n8n an Microsoft 365 anbinden: Anmeldung über Entra ID und der Zugriff auf Outlook, Teams und SharePoint

n8n meldet sich an Microsoft 365 über eine Anwendung in Microsoft Entra ID an – je nach Baustein im Namen eines angemeldeten Nutzers oder, für unbeaufsichtigte Abläufe, als eigenständige Anwendung ganz ohne Nutzer. Für Ihr Unternehmen heißt das: Outlook, Teams und SharePoint bleiben unverändert; n8n bekommt einen benannten Zugang, dessen Reichweite Sie bis auf einzelne Postfächer herunterschneiden können.

Eine verbreitete Sorge: Ein zusätzliches Automatisierungswerkzeug bedeute einen Bruch mit dem eigenen Setup, ein Parallelsystem, eine zweite Wahrheit. Technisch trifft das nicht zu. Dieser Artikel zeigt, welche Microsoft-Dienste n8n von Haus aus erreicht, welche zwei Anmeldewege es gibt – und wie Sie den Zugriff auf genau den Ausschnitt begrenzen, den ein Workflow braucht.

Welche Microsoft-Dienste n8n von Haus aus erreicht

n8n bringt für die zentralen Microsoft-365-Dienste eigene Bausteine mit, in n8n „Nodes” genannt. Ein Node kapselt die Aufrufe an die Schnittstelle, sodass Sie im Workflow nur noch die Aktion auswählen. Der Stand laut offizieller n8n-Dokumentation am 6. August 2026:

Dienst	Node	Was der Node abdeckt
Outlook	Microsoft Outlook	Nachrichten (lesen, senden, antworten, verschieben, aktualisieren, löschen), Entwürfe, Anhänge, Ordner, Kalender, Termine, Kontakte
Teams	Microsoft Teams	Kanäle, Kanalnachrichten, Chatnachrichten, Aufgaben
SharePoint	Microsoft SharePoint	Dateien hochladen, herunterladen und aktualisieren; Listen abrufen; Listenelemente anlegen, auslesen, aktualisieren und löschen
Excel-Arbeitsmappen in OneDrive	Microsoft Excel (OneDrive)	Tabellenzeilen anhängen, lesen und gezielt suchen; Arbeitsblätter anlegen und auslesen
Excel-Arbeitsmappen in SharePoint	Microsoft Excel (SharePoint)	eigener Node mit abweichendem Umfang: Zeilen lesen, anhängen und aktualisieren; Tabellen lesen, anhängen, anlegen und löschen; Arbeitsblätter anlegen, leeren und löschen
OneDrive	Microsoft OneDrive	Dateien hochladen (bis 4 MB), herunterladen, abrufen, kopieren, umbenennen, suchen, teilen, löschen; Ordner anlegen, Inhalt auflisten, umbenennen, suchen, teilen, löschen
Benutzerverwaltung	Microsoft Entra ID	Benutzer und Gruppen anlegen, ändern, löschen; Mitgliedschaften setzen

Drei Dinge sind daran für die Praxis wichtiger als die Liste selbst.

Erstens: Das sind Standardbausteine, keine Sonderanfertigungen – der Unterschied zwischen „geht grundsätzlich” und „geht ohne Entwicklungsaufwand”.

Zweitens: Was ein Node kann, ist nicht die Obergrenze dessen, was möglich ist. Dazu weiter unten.

Drittens, und das ist der Punkt, an dem Feature-Listen unbrauchbar werden: Die Nodes sind versioniert, und die Versionen unterscheiden sich in dem, was sie können – bis hin zu der Frage, welcher der beiden Anmeldewege pro Baustein überhaupt zur Verfügung steht. Prüfen Sie deshalb gegen die Node-Version in Ihrer Installation, nicht gegen eine Übersicht im Netz. Auch nicht gegen diese.

Ein Versionsunterschied gehört gleich hier genannt, weil er die Anmeldung betrifft: Der Microsoft-SharePoint-Node lief in Version 1 über den SharePoint-eigenen REST-Dienst, mit eigenem Zugangsdaten-Format samt Tenant-Subdomain. Ab n8n 2.37.0 legt n8n neue SharePoint-Nodes in Version 2 an, die über Microsoft Graph laufen (Stand der n8n-Dokumentation: 16. September 2026). Die Operationen für Dateien, Listen und Listenelemente heißen laut Dokumentation in beiden Versionen gleich; bei Update und Create or Update beschreibt sie aber abweichendes Verhalten, wenn mehrere Einträge passen. Workflows, die mit Version 1 gebaut wurden, bleiben auf Version 1 und behalten ihre Zugangsdaten; die Zugangsdaten aus Version 1 funktionieren mit Version 2 nicht. Prüfen Sie deshalb, welche Version bei Ihnen läuft.

Wie sich n8n anmeldet: zwei Wege, ein Unterschied, der alles bestimmt

Microsoft Graph kennt zwei Zugriffsszenarien, und die Wahl zwischen ihnen ist die eigentliche Weichenstellung des Projekts.

	Im Namen eines Nutzers	Als eigenständige Anwendung
Microsoft-Begriff	delegierte Berechtigungen	Anwendungsberechtigungen
Wer handelt	die Anwendung im Auftrag eines angemeldeten Nutzers	die Anwendung mit eigener Identität, ohne angemeldeten Nutzer
Reichweite	begrenzt durch die erteilte Berechtigung und die Rechte dieses Nutzers	das, was die erteilte Berechtigung umfasst
Wer stimmt zu	Nutzer für die eigenen Daten, sofern die Richtlinien Ihres Mandanten das zulassen; Administrator für alle	ausschließlich ein Administrator
In n8n	Microsoft OAuth2	Microsoft Entra Service Principal (App-Only)

Bei der Reichweite zählen beide Halbsätze. Microsoft schreibt einerseits, die Anwendung könne nichts erreichen, was der angemeldete Nutzer nicht auch erreichen könnte – andererseits, die Befugnisse ergäben sich aus der erteilten Berechtigung und den Rechten des Nutzers. Ein Workflow, der im Namen einer Sachbearbeiterin mit einer Leseberechtigung auf E-Mail läuft, sieht also ihr Postfach und das, was ihr sonst freigegeben ist – etwa ein Funktionspostfach –, nicht aber automatisch die Postfächer der übrigen Belegschaft und auch nicht ihre Dokumentenbibliotheken, solange dafür keine eigene Berechtigung erteilt ist.

Im zweiten Fall gilt diese Deckelung nicht. Microsofts eigenes Beispiel: Eine Anwendung mit der Anwendungsberechtigung Files.Read.All kann jede Datei der Organisation lesen. Anwendungsberechtigungen dürfen laut Microsoft ohnehin nur von einem Privileged Role Administrator oder einem Global Administrator erteilt werden.

Für unbeaufsichtigte Automatisierung ist der zweite Weg der praktikablere, und zwar aus einem konkreten Grund: Es gibt keine Nutzersitzung, die ablaufen kann, und keine Zustimmung, die pro Person verwaltet werden muss. n8n nennt diesen Zugang Microsoft Entra Service Principal (App-Only). Dieser Weg steht aber nicht bei jedem Baustein zur Verfügung. Die n8n-Dokumentation führt zum Stand 16. September 2026 Outlook, Outlook Trigger, Teams, Teams Trigger, SharePoint, OneDrive, OneDrive Trigger, Excel (OneDrive), Excel (SharePoint) und To Do als unterstützt auf; welche Node-Version jeweils mindestens nötig ist, steht dort je Node. Der Entra-ID-Node ist dort nicht gelistet. Welche Version bei Ihnen läuft, sehen Sie nur in Ihrer eigenen Installation. Hinzu kommt: Manches existiert bei Microsoft nur für einen angemeldeten Nutzer und ist ohne Nutzer schlicht nicht verfügbar; auch diese Operationen listet n8n zur Zugangsart auf.

Die Einrichtung findet in Ihrer eigenen Microsoft-Umgebung statt:

1. Im Microsoft-Entra-Admin-Center eine Anwendung registrieren, beschränkt auf das eigene Verzeichnis.
2. Die benötigten Anwendungsberechtigungen hinzufügen – ausdrücklich die Anwendungs-, nicht die delegierten Berechtigungen. Für den Verbindungstest der Zugangsdaten kommt Organization.Read.All oder Directory.Read.All dazu.
3. Die Zustimmung für die Organisation erteilen.
4. Ein Client Secret erzeugen und zusammen mit Verzeichnis- und Anwendungs-ID sowie der Graph-Basis-URL in n8n hinterlegen.

Für SharePoint-Zugriffe nennt die n8n-Dokumentation die Berechtigungen Sites.Read.All zum Lesen und Sites.ReadWrite.All zum Schreiben. Wer die Anwendung auf einzelne Sites begrenzen will, vergibt laut Dokumentation Sites.Selected je Site statt der breiten Berechtigung; das unterstützen der Excel-(SharePoint)-Node und der Microsoft-SharePoint-Node ab Version 2. Mit Sites.Selected können die Nodes allerdings keine Sites suchen oder auflisten. Für den Microsoft-SharePoint-Node in Version 1 nennt die Dokumentation zusätzlich die delegierten Berechtigungen SearchConfiguration.Read.All beziehungsweise SearchConfiguration.ReadWrite.All sowie die Tenant-Subdomain.

Die Frage, auf die Ihr Administrator kommen wird

„Heißt das, dieses Werkzeug kann dann alle Postfächer lesen?” Bei einer unbeschränkt erteilten Anwendungsberechtigung: ja. Und das ist der Punkt, an dem ein Automatisierungsvorhaben entweder unnötig scheitert oder unnötig weit aufmacht – wenn beide Seiten annehmen, es gebe nur ganz oder gar nicht.

Es gibt einen Mittelweg, und er ist von Microsoft dafür vorgesehen. Exchange Online kennt eine rollenbasierte Zugriffssteuerung für Anwendungen, in der ein Administrator eine Rolle wie Application Mail.Read an die registrierte Anwendung vergibt – aber gekoppelt an einen Ressourcenbereich. Dieser Bereich lässt sich als Filter über Postfacheigenschaften definieren oder über eine Verwaltungseinheit in Microsoft Entra ID. Microsofts eigenes Beispiel dazu ist ein Raumbuchungssystem, das Kalenderdaten nur für bestimmte Regionen sehen darf. Dasselbe Verfahren deckt unter anderem Mail.Read, Mail.Send, Calendars.ReadWrite und Contacts.Read ab. Wichtig für die Erwartung: Dieser Weg deckt Exchange Online ab – Postfächer, Kalender, Kontakte. Für Dateizugriffe wie das Files.Read.All von eben gilt er nicht. Wo n8n über Graph auf SharePoint-Sites zugreift, ist Sites.Selected je Site das Gegenstück – vergeben statt der breiten Berechtigung, nicht zusätzlich. Eine bereits erteilte Files.Read.All wird dadurch nämlich nicht enger; sie muss entfernt werden, sonst gilt dieselbe Vereinigungsmengen-Falle wie gleich beim nächsten Punkt.

Drei Dinge dazu, die im Projekt leicht untergehen.

Vergeben wird die Rolle nicht in Entra ID, sondern in Exchange Online. Dafür braucht es laut Microsoft die Rollengruppe Organization Management beziehungsweise die Exchange-Administrator-Rolle – nicht dieselbe Rolle, die die Zustimmung in Entra ID erteilt. Prüfen Sie vor dem Termin, ob beide Rollen bei derselben Person liegen; sonst verlieren Sie eine Abstimmungsrunde.

Die Berechtigungen addieren sich. Microsoft beschreibt das Zusammenspiel als Vereinigungsmenge: Wer eine unbeschränkte Erteilung in Entra ID stehen lässt und zusätzlich einen begrenzten Bereich definiert, hat effektiv keine Begrenzung. Die unbeschränkte Erteilung muss also entfernt werden, sonst ist die ganze Übung wirkungslos. Für Berechtigungen, die in Entra ID erteilt bleiben sollen, nennt Microsoft die Application Access Policies als Mittel zur Eingrenzung; die rollenbasierte Steuerung tritt ansonsten an deren Stelle.

Testen Sie nicht sofort. Microsoft nennt für Änderungen an Anwendungsberechtigungen einen Cache von 30 Minuten bis 2 Stunden. Wer die unbeschränkte Erteilung entfernt und direkt danach prüft, sieht womöglich noch den alten Zugriff und schließt daraus fälschlich, die Eingrenzung greife nicht. Microsoft nennt dafür einen Ausweg: Der Testbefehl Test-ServicePrincipalAuthorization umgeht diesen Cache. Er zeigt allerdings nur die Exchange-Rollenzuweisungen – ob die unbeschränkte Erteilung in Entra ID wirklich entfernt ist, prüfen Sie dort.

Wenn es für etwas keinen fertigen Baustein gibt

Microsoft 365 ist größer als die Liste oben, und nicht für jede Funktion existiert ein eigener Node. Für diesen Fall gibt es in n8n den HTTP-Request-Node: Er ruft beliebige Schnittstellen auf und kann dabei eine bereits eingerichtete n8n-Zugangsberechtigung wiederverwenden – in der Dokumentation „Predefined Credential Type” genannt und von n8n ausdrücklich gegenüber generisch konfigurierten Zugängen empfohlen.

Praktisch heißt das: dieselbe Anmeldung, dieselben Grenzen, aber Zugriff auf Graph-Funktionen, für die es noch keinen fertigen Baustein gibt. Eine fehlende Integration ist damit ein Aufwandsthema, kein Ausschlusskriterium – ein Unterschied, der bei der Bewertung eines Vorhabens leicht untergeht.

Drei Fragen, bevor der erste Workflow gebaut wird

1. In wessen Namen soll der Workflow handeln? Im Namen eines Mitarbeiters oder als eigenständige Anwendung? Diese Entscheidung bestimmt Reichweite, Zustimmungsprozess und Betriebssicherheit – und sie legt fest, welche Operationen Ihnen überhaupt zur Verfügung stehen.
2. Auf welchen Ausschnitt darf die Anwendung zugreifen – und ist die unbeschränkte Erteilung danach entfernt? Der zweite Halbsatz ist der, der in der Umsetzung untergeht.
3. Welche Node-Versionen laufen in Ihrer Installation? Davon hängt ab, welcher Anmeldeweg pro Baustein zur Verfügung steht. Welche Version welchen Weg unterstützt, steht in der n8n-Dokumentation; welche bei Ihnen läuft, sehen Sie nur in Ihrer Installation.

Und eine vierte, die keine technische ist: Wer bemerkt es, wenn der Workflow stehen bleibt? Ein Automatisierungs-Workflow ist ein Betriebsgegenstand, kein abgeschlossenes Projekt – Zugangsdaten laufen ab, Schnittstellen ändern sich. Wir haben diese Frage unter den teuersten Fehlern bei der KI-Einführung beschrieben, weil sie sich erst Monate nach der Entscheidung bemerkbar macht.

Für den Mittelstand heißt das

Die Anbindung an Microsoft 365 ist weniger eine Werkzeugfrage als eine Berechtigungsfrage. Dass n8n mit Outlook, Teams und SharePoint spricht, ist technisch geklärt und dokumentiert – interessant wird es erst bei der Frage, wie eng der Zugang geschnitten ist und wer ihn betreut. Planen Sie ein, dass die Abstimmung darüber, welchen Ausschnitt die Automatisierung sehen darf, länger dauern kann als die technische Anbindung. Bauen Sie auf denselben SharePoint-Daten einen internen Wissensassistenten, reicht ein eng geschnittener Zugang allein nicht mehr aus – dort muss die Berechtigungsprüfung bis in die einzelne Antwort hinein mitlaufen, wie unser Beitrag zum RAG-Wissensassistenten auf SharePoint-Daten zeigt.

Der zweite Punkt betrifft die Erwartungshaltung an das eigene Setup: Sie behalten Ihre Microsoft-Welt. Eine Automatisierungsschicht ersetzt keine Postfächer, keine Teams-Struktur und keine Dokumentenbibliotheken – sie liest aus ihnen, schreibt in sie zurück und verbindet sie mit dem, was daneben liegt: dem ERP, der Warenwirtschaft, dem Ticketsystem, der Buchhaltung, einem Sprachmodell. An dieser Nahtstelle entsteht der Nutzen, weil dort Ihre Fachsysteme an Microsoft 365 andocken. Wovon es abhängt, ob sich ein Fachsystem überhaupt anbinden lässt, haben wir für DATEV und das ERP einzeln aufgeschlüsselt.

Und der dritte: Fangen Sie klein an. Ein einzelner Prozess, ein eng geschnittener Zugang, ein messbares Ergebnis – das ist belastbarer als eine Plattformentscheidung auf dem Papier. Welches Werkzeug zu Ihrer Ausgangslage passt, haben wir im Vergleich von n8n, Make und Power Automate aufgeschlüsselt; wie ein Einstieg strukturiert abläuft, beschreibt unser Leitfaden zur KI-Einführung in fünf Phasen. Wenn die Automatisierung anschließend nicht nur Regeln abarbeiten, sondern selbst entscheiden soll, lohnt vorab die Abgrenzung: Was ist eigentlich ein KI-Agent?

FAQ

Müssen wir Microsoft 365 verlassen, wenn wir n8n einsetzen?

Nein. n8n greift auf Ihre bestehenden Dienste über die Schnittstellen zu, die Microsoft dafür bereitstellt – bei Outlook, Teams, OneDrive und Excel über Microsoft Graph. Der SharePoint-Node läuft ab n8n 2.37.0 in Version 2 ebenfalls über Graph; Workflows, die mit Version 1 gebaut wurden, nutzen weiter den SharePoint-eigenen REST-Dienst. Outlook, Teams und SharePoint bleiben unverändert; die Automatisierung liegt als zusätzliche Schicht darüber und arbeitet mit den Daten, die dort ohnehin liegen.

Welche Microsoft-Dienste deckt n8n mit eigenen Bausteinen ab?

Laut n8n-Dokumentation, Stand 6. August 2026, gibt es unter anderem eigene Nodes für Outlook, Teams, SharePoint, Excel (OneDrive), Excel (SharePoint), OneDrive, To Do und Microsoft Entra ID. Der genaue Funktionsumfang hängt an der Node-Version in Ihrer Installation.

Braucht die Anbindung einen Microsoft-365-Administrator?

Für den unbeaufsichtigten Betrieb ja. Anwendungsberechtigungen können laut Microsoft nur von einem Privileged Role Administrator oder einem Global Administrator erteilt werden. Läuft der Workflow dagegen im Namen eines angemeldeten Nutzers, kann je nach Berechtigung und den Richtlinien Ihres Mandanten der Nutzer selbst zustimmen. Für die Begrenzung auf einzelne Postfächer kommt zusätzlich die Exchange-Administrator-Rolle ins Spiel.

Kann der Zugriff auf einzelne Postfächer beschränkt werden?

Ja. Exchange Online bietet eine rollenbasierte Zugriffssteuerung für Anwendungen, bei der eine Rolle wie Application Mail.Read an einen definierten Ressourcenbereich gekoppelt wird – etwa an einen Filter über Postfacheigenschaften oder an eine Verwaltungseinheit. Wichtig: Die Berechtigungen aus Microsoft Entra ID und aus dieser Rollensteuerung bilden laut Microsoft eine Vereinigungsmenge. Eine unbeschränkte Erteilung in Entra ID muss entfernt werden, sonst greift die Begrenzung nicht.

Ersetzt n8n Power Automate?

Nicht zwangsläufig – beide lassen sich parallel betreiben, und das kann der pragmatische Weg sein. Welche Kriterien für welches Werkzeug sprechen, haben wir im Tool-Vergleich anhand der Angaben der jeweiligen Anbieter aufgeschlüsselt.

Was passiert, wenn n8n für eine Microsoft-Funktion keinen fertigen Baustein hat?

Dann übernimmt der HTTP-Request-Node. Er ruft die Schnittstelle direkt auf und kann dabei eine bereits eingerichtete Microsoft-Zugangsberechtigung wiederverwenden. Die Reichweite ändert sich dadurch nicht: Sie hängt an der registrierten Anwendung und den dort erteilten Berechtigungen, nicht daran, welcher Baustein den Aufruf absetzt.