Externe Freigaben in Microsoft 365 brauchen ein Ablaufdatum

Externe Zusammenarbeit beginnt meist mit Zeitdruck. Ein Lieferant benötigt eine Datei, ein Beratungsteam soll an Dokumenten arbeiten oder ein Kunde braucht Zugriff auf einen Projektraum. Die Freigabe ist schnell eingerichtet.

Das Problem entsteht später. Das Projekt endet, Ansprechpartner wechseln, Dateien werden verschoben und niemand weiß mehr, welche Gäste welchen Zugriff noch benötigen. Eine technisch funktionierende Freigabe ist damit noch kein verantworteter Zugangsprozess.

Der entscheidende Unterschied lautet: Eine Freigabe öffnet Zugriff. Governance begrenzt Zweck, Umfang und Dauer dieses Zugriffs.

„Externe Freigabe“ ist nicht eine einzige Einstellung

Microsoft 365 verbindet mehrere Ebenen:

• Einstellungen für die gesamte Organisation,
• Einstellungen einzelner SharePoint-Sites und OneDrive-Konten,
• Mitgliedschaften in Microsoft-365-Gruppen und Teams,
• Gastidentitäten in Microsoft Entra,
• direkte Freigaben für Dateien und Ordner,
• verschiedene Linktypen und Authentifizierungsanforderungen.

Die aktuelle Microsoft-Übersicht zur externen Freigabe beschreibt dieses Zusammenspiel. Eine Organisation kann damit technische Leitplanken setzen. Sie beantwortet aber nicht automatisch, warum ein bestimmter Partner Zugriff benötigt, wer ihn verantwortet und wann er endet.

Zuerst den richtigen Arbeitsraum wählen

Nicht jede externe Zusammenarbeit sollte über eine einzelne Datei im persönlichen OneDrive beginnen. Der Zielort folgt dem Zweck:

• einzelne, kurzzeitig bereitzustellende Datei: gezielte Datei- oder Ordnerfreigabe kann genügen,
• gemeinsames Projekt mit mehreren Inhalten: verantwortete SharePoint-Site oder Team-Arbeitsraum,
• dauerhafte Zusammenarbeit mit einem Partner: definierter Bereich mit klarer Mitgliedschaft und Owner,
• bewusst öffentliche Information: Veröffentlichung oder anonymer Zugriff kann passend sein, wenn Schutzbedarf und Lebenszyklus dazu passen.

Persönliche Ablagen eignen sich schlecht als dauerhafter Projektraum. Wechselt der Mitarbeiter die Rolle oder verlässt das Unternehmen, fehlt häufig die organisatorische Kontinuität.

Der Beitrag zur SharePoint-Informationsarchitektur zeigt, warum Zweck, Zielgruppen, Ownership und Lebenszyklus den Zielort bestimmen sollten. Externe Zusammenarbeit ist eine zusätzliche Dimension dieser Architektur.

Sieben Entscheidungen vor der Freigabe

1. Zweck und Umfang

Die Anfrage „Bitte für den Partner freigeben“ ist zu unscharf.

Zu klären sind:

• Welche Zusammenarbeit soll stattfinden?
• Welche Inhalte werden benötigt?
• Darf der Externe nur lesen oder auch bearbeiten?
• Entstehen neue Inhalte im gemeinsamen Bereich?
• Welche internen Informationen dürfen ausdrücklich nicht sichtbar sein?
• Wie lange besteht der Bedarf?

Ein klarer Zweck erlaubt einen abgegrenzten Arbeitsraum. Ohne ihn wächst eine Freigabe leicht über ihren ursprünglichen Anlass hinaus.

2. Interner Sponsor und Owner

Die IT kann den technischen Zugriff ermöglichen. Den geschäftlichen Bedarf muss eine interne Rolle verantworten.

Der Sponsor bestätigt:

• welche Organisation oder Person beteiligt ist,
• warum der Zugriff benötigt wird,
• welche Inhalte und Rechte angemessen sind,
• wann die Zusammenarbeit überprüft oder beendet wird.

Der Owner des Arbeitsraums verantwortet die laufende Mitgliedschaft und Inhaltsordnung. Sponsor und Owner können dieselbe Person sein, müssen aber benannt und vertreten werden.

Die Teams-Governance behandelt Owner, Zweck, Namenslogik und Lebenszyklus als zentrale Entscheidungen. Bei externen Mitgliedern werden diese Punkte noch wichtiger.

3. Identität und Linktyp

Anonyme „Jeder“-Links reduzieren Reibung. Weitergeleitete Links können jedoch von weiteren Personen verwendet werden, und die Organisation kann nicht in gleicher Weise nachvollziehen, wer konkret Zugriff besitzt oder genutzt hat.

Microsoft beschreibt in der Dokumentation zu Freigaben über Sicherheitsgruppen, dass „Anyone“-Links ohne Authentifizierung funktionieren und weitergeleitet werden können; bei authentifizierten Gästen ist der Zugriff einer Identität zugeordnet.

Eine pragmatische Entscheidung:

• Für steuerungsbedürftige, vertrauliche oder längerfristige Zusammenarbeit werden authentifizierte Identitäten verwendet.
• Anonyme Links bleiben auf bewusst niedrig schutzbedürftige Inhalte und kurze, begründete Szenarien beschränkt.
• Der Linktyp wird nicht allein nach Bequemlichkeit gewählt.

4. Minimale Rechte und begrenzter Zielort

Externe erhalten nur die benötigten Rechte und nur im vorgesehenen Bereich.

Zu vermeiden sind:

• Freigabe einer gesamten Site für den Bedarf an einer Datei,
• Bearbeitungsrecht, wenn Lesen genügt,
• Gastmitgliedschaft in breit genutzten Gruppen,
• Zugriff auf gewachsene Bereiche mit vermischten internen Inhalten,
• Weiterfreigabe ohne bewusste Entscheidung.

Die organisationsweite Einstellung definiert den maximal möglichen Rahmen. Einzelne Sites können restriktiver konfiguriert werden. Die Microsoft-Dokumentation zu sitebezogenen Freigabeeinstellungen weist außerdem darauf hin, dass Einstellungen verbundener Microsoft-365-Gruppen und Teams berücksichtigt werden müssen.

5. Wer darf extern freigeben?

Eine Organisation muss nicht jede Freigabe zentral durch die IT ausführen. Sie sollte aber festlegen, welche Nutzer oder Gruppen externe Zugriffe vergeben dürfen.

Microsoft 365 kann externe Freigaberechte auf Mitglieder bestimmter Sicherheitsgruppen begrenzen. Diese technische Möglichkeit ist sinnvoll, wenn die berechtigten Personen auch verstehen:

• welche Inhalte freigegeben werden dürfen,
• welcher Linktyp zulässig ist,
• welche Angaben dokumentiert werden,
• wann eine Rückfrage oder Freigabe nötig ist.

Eine technische Berechtigung ist kein Ersatz für ein Entscheidungsrecht. Der Beitrag zu Verantwortlichkeiten erläutert diese Trennung.

6. Enddatum und regelmäßige Überprüfung

Jede externe Zusammenarbeit erhält entweder:

• ein konkretes Enddatum,
• einen wiederkehrenden Review-Termin,
• oder einen nachvollziehbaren dauerhaften Grund mit regelmäßiger Bestätigung.

Beim Review bestätigt der Sponsor:

• besteht der Geschäftszweck noch,
• sind die beteiligten Personen noch richtig,
• sind Umfang und Rechte weiterhin angemessen,
• kann der Arbeitsraum geschlossen oder archiviert werden?

Microsoft Entra Access Reviews können Gruppen-, Anwendungs- und Rollenzugriffe wiederkehrend prüfen lassen. Owner oder andere Prüfer können fortbestehenden Bedarf bestätigen und Ergebnisse können zur Entfernung von Zugriffen verwendet werden.

Die Funktion deckt nicht automatisch jede Form direkter SharePoint-Freigabe ab. Außerdem nennt Microsoft Lizenzanforderungen für Access Reviews und einzelne erweiterte Funktionen. Deshalb gilt: Automatisierung ist hilfreich, aber kein Vorwand, bis zum passenden Lizenzpaket gar nicht zu prüfen. Ein dokumentierter manueller Review durch die Owner ist ein tragfähiger Einstieg.

7. Entzug, Archivierung und Gastkonto

Am Ende der Zusammenarbeit sind mehrere Ebenen zu prüfen:

• Link oder direkte Freigabe entfernen,
• Gast aus Gruppe oder Team entfernen,
• Site oder Projektbereich archivieren,
• lokal synchronisierte oder exportierte Daten berücksichtigen,
• Gastidentität sperren oder löschen, wenn kein anderer Bedarf besteht,
• Entscheidung und Zeitpunkt nachvollziehbar dokumentieren.

Ein entferntes Gastkonto nimmt keine bereits heruntergeladene Datei zurück. Schutzmaßnahmen müssen deshalb bereits bei Datenumfang, Vertragsgestaltung und Klassifikation beginnen.

Die Microsoft-Anleitung zu Gastzugriffsüberprüfungen beschreibt Prüfungen durch Gäste oder Sponsoren sowie die anschließende Anwendung der Ergebnisse. Für die Organisation bleibt zu entscheiden, welche Ressourcen im Review liegen und wer tatsächlich fachlich bestätigen kann.

Konstruiertes Beispiel: Das Projekt endet, der Gast bleibt

Das folgende Beispiel ist konstruiert.

Für ein Einführungsprojekt wird ein Team mit mehreren externen Beratern eingerichtet. Die Gäste erhalten Bearbeitungsrechte. Nach Projektende wechselt der interne Projektleiter die Stelle. Das Team bleibt bestehen, weil kein Enddatum, kein zweiter Owner und kein Abschlussprozess definiert wurden.

Mit einem einfachen Freigabe-Steckbrief wäre vorab festgelegt worden:

• Projektzweck und erlaubte Inhalte,
• interner Sponsor und vertretender Owner,
• authentifizierte Gäste,
• Bearbeitungsrecht nur im Projektbereich,
• Enddatum kurz nach der geplanten Übergabe,
• Review vor Verlängerung,
• Archivierung und Entzug beim Abschluss.

Das Beispiel behauptet keinen Sicherheitsvorfall. Es zeigt eine häufige strukturelle Lücke: Die technische Einladung besitzt keinen organisatorischen Endpunkt.

Anonyme Links sind nicht grundsätzlich falsch

Ein anonymer Link kann angemessen sein, wenn:

• der Inhalt bewusst öffentlich oder niedrig schutzbedürftig ist,
• die einfache Weitergabe beabsichtigt oder akzeptiert wird,
• keine personenbezogene Nachvollziehbarkeit benötigt wird,
• Gültigkeit und Umfang begrenzt sind,
• der Owner die Entscheidung versteht.

Das ist etwas anderes als die anonyme Standardfreigabe für Projektunterlagen. Die passende Einstellung folgt dem Inhalt und Zweck, nicht einem pauschalen Verbot oder einer pauschalen Öffnung.

Ein Freigabe-Steckbrief

Feld	Inhalt
Zweck	konkrete Zusammenarbeit oder Bereitstellung
Sponsor	interne Rolle mit fachlicher Verantwortung
Owner und Vertretung	Pflege von Mitgliedschaft, Inhalten und Abschluss
externe Organisationen	zugelassene Partner und Identitäten
Zielort	Datei, Ordner, Site, Team oder anderer Arbeitsraum
Inhalte	zulässiger Umfang und Schutzbedarf
Rechte	lesen, bearbeiten, teilen oder weitere Rolle
Identität und Link	authentifizierter Gast oder begründete anonyme Freigabe
Beginn und Ende	Start, Enddatum oder Review-Intervall
Abschluss	Entzug, Archivierung und Prüfung der Gastidentität

Für kleine Organisationen kann dieser Steckbrief zunächst Teil eines Tickets oder einer Liste sein. Entscheidend ist nicht das Werkzeug, sondern dass Sponsor, Umfang und Ende auffindbar sind.

Woran gute Freigabe-Governance erkennbar ist

Die Zahl externer Gäste allein sagt wenig. Viele aktive Gäste können in einer partnerschaftlichen Organisation richtig sein. Wenige Gäste können trotzdem weitreichende und veraltete Rechte besitzen.

Bessere Nutzensignale sind:

• Jeder externe Arbeitsraum besitzt einen erreichbaren Owner.
• Freigaben haben Zweck und Prüfdatum.
• Nicht mehr benötigte Zugriffe werden beim Projektabschluss entzogen.
• Hoch schutzbedürftige Inhalte liegen nicht hinter anonymen Standardlinks.
• Owner können erklären, warum Gäste weiterhin Zugriff benötigen.
• Direkte Einzelfreigaben und Gruppenmitgliedschaften werden gemeinsam betrachtet.

Der erste sinnvolle Schritt ist eine Bestandsaufnahme der extern zugänglichen Teams, Sites und Gruppen. Wählen Sie danach die Bereiche mit hohem Schutzbedarf oder fehlendem Owner. Für jeden Bereich werden Sponsor, Zweck, Gäste und Endtermin bestätigt. Erst wenn diese Verantwortung geklärt ist, lohnt sich die weitere Automatisierung der Reviews.