Zeeg verhält sich wie ein regulärer EWS-Client (Exchange Web Services). Zeeg stellt eine ausgehende Verbindung zum EWS-Endpunkt deines Exchange-Servers her (in der Regel https://mail.yourcompany.com/EWS/Exchange.asmx) und verwendet Standard-EWS-Operationen, um Verfügbarkeiten zu lesen sowie Kalendertermine zu erstellen, zu aktualisieren oder abzusagen.

Die einfachste Einrichtung. Jeder Nutzer verbindet sein eigenes Exchange-Konto in den Kalendereinstellungen von Zeeg und gibt dabei folgende Daten an:

Zeeg verwendet diese Anmeldedaten ausschließlich für den Zugriff auf den Kalender dieses Nutzers. Keine Impersonation, keine Delegation.

Geeignet, wenn: du nur wenige Nutzer verbinden musst oder deine Sicherheitsrichtlinien kein gemeinsames Servicekonto erfordern.

Für organisationsweite Rollouts empfehlen wir ein dediziertes Servicekonto mit der RBAC-Rolle ApplicationImpersonation auf Exchange. Der Organisationsadministrator verbindet das Servicekonto einmalig in Zeeg und weist dann die Nutzer zu, die die Integration nutzen sollen. Zeeg verwendet die Anmeldedaten des Servicekontos zusammen mit dem Standard-EWS-Impersonation-Header, um im Namen jedes zugewiesenen Nutzers zu handeln.

Warum das besser ist:

Diese Schritte werden auf deinem Exchange-Server (Exchange Management Shell) ausgeführt. Sie folgen Microsofts Standard-ApplicationImpersonation-Muster.

Erstelle einen normalen, postfachfähigen Active Directory-Benutzer, der ausschließlich für die Zeeg-Integration gedacht ist — zum Beispiel svc-zeeg@yourcompany.com. Verwende kein persönliches Konto wieder.

Empfehlungen:

Wenn das Servicekonto im Namen jedes Postfachs in der Organisation handeln können soll:

Um einzuschränken, auf welche Postfächer das Servicekonto zugreifen kann (Principle of Least Privilege), erstelle zunächst einen Management Scope:

Nur Nutzer in der AD-Gruppe „Zeeg Users" können dann über dieses Servicekonto erreicht werden — alle anderen sind unerreichbar, auch wenn jemand es versuchen würde.

Navigiere in Zeeg zu den Integrationen deiner Organisation → Microsoft Exchange (Servicekonto) und gib folgendes ein:

Klicke anschließend auf Nutzer zuweisen, um die Mitglieder zu verbinden, die die Integration nutzen sollen. Jeder zugewiesene Nutzer sieht seinen Kalender in Zeeg, ohne eigene Anmeldedaten eingeben zu müssen. Wenn einige Mitglieder nicht zugewiesen werden können, zeigt Zeeg eine Warnung mit der Anzahl der Fehlgeschlagenen an — öffne die Zuweisung-Liste, um zu sehen, welche Mitglieder betroffen sind und warum.

Wenn dein EWS-Endpunkt nicht öffentlich erreichbar ist (empfohlen), kannst du eingehenden Traffic von Zeegs ausgehenden IP-Adressen erlauben. Kontaktiere uns unter support@zeeg.me und wir teilen dir die aktuellen IP-Adressen für dein Firewall-Team mit.

Dies ist die empfohlene Einrichtung für Enterprise-Kunden: EWS nicht öffentlich exponieren und nur von Zeegs bekannten Quell-Adressen (sowie anderen legitim benötigten Clients) zulassen.

Kurz gesagt: Zeeg verhält sich wie ein gut erzogener EWS-Client. Die Härtung des EWS-Endpunkts, die Netzwerkkontrollen und die Konfiguration des Servicekontos bleiben in deinen Händen — genau so, wie On-Premises Exchange konzipiert ist.

Exchange 2013 und spätere On-Premises-Versionen, die EWS über HTTPS mit Basic- oder NTLM-Authentifizierung bereitstellen. (Exchange Online / Microsoft 365-Kunden sollten stattdessen die dedizierte Microsoft 365-Kalender-Integration verwenden, die OAuth über Microsoft Graph nutzt.)

Nein. Zeeg kommuniziert ausschließlich mit deinem EWS-Endpunkt über HTTPS.

Nein. Die einzige benötigte Rolle ist ApplicationImpersonation (für den Servicekonto-Flow) — so eng eingeschränkt wie gewünscht. Keine Exchange-Admin-Rolle, kein Domain-Admin, nichts anderes.

Gib die vollständige EWS-URL direkt im Verbindungsformular an, z. B. https://mail.yourcompany.com/EWS/Exchange.asmx. Zeeg verwendet sie direkt.

Für jeden zugewiesenen Nutzer: Kalendereinträge im primären Postfachkalender des Nutzers (und alle sekundären Kalender, die der Nutzer in Zeeg aktiviert). Konkret: Frei/Belegt-Zeiten und die Felder, die zum Erstellen, Aktualisieren und Absagen von Terminen benötigt werden. Zeeg liest keine E-Mails, Kontakte, Aufgaben oder andere Ordner.

Es gibt zwei Ebenen dazu.

Auf Anwendungsebene: ja. Zeeg greift ausschließlich auf den Kalender zu. Es liest niemals E-Mails, Kontakte, Aufgaben oder andere Ordner — für keinen Nutzer, unter keinem Flow.

Auf Exchange-Berechtigungsebene: Die Rolle ApplicationImpersonation gewährt dem Servicekonto Zugriff auf das gesamte Postfach jedes zugewiesenen Nutzers. Dies ist Microsofts Design, und die Rolle kann nicht auf „nur Kalender" eingeschränkt werden. Ein Management Scope begrenzt, auf welche Postfächer das Konto zugreifen kann (siehe eingeschränkte Einrichtung oben), aber nicht auf welche Ordner innerhalb dieser Postfächer.

Wenn deine Richtlinie also technisch verhindern muss, dass das Konto E-Mails liest — von Exchange erzwungen und nicht nur auf Vertrauen in Zeeg basierend — ist Impersonation allein nicht das richtige Modell.

Schreibe an support@zeeg.me und wir teilen die aktuellen Werte mit deinem IT/Security-Team.

Zwei Möglichkeiten — auf deiner Seite oder unserer:

1. Auf Exchange (empfohlen für einen harten Schnitt): Servicekonto deaktivieren, Passwort rotieren oder die Management-Rollenzuweisung entfernen

2. In Zeeg: Trenne die Integration in deinen Organisationseinstellungen. Ein Bestätigungsdialog zeigt dir, wie viele zugewiesene Postfächer den Zugriff verlieren werden, bevor du bestätigst. Nach der Bestätigung werden die gespeicherten Anmeldedaten gelöscht.

Stelle die Integration in Zeeg mit dem neuen Passwort erneut her. Passwortänderungen auf deiner Seite werden nicht automatisch übernommen.

Ja — verwende das oben gezeigte Muster mit New-ManagementScope + New-ManagementRoleAssignment. Nur Nutzer, die dem Scope entsprechen, sind erreichbar.