Microsoft 365 · Externe Zusammenarbeit · Zugriffskontrolle
Ein externer Projektpartner kann in Microsoft 365 über mehrere voneinander unabhängige Wege auf Inhalte zugreifen. Ein Gastkonto im Verzeichnis, eine Teams-Mitgliedschaft, ein direkter SharePoint-Zugriff und ein Freigabelink sind nicht dasselbe. Dieser Leitfaden zeigt, wie kleine Unternehmen externe Zugänge vollständig erfassen, fachlich bewerten, verlängern und nach Projektende nachweisbar entfernen.
Entscheidende Prüffrage: Benötigt diese konkrete Person heute noch diesen konkreten Zugriff für einen benannten geschäftlichen Zweck?
Die Kurzantwort: Externe Zugriffe werden ressourcenbezogen geprüft
Eine Liste aller Gastkonten ist ein wichtiger Ausgangspunkt, bildet aber nicht sämtliche Freigaben ab. Die Prüfung verbindet Identität, Ressource, Zugriffsweg, Eigentümer, Zweck und nächstes Ablaufdatum.
| Angabe | Konkrete Ausprägung | Warum sie benötigt wird |
|---|---|---|
| Externe Person | Name, geschäftliche E-Mail-Adresse, Unternehmen und eindeutige Verzeichnis-ID, sofern vorhanden | Verhindert Verwechslungen bei gleichen Namen oder geänderten Adressen. |
| Ressource | Team, Gruppe, Site, Bibliothek, Ordner, Datei, Anwendung oder freigegebener Kanal | Ein Gastkonto allein erklärt nicht, worauf die Person zugreifen kann. |
| Zugriffsweg | Mitgliedschaft, direkter Zugriff, bestimmter Link, anonymer Link oder B2B Direct Connect | Die Entfernung erfolgt je nach Zugriffsweg an einer anderen Stelle. |
| Verantwortung | Interner Eigentümer und Vertretung | Die IT kann die geschäftliche Erforderlichkeit nicht allein beurteilen. |
| Zweck und Umfang | Projekt, Rolle, erforderliche Aktionen und ausgeschlossene Inhalte | Erlaubt eine Entscheidung zwischen Verlängern, Reduzieren und Beenden. |
| Zeitraum | Beginn, vereinbartes Ende, letzte Bestätigung und nächster Prüftermin | Verhindert unbefristete Zugänge ohne erneute Entscheidung. |
Ein sinnvoller Prüfzyklus endet mit vier möglichen Ergebnissen
- Verlängern: Person, Zweck und benötigter Zugriff bestehen unverändert; ein neuer Prüftermin wird gesetzt.
- Reduzieren: Zusammenarbeit läuft weiter, doch Mitgliedschaft, Bearbeitungsrecht oder Umfang werden auf den aktuellen Bedarf begrenzt.
- Entfernen: Zweck oder Beziehung ist beendet; die konkreten Zugriffswege und anschließend ein nicht mehr benötigtes Gastobjekt werden entfernt.
- Klären: Eigentümer oder Zweck fehlen; der Zugang erhält eine kurze Klärungsfrist und wird nicht stillschweigend dauerhaft bestätigt.
1. Gastkonto, Mitgliedschaft und Freigabelink sind getrennte Zugriffsebenen
Wer nur in einer Verwaltungsoberfläche nachsieht, kann einen weiterhin wirksamen Zugang übersehen oder ein Gastkonto löschen, das noch für ein anderes laufendes Projekt benötigt wird.
Das Microsoft-Entra-Gastobjekt repräsentiert eine externe Identität
Bei der üblichen B2B-Zusammenarbeit meldet sich der Partner mit einer eigenen geschäftlichen, schulischen oder unterstützten sozialen Identität an. Im Tenant des einladenden Unternehmens entsteht ein Benutzerobjekt, dessen Benutzertyp typischerweise „Gast“ ist. Dieses Objekt kann Mitglied von Gruppen und Teams sein, Anwendungen zugewiesen bekommen oder direkt auf Ressourcen berechtigt werden. Es ist damit ein Anker für Zugriffe, aber noch keine vollständige Beschreibung dieser Zugriffe.
Der Benutzertyp allein reicht außerdem nicht als Filter für alle externen Personen. Microsoft Entra kennt auch externe Mitglieder; historische Fremdkonten können als interne Konten angelegt worden sein. Umgekehrt können interne Dienst- oder Testkonten fälschlich den Typ „Gast“ tragen. Eine Prüfung berücksichtigt daher Aussteller der Identität, E-Mail-Domain, Arbeitgeberbezug, Eigentümer und tatsächliche Ressourcenzuordnungen.
Teams-Gastzugriff umfasst Team, Kanäle und zugehörige Dateien
Wird eine externe Person als Gast zu einem Team hinzugefügt, erhält sie je nach Konfiguration Zugriff auf Unterhaltungen, Besprechungen, Apps und die Dateien der zugänglichen Kanäle. Die Teammitgliedschaft hängt mit der Microsoft-365-Gruppe und der zugehörigen SharePoint-Site zusammen. Eine Entfernung aus einem Team löscht nach Microsofts Dokumentation jedoch nicht automatisch das Gastkonto aus dem Entra-Verzeichnis. Das Konto kann weiterhin in anderen Teams, Gruppen oder Anwendungen verwendet werden.
Externer Zugriff für Chat und Besprechungen ist wiederum etwas anderes als Gastzugriff. Eine Person, mit der Beschäftigte nur organisationsübergreifend chatten, ist dadurch nicht automatisch Mitglied eines Teams und erhält keinen daraus abgeleiteten Dateizugriff. Freigegebene Teams-Kanäle nutzen für externe Teilnehmer B2B Direct Connect statt eines normalen Gastkontos im Ressourcentenant. Solche Teilnehmer müssen am Kanal und in den organisationsübergreifenden Einstellungen betrachtet werden.
SharePoint unterscheidet Site-Zugriff, direkte Berechtigung und Links
Eine externe Person kann Mitglied einer Site beziehungsweise der zugrunde liegenden Gruppe sein. Sie kann außerdem direkt auf einen Ordner oder eine Datei berechtigt werden oder über einen Freigabelink zugreifen. Im Dialog „Zugriff verwalten“ erscheinen deshalb getrennte Bereiche für Personen und Links. Wird nur eine direkte Berechtigung entfernt, kann ein weiterhin gültiger Link den Zugriff erhalten. Wird nur ein Link gelöscht, kann der Zugriff über Site- oder Gruppenmitgliedschaft fortbestehen.
Ein „Jeder“- beziehungsweise anonymer Link ist nicht an das Gastkonto einer bestimmten Person gebunden. Wer den Link besitzt, kann ihn im festgelegten Umfang verwenden. Die Löschung eines Gastobjekts macht einen solchen Link daher nicht automatisch unwirksam. Für kleine Unternehmen ist das eine zentrale Prüflücke: Identitätslisten und Linklisten müssen getrennt erhoben und anschließend je Ressource zusammengeführt werden.
| Zugriffsart | Typische Fundstelle | Entfernung | Was dadurch nicht automatisch erledigt ist |
|---|---|---|---|
| Entra-Gastobjekt | Microsoft-Entra-Verwaltungscenter | Benutzer sperren oder nach vollständiger Prüfung löschen | Anonyme SharePoint-Links und B2B-Direct-Connect-Zugriffe |
| Team- oder Gruppenmitgliedschaft | Teams, Microsoft-365-Gruppe oder Entra-Gruppe | Mitglied aus dem konkreten Team oder der Gruppe entfernen | Gastobjekt, andere Mitgliedschaften und direkte SharePoint-Rechte |
| Site-Mitgliedschaft | SharePoint-Siteberechtigungen | Aus Sitegruppe beziehungsweise Mitgliedschaft entfernen | Abweichende direkte Rechte oder weiterhin gültige Links |
| Direkter Datei- oder Ordnerzugriff | SharePoint „Zugriff verwalten“ | Direkten Zugriff der Person entfernen | Zugriff aus übergeordnetem Bereich oder über einen Link |
| Freigabelink | SharePoint „Zugriff verwalten“, Bereich Links | Link löschen oder gezielt ersetzen | Andere Links und direkte beziehungsweise geerbte Berechtigungen |
| Freigegebener Kanal | Teams-Kanalmitglieder und Cross-Tenant-Konfiguration | Externen Teilnehmer oder externe Organisation aus dem Kanal entfernen | Normale Gastobjekte und Zugriffe auf andere Ressourcen |
| Unternehmensanwendung | Entra-Unternehmensanwendungen | Zuweisung beziehungsweise Gruppenmitgliedschaft entfernen | Microsoft-365-Ressourcen außerhalb der Anwendung |
2. Die Inventur beginnt mit Personen und führt bis zur einzelnen Ressource
Die Ausgangsliste verbindet zentrale Verzeichnisdaten mit dezentralen Freigaben. Erst dann lässt sich erkennen, ob ein Konto ungenutzt ist, ein Gast über mehrere Projekte arbeitet oder ein Link ganz ohne Gastkonto wirkt.
Schritt für Schritt: Externe Identitäten und Zuweisungen erfassen
- Stichtag festlegen: Datum, Tenant, Prüfumfang und verantwortliche Person im Prüfprotokoll notieren.
- Externe Benutzer exportieren: Gastobjekte sowie erkennbare externe Mitglieder mit Objekt-ID, Anzeigename, Anmeldeadresse, Erstellungsdatum und Kontostatus erfassen.
- Einladungszustand prüfen: Noch nicht angenommene Einladungen von eingelösten Zugängen trennen. Eine alte offene Einladung ist kein Nachweis eines aktuellen Bedarfs.
- Gruppenmitgliedschaften auflösen: Für jede externe Identität Microsoft-365- und Sicherheitsgruppen auflisten; dynamische oder verschachtelte Zuweisungen kenntlich machen.
- Teams zuordnen: Gruppen den verbundenen Teams zuordnen und Team- sowie Kanalbesitzer erfassen.
- Anwendungen prüfen: Direkte und gruppenbasierte Zuweisungen zu Unternehmensanwendungen sowie ungewöhnliche Rollen erfassen.
- Anmeldehinweise ergänzen: Verfügbare letzte Anmelde- oder Ressourcennutzung als Signal aufnehmen, jedoch nicht allein zur Löschentscheidung verwenden.
- Mehrfachnutzung markieren: Gäste mit mehreren Projekten oder Ressourcen erhalten eine gemeinsame Identitätszeile und getrennte Zugriffszeilen.
SharePoint- und OneDrive-Freigaben werden je Arbeitsbereich ergänzt
Die Verzeichnisinventur findet gruppenbasierte Zugriffe, kann aber direkte SharePoint-Berechtigungen außerhalb dieser Gruppen übersehen. Microsoft weist selbst darauf hin, dass eine Entra-Auswertung nicht automatisch sämtliche direkt in SharePoint vergebenen Rechte zeigt. Für jede extern freigegebene Site werden daher Sitebesitzer, Mitglieder, Besucher, abweichende Bibliotheks- oder Ordnerrechte und Freigabelinks geprüft.
Bei OneDrive liegt die Verantwortung zunächst beim jeweiligen Kontoinhaber. Für geschäftlich relevante Freigaben benötigt das Unternehmen trotzdem einen geregelten Prüfweg, besonders vor dem Austritt eines Beschäftigten. Der Besitzer prüft „Von mir geteilt“ sowie die Zugriffsverwaltung wichtiger Ordner. Persönliche Einzelfreigaben, die faktisch einen dauerhaften Teamprozess tragen, werden in einen gemeinsamen SharePoint-Bereich überführt.
Prüfliste pro extern freigegebener Site
- Wer ist fachlicher Eigentümer der Site und wer vertritt diese Person?
- Welche Gäste sind über die verbundene Microsoft-365-Gruppe oder SharePoint-Gruppe Mitglied?
- Welche Bibliotheken, Ordner oder Dateien besitzen eigene Berechtigungen?
- Welche Links gelten für bestimmte Personen, welche für vorhandenen Zugriff und welche anonym für jeden Linkinhaber?
- Welche Links erlauben Bearbeiten, welche ausschließlich Lesen, und besitzen sie ein Ablaufdatum?
- Welche externen Personen greifen nur auf einen Teilbereich zu und welche auf die gesamte Site?
- Enthält die Site vertrauliche Bereiche, die grundsätzlich nicht extern freigegeben werden sollen?
- Welche Freigaben gehören zu abgeschlossenen Projekten oder ausgeschiedenen Ansprechpartnern?
3. Der Eigentümer bestätigt den geschäftlichen Bedarf, nicht nur den Namen
„Kenne ich“ ist keine Zugriffsbegründung. Die Prüfung verlangt eine Aussage zu Projekt, Aufgabe, benötigtem Recht, Umfang und Zeitraum.
Das Reviewblatt stellt je Zugriffszeile dieselben Fragen
| Frage | Geeignete Antwort | Unzureichende Antwort |
|---|---|---|
| Wofür wird der Zugriff benötigt? | „Prüfung der Eingangsrechnungen im Projekt Umbau West bis zur Schlussabrechnung“ | „Externer Berater“ |
| Welche Ressource ist erforderlich? | Benannte Site, Team oder klar abgegrenzter Ordner | „Alles wie bisher“ |
| Welche Aktion wird benötigt? | Lesen, Bearbeiten, Hochladen oder Teilnahme an Unterhaltungen | „Zugriff“ ohne Rollenangabe |
| Bis wann besteht der Bedarf? | Konkretes Datum oder überprüfbares Projektende | „Vorerst dauerhaft“ |
| Wer verantwortet die Verlängerung? | Benannte interne Person mit Vertretung | Nur die externe Person selbst |
| Was geschieht bei Nichtbestätigung? | Entfernung oder kurze dokumentierte Klärungsfrist | Stillschweigende unbefristete Verlängerung |
Bei mehreren Ressourcen entscheidet der Eigentümer jede Zeile separat. Ein Partner kann weiterhin an einem laufenden Projekt beteiligt sein, während sein Zugriff auf ein abgeschlossenes Team endet. Die zentrale Identität bleibt dann bestehen, aber Mitgliedschaften und Freigaben werden reduziert. Dadurch folgt die Berechtigung dem aktuellen Bedarf statt der allgemeinen Geschäftsbeziehung.
Letzte Anmeldung ist ein Hinweis, kein alleiniger Beweis
Eine lange nicht angemeldete Person benötigt den Zugriff möglicherweise erst in einer späteren Projektphase. Umgekehrt beweist eine kürzliche Anmeldung nicht, dass sämtliche aktuellen Berechtigungen erforderlich sind. Anmeldedaten können außerdem unvollständig oder je Lizenz und Auswertungsweg unterschiedlich verfügbar sein. Sie dienen deshalb zur Priorisierung und Rückfrage, nicht als automatische fachliche Entscheidung.
Ein besonders prüfbedürftiger Fall kombiniert lange Inaktivität, fehlenden Eigentümer, unbekannten Zweck und breite Mitgliedschaften. Ein weiterhin eindeutig beauftragter Partner mit seltenem, aber notwendigem Zugriff kann dagegen bestätigt werden. Die Entscheidung wird mit Datum, Prüfer und nächstem Termin dokumentiert, sodass sie später nachvollziehbar bleibt.
Schritt für Schritt: Eine manuelle Zugriffsprüfung vollständig durchführen
- Prüfbestand sperren: Die zusammengeführte Liste erhält Versionsstand und Stichtag. Neue Einladungen während der Prüfung werden in einer separaten Ergänzungsliste erfasst.
- Zeilen Eigentümern zuweisen: Jede Kombination aus externer Person und Ressource geht an den fachlich zuständigen internen Eigentümer. Die IT bleibt für technische Fundstelle und Umsetzung verantwortlich.
- Antwortfrist setzen: Beginn, Frist und Folge einer ausbleibenden Antwort werden vorab festgelegt. Rückfragen erhalten einen eigenen Status und ein früheres Klärungsdatum.
- Zweck konkretisieren: Der Eigentümer benennt Aufgabe, benötigten Teilbereich und voraussichtliches Ende. Eine allgemeine Bestätigung der Person ersetzt diese Angaben nicht.
- Effektives Recht vergleichen: Erforderliches Lesen oder Bearbeiten wird dem tatsächlich stärksten Zugriff aus Mitgliedschaft, Direktrecht und Link gegenübergestellt.
- Entscheidung erfassen: Verlängern, reduzieren, entfernen oder klären wird mit Datum, entscheidender Person und gegebenenfalls neuem Endtermin protokolliert.
- Änderungen in Pakete bündeln: Maßnahmen werden nach Team, Site, Gruppe und Gastobjekt sortiert. Dadurch lassen sich Abhängigkeiten erkennen und mehrere widersprüchliche Änderungen an derselben Ressource vermeiden.
- Vier-Augen-Prüfung anwenden: Breite oder besonders geschützte Zugriffe sowie die Löschung mehrfach verwendeter Gastobjekte werden vor Umsetzung von einer zweiten zuständigen Person kontrolliert.
- Technisch umsetzen: Mitgliedschaften, direkte Rechte, Links und Anwendungen an ihrer jeweiligen Fundstelle ändern. Jede ausgeführte Maßnahme erhält Zeitstempel und Bearbeiter.
- Ergebnis nachprüfen: Stichproben bestätigen erlaubte Restzugriffe und entfernte Zugänge. Fehlgeschlagene oder unklare Änderungen bleiben offen und erhalten einen konkreten nächsten Schritt.
- Abschlussbericht erzeugen: Ausgangsmenge, verlängerte, reduzierte und entfernte Zugriffe, gelöschte Gastobjekte sowie offene Ausnahmen werden zahlenmäßig zusammengefasst.
Die Ausgangsliste wird dabei nicht überschrieben. Prüfentscheidung und technisches Ergebnis stehen in getrennten Spalten, weil eine genehmigte Entfernung noch keine ausgeführte Entfernung ist. Erst ein dokumentiertes Umsetzungsergebnis schließt die Zeile. Dieses einfache Prinzip verhindert, dass ein sauber ausgefülltes Reviewformular fälschlich als Nachweis einer tatsächlich geänderten Berechtigung gilt.
Automatische Zugriffsüberprüfungen sind eine Option mit Lizenzvoraussetzungen
Microsoft Entra Access Reviews können Gäste in Gruppen oder Anwendungen einmalig oder wiederkehrend zur Bestätigung vorlegen und Ergebnisse anwenden. Microsoft nennt dafür Microsoft Entra ID P2 oder Microsoft Entra ID Governance als Voraussetzung. Das Verfahren ist für passende Lizenzen und wiederkehrende Prüfmengen hilfreich, ersetzt jedoch nicht die sorgfältige Festlegung von Prüfumfang, Eigentümer und Folgen einer ausbleibenden Antwort.
Für sehr kleine Umgebungen kann ein viertel- oder halbjährlich gepflegtes Register mit festem Ablauf ebenso belastbar sein, wenn es tatsächlich sämtliche Zugriffsebenen erfasst und abgearbeitet wird. Die Methode richtet sich nach Umfang und Lizenzbestand; die fachliche Kernfrage bleibt in beiden Varianten identisch.
4. Verlängern, reduzieren oder beenden folgt festen Kriterien
Eine Entscheidung wird nicht aus Bequemlichkeit auf das gesamte Gastkonto übertragen. Sie gilt für die geprüfte Kombination aus Person und Ressource.
| Sachlage | Entscheidung | Umsetzung | Nächste Prüfung |
|---|---|---|---|
| Zweck, Eigentümer, Ressource und benötigtes Recht sind aktuell. | Verlängern | Bestehenden Zugriff bestätigen und Enddatum beziehungsweise Prüftermin erneuern. | Am Projektmeilenstein oder im regulären Zyklus |
| Projekt läuft weiter, aber nur ein Teilbereich wird noch benötigt. | Reduzieren | Breite Mitgliedschaft entfernen und gezielten Zugriff auf den erforderlichen Bereich herstellen. | Nach Umstellung kurz technisch prüfen, danach regulär |
| Nur Lesen wird benötigt, bisher besteht Bearbeitungsrecht. | Reduzieren | Bearbeitungslink oder Mitgliedschaft entfernen und geeigneten Lesezugriff vergeben. | Unmittelbarer Funktionstest und neuer Endtermin |
| Projekt beendet oder Ansprechpartner ausgeschieden | Entfernen | Alle projektbezogenen Mitgliedschaften, Direktrechte und Links entfernen; weitere Nutzung der Identität prüfen. | Abschlusskontrolle nach Umsetzung |
| Kein Eigentümer oder Zweck ermittelbar | Klären | Kurze Frist setzen; bei fehlender Bestätigung Zugriff entfernen. Bei erhöhtem Risiko vorläufig sperren. | Am Ende der Klärungsfrist |
| Gastobjekt ohne verbleibende Zuweisung oder geschäftlichen Bezug | Löschen | Nach dokumentierter Negativprüfung aus dem Verzeichnis entfernen. | Kontrolle, dass kein vorgesehener Zugriff mehr besteht |
Breite Zugriffe werden nicht durch zusätzliche Einzelfreigaben repariert
Wenn eine externe Person nur einen Projektordner benötigt, ist ihre Mitgliedschaft in einer umfassenden Bereichssite möglicherweise zu weit. Die Lösung besteht darin, den zu großen Zugriff zu entfernen und einen klar abgegrenzten Arbeitsbereich bereitzustellen. Ein zusätzlicher enger Link ändert nichts an der bereits bestehenden breiten Mitgliedschaft. Ebenso macht ein Lese-Link ein parallel vorhandenes Bearbeitungsrecht nicht unwirksam.
Die Prüfung betrachtet daher den effektiv stärksten Zugriff. Er kann aus mehreren Wegen entstehen. Erst wenn die breiteren Mitgliedschaften und Links entfernt sind, liefert der neu gesetzte begrenzte Zugriff das beabsichtigte Ergebnis. Diese Logik wird mit einer positiven und einer negativen Testhandlung kontrolliert.
5. Die Entfernung beginnt an den Ressourcen und endet beim Gastobjekt
Ein Gastobjekt wird erst gelöscht, wenn geklärt ist, dass keine andere berechtigte Zusammenarbeit mehr davon abhängt. Gleichzeitig werden nicht identitätsgebundene Links ausdrücklich separat beendet.
Schritt für Schritt: Einen externen Zugriff vollständig entfernen
- Entscheidung belegen: Person, Ressource, Eigentümer, Grund und Wirksamkeitsdatum im Register festhalten.
- Aktive Arbeit koordinieren: Prüfen, ob die externe Person noch Dateien hochladen, Aufgaben abschließen oder Inhalte übergeben muss. Benötigte geschäftliche Unterlagen werden intern übernommen.
- Team- und Gruppenmitgliedschaften entfernen: Person aus den konkret beendeten Teams, Microsoft-365-Gruppen und Sicherheitsgruppen nehmen.
- Freigegebene Kanäle prüfen: B2B-Direct-Connect-Teilnehmer aus den betroffenen Kanälen entfernen; dieser Schritt findet nicht zwingend am normalen Gastobjekt statt.
- Site-Mitgliedschaften entfernen: SharePoint-Gruppen, Site-Mitglieder und besondere Bibliotheksrechte kontrollieren.
- Direkte Rechte entfernen: Bei betroffenen Ordnern und Dateien den Dialog „Zugriff verwalten“ öffnen und direkte Personenberechtigungen löschen.
- Links bereinigen: Links für bestimmte Personen und vor allem anonyme „Jeder“-Links einzeln prüfen und löschen, wenn ihr Zweck beendet ist.
- Anwendungszuweisungen entfernen: Direkte oder gruppenbasierte Zuweisungen zu Unternehmensanwendungen und ungewöhnliche Verzeichnisrollen kontrollieren.
- Verbleibende Nutzung prüfen: Erneut Gruppen, Anwendungen und dokumentierte SharePoint-Zugriffe abgleichen. Eine andere laufende Zusammenarbeit darf nicht versehentlich beendet werden.
- Identität sperren oder löschen: Besteht kein berechtigter Zweck mehr, wird das externe Konto entsprechend dem festgelegten Verfahren deaktiviert beziehungsweise aus Entra entfernt.
- Wirksamkeit testen: Direkter Ressourcenlink, Teamzugang und vorgesehene Anwendung mit einem geeigneten Test prüfen. Bei anonymen Links wird kontrolliert, dass der gelöschte Link nicht mehr funktioniert.
- Abschluss dokumentieren: Durchgeführte Schritte, offene Ausnahmen und prüfende Person im Register vermerken.
Was nach einem einzelnen Löschschritt weiterhin bestehen kann
| Durchgeführter Schritt | Möglicher verbleibender Zugang | Erforderliche Anschlussprüfung |
|---|---|---|
| Aus einem Team entfernt | Andere Teams, Gruppen, direkte SharePoint-Rechte, Links und Anwendungen | Gesamte Ressourcenzuordnung des Gastobjekts prüfen. |
| Direkten SharePoint-Zugriff entfernt | Geerbte Site-Mitgliedschaft oder Freigabelink | „Zugriff verwalten“ einschließlich Personen und Links vollständig prüfen. |
| Gastobjekt gelöscht | Anonymer Link oder externer Teilnehmer in einem freigegebenen Kanal | Nicht identitätsgebundene Freigaben und B2B Direct Connect separat kontrollieren. |
| Freigabelink gelöscht | Direkter Zugriff, Gruppen- oder Site-Mitgliedschaft | Effektiven Zugriff der Person auf das Objekt testen. |
| Aus einer Gruppe entfernt | Direkte Mitgliedschaft in anderer Gruppe oder Ressource | Alle Zuweisungswege erneut auflösen. |
Ein sichtbarer Name in SharePoint beweist nicht, dass weiterhin Zugriff besteht
Nach dem Entfernen eines Gastkontos kann dessen Name in SharePoint noch in historischen Angaben, Personenfeldern oder der sitespezifischen UserInfo-Liste erscheinen. Microsoft beschreibt dafür bei Bedarf zusätzliche Bereinigungsschritte. Eine historische Anzeige ist von einem wirksamen Zugriff zu unterscheiden. Umgekehrt darf eine saubere Personenliste nicht als Beweis dienen, solange Links oder andere Berechtigungen nicht getestet wurden.
Für die Sicherheitskontrolle zählt, ob die Identität beziehungsweise der Link die Ressource noch öffnen kann. Für Datenschutz, Nachvollziehbarkeit oder Bedienkomfort kann anschließend eine gesonderte Bereinigung alter Verzeichniseinträge sinnvoll sein. Diese beiden Ziele werden im Protokoll getrennt benannt.
6. Ein schlanker Regelbetrieb verhindert die nächste unübersichtliche Gästeliste
Die beste Bereinigung bleibt vorübergehend, wenn neue externe Zugänge ohne Eigentümer, Zweck und Enddatum entstehen.
Die Einladung erfasst bereits die spätere Ausstiegsinformation
Vor einer Einladung werden interne Verantwortung, Ressource, benötigtes Recht und erwartetes Ende festgehalten. Der Gast erhält nur den kleinsten verständlichen Arbeitsbereich. Für einzelne Dateien oder einen kurzzeitigen Austausch kann ein geeigneter Personenlink genügen; für laufende Teamarbeit ist eine klar verantwortete Team- oder Site-Mitgliedschaft besser nachvollziehbar als viele unabhängige Einzelrechte.
Die technische Möglichkeit, Gäste einzuladen, wird auf einen sinnvollen Personenkreis begrenzt. Beschäftigte benötigen zugleich einen einfachen Weg, eine externe Zusammenarbeit anzufordern. Zu restriktive Regeln ohne praktikablen Prozess fördern Umgehungen über private Cloudspeicher oder unkontrollierte Anhänge. Gute Steuerung verbindet daher einen klaren Freigabeweg mit überprüfbaren Grenzen.
Prüfintervalle orientieren sich an Laufzeit und Schutzbedarf
| Zugriff | Geeigneter Anlass | Prüfschwerpunkt |
|---|---|---|
| Kurzfristiger Dateiaustausch | Automatisches oder manuelles Ablaufdatum nahe dem Vorgangsende | Link löschen und intern benötigte Ergebnisse sichern |
| Projektteam mit Gästen | Projektmeilenstein, Wechsel eines Partners und Projektabschluss | Mitglieder, Kanäle, Dateien, Eigentümer und Restzugriffe |
| Dauerhafte Partnerbeziehung | Mindestens regelmäßiger fester Reviewtermin | Personenwechsel, tatsächlicher Aufgabenbereich und minimal notwendige Rechte |
| Besonders geschützter Bereich | Kürzeres festgelegtes Intervall sowie bei jeder Rollenänderung | Positiv- und Negativtests, Links, Geräte- und Anmeldeanforderungen |
| Ungeklärter oder verwaister Zugang | Sofortige Klärungsfrist | Eigentümer und Zweck; bei fehlender Bestätigung entfernen oder vorläufig sperren |
Das Unternehmen legt die Intervalle passend zu Daten und Zusammenarbeit fest. Entscheidend sind feste Termine, benannte Verantwortliche und eine nachverfolgbare Umsetzung. Ein monatlicher Bericht ohne Bearbeitung ist weniger wirksam als eine halbjährliche Prüfung, die jede Entscheidung bis zum technischen Ergebnis abschließt.
Mindestfelder für das laufende Gastzugangsregister
- Externe Person, Organisation, E-Mail-Adresse und technische Objekt-ID
- Interner Eigentümer und Vertretung
- Geschäftlicher Zweck und betroffene Ressource
- Zugriffsweg und effektive Rolle
- Beginn, vorgesehenes Ende und nächster Prüftermin
- Letzte Entscheidung mit Datum und entscheidender Person
- Umgesetzte Änderung und technischer Kontrollnachweis
- Offene Ausnahme mit Grund, Verantwortlichem und Erledigungstermin
Häufige Fragen zu externen Gästen in Microsoft 365
Wird ein Gast beim Projektende automatisch entfernt?
Nicht allein aufgrund eines fachlichen Projektendes. Automatisierte Lebenszyklen müssen ausdrücklich eingerichtet werden und können Lizenzvoraussetzungen haben. Ohne einen solchen Prozess bleiben Gastobjekte, Mitgliedschaften oder Links bestehen, bis sie überprüft und entfernt werden. Das Projektende sollte deshalb einen verbindlichen Offboarding-Schritt auslösen.
Was ist ein anonymer Link?
Ein „Jeder“-Link kann von Personen verwendet werden, die ihn erhalten, ohne dass der Zugriff an ein bestimmtes Gastkonto gebunden ist. Er eignet sich nur für entsprechend freigabefähige Inhalte und sollte möglichst eng befristet und berechtigt werden. Wird ein bestimmter Gast gelöscht, bleibt ein solcher Link bestehen, bis er selbst entfernt oder ungültig wird.
Wer darf Gäste einladen?
Das hängt von den Einstellungen in Microsoft Entra, Microsoft 365 Groups, Teams und SharePoint ab. Ein Unternehmen sollte festlegen, welche Rollen Gäste einladen dürfen und welchen dokumentierten Prozess sie verwenden. Die technisch möglichen Einladenden und die intern autorisierten Einladenden müssen dabei übereinstimmen.
Wie findet man veraltete Freigaben?
Durch die Kombination aus Entra-Gastliste, Gruppen- und Teams-Mitgliedschaften, Anwendungen sowie Site-, Ordner-, Datei- und Linkprüfungen in SharePoint und OneDrive. Nutzungs- und Anmeldehinweise helfen bei der Priorisierung. Die Entscheidung trifft anschließend der interne Ressourcenverantwortliche anhand von Zweck, Umfang und Laufzeit.
Reicht es, das Gastkonto im Entra-Verzeichnis zu löschen?
Nein. Vorher muss geprüft werden, ob die Identität noch für andere berechtigte Ressourcen benötigt wird. Außerdem sind anonyme SharePoint-Links nicht an dieses Konto gebunden, und externe Teilnehmer in freigegebenen Teams-Kanälen verwenden B2B Direct Connect. Diese Zugriffswege werden separat kontrolliert.
Technische Grundlagen
- Microsoft: Microsoft Entra B2B-Zusammenarbeit
- Microsoft: Gastzugriffe mit Access Reviews verwalten
- Microsoft: Gastzugriff in Microsoft Teams
- Microsoft: Externe Freigaben in SharePoint und OneDrive
- Microsoft Support: Freigaben und Berechtigungen verwalten
- Microsoft: Benutzer und Gäste aus SharePoint entfernen
Externe Microsoft-365-Zugriffe in kleinen Unternehmen
Sie möchten externe Zugriffe nachvollziehbar ordnen?
fra.digital erfasst Gäste, Teams, SharePoint-Freigaben und Links, entwickelt einen passenden Prüfablauf und setzt bestätigte Änderungen kontrolliert um.
