Microsoft 365 · SharePoint-Berechtigungen
SharePoint-Berechtigungen bleiben übersichtlich, solange Sites, Bibliotheken, Ordner und Dateien die Zugriffsregeln ihres übergeordneten Bereichs erben. Wird diese Vererbung unterbrochen, erhält das Objekt einen eigenen Berechtigungsbereich. Spätere Änderungen am übergeordneten Bereich kommen dort nicht mehr automatisch an. Einzelne Freigaben, Gruppen und Freigabelinks können dann mehrere Zugriffswege zugleich erzeugen.
Die Kurzantwort: Rechte möglichst an Site oder Bibliothek vergeben und nach unten vererben
Abweichende Berechtigungen sind sinnvoll, wenn ein fachlich klarer Bereich einen dauerhaft anderen Personenkreis benötigt. Tausende einzeln freigegebene Dateien sind dagegen schwer prüfbar, fehleranfällig und technisch belastend.
| Ebene | Typische Aufgabe | Empfohlene Rechtevergabe | Warnsignal |
|---|---|---|---|
| Site | Arbeitsraum eines Teams oder Fachbereichs | Mitglieder über Microsoft-365- oder SharePoint-Gruppen | Viele direkt eingetragene Einzelpersonen |
| Bibliothek | Dokumentbestand mit eigenem fachlichen Zugriff | Eigene Gruppen nur bei dauerhaft abweichendem Personenkreis | Mehrere Bibliotheken mit zufällig unterschiedlichen Einzelrechten |
| Ordner | Abgegrenzter Vorgang oder vertraulicher Teilbestand | Ausnahme mit klarer Verantwortung und Lebensdauer | Ordnerstruktur dient hauptsächlich als Berechtigungsdatenbank |
| Datei | Gezielte, zeitlich begrenzte Zusammenarbeit | Einzelfreigabe nur mit Ablauf und späterer Prüfung | Hunderte identisch einzeln freigegebene Dateien |
| Freigabelink | Zugang für einen definierten Empfängerkreis oder vorhandene Berechtigte | Engste passende Linkart und erforderliches Recht | Unbekannte oder nicht mehr benötigte Links bleiben aktiv |
Vier Leitsätze für kleine Unternehmen
- Gruppen statt Personen: Rollen werden über Gruppenmitgliedschaften gepflegt, Einzelrechte bleiben begründete Ausnahmen.
- Große fachliche Grenzen: Ein dauerhaft anderer Personenkreis erhält eine eigene Site oder Bibliothek, nicht tausende Sonderrechte.
- Effektiven Zugriff prüfen: Die sichtbare Berechtigungsliste eines Objekts allein erklärt nicht jeden Zugriffsweg.
- Ausnahmen dokumentieren: Zweck, Eigentümer, Empfänger und Prüfdatum gehören zu jeder unterbrochenen Vererbung.
1. Berechtigungsvererbung verbindet den Zugriff entlang der Inhaltsstruktur
Standardmäßig übernimmt ein untergeordnetes SharePoint-Objekt die Benutzer, Gruppen und Berechtigungsstufen seines direkten übergeordneten Objekts.
Eine geerbte Berechtigung wird an einer übergeordneten Stelle gepflegt
Erhält die Gruppe „Buchhaltung“ Bearbeitungsrechte auf einer Site, gelten diese Rechte grundsätzlich für die darunterliegenden Bibliotheken, Ordner und Dateien, solange sie vererben. Kommt eine Mitarbeiterin in die Gruppe, erhält sie Zugriff auf die geerbten Bereiche. Verlässt sie die Gruppe, entfällt dieser Zugriffsweg dort ebenfalls. Die Inhaltsobjekte müssen nicht einzeln angepasst werden.
Die Vererbung spart nicht nur Verwaltungsarbeit. Sie macht eine fachliche Aussage: Alles in diesem Bereich gehört zum selben berechtigten Personenkreis. Wenn diese Aussage nicht stimmt, sollte die Inhaltsarchitektur überprüft werden. Ein vertraulicher Personalbestand innerhalb einer allgemein zugänglichen Projektbibliothek ist möglicherweise am falschen Ort.
Unterbrochene Vererbung erzeugt einen eigenen Berechtigungsbereich
Wird „Berechtigungsvererbung beenden“ verwendet, kopiert SharePoint zunächst die zu diesem Zeitpunkt wirksamen Benutzer, Gruppen und Berechtigungsstufen auf das Objekt. Danach besitzt es einen eigenen Berechtigungsbereich. Die kopierten Einträge sehen anfangs möglicherweise genauso aus wie beim übergeordneten Bereich, sind aber nicht mehr dauerhaft mit ihm verbunden.
Eine spätere Änderung an der Site wird nun nicht automatisch übernommen. Entfernt ein Administrator eine Gruppe auf Siteebene, kann sie auf der Bibliothek mit eindeutigen Berechtigungen weiterbestehen. Umgekehrt erhält eine neu hinzugefügte Sitegruppe dort keinen Zugriff. Diese zeitliche Entkopplung erklärt viele Berechtigungen, die Monate später widersprüchlich wirken.
Das Wiederherstellen der Vererbung verwirft die eindeutigen Einträge
Wird ein Objekt wieder auf geerbte Berechtigungen umgestellt, übernimmt es erneut die Rechte des übergeordneten Bereichs. Eigene Benutzer, Gruppen und Berechtigungsstufen dieses Objekts entfallen. Diese Aktion ist deshalb keine kosmetische Bereinigung und wird erst ausgeführt, nachdem alle notwendigen Sonderzugriffe erfasst und entweder entbehrlich oder an einem geeigneten Ort neu abgebildet wurden.
Untergeordnete Objekte mit wiederum eigenen Berechtigungen benötigen eine separate Prüfung. Eine Bibliothek kann wieder von der Site erben, während einzelne Ordner oder Dateien weiterhin eindeutige Bereiche besitzen. Ein grüner Zustand auf Bibliotheksebene beweist daher noch keine einheitliche Vererbung im gesamten Inhalt.
2. Einzelfreigaben können unbemerkt neue Berechtigungsbereiche erzeugen
Viele Sonderrechte entstehen nicht in einer geplanten Administrationssitzung, sondern durch alltägliches Teilen einzelner Dateien und Ordner.
Teilen fügt Zugriff hinzu, ohne bestehende Zugriffswege automatisch zu beseitigen
Wird ein Dokument mit einer Person geteilt, die bisher keinen Zugriff besitzt, kann SharePoint die Vererbung für dieses Element unterbrechen, die bisherigen Rechte kopieren und den neuen Empfänger ergänzen. Das Dokument hat nun einen eigenen Berechtigungsbereich. Wird dieselbe Vorgehensweise bei hundert Dokumenten wiederholt, entstehen hundert getrennt zu verwaltende Bereiche, auch wenn überall derselbe Empfänger eingetragen ist.
Die Einzelperson sieht nur, dass ihr Link funktioniert. Für die Verwaltung bleibt jedoch eine dauerhafte Ausnahme zurück. Ändert sich später der Projektkreis, muss geprüft werden, ob diese Dateien noch den alten kopierten Gruppen und zusätzlichen Empfängern zugänglich sind.
Ein freigegebener Ordner ist meist beherrschbarer als viele einzelne Dateien
Benötigt ein externer Projektpartner Zugriff auf einen definierten Unterlagenbestand, ist ein eigener leerer Ordner mit passender Berechtigung meist klarer als die separate Freigabe jeder Datei. Die darin abgelegten Dokumente können den Berechtigungsbereich des Ordners erben. Zweck, Empfänger und Ende der Zusammenarbeit lassen sich an einer Stelle prüfen.
Noch besser kann eine eigene Bibliothek oder Site sein, wenn der abweichende Personenkreis dauerhaft ist, mehrere Ordner umfasst oder eigene Besitzer benötigt. Die technische Möglichkeit einer Ordnerausnahme ersetzt keine Architekturentscheidung. Vertraulichkeit, Navigation, Aufbewahrung, externe Zusammenarbeit und Zuständigkeit werden gemeinsam betrachtet.
Die Anzahl eindeutiger Bereiche ist eine technische und organisatorische Grenze
Eine SharePoint-Liste oder -Bibliothek unterstützt bis zu 50.000 eindeutige Berechtigungsbereiche; Microsoft empfiehlt aus Leistungsgründen, unter 5.000 zu bleiben. Diese Zahlen sind keine Zielwerte. Bereits deutlich kleinere Mengen können für ein Unternehmen unprüfbar sein, wenn Verantwortliche, Zweck und Empfänger nicht dokumentiert sind.
Entscheidend ist die Art der Vererbung: Zehntausend Dateien, die gemeinsam von einem Ordner erben, verbrauchen nicht zehntausend eigene Bereiche. Zehntausend Dateien, die jeweils separat mit identischen Personen geteilt wurden, besitzen dagegen jeweils einen eigenen Bereich. Ein späteres Verschieben in einen gemeinsamen Ordner bereinigt diese Altberechtigungen nicht automatisch.
3. Der tatsächliche Zugriff kann aus Gruppen, direkten Rechten und Links zugleich stammen
Das Entfernen eines sichtbaren Namens entzieht keinen Zugriff, wenn dieselbe Person weiterhin über eine Gruppe oder einen Freigabelink berechtigt ist.
| Zugriffsweg | Wo er entsteht | Wie er geprüft wird | Wie er endet |
|---|---|---|---|
| Microsoft-365-Gruppe | Mitgliedschaft im verbundenen Team oder der Gruppe | Gruppenmitglieder und -eigentümer | Mitgliedschaft entfernen |
| SharePoint-Gruppe | Owners, Members, Visitors oder eigene Gruppe | Siteberechtigungen und Gruppeninhalt | Person aus Gruppe oder Gruppe vom Bereich entfernen |
| Entra-Sicherheitsgruppe | Zuweisung einer zentral verwalteten Gruppe | Gruppenmitgliedschaft einschließlich verschachtelter Struktur | Mitgliedschaft oder Rollenzuweisung ändern |
| Direkter Zugriff | Person oder Gruppe direkt am Objekt | „Zugriff verwalten“ und Berechtigungsseite | Direkten Eintrag entfernen |
| Freigabelink | Link für bestimmte Personen, Organisation oder andere Zielgruppe | Register „Links“ in „Zugriff verwalten“ | Link entfernen; bloßes Löschen der versandten Nachricht reicht nicht |
| Siteadministrator | Administrative Rolle oder Site Collection Administrator | Administrations- und Siteeinstellungen | Administrative Zuweisung ändern |
| Limited Access | Technischer Navigationszugang zu einem tiefer freigegebenen Objekt | Zielobjekt und eigentliche Freigabe prüfen | Zugriff am Zielobjekt entfernen; Eintrag nicht isoliert „aufräumen“ |
„Limited Access“ ist häufig ein notwendiger Navigationshinweis
Erhält eine Person Zugriff auf einen einzelnen Unterordner, benötigt sie begrenzten technischen Zugang zu den übergeordneten Site- und Bibliotheksobjekten, um das Ziel aufrufen zu können. SharePoint weist dafür „Limited Access“ zu. Diese Berechtigungsstufe erlaubt nicht automatisch das Lesen aller anderen Inhalte der Site.
Ein Limited-Access-Eintrag wird daher nicht isoliert entfernt, nur weil sein Zweck auf der Siteberechtigungsseite unklar erscheint. Zuerst wird das tiefer liegende freigegebene Objekt ermittelt. Wird dessen eigentliche Freigabe beendet, kann SharePoint die notwendigen Navigationsrechte entsprechend anpassen.
Freigabelinks und direkter Zugriff sind getrennte Einträge
Der Bereich „Zugriff verwalten“ zeigt Personen, Gruppen und Links. Ein Link für „Personen in der Organisation“ kann jeder internen Person Zugriff geben, die diesen Link erhält, auch wenn ihr Name nicht als direkter Empfänger erscheint. Ein Link für bestimmte Personen begrenzt die nutzbaren Identitäten, während „Personen mit vorhandenem Zugriff“ keine neue Berechtigung erzeugt.
Soll Zugriff enden, werden alle passenden Wege geprüft. Das Löschen eines Links beendet nur den Zugriff über diesen Link. Ein Empfänger kann weiterhin über die Sitegruppe berechtigt sein. Umgekehrt entzieht das Entfernen aus einer Gruppe keinen direkten Einzelzugriff, der früher separat vergeben wurde.
4. Ein Berechtigungsaudit folgt vom fachlichen Bereich bis zur einzelnen Ausnahme
Die Prüfung beginnt nicht mit dem Löschen auffälliger Einträge. Zuerst wird das Sollmodell ermittelt und der tatsächliche Zugriff vollständig nachvollzogen.
Schritt für Schritt: Zugriff einer Person auf eine Datei nachvollziehen
- Identität eindeutig bestimmen: Geschäftliche E-Mail-Adresse, Gaststatus und gegebenenfalls mehrere Konten derselben Person unterscheiden.
- Datei im Browser öffnen: Tatsächliche Site, Bibliothek und Pfad festhalten. Lokale Syncpfade reichen für die Berechtigungsprüfung nicht aus.
- „Zugriff verwalten“ aufrufen: Personen, Gruppen und Links getrennt erfassen. Nicht nur die zuerst sichtbaren Avatare betrachten.
- Vererbungsstatus feststellen: Prüfen, ob die Datei von Ordner oder Bibliothek erbt oder eigene Berechtigungen besitzt.
- Direkte Einträge prüfen: Feststellen, ob die Identität selbst oder eine eigens zugewiesene Gruppe am Objekt eingetragen ist.
- Freigabelinks prüfen: Zielgruppe, Recht, Ablaufdatum und fortbestehende Notwendigkeit jedes Links bewerten.
- Übergeordnete Ebenen verfolgen: Ordner, Bibliothek und Site auf geerbte sowie eindeutige Rechte untersuchen.
- Gruppen auflösen: Mitgliedschaft in Microsoft-365-, SharePoint- und Entra-Gruppen einschließlich zuständiger Eigentümer ermitteln.
- Effektives Recht testen: Mit vorgesehener Prüffunktion oder kontrolliertem Benutzerkonto nachvollziehen, ob Lesen, Bearbeiten, Teilen und Löschen dem Soll entsprechen.
- Ergebnis dokumentieren: Jeden wirksamen Zugriffsweg, seine Quelle und die erforderliche Änderung festhalten.
Eine Stichprobe wird risikobasiert zusammengestellt
Geprüft werden nicht nur zufällige Dateien. Die Auswahl enthält vertrauliche Ordner, extern geteilte Inhalte, Bereiche mit vielen Einzelberechtigungen, Altprojekte, ausgeschiedene Benutzer, Dateien mit organisationsweiten Links und Bibliotheken, deren Besitzer gewechselt haben. Zusätzlich wird mindestens ein gewöhnlicher geerbter Bereich als Vergleich herangezogen.
Für jede Stichprobe werden erwarteter Personenkreis und zulässige Aktionen vorab benannt. Erst dann wird die technische Berechtigung verglichen. Ohne Sollangabe lässt sich zwar eine Liste von Namen erzeugen, aber nicht entscheiden, ob der Zugriff richtig ist.
| Feld | Einzutragende Information | Beispiel für eine belastbare Angabe |
|---|---|---|
| Objekt | Site, Bibliothek, Ordner oder Datei mit vollständigem Browserpfad | Bibliothek „Objekte“, Ordner „Verkauf Musterstraße“ |
| Vererbung | Geerbt oder eindeutig; übergeordnetes Objekt | Eindeutig seit Projektfreigabe, Elternobjekt Bibliothek „Objekte“ |
| Zweck | Geschäftlicher Grund der Abweichung | Zeitlich begrenzte Due-Diligence-Unterlagen |
| Empfänger | Gruppen, Personen und Linkzielgruppen | Interne Projektgruppe plus zwei benannte externe Gäste |
| Recht | Lesen, Bearbeiten oder andere erlaubte Aktionen | Externe Gäste lesen; interne Projektgruppe bearbeitet |
| Verantwortung | Fachlicher Eigentümer und technische Verwaltung | Projektleitung und Microsoft-365-Administration |
| Lebensdauer | Ende oder nächster Prüftermin | Zugriff endet nach Abschluss am 31. März |
| Entscheidung | Behalten, in Gruppe überführen, verschieben oder Vererbung herstellen | Eigene Projektbibliothek anlegen und Einzelrechte ablösen |
5. Bereinigung bedeutet, fachliche Zugriffsgrenzen neu abzubilden
Das Ziel ist kein möglichst leerer Berechtigungsdialog, sondern ein nachvollziehbarer Zugriff mit wenigen dauerhaft verantworteten Ausnahmen.
Wiederkehrende Personenkreise werden zu Gruppen
Einzelne Namen werden nach fachlicher Rolle zusammengefasst: Projektteam, externe Prüfer, lesende Geschäftsführung oder Objektverwaltung. Für jede Gruppe gibt es mindestens zwei verantwortliche Eigentümer beziehungsweise einen geregelten Vertretungsweg. Eintritt, Rollenwechsel und Austritt ändern die Gruppenmitgliedschaft, nicht hunderte Dateien.
Die Gruppenart folgt der Umgebung. Bei gruppenverbundenen Teamsites werden Mitglieder über die zugehörige Microsoft-365-Gruppe verwaltet. SharePoint-Gruppen können Siteberechtigungen abbilden; Entra-Sicherheitsgruppen eignen sich für zentral gepflegte, wiederverwendbare Personenkreise. Eine Mischung ist möglich, wird aber so dokumentiert, dass ein Administrator die Quelle jeder Mitgliedschaft erkennt.
Auch die zugewiesene Berechtigungsstufe wird konkret geprüft. „Bearbeiten“ kann je nach Site- und Bibliothekskonfiguration mehr erlauben als das bloße Ändern vorhandener Dokumente, etwa das Anlegen oder Löschen von Inhalten. Für lesende, beitragende und verwaltende Rollen wird deshalb festgelegt, welche Tätigkeiten tatsächlich erforderlich sind. Individuell zusammengesetzte Berechtigungsstufen bleiben seltene, dokumentierte Ausnahmen, weil ihr Name allein später nicht zuverlässig erklärt, welche Einzelrechte enthalten sind.
Dauerhafte Zugriffsgrenzen erhalten eine eigene Bibliothek oder Site
Wenn Personalunterlagen, Geschäftsführung, externe Mandate oder abgeschlossene Transaktionen einen dauerhaft anderen Benutzerkreis haben, wird dieser Bereich aus einer allgemein zugänglichen Bibliothek herausgelöst. Eine eigene Bibliothek ermöglicht einen klaren Berechtigungsbereich; eine eigene Site schafft zusätzlich eigene Besitzer, Navigation und weitere Verwaltungsmöglichkeiten.
Vor dem Verschieben werden Zielrechte, Metadaten, Aufbewahrung, bestehende Links, Synchronisierung und Arbeitsabläufe geprüft. Eine reine Massenverschiebung kann alte eindeutige Rechte erhalten oder Links beeinflussen. Pilotobjekte zeigen, ob die Zielstruktur tatsächlich erbt und ob berechtigte sowie unberechtigte Testpersonen das erwartete Ergebnis erhalten.
Die Vererbung wird erst nach einer Folgenprüfung wiederhergestellt
Für ein eindeutig berechtigtes Objekt werden alle direkten Einträge, Gruppen und Links exportiert oder dokumentiert. Danach wird bestimmt, welche Rechte entfallen und welche künftig vom übergeordneten Bereich kommen. Fehlende notwendige Empfänger werden vorab in die passende übergeordnete Gruppe oder neue Zielstruktur überführt.
Erst dann wird „Berechtigungsvererbung wiederherstellen“ ausgeführt. Anschließend werden nicht nur die angezeigten Einträge, sondern reale Aktionen geprüft: berechtigter Benutzer öffnet und bearbeitet, lesender Benutzer kann nicht ändern, ausgeschlossene Person erhält keinen Zugriff, alter Freigabelink funktioniert nicht mehr. Untergeordnete Sonderbereiche werden separat kontrolliert.
Schritt für Schritt: Eine gewachsene Berechtigungsstruktur bereinigen
- Fachliche Eigentümer, zulässige Personenkreise und Schutzbedarf je Inhaltsbereich festlegen.
- Sites, Bibliotheken, Ordner und Dateien mit eindeutigen Berechtigungen inventarisieren.
- Direkte Rechte, Gruppenmitgliedschaften, Freigabelinks und Limited-Access-Hinweise getrennt erfassen.
- Ausnahmen nach gleichem Zweck, Empfängerkreis und Lebensdauer zusammenfassen.
- Dauerhafte Rollen in Gruppen überführen und verantwortliche Gruppeneigentümer benennen.
- Für dauerhaft abweichende Bereiche geeignete Bibliotheken oder Sites vorbereiten.
- Mit wenigen Pilotobjekten Verschiebung, Vererbung und Linkverhalten testen.
- Alte Einzelrechte und Links kontrolliert ablösen; jede Änderung protokollieren.
- Vererbung dort wiederherstellen, wo das Objekt zum Zugriff seines Elternbereichs gehört.
- Effektiven Zugriff mit positiven und negativen Testkonten abnehmen.
- Benutzer über neue Ablageorte und verbindliche Freigabeverfahren informieren.
- Restliche Ausnahmen mit Zweck, Eigentümer und nächstem Prüftermin dokumentieren.
6. Typische Geschäftsvorgänge erhalten ein eindeutiges Berechtigungsmuster
Ein Berechtigungsmodell wird verständlich, wenn für wiederkehrende Situationen feststeht, welcher Bereich, welche Gruppe und welches Ende des Zugriffs vorgesehen sind.
| Situation | Geeignetes Muster | Zu vermeiden | Abschlussprüfung |
|---|---|---|---|
| Neuer interner Mitarbeiter | Aufnahme in rollenbezogene Microsoft-365-, SharePoint- oder Entra-Gruppen | Direkte Rechte an vielen einzelnen Ordnern | Benötigte Bereiche zugänglich, fachfremde Bereiche gesperrt |
| Rollenwechsel | Alte Gruppen entfernen, neue Rolle zuweisen und Übergangsbedarf befristen | Neue Rechte ergänzen, ohne alte Zugriffe zu prüfen | Effektiver Zugriff in alter und neuer Rolle getestet |
| Ausscheidender Mitarbeiter | Alle Gruppen, Direkteinträge, Links, Gastkonten und administrative Rollen prüfen | Nur das Benutzerkonto deaktivieren und geteilte Inhalte vergessen | Zugriff mit der früheren Identität ausgeschlossen, Eigentum übergeben |
| Externe Buchhaltung oder Kanzlei | Eigene Gruppe und abgegrenzte Bibliothek beziehungsweise Ordner mit dem benötigten Recht | Gesamte Teamsite oder organisationsweiten Link freigeben | Nur vereinbarte Unterlagen sichtbar; Enddatum dokumentiert |
| Zeitlich begrenztes Kundenprojekt | Projektbereich mit benannten internen Besitzern und bestimmten externen Gästen | Einzelfreigaben über den gesamten Unternehmensbestand verteilen | Nach Projektende Gäste, Links und Inhalte geordnet abschließen |
| Personal- oder Geschäftsführungsunterlagen | Eigene Site oder Bibliothek mit kleinem, dauerhaft verantwortetem Personenkreis | Vertraulichen Unterordner in einer breit zugänglichen Bibliothek verstecken | Negativer Zugriffstest mit gewöhnlichem Mitgliedskonto |
| Link an vorhandene Site-Mitglieder | Linkart „Personen mit vorhandenem Zugriff“ | Unbeabsichtigt neue organisationsweite Berechtigung erzeugen | Empfänger ohne vorheriges Recht bleibt ausgeschlossen |
Ein Zugriffsentzug wird wie eine technische Änderung abgenommen
Die Aussage „Benutzer wurde entfernt“ beschreibt nur eine einzelne Verwaltungsaktion. Für einen belastbaren Entzug werden alle Identitäten der Person, Gruppenmitgliedschaften, direkte Berechtigungen, Freigabelinks und administrative Rollen erfasst. Bei Gästen werden Einladungsidentität und verwendete E-Mail-Adresse berücksichtigt; bei internen Mitarbeitern können zusätzliche Test-, Alt- oder Privatkonten bestehen.
Nach den Änderungen wird mit einem kontrollierten Test nachvollzogen, dass der alte Link und der direkte Browserpfad nicht mehr funktionieren. Gleichzeitig prüft ein berechtigter Kollege, dass der Inhalt weiterhin erreichbar ist und keine ganze Arbeitsgruppe versehentlich ausgeschlossen wurde. Bei sensiblen Vorgängen werden aktive Sitzungen, lokale synchronisierte Kopien und bereits exportierte Dateien im übergeordneten Offboarding- oder Sicherheitsverfahren berücksichtigt.
Negative Tests zeigen, ob eine Grenze wirklich schützt
Ein Test mit dem Siteeigentümer beweist wenig, weil diese Rolle nahezu jeden Inhalt öffnen kann. Für eine vertrauliche Bibliothek werden mindestens drei Perspektiven geprüft: ein berechtigtes Mitglied mit Bearbeitungsrecht, eine berechtigte lesende Person und ein gewöhnliches Site-Mitglied ohne Zugang zu diesem Bereich. Externe Zusammenarbeit benötigt zusätzlich einen vorgesehenen Gast und eine nicht eingeladene externe Identität.
Geprüft werden direkte URL, Navigation, Suche, synchronisierter Ordner und ein früher versandter Freigabelink. Eine ausgeblendete Navigation ist keine Zugriffssperre. Ebenso beweist eine fehlende Suchanzeige nicht sicher, dass ein bekannter Direktlink scheitert. Das Ergebnis wird mit Konto, Aktion und Zeitpunkt festgehalten, damit spätere Änderungen gegen einen bekannten Ausgangszustand geprüft werden können.
Abnahme eines Zugriffsentzugs
- Alle geschäftlichen und externen Identitäten der Person sind eindeutig zugeordnet.
- Mitgliedschaften, Direkteinträge, Freigabelinks und administrative Rollen wurden separat geprüft.
- Ein alter Direktlink liefert mit der entzogenen Identität keinen Inhalt mehr.
- Synchronisierte und zuvor heruntergeladene Daten sind im Geräte- und Offboardingprozess berücksichtigt.
- Der vorgesehene Nachfolger besitzt genau die benötigten Rechte und übernimmt relevantes Eigentum.
- Andere berechtigte Benutzer können den Bestand nach der Änderung weiterhin vollständig verwenden.
- Zeitpunkt, Prüfer, Testkonten und Ergebnis sind dokumentiert.
7. Ein Betriebsmodell verhindert neue, unkontrollierte Einzelrechte
Nach der Bereinigung müssen Freigaberegeln, Zuständigkeit und regelmäßige Prüfung zum tatsächlichen Arbeitsalltag passen.
Sitebesitzer erhalten eine klare Freigabekompetenz
Nicht jede Person mit Bearbeitungsrecht sollte dauerhaft neue externe oder interne Sonderzugriffe verteilen. Die Organisation legt fest, wer Sites, Bibliotheken, Ordner und einzelne Dateien teilen darf. Sitebesitzer verstehen Linkarten, Vererbung, Gruppen und den Unterschied zwischen „vorhandener Zugriff“ und einer neuen Berechtigung.
Für wiederkehrende externe Zusammenarbeit gibt es einen vorgesehenen Bereich und eine kurze Anfrage mit Zweck, Empfänger, Recht und Enddatum. Dadurch wird Teilen nicht unnötig erschwert, bleibt aber nachvollziehbar. Dringende Ausnahmen werden nachträglich in denselben Prüfprozess aufgenommen.
Regelmäßige Prüfungen konzentrieren sich auf Veränderung und Risiko
Monatlich oder quartalsweise werden neue externe Gäste, organisationsweite Links, abgelaufene Projekte, ausgeschiedene Personen und neu unterbrochene Vererbungen geprüft. Umfang und Intervall richten sich nach Schutzbedarf und Änderungsrate. Eine Jahresliste ohne fachliche Eigentümer reicht bei häufig wechselnden Projektbereichen nicht aus.
Jede Prüfung endet mit konkreten Entscheidungen: Zugriff bestätigt, Mitgliedschaft entfernt, Link beendet, Ausnahme verlängert oder Inhalt in eine bessere Struktur verschoben. Ergebnis, verantwortliche Person und Termin werden festgehalten. Wiederkehrende gleiche Ausnahmen sind ein Signal, dass Gruppen oder Informationsarchitektur angepasst werden müssen.
Zusätzlich werden fehlende Eigentümer und Gruppen ohne verantwortliche Pflege erfasst. Eine technisch korrekt berechtigte Gruppe bleibt ein Risiko, wenn niemand über Eintritte, Austritte und regelmäßige Kontrolle entscheidet. Jede produktive Gruppe erhält deshalb einen fachlichen Zweck, einen verwaltenden Ansprechpartner und mindestens einen funktionierenden Vertretungsweg.
Abnahme eines beherrschbaren Berechtigungsmodells
- Jede Site und Bibliothek besitzt einen benannten fachlichen Eigentümer und eine Vertretung.
- Standardzugriffe laufen über dokumentierte Gruppen statt über Listen einzelner Personen.
- Eindeutige Ordner- und Dateirechte besitzen Zweck, Empfänger und Prüftermin.
- Freigabelinks werden zusammen mit direkten und geerbten Zugriffswegen geprüft.
- Limited Access wird als Folge einer tieferen Freigabe verstanden und nicht isoliert entfernt.
- Positive und negative Testkonten bestätigen Lesen, Bearbeiten, Teilen und Ausschluss.
- Neue Ausnahmen fließen in einen regelmäßigen, verantworteten Prüfprozess ein.
Häufige Fragen zur SharePoint-Berechtigungsvererbung
Was passiert beim Beenden der Berechtigungsvererbung?
SharePoint kopiert die aktuell wirksamen Benutzer, Gruppen und Berechtigungsstufen auf das Objekt und trennt es anschließend vom Elternbereich. Spätere Änderungen am Elternbereich werden nicht mehr automatisch übernommen.
Was passiert beim Wiederherstellen der Vererbung?
Das Objekt übernimmt wieder die Berechtigungen seines Elternbereichs. Seine eigenen Benutzer-, Gruppen- und Rechtezuweisungen entfallen. Notwendige Sonderzugriffe müssen deshalb vorher in einer passenden Gruppe oder Struktur abgebildet werden.
Warum hat eine Person trotz entferntem Direkteintrag weiterhin Zugriff?
Sie kann zusätzlich über eine Microsoft-365-, SharePoint- oder Entra-Gruppe, einen Freigabelink, einen übergeordneten Bereich oder eine administrative Rolle berechtigt sein. Alle wirksamen Zugriffswege müssen geprüft werden.
Ist „Limited Access“ ein unerwünschtes Leserecht auf die ganze Site?
Nein. SharePoint verwendet Limited Access, damit eine Person zu einem tiefer freigegebenen Ordner oder Dokument navigieren kann, ohne dadurch auf alle übrigen Siteinhalte zugreifen zu dürfen. Die eigentliche Freigabe liegt am Zielobjekt.
Wie viele eindeutige Berechtigungsbereiche sind zulässig?
Technisch unterstützt eine Bibliothek bis zu 50.000 eindeutige Bereiche; Microsoft empfiehlt aus Leistungsgründen weniger als 5.000. Für die organisatorische Beherrschbarkeit sollte die Zahl deutlich niedriger und jede Ausnahme begründet sein.
Sind einzelne Dateifreigaben grundsätzlich falsch?
Nein. Für eine gezielte, zeitlich begrenzte Zusammenarbeit können sie passend sein. Werden jedoch viele Dateien an denselben Personenkreis geteilt, ist ein gemeinsamer Ordner, eine Bibliothek oder eine eigene Site übersichtlicher.
Technische Grundlagen
- Microsoft Support: Berechtigungen einer SharePoint-Liste oder -Bibliothek anpassen
- Microsoft: Berechtigungsbereiche, Vererbung und empfohlene Grenzen verwalten
- Microsoft Support: Zugriffswege einer Datei oder eines Ordners anzeigen
- Microsoft Support: Freigaben und Berechtigungen verwalten
- Microsoft: Standardgruppen und Berechtigungsstufen in SharePoint
SharePoint-Berechtigungen in Frankfurt
Gewachsene SharePoint-Rechte sollen wieder nachvollziehbar werden?
fra.digital inventarisiert Zugriffswege, entwickelt ein gruppenbasiertes Sollmodell und bereinigt eindeutige Berechtigungen, Freigabelinks und Vererbung mit kontrollierter Abnahme.
