Öffnen Sie im Microsoft-365-Mandanten einmal die Liste der Gastkonten. Dort stehen oft Dutzende Adressen von Steuerberatern, Agenturen und Projektpartnern, mit denen seit Jahren niemand mehr zusammenarbeitet, und jedes dieser Konten kann über den Teams-Gastzugriff noch Kanäle, SharePoint-Bibliotheken oder einzelne Dateien erreichen. Dieser Beitrag zeigt Geschäftsführern und IT-Verantwortlichen, wo die Stellschrauben für Gäste in Teams und SharePoint sitzen und wie Sie Altbestände geordnet abbauen.
Was ein Gast in Microsoft 365 eigentlich ist
Ein Gast ist ein externes Konto, das in Ihrem Verzeichnis (Microsoft Entra ID, früher Azure Active Directory) als Benutzer mit dem Typ „Guest“ angelegt wird. Gastbenutzer in Entra ID entstehen nicht nur, wenn ein Administrator jemanden einlädt, sondern auch, wenn ein Mitarbeiter eine externe Person in ein Team aufnimmt oder eine SharePoint-Datei gezielt mit einer externen Adresse teilt.
Davon zu unterscheiden sind Links nach dem Muster „Jeder mit dem Link“. Sie erzeugen kein Konto; wer den Link hat, kommt an die Datei, egal ob er ihn per Mail bekommen, weitergeleitet oder irgendwo gefunden hat. Für die Kontrolle ist dieser Unterschied wichtig: Gastkonten lassen sich auflisten und entfernen, anonyme Links müssen Sie an den einzelnen Dateien und Websites suchen.
Ebenfalls etwas anderes ist der externe Zugriff, in Teams auch Verbund oder Federation genannt: Ihre Mitarbeiter chatten und telefonieren mit Personen aus anderen Microsoft-365-Organisationen, die in ihrem eigenen Mandanten bleiben und bei Ihnen kein Konto erhalten. An Teams, Kanäle und Dateien kommen diese externen Benutzer nicht heran; ein Gast dagegen arbeitet in seinen Teams voll mit. Beide Funktionen werden getrennt eingestellt.
Teams-Gastzugriff: Wer darf überhaupt Gäste einladen?
Die Voreinstellung in Entra ID ist großzügig. Laut Microsofts Referenz zu den Gasteinstellungen darf standardmäßig jeder in der Organisation Gäste einladen, auch Gäste selbst. In Teams ist der Gastzugriff ab Werk eingeschaltet, und Besitzer von Microsoft-365-Gruppen dürfen externe Personen hinzufügen.
Ob das zu Ihrem Unternehmen passt, ist eine Entscheidung der Geschäftsleitung, keine rein technische. Drei Modelle sind üblich:
- Offen: Alle Mitarbeiter dürfen Gäste einladen. Das passt zu viel Projektarbeit, erfordert aber regelmäßiges Aufräumen.
- Eingeschränkt: Nur bestimmte Rollen oder Administratoren dürfen einladen; Teams-Besitzer stellen einen Antrag.
- Domänenbasiert: Einladungen sind nur an freigegebene Domänen erlaubt, etwa die Ihrer Kanzlei oder festen Partner, oder bestimmte Domänen sind gesperrt.
Die Einstellung finden Sie im Microsoft Entra Admin Center unter „External Identities“ bei der externen Zusammenarbeit. Den Gastzugriff in Teams selbst schalten Sie im Teams Admin Center unter „Benutzer“ und „Gastzugriff“ ein oder aus; dort legen Sie auch fest, was Teams-Gäste dürfen, etwa Kanäle anlegen oder Nachrichten löschen.
Wer hat wen eingeladen?
Die Überwachungsprotokolle in Entra ID verzeichnen, wer eine Einladung ausgelöst hat und ob der Gast über SharePoint, über eine Gruppe oder direkt im Admin Center hinzugefügt wurde. Sie werden aber nur begrenzt lange aufbewahrt, die Dauer hängt von Ihrer Lizenz ab; für Gäste von vor Jahren finden Sie dort meist nichts mehr.
Hilfreicher für den Bestand sind andere Merkmale: Erstellungsdatum des Gastkontos, letzte erfolgreiche Anmeldung und Mitgliedschaften in Teams und Gruppen. Die Anmeldeaktivität lässt sich mit Entra ID P1 auswerten, das unter anderem in Microsoft 365 Business Premium enthalten ist. Für neue Gäste lohnt sich ein eingetragener „Sponsor“, also die interne Person, die für den Gast verantwortlich ist und beim Aufräumen Auskunft geben kann.
SharePoint externe Freigabe auf Mandanten- und Website-Ebene
SharePoint und OneDrive regeln die externe Freigabe in zwei Stufen. Auf Organisationsebene legen Sie fest, was maximal erlaubt ist. Jede einzelne Website kann nur gleich streng oder strenger sein. Die Stufen heißen:
- Jeder: Freigabe auch über Links ohne Anmeldung
- Neue und vorhandene Gäste: Externe müssen sich anmelden, neue Gäste dürfen eingeladen werden
- Nur vorhandene Gäste: Freigabe nur an Gäste, die schon im Verzeichnis stehen
- Nur Personen in Ihrer Organisation: externe Freigabe deaktiviert
Microsoft liefert die Organisationsebene mit der offensten Stufe „Jeder“ aus. Ein sinnvolles Muster für den Mittelstand: Organisationsebene auf „Neue und vorhandene Gäste“, Personal-, Finanz- und Geschäftsführungs-Websites auf „Nur Personen in Ihrer Organisation“, Projekt-Websites mit externen Partnern bewusst geöffnet. Wie Sie Teams, SharePoint und OneDrive aufteilen, beschreibt unser Beitrag zur Zusammenarbeit und Dateiablage.
Ablauf von Gastzugriff festlegen
SharePoint kann Gastzugriff auf eine Website oder einen OneDrive automatisch nach einer festen Zahl von Tagen beenden. Die Einstellung liegt im SharePoint Admin Center unter „Richtlinien“ und „Freigabe“, der Zeitraum lässt sich zwischen 30 und 730 Tagen wählen; Website-Administratoren können den Zugriff vor Ablauf verlängern.
Ein wichtiger Haken: Diese Regel gilt für Freigaben über SharePoint, also Links, direkte Berechtigungen und SharePoint-Gruppen. Sie gilt nicht für Gäste, die als Mitglied in einem Team oder einer Microsoft-365-Gruppe stehen; wer über Teams eingeladen wurde, behält den Zugriff, bis jemand ihn aus dem Team entfernt. Für Teams brauchen Sie deshalb einen eigenen Prozess, etwa feste Projektenden oder regelmäßige Überprüfungen.
Zugriffsüberprüfungen: hilfreich, aber lizenzpflichtig
Zugriffsüberprüfungen (Access Reviews) in Entra ID fragen in festen Abständen die Besitzer eines Teams oder einer Gruppe, ob jeder Gast weiterhin Zugriff braucht; wer nicht bestätigt wird, kann automatisch entfernt werden. Die Entscheidung liegt damit beim Projektverantwortlichen, also dort, wo das Wissen ist.
Die Funktion setzt mindestens Microsoft Entra ID P2 voraus. Erweiterte Varianten, etwa Überprüfungen nur der inaktiven Konten, erfordern Microsoft Entra ID Governance. Laut Microsoft müssen die internen Benutzer lizenziert sein, die prüfen oder deren Zugriff geprüft wird. Einige Governance-Funktionen für Gäste werden zusätzlich nutzungsbasiert über ein Azure-Abonnement abgerechnet. Business Premium enthält diese Funktionen nicht. Rechnen Sie also vorher durch, ob sich die Lizenz lohnt oder ein halbjährlicher manueller Durchgang reicht.
Freigabelinks „Jeder mit dem Link“ eindämmen
Anonyme Links sind bequem und der häufigste Grund, warum Dateien länger erreichbar bleiben als gedacht; ab Werk laufen sie nicht ab. Vier Maßnahmen haben sich bewährt:
- Ablaufdatum erzwingen: In den Freigabeeinstellungen eine maximale Gültigkeit festlegen, zum Beispiel 30 Tage. Abgelaufene Links lassen sich nicht verlängern, nur neu erstellen.
- Nur Lesen: Anonyme Links für Dateien und Ordner auf „Anzeigen“ beschränken.
- Standard-Linktyp ändern: Als Voreinstellung „Bestimmte Personen“ statt „Jeder“ wählen; viele Nutzer übernehmen einfach den Vorschlag.
- Websites gezielt sperren: Auf sensiblen Websites anonyme Links ganz abschalten.
Diese Einstellungen gehören in die Grundkonfiguration, die wir im Artikel Microsoft 365 sicher konfigurieren beschreiben.
Aufräumen ehemaliger Projektpartner
Bevor Sie löschen, klären Sie, wer entscheidet. Bewährt hat sich dieser Ablauf:
- Liste exportieren: alle Gastbenutzer aus Entra ID mit Erstellungsdatum, letzter Anmeldung und Gruppenmitgliedschaften.
- Grob sortieren: Konten ohne Anmeldung seit zwölf Monaten oder länger kommen auf die Prüfliste.
- Fachbereiche fragen: Die Teams-Besitzer bestätigen oder streichen ihre Gäste innerhalb einer Frist.
- Erst sperren, dann löschen: Gesperrte Konten können sich nicht anmelden, lassen sich aber reaktivieren, falls doch jemand fehlt.
- Links bereinigen: Mit den Freigabeberichten in SharePoint anonyme Links auf den wichtigsten Websites suchen und alte entfernen.
- Ende dokumentieren: Wann wurde aufgeräumt, wer hat entschieden, wann ist der nächste Termin.
Ein gelöschtes Gastkonto liegt noch eine Zeit lang im Papierkorb von Entra ID. Endete eine Zusammenarbeit im Streit, sollte das Aufräumen nicht bis zum nächsten Termin warten.
Checkliste: Erste Schritte
- Festlegen, wer im Unternehmen Gäste einladen darf, und die Entra-Einstellung danach ausrichten
- Gastzugriff in Teams prüfen und Rechte von Gästen bewusst setzen
- SharePoint-Freigabe auf Organisationsebene von „Jeder“ auf eine passende Stufe senken
- Sensible Websites auf „Nur Personen in Ihrer Organisation“ stellen
- Ablauf für Gastzugriff in SharePoint und Ablauf für anonyme Links aktivieren
- Für neue Gäste einen internen Sponsor eintragen
- Festen Termin für die Zugriffsüberprüfung des Gastbestands verankern, etwa halbjährlich
Wie DAVINCI unterstützt
Wir prüfen die Gast- und Freigabeeinstellungen Ihres Mandanten, erstellen einen Bericht über bestehende Gastkonten und begleiten das Aufräumen gemeinsam mit Ihren Fachbereichen. Auf Wunsch übernehmen wir die laufende Pflege im Rahmen unserer Microsoft-365-Betreuung. Sprechen Sie uns über die Kontaktseite an.
Häufige Fragen
Wie aktiviere ich den Gastzugriff in Microsoft Teams?
In den meisten Mandanten ist der Teams-Gastzugriff bereits eingeschaltet. Prüfen oder ändern lässt er sich im Teams Admin Center unter „Benutzer“ und „Gastzugriff“. Damit Einladungen funktionieren, müssen zusätzlich die externe Zusammenarbeit in Entra ID und die Gasteinstellung für Microsoft-365-Gruppen das Einladen erlauben. Schalten Sie die Funktion erst ein, wenn geklärt ist, wer einladen darf.
Warum funktioniert der Gastzugriff in Teams nicht, obwohl er aktiviert ist?
Meist blockiert eine andere Ebene: Die externe Zusammenarbeit in Entra ID verbietet Einladungen, eine Domänenliste sperrt die Adresse des Gasts, Microsoft-365-Gruppen dürfen keine Gäste aufnehmen, oder die Freigabestufe der zugehörigen SharePoint-Website ist zu streng. Geänderte Einstellungen brauchen zudem eine Weile, bis sie überall greifen. Prüfen Sie diese Ebenen der Reihe nach, statt Rechte großzügiger zu setzen als nötig.
Verliert ein Gast den Zugriff, wenn wir sein Konto löschen?
Ja. Mit dem Gastkonto verschwinden Mitgliedschaften und direkte Berechtigungen. Anonyme Links, die er erhalten hat, funktionieren aber weiter, weil sie an kein Konto gebunden sind; diese müssen Sie gesondert entfernen.
Brauchen wir für das Aufräumen unbedingt Entra ID P2?
Nein. Mit Bordmitteln und Entra ID P1 lassen sich Gastkonten und Anmeldedaten auswerten und manuell bereinigen. P2 oder Entra ID Governance automatisieren die regelmäßige Überprüfung durch die Besitzer, was sich vor allem bei vielen Teams und häufig wechselnden Partnern lohnt.
Verwandte Themen: Wer hier weiterdenkt, liest bei Microsoft 365, SharePoint und Netzwerk und Microsoft 365 Copilot weiter.
Im Text erwähnt
Quellen
- Microsoft 365 guest sharing settings reference · Microsoft Learn
- Microsoft Entra ID Governance licensing fundamentals · Microsoft Learn
- Microsoft Entra ID Governance licensing for guest users · Microsoft Learn
- Guest expiration policy for SharePoint Online and OneDrive · Practical365
