Gastzugriffs-Governance in Microsoft 365: Der vollständige Leitfaden

Von Mirko Peters · 2026-02-24 · Aktualisiert 2026-09-13

Gastzugriff in Microsoft 365 steuern – für Teams und SharePoint mit Onboarding, Zugriffsüberprüfungen, Bedingtem Zugriff, Lebenszyklusverwaltung und dem Offboarding von Gästen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Seien wir ehrlich: Die Balance zwischen externer Zusammenarbeit und lückenloser Sicherheit gehört in jeder größeren Organisation zu den größten Herausforderungen beim Einsatz von Microsoft 365. Mit dem Gastzugriff öffnen Sie Teams, SharePoint und den Rest des M365-Werkzeugkastens für Partner, Auftragnehmer und Kunden. Doch jede geöffnete Tür ist ein potenzielles Risiko. Deshalb ist die Governance des Gastzugriffs keine Checkliste, sondern eine fortlaufende Strategie.

Dieser Leitfaden behandelt alle wichtigen Grundlagen: von der Bedeutung des Gastzugriffs in Microsoft 365 über Sicherheitskontrollen und Lebenszyklusverwaltung bis hin zu fortgeschrittener Risikobewertung und Automatisierung. Wenn Sie für Sicherheit, Compliance oder den IT-Betrieb von Microsoft 365 verantwortlich sind, finden Sie hier praxisnahe Empfehlungen, mit denen Sie zusammenarbeiten und gleichzeitig dort die Türen fest verschlossen halten, wo es darauf ankommt. Kein Ballast, sondern klare Strategien, mit denen Sie Ihre Daten und Ihre Reputation schützen und dennoch produktiv bleiben.

1. Gäste können in Azure AD wie Benutzer angelegt werden: Gastkonten (userType=Guest) existieren in Azure AD und erscheinen in Benutzerlisten, Gruppenmitgliedschaften und Zugriffsüberprüfungen. Das wirkt sich auf die Lizenzierung und die Transparenz der Governance aus.
2. Für den Zugriff auf die meisten Ressourcen benötigen Gastkonten keine Microsoft-365-Lizenzen: Gäste können Teams-, SharePoint- und OneDrive-Ressourcen nutzen, ohne eine vollwertige Benutzerlizenz zu verbrauchen. Einige Funktionen können jedoch eingeschränkt sein.
3. Die B2B-Zusammenarbeit unterstützt externe Identitäten über Microsoft-Konten hinaus: Gäste können sich über Azure AD B2B und föderierte Identitätsanbieter mit vielen E-Mail-Identitäten anmelden, etwa geschäftlichen oder schulischen Konten sowie Gmail-Adressen.
4. Für Gäste lässt sich der bedingte Zugriff anwenden: Mit Richtlinien für bedingten Zugriff können Sie für Gastanmeldungen MFA, die Gerätekonformität und Standortbeschränkungen erzwingen. So erhöhen Sie die Sicherheit für externe Mitarbeitende.
5. Zugriffsüberprüfungen können inaktive Gäste automatisch entfernen: Azure AD Access Reviews können Gastbenutzer einschließen und sie nach konfigurierbaren Zeiträumen entfernen. So reduzieren Sie veralteten externen Zugriff.
6. Die Freigabeeinstellungen für Gäste werden auf mehreren Ebenen gesteuert: Die Azure-AD-Einstellungen auf Mandantenebene, die Freigaberichtlinien für SharePoint und OneDrive sowie die Gasteinstellungen für Teams wirken zusammen. Sind sie nicht aufeinander abgestimmt, können unerwartete Zugriffsergebnisse entstehen.
7. Der Gastzugriff kann durch Vertraulichkeitsbezeichnungen eingeschränkt werden: Vertraulichkeitsbezeichnungen von Microsoft Information Protection können die Freigabe verhindern oder den externen Zugriff begrenzen, selbst wenn der Gastzugriff für eine Website oder ein Team aktiviert ist.
8. Gäste sind über Microsoft Graph auffindbar: Gastbenutzer und ihre Aktivitäten lassen sich programmgesteuert abfragen und verwalten. So lassen sich Governance-Aufgaben wie Berichterstellung und Behebung automatisieren.
9. Gäste in Teams-Kanälen für Private Channels unterscheiden sich von Teams-Gästen: Die Mitgliedschaft in einem privaten Kanal ist restriktiver. Im Vergleich zur vollwertigen Teammitgliedschaft gab es hier früher ein anderes Gastverhalten und abweichende Verwaltungsanforderungen.
10. Eingeladene Gäste schaffen dauerhafte externe Zusammenarbeitsbeziehungen: Wenn Sie einen Gast einladen, legt Azure AD eine externe Zusammenarbeitsbeziehung an und speichert mitunter Metadaten des Heimatmandanten. Das bedeutet, dass die erneute Einladung derselben E-Mail-Adresse frühere Beziehungen und Berechtigungen wiederverwenden kann.

Gastzugriff in Microsoft-365-Umgebungen verstehen

Wenn Sie Microsoft 365 für externe Benutzer öffnen, wird die Plattform sofort vielseitiger, aber auch komplexer. Gastzugriff ist der offizielle Weg, externen Personen die Mitarbeit an Ihren Projekten, Dokumenten und Unterhaltungen zu ermöglichen. Ob Sie in Teams einen Remote-Call mit einem Lieferanten führen oder in SharePoint einen Ordner mit einem Berater teilen: Der Gastzugriff sorgt dafür, dass die unternehmensübergreifende Zusammenarbeit funktioniert.

Doch mit großer Flexibilität wachsen auch die Risiken. Fehlkonfigurationen, vergessene Konten und zu weitreichende Gastrechte können zu Sicherheitsvorfällen und Compliance-Problemen führen. Deshalb ist es für alle, die für die Governance von Microsoft 365 verantwortlich sind, unverzichtbar, die Kernmechanismen des Gastzugriffs zu verstehen und zu wissen, wo es schiefgehen kann.

Sie werden feststellen, dass Microsoft 365 Werkzeuge zum Nachverfolgen und Verwalten von Gastbenutzern bereitstellt. Es liegt jedoch an Ihnen, ein Framework zu entwickeln, das zur Risikobereitschaft Ihrer Organisation und zu Ihren Anforderungen an die Zusammenarbeit passt. Von den Berechtigungen bis zum Lebenszyklusmanagement brauchen Sie einen Ansatz, der alles im Griff behält. Wenn Sie sich über versteckte Risiken oder die Bedeutung eines strukturierten Offboardings unsicher sind, lohnt sich ein Blick auf diese Analyse der versteckten Gefahren verwaister Gastkonten, die deutlich macht, wie entscheidend die Governance externer Benutzer tatsächlich ist. Schauen wir uns als Nächstes die Grundlagen an und sehen, wie sich der Gastzugriff in Dienste wie Teams und SharePoint einfügt.

Grundlagen des Gastzugriffs und Berechtigungen im Überblick

Gastzugriff in Microsoft 365 bedeutet, Personen außerhalb Ihrer Organisation – etwa Partnern, Auftragnehmern, Lieferanten oder Kunden – die Zusammenarbeit innerhalb Ihrer digitalen Umgebung zu ermöglichen. Diese „Gäste“ können eingeladen werden, Dienste wie Teams, SharePoint und andere Microsoft-365-Workloads zu nutzen. Ihr Zugriff ist jedoch bewusst eingeschränkter als der von vollwertigen Mitarbeitenden oder Mitgliedern.

Das Prinzip ist einfach: Wenn Sie einen Gast einladen, erhält dieser ein Konto im Verzeichnis Ihrer Organisation. Im Unterschied zu Mitgliedern verfügen Gastkonten jedoch in der Regel über weniger Berechtigungen. Sie können an Teams teilnehmen, an Besprechungen teilnehmen, auf freigegebene Dateien zugreifen, chatten und mit Inhalten interagieren, die gezielt mit ihnen geteilt wurden. Sie können jedoch beispielsweise keine neuen Teams erstellen oder auf vertrauliche interne Ressourcen zugreifen, sofern Sie die Standardeinstellungen nicht gelockert haben.

Der Ablauf beginnt mit einer Einladung, die in der Regel von einem Administrator oder einem Benutzer mit delegierten Rechten versendet wird. Der eingeladene Gast meldet sich mit seinen eigenen Firmen- oder privaten Anmeldedaten an und unterliegt den Richtlinien Ihrer Organisation, von der Ablaufzeit des Zugriffs bis zur Multifaktor-Authentifizierung. Achten Sie darauf: Ohne eine solide Verwaltung des Lebenszyklus können sich Gastkonten ansammeln und ein unübersichtliches Risiko schaffen. Wie in dieser Analyse der Risiken von Gastkonten beschrieben, ziehen nicht mehr benötigte Konten aus abgeschlossenen Projekten sowohl Compliance-Probleme als auch reale Sicherheitsvorfälle an.

Gast- und Mitgliederrollen sind bewusst unterschiedlich angelegt. Mitglieder verfügen über umfassende Rechte, die durch interne Richtlinien geregelt sind. Gäste sind dagegen in der Regel auf die Teams, Websites oder Ressourcen beschränkt, die ihnen ausdrücklich zugewiesen wurden. Berechtigungen lassen sich je nach Konfiguration auf Mandanten-, Gruppen- oder Website-Ebene granular oder breit steuern. Die goldene Regel lautet: Beschränken Sie externe Benutzer immer auf das für ihre Rolle minimal notwendige Maß und setzen Sie regelmäßige Überprüfungen sowie zeitlich begrenzte Berechtigungen ein, um die Bedrohungsfläche zu verringern.

Wie sich der Gastzugriff in Teams und SharePoint einfügt

Microsoft Teams und SharePoint sind für die meisten Gastinteraktionen in Microsoft 365 die zentrale Anlaufstelle. Die Stärke liegt darin, wie diese Apps in die übergreifenden Mechanismen für den Gastzugriff der Plattform eingebunden sind. Wenn Sie einen Gast zu einem Team hinzufügen, kann dieser in Kanälen posten, an Besprechungen teilnehmen, Dateien freigeben und chatten. Er kann jedoch keine organisationsweiten Einstellungen ändern oder neue übergeordnete Teams erstellen. So bleibt Ihre zentrale Governance-Struktur intakt, während die Zusammenarbeit weiterhin reibungslos läuft.

In SharePoint bedeutet Gastzugriff, dass ein externer Benutzer auf Websites, Bibliotheken oder bestimmte Dateien und Ordner zugreifen kann, sofern Sie diese freigegeben haben – und das sogar parallel zu Ihren Mitarbeitenden. Dabei gilt jedoch eine wichtige Einschränkung: Die Flexibilität von SharePoint ist Stärke und Risiko zugleich. Wenn Sie nicht sorgfältig arbeiten, können Schaltflächen zum Freigeben zu ungewollter Ausbreitung, schwachen Berechtigungen oder externem Zugriff auf Daten führen, die besser abgeschottet bleiben sollten. Genau deshalb geraten viele Organisationen in endlose Governance-Zyklen, ohne jemals wirklich die Kontrolle zu haben. Diese Dynamik wird in dieser Episode über die Illusion der Kontrolle in der Teams-Governance näher beleuchtet.

Das eigentliche Problem: Sobald Sie Teams und SharePoint miteinander verbinden (Teams speichert Dateien im Hintergrund in SharePoint), übernehmen Sie die Governance-Eigenheiten beider Plattformen. Teams-Gäste erhalten automatisch Zugriff auf die zugrunde liegenden SharePoint-Dokumente. Wenn Sie für Ihre Gastbenutzer Apps auf Basis von SharePoint-Listen entwickeln, sollten Sie vorsichtig sein. Wie hier beschrieben, können SharePoint-Listen zu einem Governance-Albtraum werden, wenn Sie sie für komplexe, sensible oder langfristige Lösungen einsetzen. Administratoren haben Möglichkeiten, Gastberechtigungen einzuschränken. Entscheidend sind jedoch Ihre Richtliniendurchsetzung und regelmäßige Überprüfungen.

Governance für den Zugriff externer Benutzer: Ansätze für Zugriffssteuerung und Compliance

Governance-Herausforderungen beginnen nicht erst beim Einladen von Gästen. Sobald Sie externe Personen zur Zusammenarbeit in Microsoft 365 einladen, sind Sie für regelmäßige Überprüfungen, laufendes Monitoring und die Einhaltung der regulatorischen Vorgaben Ihrer Branche verantwortlich. Deshalb ist eine klare Governance-Strategie für den Zugriff die zweite Hälfte der Gleichung.

Die zentralen Herausforderungen sind: Der Gastzugriff muss stets dem tatsächlichen Geschäftsbedarf entsprechen, eine schleichende Ausweitung von Berechtigungen (Privilege Creep) muss verhindert werden, und alte Gastkonten dürfen sich nicht ansammeln. Solche Konten werden schnell zu Auditproblemen oder Sicherheitslücken. Organisationen müssen Arbeitsabläufe wie Onboarding, Überprüfungen und Entfernungen eng mit den Compliance-Aktivitäten verknüpfen.

Die Verwaltung von Berechtigungen externer Benutzer und regelmäßige Zugriffsüberprüfungen sind heute Best Practices und keine Option mehr. Regulierungsbehörden und Geschäftsleitungen beobachten das genau. Sie müssen jederzeit nachweisen können, wer worauf Zugriff hat, warum dieser Zugriff gewährt wurde und wann er ablaufen soll. Richtlinienabweichungen, vergessene Berechtigungen oder verpasste Offboarding-Ereignisse führen schnell zu Compliance-Problemen. Das gilt besonders, wenn Verhaltensweisen bei der Inhaltserstellung oder die automatische Speicherung den tatsächlichen Zustand Ihrer Daten verschleiern. Einen Einblick in verborgene Compliance-Risiken in Microsoft 365 bietet diese Podcast-Folge zum Compliance Drift. Sie zeigt, warum Sie für verlässliche Governance das Nutzerverhalten messen müssen und nicht nur die Ergebnisse der Richtlinien.

Die folgenden Abschnitte erläutern Prozesse für wiederkehrende Zugriffsüberprüfungen, ein robustes Lifecycle-Management und den Einsatz des Entitlement Managements als Rahmen. Damit lässt sich automatisiert steuern und kontrollieren, wer wofür, wie lange und unter welchen Bedingungen Zugriff erhält.

Prozesse für Zugriffsüberprüfungen und Lifecycle-Management aufbauen

1. Regelmäßige Zugriffsüberprüfungen planen: Legen Sie einen Rhythmus fest (monatlich, quartalsweise oder pro Projekt bzw. Veranstaltung), in dem Sie prüfen, welche Gäste Zugriff auf Ihre M365-Umgebung haben. Nutzen Sie die integrierten Funktionen für Zugriffsüberprüfungen in Entra ID, um Erinnerungen zu automatisieren und Rückmeldungen von Ressourcenbesitzern oder Systemadministratoren einzuholen.
2. Gäste mit Begründung und eingeschränktem Umfang einladen: Stellen Sie beim Onboarding sicher, dass jede Gasteinladung auf einem geschäftlichen Bedarf beruht und nur auf die Ressourcen beschränkt ist, die der Gast tatsächlich benötigt, nicht mehr und nicht weniger. Vermeiden Sie pauschale Zugriffsrechte oder unbegrenzte Berechtigungen, wo immer es geht.
3. Benachrichtigungen und Ablauf automatisieren: Konfigurieren Sie Ablaufrichtlinien für Gastkonten und richten Sie Benachrichtigungen sowohl für den Gast als auch für den Sponsor ein. Ist die Laufzeit abgelaufen, sperren oder entziehen Sie den Zugriff, sofern er nicht manuell verlängert wurde. So verringern Sie das Risiko vergessener, verwaister Konten.
4. Ergebnisse der Zugriffsüberprüfung auswerten und umsetzen: Analysieren Sie nach jeder Überprüfung die Ergebnisse und handeln Sie umgehend. Entfernen Sie Berechtigungen inaktiver oder doppelter Gäste bzw. passen Sie sie an, und stellen Sie sicher, dass der Zugriff dem aktuellen Stand Ihrer Geschäftsprozesse entspricht.
5. Alle Maßnahmen für die Auditbereitschaft dokumentieren: Nutzen Sie Microsoft Purview Audit oder gleichwertige Werkzeuge, um Zugriffsüberprüfungen, Genehmigungen, Entfernungen und Änderungen zu protokollieren. Wie in diesem Leitfaden zur Aktivitätsprüfung erläutert, stärken lückenlose Audit-Protokolle sowohl die Compliance als auch die Sicherheitslage, wenn Regulierungsbehörden Nachweise verlangen.

Entitlement Management für externe Benutzer aktivieren

Entitlement Management in Microsoft 365 ermöglicht es Ihnen, Ressourcen wie Teams, SharePoint-Websites oder Apps zu Zugriffspaketen zusammenzufassen und als Einheit zu verwalten. Für externe Benutzer vereinfacht das den Prozess erheblich: Gäste fordern ein Paket an oder erhalten es zugewiesen, Genehmigungen laufen automatisiert oder werden bei Bedarf weitergeleitet, und ihr Zugriff unterliegt festgelegten Richtlinien (etwa zur Laufzeit oder zu Überprüfungsauslösern). So behalten Sie genau im Blick, welche Daten und Werkzeuge jeder Gast nutzen kann, reduzieren manuelle Bereitstellung und das Risiko übermäßiger Berechtigungen und verbessern gleichzeitig die Nachvollziehbarkeit.

Microsoft Entra ID Governance und sichere B2B-Zusammenarbeit

Wenn Sie den Gastzugriff von „funktioniert einfach“ zu „sicher und skalierbar“ weiterentwickeln möchten, kommt Microsoft Entra ID zum Tragen. Dieser Cloud-Identitätsdienst bildet die Grundlage für die gesamte Authentifizierung von Benutzern und Gästen in Microsoft 365. Sie können Kontrollen, Genehmigungen und Risikomanagement zentral steuern. Entra bietet integrierte Governance-Funktionen, mit denen Sie festlegen, wer Zugriff erhält, behalten im Blick, was geschieht, und setzen unternehmensweite Regeln durch, ohne legitime Zusammenarbeit unnötig zu erschweren.

Starke Entra-ID-Richtlinien sind das Fundament für sichere B2B-Zusammenarbeit (Business-to-Business). Die Plattform stellt Werkzeuge bereit, mit denen Sie nicht nur nachverfolgen und prüfen, sondern auch Datenabflüsse begrenzen, Entitlement-Workflows automatisieren und Grenzen für einmalige wie wiederkehrende Gastszenarien setzen können. Müssen Sie schnell auf sich wandelnde Bedrohungen reagieren oder eine Identitätsdrift verhindern? Die Richtlinien und Integrationen von Entra erlauben Ihnen, sich anzupassen, ohne den Geschäftsbetrieb zu gefährden.

Natürlich ist Identität als Kontrollebene nicht unfehlbar. Wenn sich Ausnahmen anhäufen oder Richtlinienüberprüfungen liegen bleiben, kann sich „Identitätsschulden“ einschleichen und unvorhersehbare Risiken erzeugen. Praktische Hinweise zum Umgang mit Identitätsrisiken finden Sie in dieser Episode über Sicherheitsschleifen für Entra Conditional Access. Als Nächstes geht es darum, wie Entra Identity Governance direkt angeht, gefolgt von praxisnahen Taktiken für das B2B-Gastmanagement.

Funktionen für Identity Governance in Microsoft Entra

Microsoft Entra ID bietet leistungsstarke Funktionen für Identity Governance, und zwar sowohl für interne als auch für externe Konten. Sie steuern den Zugriff über Richtlinien, Genehmigungsworkflows und bedingte Logik, die sich an Ihre organisatorischen Regeln anpassen. Mit Entra können Sie risikobasierte Authentifizierung durchsetzen, Zugriffsüberprüfungen automatisieren und Genehmigungsketten für sensible Ressourcen einrichten. So stellen Sie sicher, dass nur die richtigen Benutzer, einschließlich Gäste, die richtigen Zugriffsrechte haben. Jede Anforderung und Änderung wird protokolliert, was in der Microsoft-Cloud Nachvollziehbarkeit und Compliance sicherstellt.

B2B-Zusammenarbeit und effektive Verwaltung externer Benutzer

Effektive B2B-Zusammenarbeit in Microsoft 365 beginnt mit einem kontrollierten Onboarding von Gästen. Sie können die Einladung an vertrauenswürdige interne Sponsoren delegieren oder sie anhand dokumentierter geschäftlicher Anforderungen automatisieren, wobei stets Sicherheitsprüfungen und Genehmigungen gewährleistet sein sollten. Sichere Einladungen nutzen in der Regel Entra B2B, sodass Gäste ihre eigenen Anmeldedaten verwenden können und dennoch unter Ihren Compliance-Rahmen fallen.

Die Verwaltung endet nicht mit dem Onboarding. Verwalten Sie den Gastzugriff systematisch, indem Sie Rollen einschränken, zeitlich begrenzte Berechtigungen festlegen und den aktuellen Zugriffsstatus regelmäßig überprüfen. Eine Überprovisionierung ist unbedingt zu vermeiden, denn zu viele Rechte können Ihre Umgebung für Missbrauch oder Sicherheitsverletzungen öffnen. Automatisierung hilft dabei, doch menschliche Aufsicht stellt sicher, dass die Verantwortung dort bleibt, wo sie hingehört.

Wenn ein Projekt abgeschlossen ist, sollte das Offboarding zügig erfolgen: Zugriff entziehen, aus Gruppen oder Websites entfernen und veraltete Berechtigungen bereinigen. Vergessene Konten können unentdeckt bleiben und zu Compliance-Lücken und Sicherheitsrisiken führen. Einen ausführlichen Leitfaden, wie Sie den Gastzugriff im Griff behalten, einschließlich des Umgangs mit ruhenden oder vergessenen Konten, finden Sie in diesen Strategien für die laufende Governance von Gastkonten.

Gastzugriff absichern mit Conditional Access und Richtliniendurchsetzung

Wenn externe Benutzer in Ihrer Microsoft 365-Umgebung unterwegs sind, ist eine konsequente Durchsetzung von Richtlinien Ihre erste und letzte Verteidigungslinie. Bedingter Zugriff und Multi-Faktor-Authentifizierung bilden das Rückgrat moderner Sicherheitskontrollen. Damit können Sie risikobasierte Richtlinien anwenden, ohne legitime Zusammenarbeit zu blockieren. Die mandantenübergreifenden Zugriffseinstellungen ergänzen diese Schicht und legen fest, welche Gäste hineinkommen und unter welchen Umständen.

Ihre Richtlinienentscheidungen bestimmen, ob ein Gast auf Daten von bestimmten Geräten oder aus bestimmten Regionen zugreifen darf, oder nur dann, wenn bestimmte Risikosignale nicht anschlagen. Es geht darum, das richtige Gleichgewicht zu finden: streng genug, um Bedrohungen abzuwehren, aber flexibel genug, damit das Unternehmen ohne ständige Reibungsverluste arbeiten kann.

Aber Vorsicht: Richtlinien müssen laufend aktualisiert werden. Zu weit gefasste Ausnahmen, ignorierte Warnmeldungen oder „Abkürzungen“ bei der Compliance können das gesamte Setup aushebeln und Ihren Mandanten Bedrohungen oder Datenlecks aussetzen. Eine praxisnahe Auseinandersetzung mit den Fallstricken und Lösungen beim bedingten Zugriff finden Sie in dieser Analyse zu Vertrauensproblemen beim bedingten Zugriff. Jetzt wird es praktisch: Schauen wir uns den bedingten Zugriff für Gäste und Strategien für die mandantenübergreifende Zugriffsverwaltung an.

Bedingten Zugriff und Multi-Faktor-Authentifizierung für Gäste implementieren

• Basisrichtlinien für bedingten Zugriff anwenden: Richten Sie Standardregeln ein, damit alle Gastbenutzer grundlegende Sicherheitsanforderungen erfüllen, etwa die Anmeldung von konformen Geräten oder aus genehmigten Netzwerken. Tappen Sie nicht in die Falle zu weit gefasster Ausnahmen. Sie sind eine Hauptursache für unsichtbare Sicherheitslücken, wie in dieser Analyse zu Vertrauensproblemen beim bedingten Zugriff ausführlich beschrieben.
• Multi-Faktor-Authentifizierung (MFA) erzwingen: Verlangen Sie MFA für alle Gastanmeldungen. Gäste sollten ihre Identität mit einem zweiten Faktor bestätigen müssen, wenn sie auf sensible Inhalte oder Tools zugreifen. Das verringert das Risiko, falls die primäre Anmeldung eines Gastes kompromittiert wird.
• Standort- und Gerätefilter verwenden: Legen Sie Regeln für bedingten Zugriff auf Basis des geografischen Standorts oder des Gerätestatus fest. Gäste, die aus riskanten Ländern oder mit nicht konformen Geräten zugreifen, können blockiert oder zu einer zusätzlichen Überprüfung gezwungen werden.
• Risikobasierte Auslöser nutzen: Die Risikoengine von Microsoft Entra erkennt verdächtige Anmeldemuster, etwa unbekannte Browser oder unmögliche Reisen, und kann zusätzliche Prüfungen erzwingen oder den Zugriff für das Gastkonto vollständig blockieren.
• Wirksamkeit der Richtlinien überwachen und anpassen: Überprüfen Sie regelmäßig Sicherheitsprotokolle, erfolgreiche und fehlgeschlagene Authentifizierungen sowie die tatsächlichen Aktivitäten von Gästen. So stellen Sie sicher, dass Ihr Setup für bedingten Zugriff Bedrohungen abwehrt, ohne legitimen externen Benutzern unnötige Probleme zu bereiten.

Mandantenübergreifende Zugriffsrichtlinien und Zugriffssteuerung verwalten

Mandantenübergreifende Zugriffsrichtlinien in Microsoft 365 ermöglichen es Ihnen, detaillierte Regeln für Gäste aus bestimmten Organisationen oder Domänen festzulegen. Mit diesen Kontrollen legen Sie fest, auf welche Ressourcen einzelne externe Benutzer zugreifen können, beschränken die Zusammenarbeit auf bestimmte Teams oder Projekte und blockieren unautorisierte Freigaben. Granulare Zugriffssteuerung hält sensible Daten vor unbeabsichtigten Blicken geschützt, ohne produktive B2B-Beziehungen zu gefährden. Diese Richtlinien unterstützen die Kernprinzipien von „Zero Trust by Design“, einem Denkansatz, den diese Folge zu Zero Trust in Microsoft 365 näher erläutert.

Überwachung und Prüfung des Gastzugriffs für Sicherheit und Compliance

Die Governance des Gastzugriffs endet nicht mit der initialen Einrichtung der Richtlinien. Die tägliche Sicherheit und die langfristige Compliance hängen davon ab, wie externe Benutzer mit Ihrer Microsoft 365-Umgebung interagieren. Proaktive Prüfungen und aufmerksame Überwachung helfen Ihnen, Probleme frühzeitig zu erkennen, bevor sie eskalieren, sei es riskantes Freigabeverhalten, verdächtige Aktivitätsmuster oder schlicht Gäste, deren Zugriff schon längst hätte entzogen werden sollen.

Gut konfigurierte Prüfprotokolle und identitätsbasierte Zugriffsüberprüfungen sind Ihre beste Absicherung, falls etwas schiefgeht. Sie müssen nicht nur wissen, wer worauf zugreift, sondern auch wann, von wo und idealerweise warum. Diese laufende Überwachung hilft Ihnen, ungewöhnliche Nutzung oder inaktive Konten zu erkennen, die Compliance- oder Insider-Risiken darstellen können.

Standard-Protokollierung und Standardwarnungen haben ihren Platz, stoßen aber bei differenzierten oder kontextabhängigen Ereignissen schnell an Grenzen. Um diese Lücken zu schließen, ist für größere, regulierte Umgebungen eine erweiterte Überwachung unverzichtbar, wie Sie sie etwa mit Microsoft Purview erreichen. Eine praxisnahe Anleitung zur Einrichtung einer wirksamen Aktivitätsüberwachung finden Sie in diesem umfassenden Leitfaden zur Nutzung von Microsoft Purview Audit. Als Nächstes zeigen wir, wie Sie den Zugriffsverlauf von Gastkonten nachverfolgen und auf inaktive oder risikoreiche Gastkonten reagieren.

Audit-Protokolle und Zugriffsüberprüfungen zur Nachverfolgung von Gastaktivitäten nutzen

Audit-Protokolle in Microsoft 365, unterstützt durch Plattformen wie Microsoft Purview, erfassen detailliert, wer wann auf welche Inhalte zugegriffen hat, einschließlich Gastkonten. Wenn Sie diese Protokolle aktivieren und Berichte regelmäßig exportieren, können Sie die Aktivitäten von Gästen in Teams, SharePoint und anderen Diensten nachvollziehen. Zugriffsüberprüfungen, ob automatisiert oder manuell, ergänzen die Audit-Protokolle, indem sie Ressourcenbesitzer auffordern, aktuelle Gastberechtigungen zu bestätigen oder zu widerrufen. Damit unterstützen sie sowohl Compliance-Anforderungen als auch forensische Untersuchungen. Eine schrittweise Anleitung zur Überwachung finden Sie in diesem Artikel zur Aktivitätsüberwachung mit Microsoft Purview.

Inaktive Benutzer und Risiken für Datenabfluss erkennen

Inaktive Gastkonten sind ein bevorzugtes Ziel für Missbrauch oder Datenlecks. Mit den integrierten Aktivitätsberichten von Microsoft 365 und Überwachungslösungen können Sie Konten kennzeichnen, die sich über einen definierten Zeitraum weder angemeldet noch mit Ressourcen interagiert haben. Zusätzlich helfen Bedrohungsüberwachungstools dabei, ungewöhnliche Muster bei Downloads oder Freigaben zu erkennen, die auf einen Versuch des Datenabflusses hindeuten könnten. Automatisierte Richtlinien können inaktive Konten dann deaktivieren oder entfernen, sodass externe Zugriffsrechte streng kontrolliert bleiben. Diese Schritte sind auch für die Absicherung von Plattformen wie Dataverse unverzichtbar, wie in diesem Leitfaden zur Verhinderung externer Datenlecks in Dataverse beschrieben.

Gast-Governance auf die nächste Stufe heben: Risikobewertung und Automatisierung

Wenn Sie dutzende oder sogar hunderte externe Mitarbeitende einbinden, reicht manuelle Governance nicht mehr aus. Fortgeschrittene Strategien wie Risikobewertung und Automatisierung helfen Ihnen, Richtlinien auch in weitläufigen Umgebungen mit mehreren Mandanten skalierbar durchzusetzen und menschliche Fehler zu reduzieren. Diese Ansätze gehen über statische Zugriffssteuerung hinaus: Ihre Umgebung reagiert dynamisch auf reale Risikofaktoren und geschäftliche Veränderungen.

Eine risikobasierte Gast-Governance beginnt mit der Analyse des Benutzerverhaltens und der Klassifizierung von Aktivitäten nach Sensibilität. Automatisierung, etwa mit Azure Logic Apps, übernimmt wiederkehrende Aufgaben wie das Starten von Zugriffsüberprüfungen, das Versenden von Warnungen und das Vereinfachen von Onboarding- und Offboarding-Prozessen. Zusammen sorgen diese Ansätze dafür, dass der Zugriff eng an den geschäftlichen Anforderungen und bewährten Sicherheitsmethoden ausgerichtet bleibt, ohne Teams auszubremsen oder Administratoren mit mühsamen Überprüfungen zu überlasten.

Viele Organisationen verlieren sich in Dashboards oder pauschalen Berichten, ohne ihre Governance wirklich weiterzuentwickeln. Um diese Falle zu vermeiden und eine belastbare, skalierbare Kontrolle über den Gastzugriff zu erreichen, sollten Sie Frameworks und Technologien in Betracht ziehen, die für dynamische, risikogesteuerte Umgebungen entwickelt wurden. Einen vorausschauenden Blick auf Governance im großen Maßstab, einschließlich der Risiken nicht verwalteter KI-Agenten und der Bedeutung stabiler Kontrollebenen, bietet diese Folge zu den Herausforderungen der KI-Agenten-Governance.

Risikobewertung und Verhaltensprofilierung für Gastzugriffe implementieren

• Aktivitätshäufigkeit analysieren: Erfassen Sie, wie oft sich ein Gastbenutzer anmeldet und mit geteilten Inhalten interagiert. Seltene oder plötzliche Spitzen können eine genauere Überprüfung auslösen.
• Datensensibilität bewerten: Ordnen Sie Gastberechtigungen der Klassifizierung der aufgerufenen Daten zu (z. B. öffentlich, intern, vertraulich), um das Least-Privilege-Prinzip durchzusetzen.
• Richtlinienverstöße überwachen: Nutzen Sie Verhaltensanalysen, um riskantes Gastverhalten zu erkennen und zu bewerten, etwa übermäßige Downloads, fehlgeschlagene Anmeldungen oder Versuche, Kontrollen zu umgehen.
• Risikoprofile dynamisch aktualisieren: Die Risikobewertung von Gastbenutzern sollte sich anpassen, wenn sich Aktivitäten oder Zugriffsbedarfe ändern. So können Sie bei Bedarf strengere Kontrollen anwenden oder gezielte Überprüfungen anstoßen.

Automatisierung von Zugriffsüberprüfungen und Governance mit Azure Logic Apps

1. Automatisierte Zugriffsüberprüfungen auslösen: Erstellen Sie Azure-Logic-Apps-Workflows, die Zugriffsüberprüfungen für Gastbenutzer planen und die Ressourcenbesitzer benachrichtigen. Auslöser können die Dauer der Zugehörigkeit, Inaktivität oder ein erhöhtes Risiko sein. Dynamische Auslöser sorgen dafür, dass Sie Zugriffe dann prüfen, wenn es darauf ankommt, und nicht nur nach dem Kalender.
2. Onboarding und Offboarding optimieren: Verbinden Sie Logic Apps mit Ihrer Identitätsplattform, um neue Gasteinladungen zu verarbeiten, Genehmigungen weiterzuleiten und Entfernungen zu automatisieren, sobald Zugriffspakete ablaufen oder Risikoschwellen überschritten werden.
3. Alarmierung und Incident Response integrieren: Richten Sie Workflows ein, die der IT-Sicherheit in Echtzeit Warnmeldungen senden, sobald verdächtige Aktivitäten von Gastbenutzern erkannt werden, etwa wiederholte fehlgeschlagene Anmeldungen oder Zugriffsversuche auf sensible Daten. So reagieren Sie schneller auf Bedrohungen.
4. Compliance-Berichte automatisieren: Verwenden Sie Logic Apps, um Nachweise für Prüfer zu sammeln und zusammenzustellen, beispielsweise Protokolle abgeschlossener Überprüfungen, abgelaufener Konten oder Änderungen an Zugriffspaketen. So können Sie die gebotene Sorgfalt und die Wirksamkeit Ihrer Governance belegen.
5. Über Mandanten und Workloads hinweg skalieren: Stellen Sie Automatisierungsvorlagen bereit, die mehrere Microsoft-365-Mandanten und Workloads abdecken. So sorgen Sie überall für eine einheitliche Governance, ohne Ihre Admin-Ressourcen zu überlasten. Wenn Sie Anregungen (oder einen realistischen Blick) zu Stolperfallen bei der Automatisierung suchen, lohnen sich die Governance-Diskussionen in den aktuellen Podcast-Folgen von M365 FM, die Herausforderungen der Unternehmensautomatisierung aufgreifen, auch wenn dafür noch keine eigenen Inhalte vorliegen.

Häufige Fragen zum Gastbenutzerzugriff: Führen Sie eine Zugriffsüberprüfung durch, um den Gastzugriff zu verwalten und Gastbenutzer abzusichern.

Was ist Governance für den Gastzugriff in Microsoft 365 und warum ist sie wichtig?

Governance für den Gastzugriff in Microsoft 365 umfasst die Richtlinien und Prozesse, mit denen der Zugriff von Gastbenutzern auf Teams, SharePoint-Websites, Microsoft-365-Gruppen und Anwendungen verwaltet wird. Sie ist wichtig, weil Gäste (userType „Guest“) häufig nur vorübergehend oder eingeschränkt Zugriff benötigen. Ohne Kontrollen wie regelmäßige Zugriffsüberprüfungen für Gäste und Prozesse zum Entfernen von Zugriffen riskieren Sie übermäßige Berechtigungen, Datenexposition und Compliance-Verstöße.

Wie führe ich eine Zugriffsüberprüfung für Gäste mit Microsoft Entra durch?

Sie führen eine Zugriffsüberprüfung mit den Zugriffsüberprüfungen von Microsoft Entra durch, entweder im Microsoft Entra Admin Center oder über die Integration im Microsoft 365 Admin Center. Erstellen Sie eine Zugriffsüberprüfung oder wiederkehrende Zugriffsüberprüfungen für Gäste, indem Sie die Gruppe oder Anwendung auswählen und Prüfer, Rhythmus und Entscheidungsoptionen festlegen. Die Prüfer erhalten eine E-Mail von Microsoft Entra ID oder sehen die Aufgabe im Zugriffsbereich und bestätigen, ob Gastbenutzer ihren Zugriff behalten sollen.

Wann sollte ich eine Zugriffsüberprüfung für Gruppen mit Gastbenutzern erstellen und durchführen?

Erstellen und führen Sie eine Zugriffsüberprüfung durch, sobald Gruppen mit Gastbenutzern auffallen, nach dem Ende größerer Projekte oder nach einem festen Zeitplan (monatlich oder quartalsweise), was als bewährte Methode gilt. Regelmäßige Zugriffsüberprüfungen von Gruppen stellen sicher, dass der Zugriff weiterhin benötigt wird, und verringern verwaiste oder unnötige Berechtigungen in Microsoft-365-Gruppen und Gruppen in Microsoft Entra ID.

Welche Prüfer sollten für Zugriffsüberprüfungen von Gastbenutzern festgelegt werden?

Legen Sie Prüfer fest, die die Ressource gut kennen: Gruppenbesitzer, Anwendungsbesitzer oder benannte Compliance-Administratoren. Außerdem können Sie den Gastbenutzer selbst als Prüfer festlegen oder automatisierte Überprüfungen mit Microsoft Entra Zugriffsüberprüfungen nutzen. Wählen Sie die Prüfer so aus, dass Verantwortung und Arbeitslast im Gleichgewicht bleiben und die Zugriffsverwaltung über Anwendungen hinweg mit Microsoft Entra unterstützt wird.

Wie helfen Zugriffsüberprüfungen dabei, Gastzugriffe sicher zu entfernen oder Gastkonten zu löschen?

Zugriffsüberprüfungen decken Gastzugriffe auf, die nicht mehr benötigt werden. Prüfer können den Zugriff während der Überprüfung entfernen oder als beizubehalten markieren. Wird ein Gast aus Microsoft-365-Gruppen oder einer Anwendung entfernt, wird der Zugriff widerrufen, ohne das zugrunde liegende Benutzerkonto im Mandanten der Organisation zu löschen. Mit den Governance-Lizenzfunktionen können Sie nach einer Überprüfung Aktionen automatisieren, etwa das Entfernen von Gästen oder das Widerrufen des Zugriffs auf Gruppen oder Anwendungen.

Benötige ich eine spezielle Lizenz für Microsoft Entra Zugriffsüberprüfungen und Governance?

Einige erweiterte Funktionen der Microsoft Entra ID Governance und der Microsoft Entra-Zugriffsüberprüfungen erfordern möglicherweise eine Lizenz für Microsoft Entra ID Governance oder bestimmte Microsoft 365-SKUs. Lesen Sie die Grundlagen zur Lizenzierung von Microsoft Entra ID Governance auf Microsoft Learn, um zu prüfen, ob Ihr Mandant zusätzliche Lizenzen für Funktionen wie automatisierte Behebung, erweiterte Berichterstellung und die Integration von Zugriffspaket-Zuweisungen benötigt.

Wie kann ich den Zugriff von Gastbenutzern über Microsoft 365-Gruppen und Anwendungen hinweg effektiv verwalten?

Kombinieren Sie mehrere Richtlinien: Beschränken Sie die Einladungsberechtigungen im Microsoft 365 Admin Center oder im Microsoft Entra Admin Center, nutzen Sie die Berechtigungsverwaltung mit Zugriffspaket-Zuweisungen für ein kontrolliertes Onboarding und planen Sie regelmäßige Zugriffsüberprüfungen, um den Zugriff auf Gruppen oder Anwendungen zu prüfen. Überwachen Sie außerdem den Benutzer- und Gastzugriff über Überwachungsprotokolle und verlangen Sie von den Prüfenden, den Zugriff der Gastbenutzer im Rahmen von Zugriffsüberprüfungen zu bestätigen.

Welche Schritte sollte ich befolgen, um Gastbenutzerkonten und deren Zugriff abzusichern?

Beginnen Sie damit, Ressourcen zu klassifizieren, die Gastzugriff erlauben, setzen Sie das Least-Privilege-Prinzip durch, aktivieren Sie bedingten Zugriff für Gastbenutzer und verlangen Sie MFA, wo es sinnvoll ist. Verwenden Sie Zugriffsüberprüfungen, um den Gastzugriff zu validieren, entfernen Sie Zugriffe, sobald sie nicht mehr benötigt werden, und dokumentieren Sie die Entscheidungen im Rahmen Ihrer Zugriffsüberprüfungen und Governance-Prozesse. Stellen Sie den Prüfenden Links zur Zugriffsüberprüfung in der Kommunikation und über „Mein Zugriff“ bereit, um deren Arbeitsabläufe zu vereinfachen.

Können Zugriffsüberprüfungen sowohl Microsoft 365-Gruppen mit Gastbenutzern als auch Anwendungszugriffe abdecken?

Ja. Microsoft Entra-Zugriffsüberprüfungen unterstützen die Überprüfung von Gruppen sowie den Zugriff auf Gruppen oder Anwendungen. Sie können Microsoft 365-Gruppen, Gruppen mit Gastbenutzern und Unternehmensanwendungen (Anwendungen mit Microsoft Entra-Zugriff) als Ziel festlegen, um Gastbenutzer als Mitglieder und Anwendungszuweisungen in einem einzigen Governance-Workflow zu überprüfen.

Wo finde ich weiterführende Informationen oder schrittweise Anleitungen zum Erstellen und Durchführen einer Zugriffsüberprüfung?

Microsoft Learn bietet Dokumentation und Tutorials zur Verwendung von Microsoft Entra ID und Microsoft Entra-Zugriffsüberprüfungen. Dazu gehören das Erstellen einer Zugriffsüberprüfung, die Konfiguration wiederkehrender Zugriffsüberprüfungen für Gäste und die Integration mit der Berechtigungsverwaltung. Für schrittweise Anleitungen sollten Sie die Informationen auf Microsoft Learn sowie die Hilfethemen im Microsoft 365 Admin Center bzw. im Microsoft Entra Admin Center heranziehen.