Microsoft Entra External ID: Externe Identitäten und Mandanten verwalten

Von Mirko Peters · 2026-04-02 · Aktualisiert 2026-09-13

Externe Identitäten mit Microsoft Entra verwalten: Onboarding von Partnern und Gästen, B2B-Zusammenarbeit, mandantenübergreifender Zugriff, Bedingter Zugriff und Zugriffsüberprüfungen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Microsoft Entra External ID hilft Organisationen, Identitäten von Kunden, Partnern und Gästen außerhalb des Mandanten für Mitarbeitende zu verwalten. Trennen Sie zunächst das geschäftliche Szenario, definieren Sie den Lebenszyklus der Identitäten und die Anmeldemethoden, weisen Sie verantwortliche Eigentümer zu und testen Sie Zugriffsrichtlinien mit repräsentativen Benutzern. Das Design externer Identitäten sollte von Beginn an Benutzererfahrung, Sicherheit, Governance und Betriebskosten gemeinsam berücksichtigen.

Microsoft Entra External Identities bringen die Außenwelt sicher in Ihr Microsoft-365-Ökosystem. Wenn Sie Partner, Lieferanten, externe Dienstleister oder auch nur einige Gäste haben, die Zugriff auf Teams oder SharePoint benötigen, sorgt genau das für einen reibungslosen und sicheren Ablauf. Entra macht es externen Benutzern einfach, so zusammenzuarbeiten, als gehörten sie zu Ihrem Team, ohne dabei jemals den Fuchs in den Hühnerstall zu lassen.

Für IT-Profis bedeutet das weniger nächtlichen Stress darüber, wer sich in Ihrem Mandanten aufhält oder welche Daten er sich ansieht. Microsoft Teams, SharePoint und der Rest der Microsoft-365-Familie werden so zu sichereren Orten, an denen alle gemeinsam effizient arbeiten können. Dieser Leitfaden zeigt Ihnen genau, wie Sie externe Identitäten implementieren, steuern und skalieren und dabei Sicherheits- und Compliance-Anforderungen im Blick behalten, denn niemand möchte morgen mit seinem Namen in den Schlagzeilen über einen Sicherheitsvorfall stehen. Mehr zum Wert starker Leitplanken für die Zusammenarbeit finden Sie hier: wie Teams-Governance aus Chaos souveräne Zusammenarbeit macht.

7 überraschende Fakten über Microsoft Entra External Identities

1. Enorme Skalierbarkeit für Anmeldungen von Verbrauchern und Partnern: Entra ID External Identities unterstützt Millionen externer Benutzer und kann dank integriertem Smart Throttling und globaler Infrastruktur große Anmeldezahlen von Verbrauchern verarbeiten. Dadurch eignet sich der Dienst für stark frequentierte, kundenorientierte Apps.
2. Preismodell nach aktiven Benutzern: Anstelle der klassischen Lizenzierung pro Konto bietet Entra ID External Identities eine verbrauchsbasierte Abrechnung für monatlich aktive externe Benutzer. Bei Apps mit vielen gelegentlich aktiven Benutzern können sich die Kosten dadurch deutlich senken.
3. Unterstützt Identitätsanbieter für soziale Konten und Unternehmen: Sie können externe Benutzer über Konten sozialer Netzwerke (Google, Facebook, Apple) oder über Unternehmensföderation (SAML, OpenID Connect, Azure AD) anmelden lassen. So entsteht ein flexibles Anmeldeerlebnis ganz ohne eigenen Authentifizierungscode.
4. Mandantenübergreifende Zusammenarbeit mit Einladung und direkter Föderation: Entra ID External Identities ermöglicht B2B-Zusammenarbeit über Einladungen, direkte Föderation oder Berechtigungsverwaltung. Das vereinfacht den Partnerzugriff und wahrt gleichzeitig Sicherheit und Governance.
5. Integrierter bedingter Zugriff und Identitätsschutz: Für externe Benutzer können dieselben Richtlinien für bedingten Zugriff, MFA und risikobasierten Schutz gelten wie für interne Benutzer. Das verkleinert die Angriffsfläche für Kunden- und Partneridentitäten.
6. Individuelles Branding und anpassbare Benutzerabläufe: Mit den Azure-AD-B2C-Funktionen innerhalb von Entra ID External Identities können Organisationen vollständig gebrandete Registrierungs- und Anmeldeerlebnisse gestalten und Benutzerabläufe für Verifizierung, Verknüpfung sozialer Konten und Profilerfassung anpassen.
7. Nahtlose Integration in das Microsoft-Ökosystem und in APIs: Entra ID External Identities lässt sich mit Microsoft Graph, Azure-AD-Apps, rollenbasierter Zugriffssteuerung und nachgelagerten Diensten integrieren. So lassen sich externe Identitäten zentral über Microsoft- und eigene Anwendungen hinweg verwalten.

Was sind externe Identitäten in Microsoft Entra

In der Welt von Microsoft Entra sind externe Identitäten genau das, was der Name verspricht: Konten von Personen außerhalb Ihrer Organisation. Anstatt Außenstehenden vollen Zugriff wie internen Mitarbeitenden zu geben (was niemand möchte), lässt Entra externe Benutzer unter kontrollierten Bedingungen zu. Dazu gehören Partner in einem gemeinsamen Projekt, Dienstleister für Ihre IT-Systeme, Freelancer etwa für Design oder Kunden, die auf ein gemeinsames Portal zugreifen.

Was macht eine Identität eigentlich „extern“? Im Kern handelt es sich um jede Person, die ihre eigenen Anmeldedaten verwendet, etwa das Firmenkonto, ein Microsoft-Konto oder sogar ein Google-Konto, um auf Ihre Apps, Teams-Bereiche oder freigegebenen Dokumente zuzugreifen. Interne Benutzer erhalten ihre Identitäten aus Ihrem eigenen Verzeichnis. Externe Mitarbeitende treten mit Zugangsdaten eines anderen Anbieters auf, ihr Zugriff unterliegt jedoch Ihren Sicherheitsrichtlinien.

Welche typischen Anwendungsfälle gibt es? Denken Sie etwa daran, dass ein Baupartner in Teams an einem Projekt zusammenarbeitet oder dass Sie vertrauliche Dokumente in SharePoint mit einer Behörde teilen. Anstatt für jede externe Person einen neuen Benutzernamen und ein neues Kennwort anzulegen, laden Sie sie als Gast ein, verwalten ihre Berechtigungen streng und halten eine klare Trennung zwischen internen und externen Personen aufrecht. Dieser Ansatz hilft Organisationen, im großen Maßstab zusammenzuarbeiten, den Verwaltungsaufwand zu senken und jederzeit im Blick zu behalten, wer wann und aus welchem Grund worauf zugreifen kann. Außerdem unterstützt er Compliance-Anforderungen, indem externe Zugriffe protokolliert und von Beginn an Sicherheitskontrollen durchgesetzt werden.

Da moderne Arbeit regelmäßige Zusammenarbeit über die eigenen Unternehmensgrenzen hinaus erfordert, ist ein durchdachtes Setup für externe Identitäten in Microsoft Entra inzwischen unverzichtbar.

Überblick über Microsoft Entra External ID und zentrale Funktionen

Microsoft Entra External ID ist die Antwort der Plattform auf sichere, skalierbare Zusammenarbeit mit Personen, die nicht zu Ihrer Kernorganisation gehören. Stellen Sie sich das wie einen Türsteher vor: Er lässt die richtigen Gäste ein, sorgt für Ordnung und stellt sicher, dass niemand in gesperrte Bereiche gelangt. Ob Sie Partner, Lieferanten oder Kunden in Microsoft Teams oder SharePoint einbinden, Entra External ID hilft Ihnen, sie mit den passenden Kontrollen willkommen zu heißen.

Zu den wichtigsten Funktionen gehören die einfache Verwaltung von B2B-Gastbenutzern (Business-to-Business), die Integration mit einer Vielzahl von Identitätsanbietern und flexible Authentifizierungsoptionen. Sie können Benutzer über ihr Geschäfts-, Schul- oder Social-Media-Konto einladen und genau festlegen, wie sie auf Ihre Ressourcen zugreifen. Externe Benutzer benötigen kein neues Konto, sondern können das verwenden, dem sie bereits vertrauen, während Sie die Grenzen mit starken Zugriffskontrollen und Richtlinien setzen.

Entra External ID geht über das bloße Öffnen der Tür hinaus und sorgt dafür, dass sie nach Ihren Vorgaben verschlossen bleibt. Über das Microsoft Entra Admin Center erhalten Sie eine zentrale Benutzerverwaltung mit erweiterten Kontrollen, um jeden externen Zugriff zu überwachen, zu prüfen und zu steuern. Die Plattform ermöglicht unterschiedliche Richtlinien für Gäste, legt fest, auf welche Teams- und SharePoint-Bereiche sie zugreifen dürfen, und sorgt über umfangreiche Protokollierung und Berichte für Compliance.

Für IT-Verantwortliche liegt der eigentliche Vorteil darin, dass Entra External ID alles unterstützt, von einfachen Gastzugriffen bis hin zu anspruchsvollen Szenarien: mandantenübergreifende Zusammenarbeit, individuell gestaltete Anmelderfahrungen, benutzerdefinierte Richtlinien und automatisierte Workflows. Das bedeutet weniger manuelle Benutzerverwaltung, sichereres Teilen und eine schlankere Governance, wenn Sie Projekte und Partnerschaften ausbauen.

Implementierungsleitfaden für Microsoft Entra External Identities

Die Implementierung von Microsoft Entra External Identities bedeutet, das richtige Gleichgewicht zwischen Zusammenarbeit und Kontrolle zu finden. Dieser Abschnitt zeigt Ihnen, wie Sie externen Zugriff durchdacht einführen, damit Ihre Organisation produktiv und sicher bleibt, während Sie externe Zusammenarbeitspartner einbinden. Sie erfahren, wie Microsoft es ermöglicht, Gäste und Partner mit den benötigten Werkzeugen zu verbinden, während Sie Zugriff, Authentifizierung und die Durchsetzung von Richtlinien selbst steuern.

Der Implementierungsweg führt Konzepte wie B2B-Zusammenarbeit, die Konfiguration des Zugriffs zwischen Mandanten und die Einrichtung verschiedener Identitätsanbieter ein. Jedes dieser Elemente spielt eine entscheidende Rolle dafür, wie Sie externe Benutzer aufnehmen und die Übersicht behalten. Außerdem erhalten Sie Hintergrundwissen, warum strategische Planung unverzichtbar ist: Wenn Sie Einladungen, Benutzerflows und mandantenübergreifende Regeln von Anfang an konfigurieren, vermeiden Sie Chaos, unkontrollierte Wildwuchs-Strukturen und schaffen die Grundlage für besser vorhersehbare Ergebnisse in Sicherheit und Governance.

Die folgenden detaillierten Schritte erläutern jeden wichtigen Teil dieses Prozesses: von der Einladung und Verwaltung externer Benutzer über die Feinabstimmung der unterstützten Identitätsanbieter bis hin zur Einrichtung von Vertrauensbeziehungen mit Partnerorganisationen. Im Mittelpunkt steht immer, die Zusammenarbeit für Benutzer einfach, für IT und Compliance-Verantwortliche aber sicher und nachvollziehbar zu gestalten. Um Entra External Identities optimal zu nutzen, sollten Sie die Grundbausteine verstehen, bevor Sie in den nächsten Abschnitten zu den praktischen Details übergehen.

B2B-Zusammenarbeit in Microsoft Entra einrichten

1. Gastbenutzer zu Ihrem Mandanten hinzufügen: Laden Sie externe Mitarbeitende zunächst direkt über das Microsoft Entra Admin Center oder über Ihre integrierten Workflows in Microsoft Teams bzw. SharePoint ein. Die Einladungen können Sie an deren geschäftliche, schulische oder private E-Mail-Adressen senden. Dieses Onboarding stellt sicher, dass jeder Gastbenutzer registriert und nachvollziehbar ist und mit Ihren Sicherheitsrichtlinien verknüpft wird.
2. Einladungseinstellungen konfigurieren: Legen Sie fest, wer in Ihrer Organisation Gäste einladen darf und welche Angaben für Einladungen erforderlich sind. Sie können Einladungen auf bestimmte Abteilungen beschränken oder Self-Service aktivieren, um die Zusammenarbeit in Projekten zu beschleunigen. Es lohnt sich, klare Regeln für Einladungen festzulegen, um eine versehentliche Überfreigabe zu verhindern.
3. Benutzerzugriff und Berechtigungen festlegen: Nach der Einladung weisen Sie Ihre Gastbenutzer den passenden Gruppen, Teams oder SharePoint-Websites zu. Nutzen Sie die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC), um sensible Ressourcen einzuschränken, und wenden Sie Freigabeeinstellungen an, die zur Unternehmensrichtlinie passen. Granulare Steuerungen helfen Ihnen, eine unkontrollierte Ausbreitung von Gastkonten und versehentliche Offenlegungen zu vermeiden.
4. Mit der Governance für Teams und SharePoint integrieren: Wenden Sie Zusammenarbeitsrichtlinien an, die Ihre Sicherheits- und Compliance-Ziele unterstützen. Wie in diesem Leitfaden zur Governance für Teams erläutert, vereinfachen einheitliche Berechtigungen, Namenskonventionen und Lebenszyklusrichtlinien die Verwaltung von Gästen und verringern das Risiko von Datenlecks oder Verwirrung.
5. Laufenden Zugriff überwachen und verwalten: Überprüfen Sie regelmäßig, wer Zugriff hat, entziehen Sie Benutzern, die keine Zusammenarbeitsrechte mehr benötigen, Berechtigungen oder reduzieren diese, und verlangen Sie für langfristige Gäste eine erneute Genehmigung. Wenn Sie den Gastzugriff im Blick behalten, vermeiden Sie verwaiste Konten und stellen sicher, dass Ihr digitaler Arbeitsbereich sicher bleibt, wie in Empfehlungen zur Governance für Teams und Best Practices für die Verwaltung externer Zusammenarbeit hervorgehoben.

Konfiguration der mandantenübergreifenden Zugriffseinstellungen für externe Identitäten

1. Vertrauensbeziehungen definieren: Legen Sie fest, welchen externen Microsoft Entra-Organisationen (Mandanten) Sie für die Zusammenarbeit vertrauen. Dazu gehört die Festlegung, welche Mandanten sich verbinden dürfen und welche Arten von Benutzern zugelassen sind: interne, Gast- oder beide. Wenn Sie diese Beziehungen frühzeitig richtig einrichten, schaffen Sie die Grundlage für eine sichere und reibungslose Zusammenarbeit.
2. Eingehenden und ausgehenden Zugriff konfigurieren: Eingehender Zugriff bedeutet, Benutzern aus externen Mandanten den Zugang zu Ihrer Umgebung zu erlauben. Ausgehende Steuerungen regeln, welche Benutzer Ihrer Organisation auf Ressourcen in anderen Mandanten zugreifen dürfen. Mit diesen Einstellungen legen Sie fest, wer ein- und ausgehen darf, und minimieren so das Risiko.
3. Freigegebene Ressourcen steuern: Legen Sie Richtlinien dafür fest, welche Daten und Dienste mandantenübergreifend freigegeben werden dürfen. Steuern Sie den Zugriff auf wertvolle Ressourcen wie vertrauliche Teams-Bereiche oder SharePoint-Dokumente, sodass nur ordnungsgemäß geprüfte externe Benutzer Zugang erhalten. So gelangen sensible Inhalte auch bei groß angelegten Kooperationen nicht in falsche Hände.
4. Mandantenübergreifende Synchronisierung und APIs nutzen: Für dauerhafte Beziehungen ermöglichen die mandantenübergreifende Synchronisierung und die Microsoft Graph-APIs, Identitätsverwaltung, Gruppenmitgliedschaften und Benutzeraktualisierungen zu automatisieren. Diese Werkzeuge erleichtern es, dynamische, mandantenübergreifende Projekte ohne ständige manuelle Eingriffe zu unterstützen.
5. Zugriff überwachen und Compliance durchsetzen: Prüfen Sie den mandantenübergreifenden Zugriff regelmäßig anhand der Protokolle und Berichte von Entra. Wenn Sie Auffälligkeiten oder unnötige Verbindungen entdecken, ziehen Sie die Richtlinien zügig nach. Diese Wachsamkeit stellt sicher, dass Ihr Kooperationsumfeld stabil und belastbar bleibt, besonders da Compliance-Audits immer häufiger werden.

Auswahl von Identitätsanbietern und Authentifizierungsoptionen

1. Azure AD-Mandanten verbinden: Die meisten externen B2B-Benutzer stammen aus dem Azure AD einer anderen Organisation. Sie können deren Heimatmandanten verknüpfen, sodass sich Benutzer mit ihren geschäftlichen Anmeldedaten anmelden können, während Sie Berechtigungen und Zugriffssteuerungen lokal festlegen. Das entfällt das ständige Wechseln von Passwörtern und trägt dazu bei, das Sicherheitsniveau beider Seiten zu wahren.
2. Microsoft-Konten aktivieren (MSA): Wenn Sie auch Personen einbinden möchten, die private Microsoft-Konten verwenden (etwa Outlook.com), öffnet die Entra-Unterstützung für MSA die Tür für eine große Bandbreite an Mitarbeitenden, die nicht in einem Unternehmensverzeichnis erfasst sind. Das ist ideal für Kunden- oder Bürgerszenarien.
3. Social- und Drittanbieter-IDPs hinzufügen: Um die breiteste Nutzerbasis zu erreichen, verbinden Sie Entra External ID mit gängigen Social-Identity-Providern wie Google, Facebook oder LinkedIn. Mit der Unterstützung für SAML oder OpenID Connect lassen sich sogar benutzerdefinierte oder ältere Identity Provider integrieren. Das ist entscheidend für externe Partner, die eine Nicht-Microsoft-Infrastruktur nutzen.
4. Authentifizierungsanforderungen festlegen: Für jeden IDP können Sie zusätzlich Multifaktor-Authentifizierung (MFA), Richtlinien zur Gerätekonformität oder Einmalkennwörter erzwingen. Eine starke Authentifizierung stärkt das Vertrauen und hält Ihre Türen verschlossen, selbst wenn das Kennwort eines externen Benutzers kompromittiert wurde.
5. Benutzererlebnisse anpassen: Passen Sie Registrierungs- und Anmeldeabläufe, das Branding und Zustimmungsabfragen an, damit externe Benutzer bereits beim ersten Klick das Erscheinungsbild Ihres Unternehmens sehen und die Sicherheitserwartungen verstehen. Eine reibungslose Authentifizierung verringert Reibungsverluste und reduziert Supportanfragen, während strenge Kontrollen Ihren Perimeter weiterhin dicht halten.

Erweiterte Konfiguration und Anpassung für Entra External Identities

Sobald Sie die Grundlagen beherrschen, wird es Zeit, kreativ zu werden. Erweiterte Konfigurationsoptionen in Microsoft Entra External Identities helfen Unternehmen, über die reine Gastaufnahme hinauszugehen und markenkonforme, sichere und automatisierte Benutzererlebnisse für externe Benutzer zu gestalten. Hier geben Sie der Zusammenarbeit mit externen Partnern den letzten Schliff, sodass sie sich wie ein natürlicher Teil Ihres Geschäfts anfühlt, ohne dass Sie die Kontrolle abgeben.

Denken Sie an Szenarien, in denen Sie eine gebrandete Anmeldeseite, benutzerdefinierte Richtlinien auf Basis von Risiko oder Standort oder spezielle Onboarding-Fragen für bestimmte Partnertypen wünschen. Vielleicht verlangt Ihr Compliance-Beauftragter strengere Kontrollen darüber, auf welche Dateien Gäste zugreifen können, oder Sie benötigen unterschiedliche Benutzerabläufe für Kunden und Lieferanten. Die Möglichkeiten sind nahezu unbegrenzt, sobald Sie sich mit benutzerdefinierten Richtlinien und der Verwaltung von Benutzerabläufen beschäftigen.

Und wenn Sie echte Effizienz und Skalierbarkeit anstreben, eröffnet die Microsoft Graph API eine Welt voller Automatisierung. Massenhafte Einladungen, dynamische Gruppenzuweisungen oder sogar die Anbindung von Zugriffsanfragen an Ihre internen Ticketsysteme – all das ist mit erweiterten Anpassungen erreichbar.

Im weiteren Verlauf erhalten Sie eine Schritt-für-Schritt-Anleitung, wie IT-Teams den Lebenszyklus externer Identitäten gestalten und die Governance auf höchstem Niveau halten können, selbst wenn sich die Geschäftsanforderungen weiterentwickeln oder komplexer werden.

Benutzerdefinierte Richtlinien und Benutzerabläufe für externe Benutzer verwalten

1. Benutzerdefinierte Registrierungs- und Anmeldeerlebnisse gestalten: Verwenden Sie Benutzerabläufe, um bei der Registrierung gezielt Informationen von externen Benutzern zu erfassen, Ihr Unternehmensbranding einzubinden und die ausdrückliche Zustimmung zu Ihren Nutzungsbedingungen zu verlangen. Diese Anpassung sorgt dafür, dass der erste Eindruck jedes Benutzers – ob Gast, Partner oder Kunde – Ihrer Marke und Ihren Compliance-Anforderungen entspricht.
2. Richtlinienbasierte Zugriffssteuerung implementieren: Erstellen und weisen Sie Richtlinien zu, die festlegen, wie externe Benutzer mit Ihren Ressourcen interagieren. Sie können beispielsweise MFA für risikoreiche Aktionen verlangen, den Zugriff auf vertrauliche Dateien nach Benutzertyp oder Projekt einschränken oder Domänen auf eine Zulassungsliste für die Zusammenarbeit setzen.
3. Attribute und Ansprüche definieren: Erfassen Sie beim Onboarding die Informationen, die Sie benötigen, etwa Firmenname, Abteilung oder Projektnummer, und bauen Sie darauf Richtlinien und Zugriffsregeln auf. So können Sie Zugriffsberechtigungen und Berichte fein abstimmen und bedingte Datenschutz- oder Compliance-Anforderungen unterstützen.
4. Veröffentlichung von Richtlinien testen und iterativ verbessern: Testen Sie Benutzerabläufe zunächst in Sandbox-Umgebungen, bevor Sie Aktualisierungen in der Produktivumgebung ausrollen. Überprüfen Sie die Richtlinienkonfigurationen während der Weiterentwicklung der externen Zusammenarbeit regelmäßig, um Sicherheitslücken zu schließen, komplexe Prozesse zu vereinfachen oder sich an geänderte regulatorische Anforderungen anzupassen.
5. Lebenszyklus steuern und Offboarding umsetzen: Legen Sie automatische Ablaufdaten für Gastzugriffe fest, begrenzen Sie die Sichtbarkeit von Ressourcen anhand des Benutzerstatus und nutzen Sie Richtlinien-Trigger, um Überprüfungen oder Entfernungen einzuleiten, sobald Projekte abgeschlossen sind. Dieses proaktive Management reduziert Risiken und hält Ihre Gastverwaltung im Einklang mit bewährten Verfahren in Compliance und Governance.

Verwendung der Microsoft Graph API zur Verwaltung externer Identitäten

1. Gasteinladungen und Onboarding automatisieren: Verwenden Sie die Microsoft Graph API, um den Prozess zu skripten: externe Benutzer einladen, die Genehmigung der Ressourcenbesitzer einholen und Gäste den passenden Gruppen oder Teams hinzufügen. Das reduziert manuellen Aufwand, beschleunigt die Zusammenarbeit und schafft einen wiederholbaren, fehlerresistenten Workflow.
2. Gruppen- und Ressourcenzuweisungen verwalten: Mit der Graph API können Sie externe Benutzer in großer Zahl zu SharePoint-Websites, Teams oder anderen Anwendungen hinzufügen oder von dort entfernen. Das ist besonders wirkungsvoll in dynamischen Projektumgebungen oder für Partner, die schnell und zeitlich begrenzt Zugriff auf verschiedene Ressourcen benötigen.
3. Aktivitäten überwachen und Governance durchsetzen: Erfassen Sie die Aktivitäten externer Benutzer automatisch – Anmeldungen, Zugriffsereignisse oder Änderungen – und lösen Sie auf Basis vordefinierter Regeln Benachrichtigungen oder Aktionen aus. Die Integration mit Power Platform oder Power BI, wie in diesem Leitfaden zur Eindämmung von Teams-Wildwuchs beschrieben, erleichtert Lebenszyklusautomatisierung und Auditing mehr denn je.
4. Ticketing- und Compliance-Tools einbinden: Verbinden Sie Einladungsworkflows, Genehmigungsketten und das Lebenszyklusmanagement mit externen ITSM- oder Compliance-Systemen. Mit der Graph API lässt sich Entra in Ihre übergreifende Automatisierungs- und Workflow-Strategie integrieren, sodass alle Werkzeuge an einem Strang ziehen.
5. Regelmäßige Überprüfungen erzwingen und Offboarding automatisieren: Richten Sie Skripte ein, die Besitzer regelmäßig an die Überprüfung des Gastzugriffs erinnern, inaktive Konten zur Deprovisionierung markieren sowie die sichere Entfernung und die Aufbewahrungsrichtlinien für Daten übernehmen. Mit API-gesteuerter Automatisierung senken Sie das Risiko und stellen sicher, dass externe Identitäten nicht länger als nötig aktiv bleiben.

Sicherheit und Zugriffsverwaltung für Microsoft Entra External Identities

Gäste, Partner und Lieferanten über die Tür zu Ihrer digitalen Umgebung einzuladen, kann die Produktivität steigern – aber nur, wenn die richtigen Leitplanken greifen. Den externen Zugriff in Microsoft Entra korrekt zu gestalten bedeutet, Sicherheitskontrollen zu schichten, damit Sie nie Komfort gegen Risiko eintauschen, egal ob Sie vertrauliche Inhalte in Teams teilen oder in SharePoint an Dokumenten zusammenarbeiten.

Dieser Teil des Leitfadens beleuchtet diese Sicherheitsebenen und zeigt, wie strategische Richtlinien – etwa bedingter Zugriff und Multifaktor-Authentifizierung – die Hürden für externe Benutzer erhöhen. Bedingter Zugriff ist der Punkt, an dem Sie sagen: „Gerne, Sie dürfen hinein, aber es gelten meine Hausregeln.“ Gerätekonformitätsrichtlinien stellen sicher, dass ein Gerät, das von außerhalb Ihres Netzwerks kommt, Ihre Anforderungen erfüllt, bevor es auf Ihre Daten zugreift.

Angesichts der stetig steigenden Zahl von Sicherheitsvorfällen im Zusammenhang mit Partner- und Auftragnehmerzugriffen können Sie sich keine Abstriche leisten. Die folgenden Abschnitte führen Sie durch die wichtigsten Werkzeuge und Konfigurationsschritte, um die Zusammenarbeit abzusichern, versehentliche Datenlecks zu verhindern und bei Compliance-Prüfungen gut dazustehen. Sie wünschen einen umfassenderen Blick auf die mehrschichtige Sicherheit von Teams? Dann hören Sie sich unbedingt den Podcast zur Absicherung von Teams an, der fünf Schutzebenen für die Zusammenarbeit mit Gästen und Partnern behandelt.

Bedingte Zugriffsrichtlinien für externe Benutzer konfigurieren

1. Mit Richtlinienvorlagen für externe Zusammenarbeit beginnen: Microsoft Entra bietet integrierte Vorlagen für bedingten Zugriff, die speziell für B2B- und Gastbenutzer entwickelt wurden. Mit diesen Vorlagen legen Sie schnell Anforderungen fest, etwa die Erzwingung von MFA, Bedingungen für das Anmelderisiko oder die Blockierung veralteter Authentifizierung für externe Personen.
2. Richtlinienumfang und Zuweisung festlegen: Wenden Sie Richtlinien für bedingten Zugriff auf die richtigen Benutzergruppen an, etwa „Gäste und externe Benutzer“, und begrenzen Sie deren Möglichkeiten je nach Sensibilität der Ressource oder Geschäftsszenario. Beispielsweise könnten Sie für den Zugriff externer Auftragnehmer auf Finanzdaten strengere Kontrollen verlangen als für den Zugriff auf allgemeine Projekt-Teams.
3. Granulare Zugriffsbedingungen definieren: Erstellen Sie Regeln auf Basis von Faktoren wie Risikobewertung der Anmeldung, Gerätekonformitätsstatus, Netzwerkstandort oder Sitzungssteuerung. So verschärfen Sie die Sicherheit für Hochrisikosituationen (z. B. Blockierung des Zugriffs von nicht verwalteten Geräten), ohne vertrauenswürdige Partner mit geringem Risiko zu benachteiligen.
4. Richtlinienwirkung testen und überwachen: Nutzen Sie die Funktion „Was wäre wenn“ und die Berichtstools in Entra, um die Auswirkungen vor dem Ausrollen an alle Benutzer zu prüfen. Überwachen Sie externe Zugriffsversuche laufend und passen Sie Richtlinien auf Basis der tatsächlichen Aktivitäten an. So verringern Sie Reibungsverluste und schließen neu auftretende Risiken schnell. Weitere Ideen finden Sie unter wie Copilot Zugriff mit minimalen Rechten und kontinuierliche Überwachung kombiniert.
5. Richtlinienverstöße zeitnah behandeln: Richten Sie automatisierte Warnmeldungen und Behebungsschritten ein, falls externe Benutzer Sicherheitsregeln auslösen. Beispiele sind das sofortige Widerrufen der Sitzung oder eine zusätzliche Identitätsprüfung. So schließen Sie den Kreislauf zwischen Durchsetzung von Richtlinien und schneller Reaktion auf Vorfälle und bewahren die Integrität Ihrer Umgebung.

Multifaktor-Authentifizierung und Gerätekonformität für externen Zugriff

Die Multifaktor-Authentifizierung (MFA) stellt eine wichtige Hürde für externe Benutzer dar, die auf Ihre Microsoft-Umgebung zugreifen möchten. Indem Sie eine zweite Form der Überprüfung verlangen, etwa einen Code, der an ein Telefon gesendet wird, erschweren Sie es gestohlenen Anmeldedaten erheblich, Schaden anzurichten. Prüfungen der Gerätekonformität bilden eine weitere Schutzebene: Nur vertrauenswürdige, richtlinienkonforme Geräte dürfen auf sensible Daten zugreifen. Für einen optimalen Schutz aktivieren Sie MFA standardmäßig für alle externen Identitäten und verlangen in Entra für Zugriffe mit höherem Risiko eine Prüfung des Gerätezustands. Zusammen reduzieren diese Maßnahmen Ihr Risiko durch Diebstahl von Anmeldedaten und Schadsoftware deutlich.

Preise und Abrechnung von Microsoft Entra External Identities im Überblick

Geld spricht eine deutliche Sprache: Wenn es um Microsoft Entra External Identities geht, kann das Verständnis des Kostenmodells Ihr IT-Budget vor unangenehmen Überraschungen bewahren. Entra berechnet die Preise anhand der Anzahl eindeutiger externer Benutzer, also Gäste, Partner oder B2B-Kontakte, die sich in einem Monat aktiv anmelden. Diese Kennzahl heißt Monthly Active Users (MAU) und ist so ausgelegt, dass sie mit Ihrer Zusammenarbeit wächst.

Für IT-Verantwortliche und Finanzplaner ist es entscheidend, dieses Abrechnungsmodell zu verstehen. Es beeinflusst nicht nur Ihre Budgetplanung, sondern auch die Gestaltung von Onboarding, Offboarding und regelmäßigen Zugriffsüberprüfungen. Je effizienter Sie externen Zugriff verwalten, desto besser planbar und möglicherweise niedriger fallen Ihre monatlichen Kosten aus. Nutzungsspitzen, saisonale Projekte und inaktive Konten wirken sich daher direkt auf das Ergebnis aus.

Sobald Organisationen Microsoft Teams, SharePoint und andere 365-Ressourcen für externe Beteiligte öffnen, lohnt es sich, Lizenzierung und Benutzerzahlen im Blick zu behalten. Die folgende detaillierte Übersicht behandelt Schwellenwerte für Benutzerstufen, kostenlosen gegenüber kostenpflichtigen Zugriff und Tipps, wie Sie Ihre Zusammenarbeit optimieren, ohne das Budget zu sprengen. Für einen ausführlicheren Blick auf die optimale Nutzung von Lizenzen empfehlen wir den Leitfaden zur Microsoft-Copilot-Lizenzierung. Die gleiche Logik gilt auch bei der Budgetplanung für Entra-Identitäten.

Preismodell für externe Identitäten und monatlich aktive Benutzer

1. Das Modell der monatlich aktiven Benutzer (MAU) verstehen: Microsoft Entra External Identities erfasst die Anzahl eindeutiger externer Benutzer, die sich innerhalb eines Kalendermonats in Ihrem Mandanten anmelden. Jeder Gast wird pro Monat einmal gezählt, unabhängig davon, wie oft er auf Ressourcen zugreift.
2. Das kostenlose Kontingent nutzen: Microsoft stellt eine feste Anzahl an MAU kostenlos bereit (in der Regel 50.000, prüfen Sie aber Ihre Abonnementdetails). Für kleine und mittlere Organisationen oder Pilotprojekte mit begrenztem externem Zusammenarbeitsbedarf reicht dies häufig aus.
3. Kostenpflichtige Benutzer anhand der Schwellenwerte im Blick behalten: Sobald die Anzahl Ihrer Gäste das kostenlose MAU-Kontingent überschreitet, verursacht jeder zusätzliche aktive Benutzer Kosten pro Benutzer. Lizenzschwellen und Preise können sich ändern. Prüfen Sie daher regelmäßig die aktuelle Microsoft-Dokumentation, um unliebsame Überraschungen beim Budget zu vermeiden.
4. Kosten schätzen und optimieren: Nutzen Sie die Berichtstools in Entra, um die Aktivität externer Benutzer zu überwachen, inaktive Konten zu erkennen und Zugriffe zu bereinigen. So bleiben Sie im kostenlosen Kontingent oder reduzieren die abgerechneten Benutzer. Automatisiertes Offboarding und regelmäßige Zugriffsüberprüfungen sind hierbei Ihre besten Verbündeten.
5. Sonderfälle berücksichtigen: Externe B2B-Gäste, die Premium-Funktionen oder erweiterte Sicherheitskontrollen (etwa Bedingten Zugriff oder Identity Protection) nutzen, benötigen unter Umständen zusätzliche Lizenzen. Planen Sie Kollaborationsprojekte entsprechend. Wie bei der Governance der Copilot-Lizenzierung gilt: Durchdachte Zuweisungen reduzieren unnötige Kosten und halten Sie gleichzeitig compliant.

Automatisierte Zugriffsüberprüfungen für die Governance externer Benutzer

Wenn Sie Ihre digitalen Türen für Externe offen halten, sie aber nicht dauerhaft offen stehen lassen möchten, sind automatisierte Zugriffsüberprüfungen Ihre Rettungsleine. Mit wachsender B2B- und Gastkollaboration wird es für monatliche Excel-Checklisten zu viel, herauszufinden, wer noch Zugriff benötigt, wer inaktiv geworden ist und wer durchs Raster gefallen ist. Automatisierung bringt Ordnung in dieses Durcheinander und spart Zeit und Nerven.

Zugriffsüberprüfungen in Microsoft Entra External ID helfen Ihnen, regelmäßige, richtlinienbasierte Prüfungen externer Konten zu planen. Sie können die Verantwortung für die Überprüfungen zuweisen (an Projektverantwortliche, IT-Administratoren oder Fachbereichsleitungen) und diese auffordern, den Bedarf jedes Gastes zu bestätigen. Das Ziel: veraltete oder verwaiste Konten erkennen, bevor sie zu einem Sicherheitsrisiko oder einem Compliance-Problem werden.

Die folgenden Abschnitte behandeln das Lebenszyklusmanagement, den Offboarding-Prozess und die Integration automatisierter Überprüfungen in Ihre gesamte Governance-Strategie. Mehr dazu, wie eine solide Governance Chaos in verlässliche Zusammenarbeit verwandelt, finden Sie in diesem Beitrag zu Teams-Governance und Kollaborationsrahmenwerken. Viele der gleichen Prinzipien gelten auch für externe Identitäten.

Lebenszyklusmanagement beim Offboarding externer Identitäten

1. Inaktive oder verwaiste Konten identifizieren: Planen Sie regelmäßige Audits oder automatisierte Scans, um externe Benutzer zu finden, die seit einem definierten Zeitraum nicht auf Ressourcen zugegriffen haben. Ruhende Konten können zu offenen Türen für Sicherheitsvorfälle werden, wenn sie nicht zeitnah entfernt werden.
2. Entfernungsprozesse automatisieren: Konfigurieren Sie in Entra Richtlinien, die den Gastzugriff nach festgelegten Zeiträumen automatisch ablaufen lassen (z. B. nach 60 Tagen Inaktivität) oder mit Abschluss des Projekts. Verwenden Sie Skripte oder die Graph API, um Benutzer, die die Kriterien für den weiteren Zugriff nicht mehr erfüllen, gesammelt zu entfernen.
3. Ressourcenverantwortliche benachrichtigen und bestätigen lassen: Informieren Sie beim Deprovisioning Projektverantwortliche oder Teamleiter, damit sie Entfernungen prüfen und anfechten können, die legitime Zusammenarbeit stören könnten. Eine zweite Prüfung hilft, das richtige Gleichgewicht zwischen Sicherheit und Produktivität zu finden.
4. Aufbewahrungs- und Compliance-Richtlinien definieren: Legen Sie fest, was nach dem Offboarding mit geteilten Inhalten, Chatverläufen oder Dateien externer Benutzer geschieht. Richten Sie Verfahren ein, um Eigentümerschaft zu übertragen, Daten zu archivieren oder zu löschen, damit regulatorische und Governance-Anforderungen erfüllt werden.
5. Offboarding-Prozesse für Audits dokumentieren: Führen Sie Nachweise über alle offboardeten Konten, durchgeführten Entfernungen und die Richtlinienkonfigurationen, die diese Aktionen ausgelöst haben. Diese Dokumentation ist bei Compliance-Prüfungen und bei der Beantwortung behördlicher Anfragen von unschätzbarem Wert.

Integration von Microsoft Entra External ID mit Anwendungen von Drittanbietern

Nehmen wir an, Ihre technische Welt besteht nicht nur aus Microsoft 365, sondern Sie setzen zusätzlich ein CRM, ein älteres internes Portal oder einige SaaS-Plattformen ein. Microsoft Entra External ID muss nicht an den eigenen Grenzen haltmachen. Sie können den sicheren, richtlinienbasierten Ansatz auf nahezu jedes externe System ausweiten und so die Identitätsverwaltung durchgängig vereinfachen.

Ob Cloud-Anwendungen, lokale Plattformen oder hybride Umgebungen: Entra kann als sichere Identitätsbrücke fungieren. Integrationen mit SAML, OAuth und OpenID Connect ermöglichen es, Identitäten und Authentifizierung an Salesforce, ServiceNow, ältere Java-Anwendungen oder praktisch alles mit standardbasierter Anmeldung zu föderieren.

Dieser Ansatz erleichtert es, Partnern, Kunden und Lieferanten eine einzige, einheitliche externe Identität für alle Anwendungen bereitzustellen, ohne ständige Passwortabfragen und manuelles Onboarding. Im nächsten Abschnitt zeige ich Ihnen, wie Sie sichere Föderationsmuster festlegen und Ihre APIs schützen, wenn Sie Ressourcen für externe Benutzer öffnen.

Föderationsmuster und Sicherheit externer APIs

• SAML/WS-Federation für die Integration älterer Anwendungen: Verbinden Sie Entra External ID mit älteren internen oder Partneranwendungen über SAML oder WS-Federation. So können sich externe Benutzer mit denselben Anmeldedaten anmelden, die sie auch für Teams oder SharePoint verwenden. Das vereinfacht das Onboarding externer Benutzer und reduziert die Zahl der Passwörter.
• OpenID Connect/OAuth für SaaS- und Webanwendungen: Erweitern Sie die Entra-Authentifizierung auf moderne Cloud-Anwendungen oder eigene Portale. Externe Benutzer erhalten Single Sign-on, und Ihre Sicherheits- und Compliance-Richtlinien greifen unabhängig von der Plattform.
• API-Sicherheit mit OAuth2 und Tokenverwaltung: Wenn Sie APIs für externe Partner bereitstellen, verwenden Sie OAuth2 mit Zugriffstoken, die von Entra ausgestellt werden. Erzwingen Sie Bereiche (Scopes), Ablaufzeiten und den Widerruf von Token. So bleiben Partnerintegrationen eng begrenzt und nachvollziehbar.
• Multi-Cloud- und Hybrid-Föderationsmuster: Nutzen Sie Entra als Vertrauensanker für Benutzer aus AWS, Google oder lokalen Verzeichnissen. Über die Föderation verwalten Sie Richtlinien, Berichte und Zugriffsüberprüfungen zentral an einer Stelle, auch wenn Ihre Anwendungen woanders laufen.
• API-Nutzung überwachen und drosseln: Implementieren Sie für öffentlich zugängliche APIs Ratenbegrenzung und Zugriffsprotokollierung. Das schützt vor Missbrauch, unterstützt die Compliance und liefert im Streitfall oder bei Untersuchungen einen klaren Prüfpfad.

Compliance und Datenschutz für externe Identitäten

Wenn Sie externe Identitäten in Ihre Microsoft 365-Umgebung aufnehmen, tragen Sie Verantwortung für weit mehr als die Freigabe von Dateien. Sie sind auch für die Einhaltung gesetzlicher Vorgaben und den Datenschutz verantwortlich. Ob DSGVO, CCPA oder eine branchenspezifische Regelung: Entra External ID bietet die Kontrollen und Berichte, mit denen Sie gegenüber Aufsichtsbehörden belegen können, dass Sie externen Zugriff verantwortungsvoll und datenschutzkonform steuern.

Dieser Abschnitt bereitet die Datenschutzeinstellungen, die Verwaltung von Einwilligungen und die Transparenz in jeder Benutzerbeziehung vor. Sie erfahren, wie Sie die Einwilligung externer Benutzer erfassen und verwalten, Datenschutzhinweise konfigurieren und Betroffenenrechte umsetzen, wenn Benutzer wissen oder kontrollieren möchten, welche Informationen über sie gespeichert sind. Da die Anforderungen an die Compliance weltweit steigen, sind diese Funktionen mehr als nur hilfreich. Sie sind unverzichtbar.

Eine saubere Compliance-Konfiguration verhindert, dass neue Gesetze Sie unvorbereitet treffen oder Anfragen betroffener Personen zu Problemen führen. Für Organisationen, die Microsoft Copilot oder andere KI-Werkzeuge nutzen, gibt es sinnvolle Überschneidungen bei Datenschutzkontrollen und Einwilligungsmechanismen, wie in diesem Beitrag zum Datenschutzrahmen von Copilot beschrieben. Als Nächstes zeigen wir, wie Sie Prüfprotokolle und aussagekräftige Berichte für den gesamten externen Benutzerzugriff einrichten.

Prüfprotokolle und Berichte für externen Zugriff

1. Detaillierte Zugriffsprotokollierung aktivieren: Aktivieren Sie die Protokollierung für alle Aktivitäten externer Benutzer, einschließlich Anmeldungen, Freigaben von Ressourcen und Änderungen von Berechtigungen. Vollständige Protokolle zeigen Ihnen genau, wer wann und von wo aus was getan hat.
2. Echtzeitüberwachung und Warnmeldungen konfigurieren: Richten Sie Warnmeldungen für ungewöhnliche oder riskante Zugriffe externer Benutzer ein. So können Sie schnell auf verdächtige Ereignisse reagieren, etwa auf fehlgeschlagene Anmeldeversuche oder Zugriffe von unbekannten Standorten.
3. Berichts-Dashboards bereitstellen: Nutzen Sie das Entra Admin Center oder integrierte Werkzeuge wie Power BI, um Berichte zur Aktivität externer Benutzer abzurufen. So sehen Sie für Audits oder Führungskräfte auf einen Blick, wie es um die Compliance steht.
4. Gesetzliche Anforderungen mit Datenexport erfüllen: Halten Sie exportbereite Protokolle und regelmäßige Berichte vor, um DSGVO-, CCPA- oder branchenspezifische Vorgaben zu unterstützen. Wenn eine Aufsichtsbehörde oder ein Kunde nachfragt, haben Sie Belege für Ihre Sicherheitswachsamkeit und Ihre operative Governance.

Microsoft Entra External Identities Checkliste

Funktionen von Microsoft Entra External: Microsoft Entra Mandant und Funktionen von External ID

Was sind Entra ID External Identities und wie hängen sie mit Azure AD External Identities zusammen?

Entra ID External Identities (früher Azure AD External Identities) ist eine Reihe von Funktionen in Microsoft Entra, mit denen Organisationen externen Benutzern und Organisationen sicheren Zugriff auf Ihre Ressourcen gewähren können. Sie unterstützen Customer Identity and Access Management, Funktionen für externe Identitäten und Szenarien mit externen Mandanten, sodass Unternehmen mit externen Geschäftspartnern, Lieferanten und Kunden zusammenarbeiten und dabei Identität und Zugriff für externe Benutzer absichern können.

Wie verwalte ich den Zugriff für externe Benutzer und externe Mandanten?

Verwalten Sie den Zugriff für externe Benutzer, indem Sie sie über die Azure AD B2B-Zusammenarbeit einladen, die Zusammenarbeit mit externen Richtlinien konfigurieren und Funktionen von Microsoft Entra nutzen, etwa den bedingten Zugriff für externe Benutzer, die Berechtigungsverwaltung und Zugriffspakete. Sie können externe Organisationen hinzufügen, die Einstellungen für die externe Zusammenarbeit in Ihrem Microsoft Entra-Mandanten konfigurieren und mit den Einstellungen für External ID steuern, welche Berechtigungen Gastkonten haben und wie lange sie bestehen.

Kann ich externen Benutzern erlauben, ihre Microsoft Entra-Konten oder andere Social-Identitäten zu verwenden?

Ja. Microsoft Entra External ID bündelt leistungsstarke Lösungen, mit denen sich externe Benutzer mit ihren Microsoft Entra-Konten, Social-Identitäten oder lokalen Konten anmelden können. Mit Microsoft Entra ID oder Azure AD B2C können Sie die Verwendung ihrer Microsoft Entra-Konten unterstützen, Customer Identity and Access Management aktivieren und externen Benutzern in großem Umfang flexible Authentifizierungsoptionen bereitstellen.

Wie sichere ich den externen Zugriff ab und nutze MFA-Vertrauen für Gastbenutzer?

Sichern Sie den externen Zugriff ab, indem Sie Richtlinien für bedingten Zugriff bei externer B2B-Zusammenarbeit erzwingen, MFA-Vertrauen (Multi-Faktor-Authentifizierung) für risikoreiche Vorgänge aktivieren und Richtlinien für die externe B2B-Zusammenarbeit anwenden. Sie können MFA für externe Benutzer verlangen, der MFA von Partnermandanten vertrauen und den bedingten Zugriff sowie den Identitätsschutz von Microsoft Entra nutzen, um Risiken zu reduzieren und gleichzeitig externe Zusammenarbeit zu ermöglichen.

Welche Funktionen von External ID unterstützen Governance und Lebenszyklusverwaltung?

Zu den Funktionen von External ID gehören Berechtigungsverwaltung, Zugriffspakete, automatisierter Lebenszyklus von Gastbenutzern, Zugriffsüberprüfungen und Richtlinien für die externe B2B-Zusammenarbeit. Diese Funktionen von Microsoft Entra External ID ermöglichen es Administratoren, zu steuern, wer Zugriff hat, das Ablaufdatum von Zugriffen zu verwalten und Überprüfungen zu automatisieren, damit der Zugriff für externe Benutzer und Organisationen sicher bleibt und compliant ist.

Worin unterscheiden sich Szenarien mit Workforce-Mandanten und externen Mandanten in Microsoft Entra?

Ein Workforce-Mandant hostet in der Regel Mitarbeiteridentitäten und erzwingt interne Richtlinien, während ein externer Mandant für externe Benutzer, Partner oder Kunden genutzt wird. Microsoft Entra External ID unterstützt Workforce- und externe Mandanten, indem es mandantenübergreifende Zusammenarbeit ermöglicht, Einstellungen für die externe Zusammenarbeit konfigurierbar macht und Richtlinien differenziert. So verwalten Sie den internen Zugriff von Mitarbeitenden getrennt von der Zusammenarbeit mit externen Partnern.

Kann ich mit externen Geschäftspartnern über mehrere Microsoft Entra-Organisationen hinweg zusammenarbeiten?

Ja. Microsoft Entra unterstützt die Zusammenarbeit mit externen Organisationen und die Arbeit mit externen Partnern über mehrere Mandanten hinweg. Funktionen wie Azure AD-externe Identitäten, mandantenübergreifende Zugriffseinstellungen und bedingter Zugriff für externe Benutzer erleichtern die Zusammenarbeit mit anderen Microsoft Entra-Organisationen und ermöglichen sicheren Zugriff auf Microsoft 365 und andere Ressourcen.

Wie geht Microsoft Entra mit der Skalierung für externe Benutzer und dem automatisierten Onboarding um?

Microsoft Entra External ID sorgt für Skalierbarkeit bei externen Benutzern, indem es Massen-Einladungen, Selbstregistrierung und die Integration mit Customer-Identity-and-Access-Management-Systemen unterstützt. Mit den Mandantenfunktionen von External ID können Sie das Onboarding automatisieren, Zugriffspakete für einheitliche Zugriffsrichtlinien nutzen und externe Benutzer in großem Umfang mit Prüf- und Berichtsfunktionen verwalten.

Was sind bewährte Methoden für die Konfiguration von externer Zusammenarbeit und Zugriffsrichtlinien?

Zu den bewährten Methoden gehören der bedingte Zugriff für externe Benutzer, die Aktivierung von MFA-Vertrauen, die Konfiguration der Einstellungen für die externe Zusammenarbeit, um die Rechte von Gastbenutzern einzuschränken, die Nutzung der Berechtigungsverwaltung von Microsoft Entra für den Zugriffslebenszyklus sowie die Überwachung externer Aktivitäten. Kombinieren Sie die Funktionen von External ID mit strikten Zugriffsrichtlinien für die externe B2B-Zusammenarbeit, um sicheren externen Zugriff zu gewährleisten und gleichzeitig die Zusammenarbeit mit externen Geschäftspartnern zu ermöglichen.

Was sind Entra ID External Identities und wie hängen sie mit Azure Active Directory zusammen?

Entra ID External Identities ist die Lösung von Microsoft für die Verwaltung externer Benutzer und Partner, die sicheren Zugriff auf Ihre Ressourcen benötigen. Die Lösung ist Teil von Microsoft Entra und baut auf dem bisherigen Modell Azure Active Directory auf. Sie ermöglicht B2B-Zusammenarbeit mit externen Identitäten, Social Identities wie Google oder Facebook sowie Verbundszenarien. Entra ID External Identities lässt sich in Funktionen von Azure Active Directory wie bedingten Zugriff und Governance integrieren, um sicheren Zugriff auf Ihr Unternehmen bereitzustellen.

Worin unterscheiden sich B2B-Zusammenarbeit mit externen Identitäten und einzelne externe Mitarbeitende?

Mit B2B-Zusammenarbeit mit externen Identitäten ist in der Regel gemeint, dass Benutzer aus anderen Microsoft Entra-Organisationen und mandantenübergreifend eingeladen werden, mit ihren eigenen Unternehmens- oder verwalteten Konten zusammenzuarbeiten. Einzelne externe Mitarbeitende melden sich häufig mit Consumer- oder Social Identities wie Google an. Beide Modelle ermöglichen die Zusammenarbeit mit externen Benutzern. Bei B2B bleibt der Gast jedoch in einem Microsoft Entra-Mandanten, der Ihre Mitarbeitenden enthält. Dabei behält er seine organisatorische Identität und Claims von anderen Microsoft- oder föderierten Identitätsanbietern.

Kann ich für den Gastzugriff Identitäten wie Google, Facebook oder andere Social Identities verwenden?

Ja. Entra ID External Identities unterstützt Social Identities wie Google und Facebook, sodass Benutzer sich mit diesen Identitäten anmelden können. Diese Social Identities werden über Microsoft Graph-APIs automatisiert unterstützt und lassen sich im Azure-Portal unter den Einstellungen für externe Zusammenarbeit konfigurieren. Die Social Anmeldung vereinfacht das Onboarding von Partnern und Auftragnehmern, die kein Azure AD-Konto im Unternehmen haben.

Wie ist die Preisgestaltung geregelt? Was ist das Abrechnungsmodell für Microsoft Entra External Identities?

Das Abrechnungsmodell für Microsoft Entra External Identities basiert in der Regel auf einem verbrauchsabhängigen Modell für externe Benutzer, mit verschiedenen Stufen je nach Funktionen und monatlich aktiven Benutzern. Microsoft veröffentlicht Details zum Abrechnungsmodell für die Nutzung von Microsoft Entra External Identities. Prüfen Sie die aktuellen Preise in Ihrem Abonnement und im Azure-Portal. In manchen Szenarien können sich Funktionen mit den Angeboten von Azure AD B2C überschneiden. Azure AD B2C steht weiterhin für kundenorientierte Identitätserlebnisse mit eigener Preisgestaltung zur Verfügung.

Welche Governance- und Compliance-Funktionen stehen zur Verfügung (Entra ID Governance und konforme Claims)?

Zu den Governance-Funktionen von Entra ID für externe Identitäten gehören Berechtigungsverwaltung, Zugriffsüberprüfungen und Lebenszyklusautomatisierung. So wird sichergestellt, dass konforme Claims und Microsoft Entra-Richtlinien durchgesetzt werden. Claims von anderen Microsoft-Mandanten und externen Identitätsanbietern können zugeordnet und transformiert werden, um Ihre Compliance-Richtlinien zu erfüllen. Entra ID Governance hilft dabei zu verwalten, wer Zugriff hat, auch ob und auf welche Microsoft-Ressourcen Gäste zugreifen dürfen. Gleichzeitig sorgt sie für sicheren Zugriff auf Ihr Unternehmen und erfüllt Anforderungen an Audits und gesetzliche Vorgaben.

Wie konfiguriere ich die Einstellungen für externe Zusammenarbeit und verwalte die Zusammenarbeit mit anderen Microsoft-Mandanten?

Die Einstellungen für externe Zusammenarbeit konfigurieren Sie im Azure-Portal. Dort legen Sie Einladungsrichtlinien, Standardberechtigungen für Benutzer und Einschränkungen für externe Benutzer fest. Um die Zusammenarbeit mit anderen Microsoft-Organisationen und mandantenübergreifend zu verwalten, nutzen Sie die Funktionen der Azure AD B2B-Zusammenarbeit. Damit akzeptieren Sie Benutzer aus einem Microsoft Entra-Mandanten, in dem sich Mitarbeitende von Partnern befinden, richten bedingten Zugriff ein und wenden Governance-Kontrollen an. Die Automatisierung über Microsoft Graph-APIs unterstützt Sie dabei, Einladungen, Bereitstellung und Lebenszyklusverwaltung zu automatisieren.

Werden hybrid beigetretene Geräte und bedingter Zugriff in Microsoft Entra für externe Benutzer unterstützt?

Richtlinien für bedingten Zugriff in Microsoft Entra lassen sich auf externe Benutzer anwenden, um den Zugriff anhand von Risiko, Gerätekonformität oder Netzwerkstandort zu steuern. Szenarien mit hybrid beigetretenen Geräten betreffen jedoch vor allem unternehmenseigene Geräte in Ihrem Mandanten. Einzelne externe Mitarbeitende registrieren ihre Geräte in der Regel nicht als hybrid beigetreten. Für Konten von Partnerorganisationen können Sie konforme oder hybrid beigetretene Geräte voraussetzen, wenn diese in einem Mandanten verwaltet werden, der die Geräte der externen Organisation enthält und Ihren Richtlinien vertraut.

Wie unterstützt die Automatisierung über Microsoft Graph-APIs die Verwaltung externer Identitäten?

Die Automatisierung über Microsoft Graph APIs ermöglicht die programmgesteuerte Verwaltung von Einladungen, dem Lebenszyklus von Gastbenutzern, Gruppenmitgliedschaften und Entitlement Management für Funktionen von External ID. Viele Identitätsfunktionen sind außerdem über die Graph API verfügbar. So lassen sich bestehende Identity-Governance- oder IAM-Tools integrieren und Workflows automatisieren, etwa Bereitstellung, Deprovisionierung, Zugriffsüberprüfungen und Berichterstellung für Benutzer in jedem Microsoft Entra-Mandanten.

Sollten Sie für kundenorientierte Apps Azure AD B2C oder Entra ID External Identities verwenden?

Azure AD B2C ist auf kundenorientierte Anwendungen zugeschnitten und bietet umfangreiche Anpassungsmöglichkeiten für Benutzerabläufe und Social-Identity-Provider. Entra ID External Identities und Azure AD B2B-Zusammenarbeit sind dagegen für die Zusammenarbeit mit externen Benutzern und Partnern der Belegschaft optimiert. Azure AD B2C bleibt für Szenarien verfügbar, die erweiterte Verbraucherababläufe erfordern. Prüfen Sie, ob Ihr Szenario die Zusammenarbeit mit externen Benutzern oder die Verwaltung von Kundenidentitäten umfasst. Auf dieser Grundlage wählen Sie den passenden External-ID-Mandanten und das Modell für Microsoft Entra-Bereitstellungen für externe Benutzer aus.

Welche bewährten Methoden gibt es, um die Zusammenarbeit mit externen Benutzern über mehrere Microsoft Entra-Technologien hinweg abzusichern?

Zu den bewährten Methoden gehören: Zugriff mit minimalen Berechtigungen und Entitlement Management einsetzen, Conditional Access von Microsoft Entra für risikobasierte Anmeldesteuerungen anwenden, Multi-Faktor-Authentifizierung für externe Konten aktivieren, Claims aus anderen Microsoft-Quellen überwachen und den Gastzugriff prüfen. Nutzen Sie die Governance-Funktionen von Microsoft Entra, um Zugriffsüberprüfungen zu planen, Lebenszyklusaufgaben mit Graph APIs zu automatisieren und Einstellungen im Azure-Portal zentral zu verwalten. So stellen Sie den sicheren Zugriff auf Ihr Unternehmen sicher, wenn Sie mit externen Mandanten und einzelnen externen Mitarbeitenden zusammenarbeiten.

Microsoft Entra External ID: Entscheidungen zur Implementierung

Überprüfen Sie die aktuellen Plattformentscheidungen anhand von Microsoft Learn for External ID. Eine Migration von Azure AD B2C erfordert einen durchdachten Plan. Mandantenkennungen, Autoritäts-URLs, die Anwendungskonfiguration und die Benutzerabläufe müssen geprüft werden. Gehen Sie nicht davon aus, dass sie automatisch übernommen werden.

Häufige Fragen

Ist Microsoft Entra External ID nur für Kunden gedacht?

Nein. Die Lösung unterstützt externe Identitätsszenarien, einschließlich kundenorientierter Anwendungen und Zusammenarbeitsmodelle mit Personen außerhalb des Mandanten der Belegschaft.

Was sollte vor dem Onboarding externer Benutzer dokumentiert werden?

Dokumentieren Sie den Geschäftsverantwortlichen, die Benutzergruppe, den Zweck der Anwendung, die unterstützten Anmeldemethoden, den Prozess für Zugriffsüberprüfungen und den Supportweg.

Zuletzt geprüft: Juli 2026.

🎧 Hören Sie auch rein

• Identity Governance in Microsoft Entra

  Lernen Sie den Lebenszyklus, die Verantwortlichkeiten und die Überprüfungspraktiken kennen, mit denen Microsoft Entra External ID nachhaltig betrieben werden kann.

• Microsoft Entra Private Access – Simply Explained

  Entdecken Sie ein weiteres Zugriffsmuster in Entra und die Architekturfragen hinter sicheren Identitätsdiensten.

• Bedingter Zugriff für Gäste in Microsoft Entra ID

  Verbinden Sie die Planung externer Identitäten mit praxisnahen Sicherheitskontrollen für den Zugriff von Gästen und Partnern.