Externe Freigaben in Microsoft 365 sicher einrichten

Microsoft 365 · Externe Zusammenarbeit

Eine sichere externe Freigabe verbindet den richtigen Speicherort, einen eindeutig bestimmten Empfänger, die kleinste benötigte Berechtigung und ein geplantes Ende. SharePoint eignet sich für gemeinsam verantwortete Projekt- und Kundenbereiche, OneDrive für Dateien einer einzelnen Person. Anonyme Links bleiben besonderen, bewusst freigegebenen Fällen vorbehalten, weil sie weitergegeben werden können.

Die Kurzantwort: Benannte Empfänger und abgegrenzte Bereiche sind der belastbare Standard

Für Kunden, Steuerberatung oder Projektpartner wird gewöhnlich ein Link für bestimmte Personen verwendet. Der Empfänger weist seine Identität über ein vorhandenes Geschäfts- oder Microsoft-Konto beziehungsweise einen Einmalcode nach. Wiederkehrende Zusammenarbeit erhält einen eigenen SharePoint- oder Teams-Bereich mit verantwortlichem Eigentümer.

Freigabeform nach Zweck und Risiko
Bedarf	Geeignete Form	Wesentliche Kontrolle
Ein Dokument an bekannte externe Person	Link für bestimmte Personen, möglichst mit Leserecht.	Empfängeradresse, Inhalt, Berechtigungsstufe und Ablauf prüfen.
Gemeinsame Bearbeitung mehrerer Dateien	Abgegrenzter SharePoint-Ordner, eine Bibliothek oder ein Projektbereich mit authentifizierten Gästen.	Eigentümer, Mitglieder, sichtbarer Gesamtumfang und Projektende festlegen.
Laufende Zusammenarbeit mit Kommunikation	Team beziehungsweise gemeinsamer Bereich mit Gastmitgliedern.	Gastzugriff, Kanalstruktur, verbundene SharePoint-Site und Verantwortlichkeit kontrollieren.
Öffentlich oder ohne Empfängerbindung verteilbare Datei	„Jeder mit dem Link“ nur nach bewusster Freigabe.	Weiterleitbarkeit, Ablaufdatum, Download und Widerruf berücksichtigen.
Vertrauliche interne Daten	Site mit abgeschalteter externer Freigabe.	Technisch verhindern, dass Mitglieder Inhalte versehentlich nach außen teilen.

Der wichtigste Unterschied liegt zwischen Empfängerbindung und bloßem Linkbesitz. Bei einer Freigabe für bestimmte Personen entscheidet die bestätigte Identität über den Zugriff. Bei einem anonymen Link entscheidet, wer die URL besitzt. Eine per E-Mail versandte URL wird nicht automatisch persönlich, nur weil der Absender sie an eine bestimmte Adresse geschickt hat.

Externe Zusammenarbeit ist zugleich ein Berechtigungs- und Datenordnungsproblem. Liegen offizielle Projektunterlagen im OneDrive eines Mitarbeiters, hängt die Freigabe am Konto dieser Person. Ein gemeinsam verantworteter SharePoint-Bereich bleibt dagegen bestehen, wenn Zuständigkeiten wechseln.

1. Die Linktypen unterscheiden sich durch Identität und Reichweite

SharePoint und OneDrive bieten mehrere Freigabewege. Welche davon sichtbar sind, hängt von den Einstellungen des Mandanten, der Site und gegebenenfalls Microsoft Entra ab. Die jeweils strengste wirksame Einstellung begrenzt die Auswahl.

„Bestimmte Personen“ bindet den Link an benannte Empfänger

Der Freigebende trägt die vorgesehenen E-Mail-Adressen ein. Empfänger authentifizieren sich mit einem unterstützten Konto oder bestätigen ihre Adresse über das vorgesehene Einmalcode-Verfahren. Eine weitergeleitete Einladung gewährt einer anderen Person nicht automatisch Zugriff, weil deren Identität nicht zur Freigabe gehört.

Diese Variante ist für Geschäftsdokumente gewöhnlich der sinnvolle Ausgangspunkt. Trotzdem bleibt zu prüfen, welche Adresse verwendet wird. Eine allgemeine Sammeladresse beim Kunden kann von mehreren Menschen gelesen werden. Für personenbezogene oder vertrauliche Unterlagen wird die konkrete empfangende Person und deren geschäftliche Adresse bestätigt.

„Neue und bestehende Gäste“ schafft verwaltbare externe Identitäten

Bei wiederkehrender Zusammenarbeit werden externe Personen als Gäste in Microsoft Entra geführt. Ihre Einladungen, Gruppenmitgliedschaften und Zugriffe lassen sich dadurch einem externen Konto zuordnen. Die Person kann anschließend Mitglied eines Teams oder einer SharePoint-Site werden und dort im Rahmen ihrer Rolle arbeiten.

Ein Gastkonto ist kein Freibrief für den Mandanten. Es erhält nur die zugewiesenen Ressourcen. Dennoch muss sein Lebenszyklus gepflegt werden: Wer hat eingeladen, zu welchem Unternehmen gehört die Person, welche Projekte nutzt sie, und wann endet die Zusammenarbeit? Ein veraltetes Gastkonto ohne aktive Berechtigung kann entfernt werden; ein aktives Konto braucht weiterhin einen bestätigten Eigentümer.

„Jeder mit dem Link“ ist nicht an eine Identität gebunden

Ein anonymer Link kann ohne Anmeldung funktionieren und frei weitergegeben werden. Der Betreiber kann nicht verlässlich bestimmen, welche natürliche Person ihn verwendet hat. Das kann für bewusst öffentlich verteilbare Unterlagen, große Downloads oder kurzfristige Inhalte praktisch sein. Für Verträge, Kundenlisten, Personaldaten oder interne Arbeitsunterlagen ist dieser Kontrollverlust gewöhnlich nicht vertretbar.

Wenn anonyme Links zugelassen werden, erhalten sie möglichst Leserecht und ein Ablaufdatum. Die Datei wird in einem Bereich abgelegt, der keine benachbarten vertraulichen Inhalte offenlegt. Der Eigentümer weiß, wie der Link vorzeitig gelöscht wird. Ein Kennwort, das im selben Kommunikationskanal wie der Link versendet wird, hebt die grundsätzliche Weiterleitbarkeit nicht auf.

Organisationslinks sind für interne Weitergabe gedacht

Ein Link für Personen im eigenen Unternehmen funktioniert für angemeldete interne Benutzer und kann innerhalb der Organisation weitergegeben werden. Er ist kein externer Freigabelink. Für besonders sensible interne Dokumente kann auch diese Reichweite zu groß sein; dann wird ein Link für bestimmte interne Personen oder der direkte Bereichszugriff verwendet.

Der voreingestellte Linktyp prägt das Verhalten der Benutzer. Wenn „Jeder mit dem Link“ als Standard erscheint, wird er auch dann gewählt, wenn eine empfängergebundene Freigabe angemessener wäre. Mandant und Sites erhalten deshalb Voreinstellungen, die zum normalen Schutzbedarf passen.

2. Der Speicherort bestimmt Eigentum und sichtbaren Kontext

Bevor ein Link erzeugt wird, wird geklärt, ob die Datei einer Person, einem Team, einem Kundenprojekt oder einem dauerhaften Unternehmensprozess gehört. Die Freigabe bleibt damit auch nach Personalwechseln nachvollziehbar.

OneDrive eignet sich für personenbezogene Arbeitsstände

Ein Berater kann einen Entwurf aus seinem OneDrive mit einem Kunden abstimmen, solange Verantwortung und Lebenszyklus bei ihm liegen. Wird das Dokument verbindlicher Projektbestand oder müssen Kollegen die Freigabe dauerhaft übernehmen, wird es in einen gemeinsam verantworteten SharePoint-Bereich verschoben.

Die Entscheidung verhindert, dass Kundenlinks beim Austritt oder bei längerer Abwesenheit des Kontoinhabers unklar werden. OneDrive ist geschäftlicher Speicher, bleibt technisch und organisatorisch aber enger mit dem Benutzerkonto verbunden als eine gemeinsam verwaltete Site.

SharePoint trennt externe Projekte von internen Bereichen

Microsoft empfiehlt, vertrauliche Inhalte, die nicht extern geteilt werden sollen, in Sites mit abgeschalteter externer Freigabe abzulegen. Für Kunden- und Partnerprojekte entstehen separate Bereiche, in denen Gastzugriff ausdrücklich vorgesehen ist. Diese Trennung ist belastbarer als die Erwartung, Mitarbeiter würden in einer großen gemischten Bibliothek immer den richtigen Unterordner wählen.

Externe Personen erhalten nur Zugang zum benötigten Projektbereich. Interne Vorlagen, Kalkulationen oder andere Kundenakten bleiben außerhalb. Wenn ein Gast als Site-Mitglied Bearbeitungsrechte erhält, kann er innerhalb des sichtbaren Bereichs Dateien hinzufügen, ändern und löschen. Der gesamte Bereich wird deshalb vor der Einladung auf unbeabsichtigt sichtbare Inhalte geprüft.

Teams erweitert die Freigabe um Kommunikation und Mitgliedschaft

Ein Gast im Team erhält nicht nur einen Dateilink. Er wird Teil eines Arbeitsraums mit Kanälen, Beiträgen, Besprechungen und der verbundenen SharePoint-Site. Das passt zu laufenden Projekten, ist für den einmaligen Versand eines Dokuments jedoch unnötig weit. Vor der Einladung werden alle Standardkanäle und dort gespeicherten Dateien als für den Gast sichtbar betrachtet.

Private oder freigegebene Kanäle können abweichende Benutzerkreise abbilden, schaffen aber zusätzliche Site- und Eigentümerstrukturen. Sie werden nicht als spontane Reparatur für ein schlecht geschnittenes Team verwendet. Der Arbeitsraum muss auch für neue Mitglieder und spätere Prüfungen verständlich bleiben.

Entscheidung nach Dauer und Zusammenarbeit

Einmalig und nur lesen: Eine Datei, Link für bestimmte Personen, bestätigter Empfänger und angemessenes Ablaufdatum.
Mehrfache Bearbeitung: Abgegrenzter SharePoint-Ordner oder Projektbereich mit festem Eigentümer.
Laufendes Projekt: Team oder SharePoint-Site mit Gastmitgliedern, geregelter Struktur und Abschlussprozess.
Bewusst öffentlich: Anonymer Link nur für freigegebene Inhalte, zeitlich begrenzt und ohne vertraulichen Umgebungskontext.
Streng intern: Eigene Site ohne externe Freigabe; keine individuellen Ausnahmen innerhalb eines gemischten Bereichs.

3. Mandant, Site und Identitätsrichtlinien setzen gemeinsam die Grenze

Externe Freigabe ist auf mehreren Ebenen konfiguriert. Eine Site kann nicht großzügiger teilen, als es die Organisation erlaubt. Microsoft-Entra-Regeln für Gasteinladungen und Domainbeschränkungen können zusätzlich strenger wirken.

Die Organisationsebene definiert den größtmöglichen Rahmen

Im SharePoint Admin Center wird festgelegt, welche externen Freigabearten grundsätzlich verfügbar sind. OneDrive kann gleich streng oder strenger eingestellt werden, aber nicht großzügiger als SharePoint. Diese Ebene wird so offen wie nötig gewählt; sensible Sites erhalten anschließend engere Grenzen.

Ein vollständiges globales Verbot kann in einem Unternehmen mit regelmäßiger Kundenarbeit zu Schattenlösungen führen. Eine pauschale Freigabe anonymer Links schafft dagegen unnötige Risiken. Ein brauchbares Modell erlaubt authentifizierte externe Zusammenarbeit in vorgesehenen Bereichen und sperrt sie dort, wo ausschließlich interne Daten liegen.

Die Site-Ebene bildet den tatsächlichen Schutzbedarf ab

Jede Site erhält eine ausdrückliche Freigabestufe: nur intern, bestehende Gäste, neue und bestehende Gäste oder bei begründetem Bedarf anonyme Links. Zusätzlich können Standardlinktyp, Standardberechtigung, Gastablauf und zulässige beziehungsweise gesperrte Partnerdomains festgelegt werden. Site-Eigentümer können diese Grenze nicht über die vom SharePoint-Administrator gesetzte Stufe hinaus erweitern.

Domainlisten sind eine Ergänzung, kein vollständiger Identitätsnachweis. Eine erlaubte Partnerdomain sagt nicht, welche Person innerhalb des Partners zugreifen soll. Eine gesperrte Freemail-Domain kann sinnvoll sein, muss aber Ausnahmefälle wie kleine Lieferanten ohne eigene Domain berücksichtigen.

Microsoft Entra verwaltet Gäste und Einladungsrechte

Bei der B2B-Integration entstehen verwaltbare Gastidentitäten im Verzeichnis. Externe Zusammenarbeitseinstellungen bestimmen unter anderem, wer Gäste einladen darf und welche Domains zulässig sind. Ist Microsoft Entra strenger als SharePoint, setzt sich die strengere Vorgabe durch.

Einmalcodes erleichtern die Anmeldung für Empfänger ohne passendes Microsoft-Konto. Sie ersetzen nicht die Prüfung der Empfängeradresse und des Inhalts. Für längerfristige Partner wird außerdem geklärt, wie Kontowechsel, Namensänderungen und das Ende der Geschäftsbeziehung bearbeitet werden.

Die strengste wirksame Einstellung entscheidet

Wenn der Mandant „neue und bestehende Gäste“ erlaubt, eine konkrete Site aber auf „nur Personen in der Organisation“ steht, kann dort nicht extern geteilt werden. Erlaubt die Site anonyme Links, während die Organisation nur authentifizierte Gäste zulässt, bleiben anonyme Links trotzdem gesperrt. Fehlermeldungen werden deshalb über alle beteiligten Ebenen untersucht und nicht durch wahlloses Öffnen der globalen Einstellung behoben.

4. Eine externe Freigabe wird wie eine kleine Übergabe durchgeführt

Der Freigebende prüft Inhalt, Ziel, Empfänger und Rechte vor dem Versand. Der Empfänger testet den Zugang, und der Eigentümer weiß schon bei Beginn, wann die Freigabe kontrolliert oder beendet wird.

Der Inhalt wird vor der Freigabe auf seinen Kontext geprüft

Eine Excel-Datei kann ausgeblendete Tabellen, Kommentare, Verknüpfungen oder frühere Versionen enthalten. Ein PDF kann personenbezogene Metadaten oder zusätzliche Seiten tragen. Ein Ordner kann mehr Dokumente umfassen, als der Name erkennen lässt. Der fachlich Verantwortliche kontrolliert deshalb die tatsächlich sichtbaren und enthaltenen Informationen.

Wo nur ein Ergebnis benötigt wird, kann ein freigegebenes PDF angemessener sein als die bearbeitbare Quelldatei. Wo gemeinsame Arbeit vorgesehen ist, bleiben Versionierung und gemeinsames Bearbeiten gerade der Zweck. Das Dateiformat folgt also dem Empfängerauftrag und nicht einer pauschalen Sicherheitsregel.

Lesen ist die Voreinstellung, Bearbeiten eine bewusste Entscheidung

Viele Empfänger müssen ein Dokument nur ansehen oder herunterladen. Bearbeitungsrechte erlauben je nach Bereich auch Änderungen, Uploads und Löschungen. Sie werden nur vergeben, wenn der Arbeitsablauf dies verlangt. Für Rückmeldungen können Kommentare, ein gesonderter Uploadbereich oder eine interne Übernahme geeigneter sein.

Bei Ordnern wird besonders geprüft, ob neue Inhalte automatisch unter dieselbe Freigabe fallen. Eine langfristige Ordnerfreigabe kann später Dokumente sichtbar machen, die beim ersten Versand noch nicht vorhanden waren. Der Ordner erhält deshalb einen eng definierten Zweck und verantwortliche Pflege.

Der Empfängertest findet außerhalb der internen Sitzung statt

Interne Eigentümer können eine Datei fast immer öffnen und übersehen dadurch Fehler des Gastzugriffs. Der Link wird mit einem repräsentativen externen Testkonto oder direkt mit dem vorgesehenen Empfänger geprüft. Anmeldung, Einmalcode, sichtbarer Bereich, Download und Bearbeitung müssen der Planung entsprechen.

Fehler entstehen häufig durch eine andere E-Mail-Adresse als die eingeladene, mehrere parallele Microsoft-Konten im Browser oder abweichende Gastregeln des Partnerunternehmens. Die Lösung wird dokumentiert, statt den Inhalt ersatzweise ungeschützt zu versenden.

Freigabeprotokoll für wichtige Unterlagen

Datei oder Bereich, Geschäftszweck und fachlicher Eigentümer
Vollständige Empfängeradressen und zugehörige Organisation
Lesen oder Bearbeiten sowie begründete Download- oder Uploadmöglichkeit
Verwendeter Linktyp, Versanddatum und vorgesehenes Enddatum
Erfolgreicher Empfängertest und geklärte Supportzuständigkeit
Termin für Überprüfung, Verlängerung, Archivierung oder Widerruf

5. Widerruf und regelmäßige Kontrolle gehören zur Freigabe

Ein abgelaufener Link löscht weder Datei noch andere Berechtigungen. Eine entfernte Gastidentität beendet nicht automatisch jeden anonymen Link. Die Zugriffspfade werden deshalb getrennt betrachtet.

„Zugriff verwalten“ zeigt die konkreten Wege zur Datei

Eigentümer prüfen direkte Berechtigungen, Linkfreigaben und den Zugriff über übergeordnete Gruppen oder Site-Mitgliedschaften. Eine Person kann einen Link verlieren und trotzdem als Teammitglied Zugriff behalten. Umgekehrt kann ein anonymer Link weiterarbeiten, obwohl ein bestimmtes Gastkonto entfernt wurde.

Beim Widerruf wird deshalb der fachliche Umfang bestimmt: nur diesen Link löschen, eine Person aus dem Ordner entfernen, Gast aus dem Projektteam nehmen oder die gesamte externe Freigabe der Site beenden. Pauschale Maßnahmen können andere laufende Projekte unnötig unterbrechen.

Ablaufdaten brauchen einen Verlängerungsprozess

Ein Ablaufdatum begrenzt vergessene Freigaben, kann aber laufende Zusammenarbeit unerwartet stoppen. Vor Ablauf erhält der Eigentümer die Gelegenheit, Bedarf und Empfänger erneut zu bestätigen. Ohne Bestätigung endet der Zugang. Eine Verlängerung übernimmt nicht automatisch alte Annahmen, sondern prüft, ob Person, Organisation und Zweck unverändert sind.

Projektbereiche werden zum Meilenstein oder Projektende überprüft. Einzelne sensible Freigaben können kürzere Fristen benötigen. Der Turnus richtet sich nach Inhalt und Arbeitsform, nicht nach einem einheitlichen Wert für den gesamten Mandanten.

Berichte ergänzen die Bestätigung durch Fachverantwortliche

SharePoint-Berichte können extern geteilte Dateien, Ordner und Benutzer sichtbar machen. Sie zeigen jedoch nicht allein, ob ein Zugriff geschäftlich noch erforderlich ist. Diese Entscheidung trifft der Eigentümer des Kunden- oder Projektbereichs. Die IT stellt Bericht und technische Umsetzung bereit.

Unklare Freigaben werden nicht kommentarlos gelöscht, wenn dadurch ein laufender Vorgang abbrechen könnte. Sie erhalten eine Klärungsfrist und einen benannten Ansprechpartner. Offenkundig riskante anonyme Links zu sensiblen Daten werden dagegen unmittelbar gesichert und anschließend fachlich aufgearbeitet.

Abnahmekriterien für externe Zusammenarbeit

Externe Daten liegen in einem fachlich passenden, abgegrenzten Bereich.
Mandant, Site und Microsoft Entra erlauben nur die benötigten Freigabeformen.
Standardlinks verwenden die angemessene Empfängerbindung und Berechtigungsstufe.
Repräsentative Gäste können genau die vorgesehenen Inhalte sehen und bearbeiten.
Negative Tests bestätigen, dass benachbarte interne Bereiche unsichtbar bleiben.
Anonyme Links sind begründet, zeitlich begrenzt und in der Zugriffsverwaltung auffindbar.
Eigentümer, Überprüfungstermine und Projektabschluss sind dokumentiert.

Häufige Fragen zu externen Freigaben in Microsoft 365

Was ist der sicherste Linktyp für einen Kunden?

Für Geschäftsdokumente ist gewöhnlich „Bestimmte Personen“ die belastbare Ausgangswahl. Der Empfänger muss seine Identität bestätigen, und eine weitergeleitete URL gibt anderen Personen nicht automatisch Zugriff. Inhalt und Bearbeitungsrecht werden trotzdem separat geprüft.

Braucht der Empfänger ein Microsoft-Konto?

Nicht zwingend. Abhängig von der Gastkonfiguration kann eine externe Person ein Geschäfts- oder Microsoft-Konto verwenden oder ihre E-Mail-Adresse über einen Einmalcode bestätigen. Maßgeblich sind die aktuellen Einstellungen des Mandanten und der Site.

Ist ein OneDrive-Link für ein Kundenprojekt geeignet?

Für einen Entwurf unter Verantwortung einer Person kann er passen. Dauerhafte Projektunterlagen und Freigaben, die von mehreren internen Personen verwaltet werden müssen, gehören besser in einen gemeinsam verantworteten SharePoint- oder Teams-Bereich.

Kann ein anonymer Link weitergegeben werden?

Ja. „Jeder mit dem Link“ ist nicht an eine bestimmte Identität gebunden. Wer die URL besitzt, kann im Rahmen der Linkberechtigung zugreifen. Deshalb ist diese Form für vertrauliche oder personenbezogene Inhalte gewöhnlich ungeeignet.

Was passiert, wenn externe Freigabe für eine Site abgeschaltet wird?

Externer Zugriff über diese Site wird unterbunden. Wird die Einstellung später wieder geöffnet, können frühere Links abhängig von Konfiguration und Freigabemodell erneut wirksam werden. Beim dauerhaften Widerruf werden daher auch konkrete Links, Gäste und Berechtigungen bereinigt.

Wie oft sollten Gastzugriffe geprüft werden?

Projektgäste werden zu Meilensteinen und spätestens beim Projektende bestätigt. Sensible oder langfristige Bereiche erhalten zusätzlich einen regelmäßigen, beispielsweise vierteljährlichen Kontrolltermin. Entscheidend ist die Bestätigung durch den fachlichen Eigentümer.

Quellen und fachliche Grundlage

Freigabefunktionen, Standardwerte und Lizenzabhängigkeiten können sich ändern. Vor einer Umsetzung werden die aktuelle Microsoft-Dokumentation und die tatsächlich wirksamen Mandanten-, Site- und Entra-Einstellungen geprüft.

Externe Zusammenarbeit für kleine Unternehmen in Frankfurt

Kunden- und Partnerzugriffe sicher und nachvollziehbar einrichten

fra.digital ordnet Sites, Gäste und Freigabelinks, entwickelt passende Regeln für wiederkehrende Zusammenarbeit und setzt sichere SharePoint- und Teams-Bereiche als klar abgegrenztes Projekt um.

Microsoft-365-Leistungen

Freigabekonzept besprechen