Teams und SharePoint: Checkliste für sichere Freigaben

Externe erreichen Inhalte in Microsoft 365 als Gast mit eigenem Konto, über einen Freigabelink oder in einem freigegebenen Teams-Kanal; über den externen Zugriff in Teams chatten, telefonieren und besprechen sie sich nur. Ein neues Team erzeugt laut Microsoft auch eine Microsoft-365-Gruppe und eine SharePoint-Teamwebsite, auf die die Gastfreigabe-Einstellungen von Gruppen und Teams wirken. Ist Entra ID restriktiver als SharePoint oder OneDrive, setzt sich Entra ID durch.

• Zum Ende des SharePoint-Einmalcodes (der E-Mail-Einmalcode von Entra B2B bleibt) rät Microsoft: Gastkonto mit derselben E-Mail-Adresse wie beim alten Link anlegen oder ein Element neu teilen; Ausnahmen gibt es nicht. Domänenlisten nur in SharePoint prüfen und gegebenenfalls in Entra ID übernehmen.
• Microsoft Learn beschreibt (Stand Oktober 2026) Ablaufrichtlinien auch für Links „Personen in Ihrer Organisation“; bestehende Links werden beim Öffnen nach ihrem Erstellungsdatum geprüft.
• Mit einer Copilot-Lizenz (mindestens eine Person) erhalten SharePoint-Administratoren laut Microsoft die Copilot unterstützenden Funktionen von SharePoint Advanced Management („Erweiterte SharePoint-Verwaltung“); manche brauchen weiter das Add-on Plan 1 (Abschnitt 07).

Die Freigabestufe legen Sie im SharePoint Admin Center unter Richtlinien > Freigabe fest, getrennt für SharePoint und OneDrive; OneDrive darf nicht freizügiger sein. Externe Freigabe ist laut Microsoft standardmäßig aktiviert. Je Website (Aktive Websites > Website > Einstellungen > Weitere Freigabeeinstellungen) geht es nur enger, es gilt immer der restriktivere Wert; ändern dürfen das SharePoint-Administratoren, nicht Websitebesitzer (Ausnahme: Bezeichnung mit Freigabeeinstellung, Abschnitt 06).

Voreinstellung je Website laut Microsoft: OneDrive und die Stammwebsite (mandant.sharepoint.com) „Jeder“; mit Gruppen verbundene Websites, auch von Teams, „Neue und vorhandene Gäste“, wenn Gruppenbesitzer Externe hinzufügen dürfen, sonst nur vorhandene Gäste; alle anderen „Nur Personen in Ihrer Organisation“.

Nach einer Einschränkung verlieren Gäste den Zugriff laut Microsoft meist innerhalb einer Stunde; wird die Freigabe wieder eingeschaltet, erhalten sie ihn zurück. Vertrauliches gehört laut Microsoft auf Websites ohne externe Freigabe, die Arbeit mit Externen auf eigene Websites.

Für die MFA von Gästen ist Ihr Mandant zuständig; die MFA der Partnerorganisation können Sie über mandantenübergreifende Zugriffseinstellungen anerkennen (Vertrauenseinstellungen, Entra ID P1). Gesperrte Domänen im externen Zugriff sperren Unterdomänen standardmäßig nicht mit; das ändert Set-CsTenantFederationConfiguration -BlockAllSubdomains $True.

Lizenzen laut Microsoft: Gastzugriff in Teams ist in Microsoft 365 Business Standard, Enterprise und Education enthalten, ohne Zusatzlizenz; für Gäste gilt das Abrechnungsmodell von Entra External ID. Gäste ohne Lizenz arbeiten nur grundlegend mit, etwa in Office im Web.

Für die Organisation: einmal einstellen, dokumentieren und in festen Abständen prüfen.

• Zuständigkeit geklärt, wer Freigabeeinstellungen ändert; schriftliche Regel, was mit wem auf welchem Weg geteilt werden darf.
• Einstellungen aus Abschnitt 03 umgesetzt: Freigabestufe bewusst gewählt, Standardlink „Bestimmte Personen“ mit „Anzeigen“, „Jeder“-Links aus oder mit Ablauf, Ablauf des Gastzugriffs ein.
• Einstellungen aus Abschnitt 04 umgesetzt: Gasteinladungen beschränkt, Domänenregeln zentral in Entra ID, Gast- und externer Zugriff in Teams passend.
• Richtlinie für bedingten Zugriff mit MFA für Gäste aktiv und vorher mit Testkonten geprüft.
• Vertraulichkeitsbezeichnungen für Teams, Gruppen und Websites aktiviert, mit mindestens einer Bezeichnung ohne Gäste (Abschnitt 06).
• Frühere Freigaben mit SharePoint-Einmalcode geprüft: Wer weiter Zugriff braucht, hat ein Gastkonto mit derselben E-Mail-Adresse.
• Ablaufrichtlinie für Gruppen, etwa 180 Tage mit Ersatzadresse, und Richtlinie für besitzerlose Gruppen eingerichtet (Abschnitt 08); beim Austritt eines Besitzers die Rolle vorher übergeben.
• Kontrolle eingeplant (Abschnitt 07): monatlich Aktivitäts- oder Freigabeberichte, vierteljährlich Berechtigungen und die Seite „Gäste“ im Microsoft 365 Admin Center, bei Projektende und in festgelegten Abständen Gäste überprüfen und dokumentieren (Anhang Nr. 11.2.3 DVO), jährlich diese Einstellungen abgleichen.
• Beim Austritt Freigaben und OneDrive-Inhalte übergeben, nach Ende einer Partnerschaft Gastkonten gelöscht.

Je Team und Website, vor dem ersten Gast:

• Zweck und Partnerfirmen beschrieben; Vertrauliches liegt in einem eigenen Team ohne externe Freigabe.
• Mindestens zwei Besitzer aus der eigenen Organisation; Team „Privat“, wenn nicht alle mitlesen sollen; passende Vertraulichkeitsbezeichnung gesetzt.
• Freigabestufe der Website: mit Gästen „Neue und vorhandene Gäste“, intern „Nur Personen in Ihrer Organisation“; Standardlink bei Bedarf enger als die Organisation.
• Freigabe auf die Domänen der Partner beschränkt (Erweiterte Einstellungen für die externe Freigabe > Freigabe nach Domäne einschränken) und Ablauf des Gastzugriffs an die Projektdauer angepasst.
• Jeder Gast hat eine verantwortliche Person. Nach dem Hinzufügen zu einem Team kann der Zugriff bis zu 12 Stunden dauern; direkt zur Gruppe hinzugefügte Gäste erhalten keine Einladungs-E-Mail, jemand aus dem Team informiert sie.
• Mitglieder wissen: Gäste tragen den Zusatz „(Gast)“, in gemeinsam geteilten Ordnern sehen sie einander unter „Zugriff verwalten“; geteilt wird nur, was der Gast braucht.
• Bei Projektende Gäste entfernt und nicht mehr benötigte Gastkonten gelöscht; ein Gast, der das Team verlässt, bleibt im Verzeichnis.

Bezeichnungen aus Microsoft Purview im Bereich „Gruppen und Websites“ legen je Team fest: Datenschutz (öffentlich oder privat), Zugriff externer Benutzer (dürfen Besitzer Gäste hinzufügen), externe Freigabestufe der Website, Zugriff von nicht verwalteten Geräten und Authentifizierungskontexte (beides mit bedingtem Zugriff). Microsoft setzt die Bezeichnung des Teams auch auf Gruppe und Website.

1. 1

   Für Container aktivieren

   EnableMIPLabels in Entra ID per Microsoft Graph PowerShell auf True setzen, dann in Security & Compliance PowerShell Execute-AzureAdLabelSync ausführen; bis zur Verfügbarkeit in Entra ID bis zu 24 Stunden.

2. 2

   Bezeichnungen anlegen

   Bereich „Gruppen und Websites“. Beispiel von TOMORIS: „Intern“ (privat, keine Gäste, Freigabe nur Organisation) und „Partner“ (privat, Gäste erlaubt, „Neue und vorhandene Gäste“).

3. 3

   Mit wenigen Personen testen

   Für Testkonten veröffentlichen, bei neuer Bezeichnung mindestens eine Stunde warten (mit Steuerung freigegebener Kanäle 24 Stunden), bei geänderter 24 Stunden, Team damit anlegen, dann für alle veröffentlichen.

4. 4

   Bestehende Teams kennzeichnen

   SharePoint Admin Center > Aktive Websites: Spalte „Vertraulichkeit“ einblenden, Bezeichnung über die Registerkarte Richtlinien setzen; für viele Websites per PowerShell.

Laut Microsoft erben Dateien die Bezeichnung des Containers nicht; dafür gibt es Bezeichnungen für Office-Dateien in SharePoint und OneDrive. Steuert die Bezeichnung die externe Freigabe, können Websitebesitzer sie per Wechsel der Bezeichnung ändern; eingeladene Gäste behalten ihren Zugriff, wenn „Zugriff externer Benutzer“ später abgeschaltet wird.

Lizenzen laut Microsoft: mindestens eine aktive Lizenz Entra ID P1 im Mandanten; manuelles Bezeichnen laut Purview-Dienstbeschreibung unter anderem in Microsoft 365 Business Premium, E3 und E5, automatisches erst mit E5 oder Purview-Zusatzlizenzen; Authentifizierungskontexte über Bezeichnungen nur mit Microsoft 365 E5, Information Protection and Governance oder Office 365 E5.

Microsoft empfiehlt den Berechtigungsbericht vierteljährlich, Aktivitätsberichte monatlich; ohne SharePoint Advanced Management ist die Datensammlung erst einzuschalten. Basisabo laut Voraussetzungsseite: Office 365 E3, E5, A5 oder Microsoft 365 E1, E3, E5, A5; Business-Pläne nennt sie als Basisabo nicht, daher vorher im Admin Center prüfen.

Häufige Fehler (Zusammenstellung von TOMORIS): „Jeder mit diesem Link“ als Standard; „Jeder“-Links ohne Ablauf; Freigabe ab- und wieder eingeschaltet, sodass Gäste ihren Zugriff zurückerhalten; nur SharePoint eingeschränkt; Vertrauliches und Partnerarbeit auf einer Website; Container-Bezeichnung für Dateischutz gehalten; Gäste nie überprüft.