Microsoft Entra ID Gastzugriffe absichern: Externe Zusammenarbeit ohne offene Türen

Ein ehemaliger Dienstleister taucht Monate nach Projektende noch immer in einer Microsoft-365-Gruppe auf. Über diese Gruppe kann sein Gastkonto weiterhin auf Teams-Dateien, SharePoint-Dokumente oder sensible Projektinformationen zugreifen. Solche Zugänge entstehen oft mit guter Absicht: Ein Projekt muss schnell starten, ein externer Spezialist benötigt Zugriff oder ein Partner wird zu einem Teams-Kanal eingeladen. Ohne klare Regeln werden daraus jedoch verwaiste Konten und unnötige Angriffsflächen.

Microsoft Entra ID stellt mit B2B Collaboration eine praxistaugliche Grundlage für die externe Zusammenarbeit bereit. Gastkonten können sich dabei meist mit ihrer bestehenden geschäftlichen Identität anmelden. Das entlastet die Administration und erleichtert Partnern den Zugriff. Gleichzeitig verlässt du dich damit auf Identitäten außerhalb deiner unmittelbaren Kontrolle. Genau deshalb müssen Einladungen, Rechte, Anmeldebedingungen und der gesamte Lebenszyklus eines Gastzugangs sauber geregelt sein.

Infografik zu Microsoft Entra ID Gastzugriffe absichern: Externe Zusammenarbeit ohne offene Türen (KI-generiert).

Warum Gastkonten ein Sicherheitsrisiko werden können

Ein Gastkonto ist nicht grundsätzlich unsicher. Problematisch wird es, wenn niemand mehr weiß, warum es existiert, welche Daten erreichbar sind und ob die externe Person noch für das Unternehmen tätig ist. Besonders häufig sehen wir diese Risiken:

• Einladungen dürfen von zu vielen Mitarbeitenden ausgesprochen werden.
• Gäste werden direkt oder über Gruppen mit weitreichenden Rechten ausgestattet.
• SharePoint-Websites, Teams und Dateien werden außerhalb definierter Prozesse geteilt.
• Mehrere Gastkonten gehören zu derselben Person, weil Einladungen mit unterschiedlichen E-Mail-Adressen erfolgten.
• Gastzugänge bestehen unbegrenzt fort, obwohl Projekte oder Verträge längst beendet sind.
• Für Gäste gelten schwächere Anmeldebedingungen als für interne Benutzer.
• Die Eigentümer von Teams und Gruppen prüfen Mitgliedschaften nicht regelmäßig.

Angreifer nutzen solche Schwächen gezielt aus. Ein kompromittiertes Konto bei einem Dienstleister kann ausreichen, um auf freigegebene Daten zuzugreifen. Ebenso können täuschend echte Einladungen oder falsch konfigurierte externe Freigaben dazu führen, dass Informationen unbeabsichtigt bei unberechtigten Dritten landen. Die grundlegenden Mechanismen hinter solchen Täuschungen erläutern wir auch in unserem Beitrag Phishing erkennen und richtig reagieren.

Erst klären: Welche externe Zusammenarbeit ist wirklich nötig?

Bevor du technische Einstellungen setzt, solltest du unterschiedliche Zusammenarbeitsszenarien voneinander trennen. Nicht jeder externe Kontakt benötigt ein Gastkonto mit Zugriff auf Teams und SharePoint.

Typische Fälle sind:

• Projektpartner benötigen Zugriff auf ein abgegrenztes Team und gemeinsame Dokumente.
• Dienstleister benötigen zeitlich begrenzten Zugriff auf eine bestimmte Anwendung.
• Lieferanten sollen Dokumente bereitstellen, aber keine internen Verzeichnisse durchsuchen können.
• Kunden nehmen an Besprechungen teil, benötigen aber keinen dauerhaften Tenant-Zugang.
• Schwesterunternehmen arbeiten eng zusammen und benötigen geregelte, wiederkehrende Zugriffe.

Definiere pro Fall, welche Ressource benötigt wird, wer den Zugang beantragt, wer ihn genehmigt und wann er endet. Das verhindert, dass Teams als allgemeiner Ablageort für Externe genutzt wird. Wenn externe Zusammenarbeit eine Anwendung oder ein besonders sensibles Projekt betrifft, ist ein eigener, klar abgegrenzter Bereich oft besser als die Aufnahme in bestehende interne Teams.

Einladungen kontrollieren und Zuständigkeiten festlegen

In Microsoft Entra ID steuerst du unter den Einstellungen für externe Zusammenarbeit, wer Gäste einladen darf. Eine offene Konfiguration, bei der praktisch alle Benutzer Einladungen versenden können, passt selten zu einem kontrollierten Sicherheitsmodell.

Als Grundsatz sollte gelten: Einladungen werden nur von Personen ausgesprochen, die den geschäftlichen Zweck und die notwendige Ressource beurteilen können. Das können etwa Teamverantwortliche sein, sofern sie verbindliche Vorgaben einhalten. Für sensible Bereiche sollte die Einladung über einen zentralen Freigabeprozess erfolgen.

Prüfe insbesondere diese Punkte:

• Wer darf Gäste in den Tenant einladen?
• Dürfen Gruppen- oder Team-Besitzer selbst externe Mitglieder hinzufügen?
• Welche Administratorrollen besitzen Rechte zum Einladen?
• Gibt es eine Genehmigung durch die fachlich verantwortliche Person?
• Wird der Zweck der Einladung dokumentiert?
• Werden bestimmte Partnerdomänen zugelassen oder ausgeschlossen?

Eine Allowlist für bekannte Partnerdomänen kann sinnvoll sein, wenn dein Unternehmen mit einem überschaubaren Kreis externer Organisationen arbeitet. Sie ersetzt jedoch keine Berechtigungsprüfung. Auch ein Konto bei einem bekannten Partner kann kompromittiert sein oder einer Person gehören, die nicht mehr am Projekt beteiligt ist.

Vergib administrative Rechte nach dem Prinzip der geringsten Berechtigung. Für Aufgaben rund um Gast-Einladungen ist nicht automatisch eine globale Administratorrolle erforderlich. Allgemein lohnt sich ein Blick darauf, wie du Identitäten und starke Anmeldung im Unternehmen absicherst. Unser Beitrag Passkeys im Unternehmen einführen: Phishing-resistente Anmeldung mit Microsoft Entra ID zeigt, warum widerstandsfähige Anmeldeverfahren gerade bei cloudbasierten Identitäten wichtig sind.

Berechtigungen über Gruppen statt über Einzelpersonen vergeben

Direkte Einzelberechtigungen wirken zunächst bequem, sind später aber schwer nachvollziehbar. Wenn ein Gast direkt auf zahlreiche SharePoint-Ordner, Teams, Anwendungen und Verteiler berechtigt wurde, wird der Entzug des Zugangs aufwendig und fehleranfällig.

Besser ist ein gruppenbasiertes Modell:

• Lege für jedes Projekt oder jeden klaren Zweck eigene Gruppen an.
• Benenne Gruppen nachvollziehbar, etwa nach Projekt, Partner und Zugriffsebene.
• Weise Gruppen nur die Rechte zu, die für ihre Aufgabe erforderlich sind.
• Füge Gäste ausschließlich über diese Gruppen hinzu.
• Bestimme interne Eigentümer, die Mitglieder fachlich überprüfen können.
• Vermeide Gastkonten in Rollen mit administrativen Rechten.

Bei Microsoft Teams musst du außerdem unterscheiden, ob ein Gast Mitglied eines Teams ist, Zugriff auf einen geteilten Kanal erhält oder nur zu einer Besprechung eingeladen wird. Diese Optionen haben unterschiedliche Auswirkungen auf Sichtbarkeit, Dateizugriff und Verwaltungsaufwand. Eine Besprechungseinladung ist kein Ersatz für eine dauerhafte Zusammenarbeit, aber ebenso sollte ein dauerhaftes Gastkonto nicht allein für einzelne Termine angelegt werden.

Achte besonders auf Gruppen, die weitere Berechtigungen vererben. Eine vermeintlich harmlose Mitgliedschaft kann Zugriff auf SharePoint-Websites, Planner-Pläne, Power-BI-Inhalte oder weitere Anwendungen ermöglichen. Dokumentiere deshalb, welche Ressourcen an einer Gruppe hängen.

Conditional Access für Gäste konsequent anwenden

Gastkonten sollten nicht als Sicherheitsausnahme behandelt werden. Mit Conditional Access kannst du auch für externe Benutzer und Gäste Bedingungen für den Zugriff auf Anwendungen festlegen. Dabei gilt: Teste Regeln zunächst mit einer kleinen Gruppe und achte darauf, Notfallzugänge nicht versehentlich auszusperren.

Sinnvolle Anforderungen können sein:

• Mehrstufige Authentifizierung für den Zugriff auf Microsoft 365 und besonders schützenswerte Anwendungen.
• Blockierung älterer oder nicht unterstützter Authentifizierungsverfahren.
• Einschränkungen bei Anmeldungen mit hohem Risiko, sofern entsprechende Funktionen verfügbar sind.
• Beschränkungen für besonders sensible Anwendungen oder administrative Portale.
• Vorgaben für verwaltete Geräte, wenn externe Personen auf besonders kritische Daten zugreifen müssen.

Die konkrete Ausgestaltung hängt vom Schutzbedarf ab. Für einen externen Partner, der lediglich an einem Projektteam mitarbeitet, kann MFA die zentrale Mindestanforderung sein. Für Zugriff auf Entwicklungsumgebungen, personenbezogene Daten oder vertrauliche Unterlagen können zusätzliche Kontrollen notwendig sein.

Conditional Access darf allerdings nicht isoliert betrachtet werden. Eine MFA-Abfrage hilft nicht, wenn ein Gast übermäßige Rechte besitzt oder auf Daten zugreifen kann, die er gar nicht benötigt. Das Zusammenspiel aus Identität, Berechtigung und Überwachung ist entscheidend. Mehr zu verdächtigen Anmeldungen und den nötigen Protokolldaten liest du in Angriffe früh erkennen: Logging und Monitoring.

Lifecycle planen: Ablaufdatum und Access Reviews

Der wichtigste Schutz gegen verwaiste Gastkonten ist ein geplanter Ablauf. Bei der Anlage eines Zugangs sollte bereits feststehen, wann und durch wen er erneut überprüft wird. Ein Projektende, Vertragsende oder festes Ablaufdatum sind geeignete Anlässe.

Microsoft Entra ID Identity Governance bietet dafür unter anderem Access Reviews. Damit können Gruppen-, Team- oder Anwendungszugriffe regelmäßig von den zuständigen Eigentümern geprüft werden. Die prüfende Person sollte nicht einfach bestätigen, dass ihr ein Name bekannt vorkommt. Sie muss beurteilen, ob der geschäftliche Bedarf weiterhin besteht.

Für wirksame Reviews brauchst du klare Regeln:

• Prüfe Gäste in sensiblen Gruppen häufiger als Gäste in wenig kritischen Bereichen.
• Weise jedem Review einen fachlich verantwortlichen Prüfer zu.
• Entferne Zugänge, wenn keine Rückmeldung oder keine nachvollziehbare Begründung vorliegt.
• Dokumentiere Ausnahmen und gib ihnen ein Ablaufdatum.
• Prüfe nach einem Projektabschluss zusätzlich manuell, ob Teams, SharePoint-Freigaben und Gruppen bereinigt wurden.

Automatisierte Ablauf- und Überprüfungsfunktionen können je nach Entra-ID-Lizenz und eingesetzten Diensten unterschiedlich verfügbar sein. Entscheidend ist nicht allein das Werkzeug, sondern dass der Prozess tatsächlich gelebt wird. Ein monatlicher Bericht ohne Verantwortliche reduziert kein Risiko.

B2B-Freigaben und externe Tenants bewusst begrenzen

Neben einzelnen Gastkonten spielen auch tenantübergreifende Zugriffseinstellungen eine wichtige Rolle. Diese regeln, wie Benutzer anderer Microsoft-Entra-Organisationen mit deinem Tenant zusammenarbeiten können und unter welchen Bedingungen deine Benutzer externe Tenants nutzen dürfen.

Prüfe, welche Organisationen für die Zusammenarbeit vorgesehen sind. Für enge Partnerbeziehungen können gezielte Regeln sinnvoll sein. Dabei solltest du festlegen, welche Benutzergruppen, Anwendungen und Vertrauensstellungen zulässig sind. Übernimm Sicherheitsansprüche eines externen Tenants nicht blind. Wenn du beispielsweise die MFA-Informationen einer Partnerorganisation als vertrauenswürdig behandelst, muss diese Entscheidung zu deinen Sicherheitsvorgaben und zum konkreten Risiko passen.

Auch Freigabeoptionen in SharePoint und OneDrive gehören in dieses Konzept. Entra-ID-Gastkonten können sauber verwaltet sein, während parallel Dateien über weitreichende Links außerhalb kontrollierter Gruppen geteilt werden. Stimme daher die Einstellungen für Identitäten, Teams, SharePoint und OneDrive miteinander ab.

Checkliste für sichere Gastzugriffe

• Erfasse den geschäftlichen Zweck jedes externen Zugangs.
• Begrenze, wer Gäste einladen darf.
• Nutze interne Eigentümer und einen nachvollziehbaren Genehmigungsprozess.
• Vergib Rechte über zweckgebundene Gruppen statt direkt an Einzelkonten.
• Setze MFA und passende Conditional-Access-Regeln für Gäste durch.
• Vermeide administrative Rollen für Gastkonten.
• Begrenze externe Freigaben auf erforderliche Partner und Ressourcen.
• Definiere Ablaufdaten oder verbindliche Überprüfungstermine.
• Führe Access Reviews mit fachlich verantwortlichen Prüfern durch.
• Entferne nicht bestätigte, ungenutzte und projektfremde Gastzugänge.
• Kontrolliere auch SharePoint-, OneDrive- und Teams-Freigaben.
• Protokolliere Einladungen, Gruppenänderungen und ungewöhnliche Anmeldungen.

Sicherheit ohne Zusammenarbeit auszubremsen

Ein restriktives Modell bedeutet nicht, externe Zusammenarbeit unnötig kompliziert zu machen. Es bedeutet, den Zugang passend zum Zweck zu gestalten. Wenn Teamverantwortliche einen einfachen, klaren Prozess für zeitlich begrenzte Projektzugriffe haben, sinkt die Wahrscheinlichkeit improvisierter Freigaben erheblich.

Teste dein Konzept regelmäßig aus Sicht eines Gasts: Welche Einladungen erhält die Person? Welche Daten sieht sie nach der Anmeldung? Kann sie weitere Personen einladen? Bleibt ihr Zugang nach Projektende bestehen? Diese Perspektive deckt oft Lücken auf, die in reinen Konfigurationslisten unsichtbar bleiben.

Passende Seminare und Termine zur Absicherung von Microsoft-365- und Entra-ID-Umgebungen findest du bei uns auf cmt.de.