Free tools Windows power users keep installed
One-click scans. No signup required.
iTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
Eine einzelne Entra-Einstellung kann Gast-Einladungen, den Zugriff zwischen Organisationen, SharePoint- und OneDrive-Freigaben sowie das spätere Entfernen von Gästen nicht zugleich steuern. Für eine zentrale Governance müssen Sie diese Kontrollflächen getrennt konfigurieren und aufeinander abstimmen.
Welche Einstellung steuert welchen Teil des Gastzugriffs?
Behandeln Sie Gastzugriff als Zusammenspiel aus Identität, organisationsübergreifendem Zugriff, Workload-Freigabe und Lebenszyklus. Eine Sperre auf einer Ebene ersetzt die Prüfung der anderen nicht.
| Kontrollfläche | Was sie steuert | Geltungsbereich und mögliche Folge |
|---|---|---|
| External Collaboration | Wer B2B-Gäste einladen darf, welche Domänen erlaubt oder blockiert sind und welche Verzeichnisinformationen Gäste sehen. | Tenantweite Einladungs- und Verzeichnisregeln; eine Einladung kann verhindert werden. |
| Cross-Tenant Access | Eingehenden Zugriff externer Organisationen auf eigene Ressourcen und ausgehenden Zugriff eigener Nutzer auf andere Entra-Organisationen. | Standardregeln für externe Organisationen oder gezielte Partnerregeln; Zugriff auf Anwendungen kann blockiert oder zugelassen werden. |
| SharePoint und OneDrive | Externe Freigaben für Dateien, Ordner und Sites. | Organisationsweite und Site-Einstellungen; eine Freigabe kann auf einer Site eingeschränkt sein. |
| Entitlement Management und Reviews | Zuweisung, Befristung, Überprüfung und Bereinigung von Gastzugriff. | Access-Package-Zuweisungen und wiederkehrende Zugriffsprüfungen; Zugriffe können auslaufen oder entzogen werden. |
Einladungen und Verzeichnisinformationen begrenzen
In den External-Collaboration-Einstellungen legen Sie fest, welche Rollen Gäste einladen dürfen, welche externen Domänen zulässig sind und welche Verzeichnisinformationen Gäste sehen. Microsoft zufolge können Administratoren Einladungen für alle deaktivieren oder auf bestimmte Rollen beschränken. Die Richtlinien regeln die Einladung und Verzeichnisansicht; sie sind nicht dasselbe wie die Berechtigung, auf eine bestimmte Anwendung oder Datei zuzugreifen. Details: Microsofts Anleitung zu External-Collaboration-Einstellungen.
Microsoft beschreibt außerdem ein zwischen Juli und Ende 2025 ausgerolltes Update, nach dem B2B-Gäste zur Anmeldung auf die Anmeldeseite ihrer eigenen Organisation weitergeleitet werden. Diese Änderung betrifft den Anmeldeablauf, nicht die eigentlichen Einladungs-, Zugriffs- oder Freigaberegeln.
#1 Best Overall
Cross-Tenant Access für Partner und Zugriffsrichtung konfigurieren
Cross-Tenant-Access-Einstellungen kontrollieren den Zugriff zwischen Ihrer Organisation und anderen Entra-Tenants. Unterscheiden Sie dabei eingehenden Zugriff externer Nutzer auf Ihre Ressourcen von ausgehendem Zugriff Ihrer Nutzer auf Ressourcen anderer Organisationen. Sie können Standardregeln auf externe Organisationen anwenden und für konkrete Partner abweichende Regeln festlegen. Je nach Konfiguration lassen sich auch MFA- und Geräteclaims einer externen Organisation berücksichtigen. Die Regeln ersetzen weder die Einladungseinstellungen noch die Freigabekonfiguration in SharePoint und OneDrive. Siehe Microsofts Dokumentation zu Cross-Tenant Access.
Eine pauschale Blockierung kann bestehende Geschäftsbeziehungen unterbrechen. Microsoft warnt: “Changing the default inbound or outbound settings to Block access could block existing business-critical access to apps in your organization or partner organizations.” Prüfen Sie daher bestehende Anmeldungen und benötigte Partnerverbindungen, bevor Sie Standardzugriffe einschränken.
Für native SharePoint- und OneDrive-Freigaben reicht es nicht aus, den Partner nur in Cross-Tenant Access einzutragen: Microsoft weist darauf hin, dass dessen Domäne auch in den External-Collaboration-Einstellungen berücksichtigt werden muss. Sonst kann die Einladung scheitern.
Do these 3 things before closing this tab:
1Repair Windows errors before they cause bigger problems2Scan for outdated or missing drivers - takes under a minute3Clear out junk files and repair common Windows errorsSharePoint- und OneDrive-Freigaben separat abstimmen
Mit aktivierter Entra-B2B-Integration werden für geteilte Dateien, Ordner und Sites B2B-Gastkonten verwendet und die Entra-Gastregeln greifen. Externe Freigabe muss zunächst auf Organisationsebene zulässig sein; anschließend kann sie für einzelne Sites restriktiver festgelegt werden. Wenn Organisations- und Site-Einstellungen voneinander abweichen, gilt die restriktivere Einstellung. OneDrive darf nicht freizügiger konfiguriert sein als SharePoint. Microsoft erläutert die Ebenen in der Übersicht zur externen Freigabe in SharePoint.
Ein sinnvolles Modell kann externe Freigaben auf ausgewählte Sicherheitsgruppen beschränken und besonders sensible Sites stärker schützen als Partner-Arbeitsbereiche. Welche Freigabeoptionen passen, hängt vom Betriebsmodell ab. Microsofts Architekturleitfaden für Teams und SharePoint empfiehlt für kontrollierte Zusammenarbeit die Entra-B2B-Integration und beschränkte Domänen.
Änderungen risikoarm ausrollen
- Bestand aufnehmen: Erfassen Sie aktive Gastzugriffe, relevante Anmeldungen, Partnerorganisationen und die für sie benötigten Anwendungen, Sites und Freigaben.
- Standard festlegen: Definieren Sie, wer Gäste einladen darf, welche Domänen grundsätzlich zulässig sind und welche Informationen Gäste im Verzeichnis sehen können.
- Partnerregeln gezielt setzen: Konfigurieren Sie Cross-Tenant-Standards und erforderliche Ausnahmen für bekannte Partner. Prüfen Sie eingehenden und ausgehenden Zugriff getrennt.
- Workloads abgleichen: Kontrollieren Sie die organisationsweiten SharePoint- und OneDrive-Einstellungen sowie die Freigabestufen der relevanten Sites. Achten Sie darauf, dass die benötigten Gast- und Freigaberegeln zusammenspielen.
- Testen und überwachen: Testen Sie typische Partnerabläufe – Einladung, Anmeldung und Zugriff auf die benötigten Ressourcen – und beobachten Sie, ob legitime Verbindungen blockiert werden, bevor Sie Änderungen breit ausrollen.
Gastzugriff befristen und veraltete Zugriffe entfernen
Access Packages für geregelte Zuweisungen
Entitlement Management kann externe Nutzer über Access Packages Ressourcen zuweisen und den Zugriff zeitlich begrenzen. Microsoft beschreibt als Standardverhalten, dass externe Nutzer für die Anmeldung gesperrt werden, wenn sie keine Access-Package-Zuweisungen mehr haben; nach 30 Tagen wird das Gastkonto aus dem Verzeichnis entfernt. Administratoren können dieses Lebenszyklusverhalten ändern. Prüfen Sie, ob die benötigten SharePoint-, Microsoft-365-Gruppen- oder Teams-Ressourcen für Gäste aktiviert sind und ob Organisations- und Site-Einstellungen die externe Freigabe zulassen. Einzelheiten stehen in der Microsoft-Dokumentation zu Entitlement Management für externe Nutzer.
Bestehende Gäste regelmäßig überprüfen
Nicht jeder bereits vorhandene Gast wird automatisch über einen Access-Package-Prozess verwaltet. Richten Sie deshalb regelmäßige Access Reviews ein und entfernen Sie externe Nutzer, die den Ressourcenzugriff nicht mehr benötigen. Ein Gastkonto bedeutet nicht automatisch Zugriff auf den gesamten Tenant: Maßgeblich sind die zugewiesenen Ressourcen und geltenden Richtlinien. Microsofts B2B-Governance-Leitfaden beschreibt Access Reviews und das Entfernen nicht mehr benötigter externer Nutzer.
Quick Recap
Prüfliste für die zentrale Governance
- Nur die vorgesehenen Rollen können Gäste einladen.
- Erlaubte und blockierte Domänen sind in External Collaboration geprüft.
- Cross-Tenant-Regeln unterscheiden eingehenden von ausgehendem Zugriff und berücksichtigen erforderliche Partnerausnahmen.
- Benötigte Partnerdomänen sind auch in den External-Collaboration-Einstellungen erfasst.
- SharePoint- und OneDrive-Freigaben sind organisationsweit sowie für relevante Sites abgestimmt; OneDrive ist nicht freizügiger als SharePoint.
- Für geregelte externe Zusammenarbeit sind Access Packages, Befristungen und Access Reviews vorgesehen.
- Gäste ohne fortbestehenden Ressourcenzweck werden entzogen oder entfernt.
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
