SharePoint Online-Berechtigungsprüfung

Von Mirko Peters · 2025-11-24 · Aktualisiert 2026-07-18

Erstellen Sie eine automatisierte Pipeline zur Überprüfung der SharePoint Online-Berechtigungen mit PnP PowerShell und Microsoft Graph, um Zugriffsrisiken im großen Maßstab zu erkennen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die manuelle Überprüfung von SharePoint-Berechtigungen ist eine große Herausforderung. Websites ändern sich jeden Tag. Personen wechseln in Teams oder verlassen sie. Sie brauchen eine Möglichkeit, nachzuverfolgen, wer worauf zugreifen kann, ohne verborgene Risiken zu übersehen. Eine automatisierte Prüfung von SharePoint Online hilft Ihnen, Lücken zu finden, Daten zu schützen und Zeit zu sparen. Mit Tools wie PnP PowerShell, Microsoft Graph und Azure Automation können Sie ein System aufbauen, das die Berechtigungen für Sie prüft.

Das Wichtigste in Kürze

• Die automatisierte Prüfung von SharePoint Online-Berechtigungen spart Zeit. Sie senkt außerdem Sicherheitsrisiken. Sie zeigt, wer worauf zugreifen kann. Eine manuelle Kontrolle ist nicht nötig.

• Verwenden Sie PnP PowerShell und Microsoft Graph, um alle Websites und Berechtigungen zu finden. So sehen Sie alle Zugriffe in Ihrem Unternehmen.

• Richten Sie für Ihre Prüfpipeline die Authentifizierung nur mit App-Berechtigungen ein. Dadurch bleibt Ihr System sicher. Es funktioniert auch dann weiter, wenn sich Benutzerkonten ändern.

• Führen Sie Prüfungen häufig durch und richten Sie Warnmeldungen für riskante Berechtigungsänderungen ein. So erkennen Sie Sicherheitsprobleme frühzeitig. Sie können diese beheben, bevor sie größer werden.

• Verwenden Sie Power BI, um die Prüfergebnisse darzustellen. Dashboards helfen Ihnen, Trends zu erkennen. Sie erleichtern außerdem die Weitergabe der Ergebnisse an Ihr Team.

Warum manuelle Berechtigungsprüfungen scheitern

Herausforderungen der manuellen Prüfung

Die manuelle Prüfung von SharePoint-Berechtigungen ist schwierig. SharePoint Online kennt viele Arten von Berechtigungen. Dazu gehören Microsoft 365-Gruppen und Entra-Sicherheitsgruppen. Manche Berechtigungen gelten nur für SharePoint. Freigabelinks und Gastzugriff erschweren die Lage zusätzlich. Sie müssen viele Websites und Bibliotheken im Blick behalten. Jede Website kann eigene Berechtigungen haben. Manuelle Kontrollen übersehen verborgene Risiken, weil sich Dinge schnell ändern.

• Berechtigungsstrukturen sind schwer nachzuvollziehen.

• Unterschiedliche Gruppentypen sorgen für Verwirrung.

• Freigabelinks und Gastbenutzer verursachen zusätzliche Probleme.

• Sicherheitsrisiken wachsen, wenn Sie nicht alles prüfen können.

Risiken veralteter Berechtigungen

Veraltete Berechtigungen können großen Schaden anrichten. Wenn Sie Zugriffe nicht aktualisieren, behalten Personen Rechte, die sie nicht haben sollten. Das kann zu Datenlecks und Sicherheitsproblemen führen. Die folgende Tabelle zeigt einige typische Risiken:

Automatisierte Berechtigungsprüfungen für SharePoint Online helfen Ihnen, diese Risiken zu erkennen, bevor sie Schaden anrichten.

Lücken bei Nachvollziehbarkeit und Compliance

Manuelle Prüfungen übersehen oft wichtige Regeln. Manchmal können „Jeder“ oder „Jeder außer externen Benutzern“ private Dateien sehen. Externe Freigaben und anonyme Links laufen unter Umständen nie ab. Alte Websites und Bibliotheken können weiterhin riskante Daten enthalten, werden aber von niemandem geprüft.

Tipp: Regelmäßige Prüfungen helfen Ihnen, diese Probleme zu erkennen und zu beheben, bevor sie größer werden.

• Zu viel Zugriff auf private Daten

• Keine Einschränkungen für Freigaben und anonyme Links

• Alte Websites und Bibliotheken mit riskanten Daten

Wenn Sie Berechtigungen nicht regelmäßig aktualisieren, riskieren Sie Datenlecks, Verstöße gegen Vorgaben und Sicherheitsbedrohungen. Eine automatisierte Prüfung von SharePoint Online hilft Ihnen, diese Probleme zu verhindern, und schützt Ihr Unternehmen.

Automatisierte Pipeline zur Prüfung von SharePoint Online-Berechtigungen

Überblick über die Pipeline-Architektur

Bevor Sie die Pipeline aufbauen, brauchen Sie einen guten Plan. Die Pipeline arbeitet wie eine Maschine. Sie nimmt Ihren SharePoint-Mandanten und erstellt einen Bericht. Der Bericht zeigt, wer was sehen kann. Sie müssen nicht jede Website selbst prüfen. Die Pipeline erledigt diese Aufgabe für Sie.

So funktioniert die Pipeline:

1. Erkennung: Die Pipeline findet jede Website, Bibliothek und Datei in Ihrem SharePoint Online-Mandanten.

2. Erfassung: Sie ruft die Berechtigungsdaten von jedem Speicherort ab.

3. Normalisierung: Die Pipeline wandelt komplexe Berechtigungsdaten in eine einfache Tabelle um.

4. Berichterstellung: Sie speichert die Ergebnisse als CSV- oder JSON-Dateien. Sie können diese Dateien in Power BI oder anderen Tools verwenden.

5. Warnung: Die Pipeline sucht nach Änderungen und sendet Warnmeldungen, wenn sie neue Risiken findet.

Tipp: Zeichnen Sie die Schritte Ihrer Pipeline auf Papier. So erkennen Sie jeden Teil und finden fehlende Schritte.

Sie können die Pipeline jeden Tag ausführen. Sie erhalten neue Daten und können Probleme schnell finden. Die automatisierte Überprüfung von SharePoint Online liefert Ihnen einen Prozess, dem Sie vertrauen und den Sie immer wieder nutzen können.

Einrichtung der App-Only-Authentifizierung

Die Pipeline soll ohne Anmeldung eines Benutzers funktionieren. Dafür eignet sich die App-Only-Authentifizierung. Sie erstellen eine App-Registrierung in Entra ID (Azure AD). Die App erhält nur die Berechtigungen, die sie benötigt. So bleibt Ihr System sicher.

Gehen Sie so vor:

• Registrieren Sie eine neue App in Entra ID.

• Weisen Sie der App nur die Berechtigungen zu, die sie benötigt. Verwenden Sie zum Beispiel Sites.Read.All und Group.Read.All.

• Erstellen Sie ein Zertifikat für eine sichere Anmeldung.

• Legen Sie das Zertifikat in Azure Key Vault ab.

Mit PnP PowerShell stellen Sie über die App eine Verbindung zu SharePoint Online her. Die App-Only-Methode eignet sich gut für automatisierte SharePoint Online-Überprüfungen. Sie funktioniert auch dann weiter, wenn jemand das Unternehmen verlässt oder sein Kennwort ändert.

Hinweis: Verwenden Sie für die Automatisierung keine persönlichen Administratorkonten. App-Only-Zugriff ist sicherer und funktioniert besser.

Azure Automation und Key Vault-Integration

Die Pipeline soll nach Zeitplan laufen. Azure Automation hilft Ihnen dabei. Sie schreiben ein PowerShell-Runbook. Das Runbook stellt eine Verbindung zu SharePoint Online her, ruft die Berechtigungen ab und speichert die Ergebnisse.

Azure Automation kann das Zertifikat aus Azure Key Vault abrufen. So bleiben Ihre Geheimnisse geschützt. Sie müssen keine Kennwörter oder Zertifikate in Ihre Skripte schreiben.

Der Ablauf sieht so aus:

• Azure Automation startet das Runbook.

• Das Runbook ruft das Zertifikat aus Key Vault ab.

• Das Skript stellt mit App-Only-Authentifizierung eine Verbindung zu SharePoint Online her.

• Es ruft die Berechtigungsdaten ab und speichert sie.

Sie können das Runbook täglich oder wöchentlich ausführen lassen. Wenn Sie mehr Leistung oder längere Laufzeiten benötigen, können Sie außerdem einen Hybrid Runbook Worker verwenden.

Hinweis: Bewahren Sie Geheimnisse immer in Azure Key Vault auf. So bleiben Ihre Anmeldedaten sicher und Ihre Pipeline geschützt.

Die automatisierte Überprüfung der SharePoint Online-Berechtigungen mit Azure Automation und Key Vault bietet Ihnen einen sicheren Prozess, der ohne manuelles Eingreifen auskommt. Sie erhalten regelmäßige Berichte und können den Ergebnissen vertrauen.

Berechtigungsdaten erfassen und normalisieren

Erkennung von Websites und Ressourcen mit PnP PowerShell

Bevor Sie Berechtigungen prüfen, müssen Sie jede SharePoint Online-Website und jede Ressource finden. Dafür stellt PnP PowerShell Werkzeuge bereit. Mit Subdomain-Enumeration können Sie alle SharePoint-Websites Ihres Unternehmens auflisten. Mit Google-Suchtricks finden Sie öffentliche Dokumente. Manche Administratoren verwenden die Graph API, um nach anonymen Freigabelinks zu suchen. Sie können SharePoint-Metadaten auswerten, um zu erfahren, wie Websites aufgebaut sind. Viele Teams schreiben eigene PowerShell-Skripte, um diesen Prozess zu automatisieren.

• Die Subdomain-Enumeration hilft Ihnen, Websites zu finden, die schwer zu erkennen sind.

• Google-Suchtricks helfen Ihnen, Dokumente zu finden, die jeder einsehen kann.

• Die Prüfung auf anonyme Freigabelinks zeigt Ihnen Dateien, die für jeden offen sind.

• Die Auswertung der Metadaten zeigt, wie Websites organisiert sind.

• Eigene Skripte helfen Ihnen, diese Schritte schnell und immer wieder auszuführen.

Tipp: Automatisieren Sie Ihre Erkennungsschritte, damit Sie neue Websites und Ressourcen immer finden.

Effektive Berechtigungen über Microsoft Graph

Sobald Sie alle Websites gefunden haben, müssen Sie prüfen, wer auf jede einzelne zugreifen kann. Die Microsoft Graph API hilft Ihnen, die Berechtigungen für jede Ressource zu prüfen. Die API ermittelt die niedrigste Zugriffsstufe für jeden Benutzer und jede Gruppe. Ihre App sieht nur, was der angemeldete Benutzer sehen darf. Damit Ihre App alles sehen kann, benötigt sie die passenden Berechtigungen, etwa Sites.Read.All. Für einige Websites können Sie Sites.Selected verwenden. Dafür ist jedoch die Zustimmung Ihres SharePoint-Administrators erforderlich.

• Die API ermittelt die niedrigste Zugriffsstufe für jeden Benutzer.

• Ihre App sieht nur, was der Benutzer sehen kann.

• Verwenden Sie Sites.Read.All, wenn Sie alle Websites sehen möchten.

• Verwenden Sie Sites.Selected für bestimmte Websites.

Hinweis: Geben Sie Ihrer App immer nur die kleinsten Berechtigungen, die sie benötigt.

Drosselung, Paginierung und Datennormalisierung

Bei der Überprüfung von SharePoint Online fallen große Datenmengen an. Microsoft Graph liefert Daten in kleinen Teilen über Paginierung. Sie müssen dem nextLink folgen, um alle Daten zu erhalten. Wenn Sie zu viele Daten anfordern, drosselt Graph Ihre Anfragen. Warten Sie in diesem Fall und versuchen Sie es später erneut. Vereinfachen Sie Ihre Daten, indem Sie komplexe Berechtigungsdetails in eine Tabelle überführen. Das erleichtert Berichte und hilft Ihnen, Risiken schnell zu erkennen.

Callout: Strukturieren Sie Ihre Daten einfach, damit Sie Risiken schnell auswerten und finden können.

Automatisierung, Berichte und Warnmeldungen

Zeitplanung und Orchestrierung

Sie sollten Ihre Berechtigungsprüfung regelmäßig nach Zeitplan ausführen lassen. Azure Automation hilft Ihnen, Aufträge einzurichten, die täglich oder wöchentlich laufen. Sie erstellen ein PowerShell-Runbook, das sich mit SharePoint Online verbindet und Berechtigungsdaten erfasst. Mit dem integrierten Zeitplaner wählen Sie den besten Zeitpunkt für Ihren Auftrag. Außerhalb der Stoßzeiten funktioniert gut, weil dann die Last auf Ihrem Mandanten sinkt. Sie überwachen jeden Lauf über den Auftragsverlauf und die Protokolle. Schlägt ein Auftrag fehl, prüfen Sie die Fehlermeldungen und beheben das Problem. Für längere Aufträge oder mehr Ressourcen können Sie außerdem Hybrid Runbook Worker verwenden.

Tipp: Richten Sie Warnmeldungen für fehlgeschlagene Aufträge ein, damit Sie sofort wissen, wenn etwas schiefläuft.

Differenzbasierte Warnmeldungen und Frühwarnungen

Sie müssen wissen, wann sich Berechtigungen auf riskante Weise ändern. Die automatisierte Überprüfung von SharePoint Online ermöglicht es Ihnen, den heutigen Bericht mit dem von gestern zu vergleichen. Sie achten auf neue Gastbenutzer, Rollenänderungen oder neue Freigabelinks. Finden Sie eine größere Änderung, senden Sie eine Warnmeldung. Sie können dafür E-Mail, Teams oder Ticketsysteme wie Jira nutzen. Frühwarnungen helfen Ihnen, Probleme zu stoppen, bevor sie größer werden. Sie legen Regeln fest, welche Änderungen als riskant gelten. Beispielsweise möchten Sie vielleicht wissen, wenn jemand Besitzerzugriff erhält oder ein neuer externer Benutzer auftaucht.

• Berichte vergleichen, um Änderungen zu finden

• Warnmeldungen für riskante Aktualisierungen senden

• Teams, E-Mail oder Tickets für Benachrichtigungen verwenden

Power BI und Sicherheitsberichte

Sie möchten Ihre Prüfergebnisse übersichtlich sehen. Power BI hilft Ihnen, aus Ihren CSV- oder JSON-Dateien Dashboards zu erstellen. Sie erstellen Diagramme, die Gastbenutzer, Konten mit hohen Berechtigungen und Websites mit den meisten Änderungen zeigen. Diese Berichte nutzen Sie in Ihren Quartalsreviews. Dashboards können Sie mit Ihrem Sicherheitsteam teilen. Automatisierte Prüfungen von SharePoint Online liefern Ihnen für jeden Bericht aktuelle Daten. Sie verfolgen Trends und erkennen Probleme frühzeitig.

Hinweis: Nutzen Sie Power BI, um Rohdaten in Erkenntnisse zu verwandeln, auf deren Basis Ihr Team handeln kann.

Leitplanken, Einführung und bewährte Methoden

Sicherheits- und Compliance-Aspekte

Wenn Sie automatisierte Berechtigungsprüfungen einsetzen, müssen Sie SharePoint Online weiterhin schützen. Halten Sie sich stets an das Prinzip der minimalen Berechtigungen. Weisen Sie Ihrer App nur die Rollen zu, die sie tatsächlich benötigt. Verwenden Sie Sicherheitsgruppen statt einzelner Konten. Das erleichtert die Prüfungen. Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) und richten Sie bedingten Zugriff ein. Diese Schritte verhindern, dass Unbefugte veröffentlichen. Außerdem schützen sie Ihre Daten. Dokumentieren Sie jede vergebene Rolle. Führen Sie ein Berechtigungsregister, damit Sie wissen, wer Zugriff hat. Prüfen Sie Berechtigungen alle drei Monate. Zugriffsrechte können sich im Laufe der Zeit ändern, daher halten regelmäßige Prüfungen alles sicher.

Tipp: Verwenden Sie Sicherheitsgruppen und dokumentieren Sie jede Änderung. So behalten Sie den Überblick, wer Zugriff hat, und können Compliance-Vorgaben nachweisen.

Tipps zu Leistung und Drosselung

Ihre Pipeline soll zuverlässig laufen. Microsoft Graph und SharePoint Online können langsamer werden, wenn Sie zu viele Anfragen auf einmal stellen. Halten Sie sich an die Drosselungsregeln. Erhalten Sie die Meldung "429 Too Many Requests", warten Sie länger, bevor Sie es erneut versuchen. Teilen Sie Ihre Aufträge in kleinere Gruppen auf. Verarbeiten Sie Websites in Stapeln statt alle gleichzeitig. Führen Sie Prüfungen aus, wenn weniger Personen arbeiten. Das belastet Ihr System weniger. Überwachen Sie den Auftragsverlauf und wiederholen Sie fehlgeschlagene Vorgänge. Schützen Sie vertrauliche Daten, indem Sie die Ergebnisse an sicheren Orten speichern.

Hinweis: Bewahren Sie Geheimnisse immer in Azure Key Vault auf. Legen Sie Kennwörter niemals in Ihren Skripten ab.

30-60-90-Tage-Einführungsplan

Sie können Ihr automatisiertes Berechtigungs-Audit in drei Schritten einrichten. Starten Sie zuerst mit einer Pilotphase. Wählen Sie einige Websites aus und führen Sie Ihre Pipeline aus. Prüfen Sie, ob die Ergebnisse mit Ihrer manuellen Prüfung übereinstimmen. Fügen Sie danach weitere Websites hinzu. Aktivieren Sie differenzbasierte Warnmeldungen, um riskante Änderungen zu erkennen. Machen Sie das Audit abschließend zu einem festen Bestandteil Ihrer regulären Sicherheitsprüfungen. Erstellen Sie Power BI-Dashboards. Dokumentieren Sie Ihre Schritte. Teilen Sie Ihre Erkenntnisse mit Ihrem Team.

Beispielhafter Einführungsplan:

1. Tage 1–7: Testen Sie eine Pilotphase mit einigen Websites. Stellen Sie sicher, dass die Ergebnisse stimmen.

2. Tage 8–30: Fügen Sie alle Websites in Gruppen hinzu. Aktivieren Sie Warnmeldungen.

3. Tage 31–90: Machen Sie das Audit zum festen Bestandteil Ihrer Routine. Erstellen Sie Berichte. Nehmen Sie es in Ihre Überprüfungen auf.

Hinweis: Fangen Sie klein an, lernen Sie schnell und bauen Sie Ihren Prozess schrittweise aus. So erkennen Sie Probleme frühzeitig, und Ihr Team gewinnt Vertrauen in die Automatisierung.

Mit einer automatisierten Pipeline für das Berechtigungs-Audit in SharePoint Online sehen Sie, wer Zugriff hat. So erkennen Sie Risiken, sparen Zeit und halten Regeln ein. Registrieren Sie zuerst eine App in Entra ID. Führen Sie danach ein kleines Skript für einige Websites aus.

Regelmäßige, automatisierte Audits helfen Ihnen, Berechtigungsänderungen schnell zu erkennen und Ihre Daten zu schützen. Starten Sie jetzt, um SharePoint sicherer und zuverlässiger zu machen.

Häufige Fragen

Wie oft sollten Sie Berechtigungs-Audits durchführen?

Für Websites mit hohem Risiko sollten Sie Audits täglich durchführen. Wöchentliche Audits eignen sich für die meisten Websites. Regelmäßige Kontrollen helfen Ihnen, Änderungen zu erkennen und Ihre Daten zu schützen.

Welche Berechtigungen benötigt Ihre App für das Auditing in SharePoint Online?

Ihre App benötigt Sites.Read.All und Group.Read.All. Diese Berechtigungen ermöglichen es Ihnen, den Zugriff auf Websites und Gruppen einzusehen. Verwenden Sie immer die minimal erforderlichen Berechtigungen.

Können Sie Power BI verwenden, um Audit-Ergebnisse zu visualisieren?

Ja, Sie können Power BI verwenden. Importieren Sie Ihre CSV- oder JSON-Dateien. Erstellen Sie Dashboards, die Gastbenutzer, Konten mit hohen Berechtigungen und Änderungen im Zeitverlauf anzeigen.

Was passiert, wenn Microsoft Graph Ihre Anfragen drosselt?

Wenn Ihre Anfragen gedrosselt werden, warten Sie und versuchen Sie es später erneut. Verwenden Sie exponentielles Backoff. Teilen Sie Ihre Aufträge in kleinere Batches auf, um Limits zu vermeiden.

Wie bewahren Sie Geheimnisse in Ihrer Automatisierungspipeline sicher auf?

Speichern Sie Zertifikate und Kennwörter in Azure Key Vault. Legen Sie Geheimnisse niemals in Skripten ab. So bleiben Ihre Anmeldeinformationen geschützt und Ihre Daten sicher.

Außerdem empfehlenswert

Wenn Sie sich mit SharePoint-Berechtigungsaudits beschäftigen, bieten diese Episoden praktische Einblicke in Implementierung, Architektur, Sicherheit und Governance:

• Microsoft Teams Governance – The Illusion of Control — Erfahren Sie, wie Verantwortlichkeiten, Richtlinien und Lebenszyklusentscheidungen einen zuverlässigen Betrieb von Microsoft 365 prägen.
• Microsoft AI Agent Harness – Simply Explained — Verstehen Sie Orchestrierung, Leitplanken, Evaluierung und Observability für KI-gestützte Workflows.
• Azure AI Foundry – Simply Explained — Erfahren Sie, wie Unternehmens-KI-Lösungen entwickelt, evaluiert, bereitgestellt und verwaltet werden.
• Microsoft Defender XDR – Simply Explained — Verbinden Sie Implementierungsentscheidungen mit Sicherheitstransparenz, Untersuchung und Reaktion.