteilte Files.Read.All wird dadurch nämlich nicht enger; sie muss entfernt werden, sonst gilt dieselbe Vereinigungsmengen-Falle wie gleich beim nächsten Punkt.

Drei Dinge dazu, die im Projekt leicht untergehen.

Vergeben wird die Rolle nicht in Entra ID, sondern in Exchange Online. Dafür braucht es laut Microsoft die Rollengruppe Organization Management beziehungsweise die Exchange-Administrator-Rolle – nicht dieselbe Rolle, die die Zustimmung in Entra ID erteilt, und in unseren Projekten oft nicht dieselbe Person. Wer das erst im Termin merkt, verliert eine Abstimmungsrunde.

Die Berechtigungen addieren sich. Microsoft beschreibt das Zusammenspiel als Vereinigungsmenge: Wer eine unbeschränkte Erteilung in Entra ID stehen lässt und zusätzlich einen begrenzten Bereich definiert, hat effektiv keine Begrenzung. Die unbeschränkte Erteilung muss also entfernt werden, sonst ist die ganze Übung wirkungslos. Für Berechtigungen, die in Entra ID erteilt bleiben sollen, nennt Microsoft die Application Access Policies als Mittel zur Eingrenzung; die rollenbasierte Steuerung tritt ansonsten an deren Stelle.

Testen Sie nicht sofort. Microsoft nennt für Änderungen an Anwendungsberechtigungen einen Zwischenspeicher von 30 Minuten bis 2 Stunden. Wer die unbeschränkte Erteilung entfernt und direkt danach prüft, sieht womöglich noch den alten Zugriff und schließt daraus fälschlich, die Eingrenzung greife nicht. Microsoft nennt dafür einen Ausweg: Der Testbefehl Test-ServicePrincipalAuthorization umgeht diesen Zwischenspeicher. Er zeigt allerdings nur die Exchange-Rollenzuweisungen – ob die unbeschränkte Erteilung in Entra ID wirklich entfernt ist, prüfen Sie dort.

Wenn es für etwas keinen fertigen Baustein gibt

Microsoft 365 ist größer als die Liste oben, und nicht für jede Funktion existiert ein eigener Node. Für diesen Fall gibt es in n8n den HTTP-Request-Node: Er ruft beliebige Schnittstellen auf und kann dabei eine bereits eingerichtete n8n-Zugangsberechtigung wiederverwenden – in der Dokumentation „Predefined Credential Type” genannt und von n8n ausdrücklich gegenüber generisch konfigurierten Zugängen empfohlen.

Praktisch heißt das: dieselbe Anmeldung, dieselben Grenzen, aber Zugriff auf Graph-Funktionen, für die es noch keinen fertigen Baustein gibt. Eine fehlende Integration ist damit ein Aufwandsthema, kein Ausschlusskriterium – ein Unterschied, der bei der Bewertung eines Vorhabens leicht untergeht.

Drei Fragen, bevor der erste Workflow gebaut wird

1. In wessen Namen soll der Workflow handeln? Im Namen eines Mitarbeiters oder als eigenständige Anwendung? Diese Entscheidung bestimmt Reichweite, Zustimmungsprozess und Betriebssicherheit – und sie legt fest, welche Operationen Ihnen überhaupt zur Verfügung stehen.
2. Auf welchen Ausschnitt darf die Anwendung zugreifen – und ist die unbeschränkte Erteilung danach entfernt? Der zweite Halbsatz ist der, der in der Umsetzung untergeht.
3. Welche Node-Versionen laufen in Ihrer Installation? Davon hängt ab, welcher Anmeldeweg pro Baustein zur Verfügung steht. Welche Version welchen Weg unterstützt, steht in der n8n-Dokumentation; welche bei Ihnen läuft, sehen Sie nur in Ihrer Installation.

Und eine vierte, die keine technische ist: Wer bemerkt es, wenn der Workflow stehen bleibt? Ein Automatisierungs-Workflow ist ein Betriebsgegenstand, kein abgeschlossenes Projekt – Zugangsdaten laufen ab, Schnittstellen ändern sich. Wir haben diese Frage unter den teuersten Fehlern bei der KI-Einführung beschrieben, weil sie sich erst Monate nach der Entscheidung bemerkbar macht.

Für den Mittelstand heißt das

Die Anbindung an Microsoft 365 ist weniger eine Werkzeugfrage als eine Berechtigungsfrage. Dass n8n mit Outlook, Teams und SharePoint spricht, ist technisch geklärt und dokumentiert – interessant wird es erst bei der Frage, wie eng der Zugang geschnitten ist und wer ihn betreut. Wir erleben in Projekten, dass die technische Anbindung schneller steht als die Abstimmung darüber, welchen Ausschnitt die Automatisierung sehen darf. Planen Sie den zweiten Teil ein, statt ihn zu entdecken.

Der zweite Punkt betrifft die Erwartungshaltung an das eigene Setup: Sie behalten Ihre Microsoft-Welt. Eine Automatisierungsschicht ersetzt keine Postfächer, keine Teams-Struktur und keine Dokumentenbibliotheken – sie liest aus ihnen, schreibt in sie zurück und verbindet sie mit dem, was daneben liegt: dem ERP, der Warenwirtschaft, dem Ticketsystem, einem Sprachmodell. An dieser Nahtstelle entsteht der Nutzen, weil dort Ihre Fachsysteme an Microsoft 365 andocken.

Und der dritte: Fangen Sie klein an. Ein einzelner Prozess, ein eng geschnittener Zugang, ein messbares Ergebnis – das ist belastbarer als eine Plattformentscheidung auf dem Papier. Welches Werkzeug zu Ihrer Ausgangslage passt, haben wir im Vergleich von n8n, Make und Power Automate aufgeschlüsselt; wie ein Einstieg strukturiert abläuft, beschreibt unser Leitfaden zur KI-Einführung in fünf Phasen. Wenn die Automatisierung anschließend nicht nur Regeln abarbeiten, sondern selbst entscheiden soll, lohnt vorab die Abgrenzung: Was ist eigentlich ein KI-Agent?

FAQ

Müssen wir Microsoft 365 verlassen, wenn wir n8n einsetzen?

Nein. n8n greift auf Ihre bestehenden Dienste über die Schnittstellen zu, die Microsoft dafür bereitstellt – bei Outlook, Teams, OneDrive und Excel über Microsoft Graph, beim SharePoint-Node im ausgelieferten Stand vom 6. August 2026 (Version 1) über den SharePoint-eigenen REST-Dienst. Eine Umstellung auf Graph ist im n8n-Quellcode vorbereitet, aber noch nicht ausgeliefert. Outlook, Teams und SharePoint bleiben unverändert; die Automatisierung liegt als zusätzliche Schicht darüber und arbeitet mit den Daten, die dort ohnehin liegen.

Welche Microsoft-Dienste deckt n8n mit eigenen Bausteinen ab?

Laut n8n-Dokumentation, Stand 6. August 2026, gibt es unter anderem eigene Nodes für Outlook, Teams, SharePoint, Excel (OneDrive), Excel (SharePoint), OneDrive, To Do und Microsoft Entra ID. Der genaue Funktionsumfang hängt an der Node-Version in Ihrer Installation.

Braucht die Anbindung einen Microsoft-365-Administrator?

Für den unbeaufsichtigten Betrieb ja. Anwendungsberechtigungen können laut Microsoft nur von einem Privileged Role Administrator oder einem Global Administrator erteilt werden. Läuft der Workflow dagegen im Namen eines angemeldeten Nutzers, kann je nach Berechtigung und den Richtlinien Ihres Mandanten der Nutzer selbst zustimmen. Für die Begrenzung auf einzelne Postfächer kommt zusätzlich die Exchange-Administrator-Rolle ins Spiel.

Kann der Zugriff auf einzelne Postfächer beschränkt werden?

Ja. Exchange Online bietet eine rollenbasierte Zugriffssteuerung für Anwendungen, bei der eine Rolle wie Application Mail.Read an einen definierten Ressourcenbereich gekoppelt wird – etwa an einen Filter über Postfacheigenschaften oder an eine Verwaltungseinheit. Wichtig: Die Berechtigungen aus Microsoft Entra ID und aus dieser Rollensteuerung bilden laut Microsoft eine Vereinigungsmenge. Eine unbeschränkte Erteilung in Entra ID muss entfernt werden, sonst greift die Begrenzung nicht.

Ersetzt n8n Power Automate?

Nicht zwangsläufig – beide lassen sich parallel betreiben, und das kann der pragmatische Weg sein. Welche Kriterien für welches Werkzeug sprechen, haben wir im Tool-Vergleich anhand der Angaben der jeweiligen Anbieter aufgeschlüsselt.

Was passiert, wenn n8n für eine Microsoft-Funktion keinen fertigen Baustein hat?

Dann übernimmt der HTTP-Request-Node. Er ruft die Schnittstelle direkt auf und kann dabei eine bereits eingerichtete Microsoft-Zugangsberechtigung wiederverwenden. Die Reichweite ändert sich dadurch nicht: Sie hängt an der registrierten Anwendung und den dort erteilten Berechtigungen, nicht daran, welcher Baustein den Aufruf absetzt.