Gastzugang oder Freigabelink? Externe Dateifreigaben in Microsoft 365 kontrollieren

Ein einzelnes Dokument für bekannte Empfänger lässt sich in Microsoft 365 in der Regel sinnvoll über einen Link für bestimmte Personen freigeben. Werden dagegen mehrere Unterlagen über längere Zeit gemeinsam bearbeitet, ist ein abgegrenzter SharePoint- oder Teams-Bereich mit authentisierten Gästen meist besser steuerbar. Anonyme Links sollten eine begründete Ausnahme für Inhalte mit geringem Schutzbedarf bleiben.

Die technisch schnellste Freigabe ist nicht automatisch die organisatorisch passende. Vor der Entscheidung sollten vier Punkte geklärt sein: Schutzbedarf, Dauer, Umfang der Zusammenarbeit und fachliche Verantwortung. Ebenso wichtig ist das Ende: Eine Freigabe ist nur vollständig geplant, wenn Prüftermin, Ablauf oder Projektende und der spätere Entzugsweg feststehen.

Identität, Berechtigung und Ablageort getrennt betrachten

Im Alltag werden Gastzugang, Freigabelink und Projektbereich häufig gleichgesetzt. Tatsächlich beschreiben sie unterschiedliche Ebenen:

1. Externe Identität: Ein Gastkonto steht für eine authentisierte externe Person. Das Konto allein legt nicht fest, welche Inhalte diese Person sehen oder bearbeiten darf.
2. Berechtigungsweg: Zugriff kann über einen Freigabelink, eine direkte Berechtigung oder die Mitgliedschaft in einer Gruppe, Website oder einem Team entstehen.
3. Ablage- und Arbeitsbereich: Eine einzelne Datei kann gezielt freigegeben werden. Für eine fortlaufende Zusammenarbeit ist ein gemeinsam verantworteter SharePoint- oder Teams-Bereich meist übersichtlicher als eine wachsende Sammlung einzelner Links.

Diese Trennung wird spätestens beim Entzug wichtig. Das Löschen eines Links beendet keine Gruppenmitgliedschaft. Umgekehrt beseitigt das Entfernen eines Gastkontos keine anonymen Links, die unabhängig von dieser Identität funktionieren.

Entscheidungshilfe nach Austauschfall

Die folgende Matrix ist eine fachliche Orientierung für kleinere und mittlere Unternehmen, keine allgemeingültige Microsoft-Vorgabe. Vorhandene interne Regeln, vertragliche Pflichten und gesetzliche Anforderungen gehen vor.

Drei typische Fälle verdeutlichen die Auswahl:

• Einmalige Dokumentübergabe: Sind die Empfänger bekannt, begrenzt ein Link für bestimmte Personen den Zugriff nachvollziehbarer als ein anonymer Link. Bearbeitungsrechte sind nicht erforderlich, wenn das Dokument nur gelesen werden soll.
• Befristetes Projekt: Mehrere Dateien, wechselnde Arbeitsstände und verschiedene Beteiligte sprechen für einen eigenen Arbeitsbereich. Das Projektende sollte zugleich das Ereignis für die Überprüfung aller Mitgliedschaften und Freigaben sein.
• Dauerhafte Partnerschaft: Ein strukturierter Bereich ist einer Ansammlung unbefristeter Einzellinks vorzuziehen. „Dauerhaft“ bedeutet jedoch nicht „ungeprüft“: Verantwortlichkeit und wiederkehrende Kontrolle bleiben notwendig.

Personenbezogener Link als Normalfall, anonymer Link als Ausnahme

Ein Link für bestimmte Personen ist für ausgewählte Empfänger vorgesehen und setzt eine entsprechende Identitätsprüfung voraus. Er eignet sich deshalb als nachvollziehbarer Standard für normale Geschäftsdokumente, sofern keine interne Regel einen anderen Weg verlangt. Dabei gilt das Prinzip der geringsten erforderlichen Berechtigung: Lesen genügt, wenn keine Bearbeitung nötig ist.

Ein „Jeder mit dem Link“-Link funktioniert anders. Er kann weitergegeben und von Personen genutzt werden, die ursprünglich nicht als Empfänger vorgesehen waren. Die tatsächliche Person oder deren Domain lässt sich über den anonymen Link selbst nicht zuverlässig auf einen vorab bestimmten Kreis begrenzen.

Das macht anonyme Links nicht unter allen Umständen unzulässig. Sie können vertretbar sein, wenn der Inhalt nach der internen Einstufung nur geringen Schutzbedarf hat, Empfänger nicht sinnvoll namentlich festgelegt werden können und eine Authentisierung dem legitimen Zweck unverhältnismäßig entgegenstünde. Dann sollten Inhalt, Gültigkeit und Rechte möglichst eng begrenzt werden. Die Möglichkeit, den Link später zu widerrufen, ersetzt nicht die sorgfältige Auswahl der freigegebenen Daten.

Wann ein Gastzugang sinnvoller ist

Ein authentisierter Gastzugang passt zu echter Zusammenarbeit: Eine externe Person greift wiederholt auf einen definierten Arbeitsbestand zu, bearbeitet Unterlagen oder arbeitet über einen festgelegten Zeitraum in einem Projekt mit.

Der Gastzugang ist dabei nur die Identität. Der SharePoint- oder Teams-Bereich bildet den Arbeitskontext, während Freigaben und Mitgliedschaften die konkreten Berechtigungen erzeugen. Ein vorhandenes Gastkonto verschafft daher nicht automatisch Zugriff auf alle extern freigegebenen Inhalte.

Für die Ablage hilft eine organisatorische Abgrenzung:

OneDrive passt eher, wenn eine einzelne Person den Vorgang fachlich verantwortet, nur wenige genau bezeichnete Dateien betroffen sind und der Austausch kurzzeitig bleibt.

Ein gemeinsam verantworteter SharePoint- oder Teams-Bereich passt eher, wenn mehrere interne Personen beteiligt sind, Externe wiederholt zugreifen oder Vertretung, Übergabe und Projektabschluss unabhängig von einer einzelnen Person funktionieren müssen.

Technische Leitplanken im Mandanten

Microsoft 365 bietet verschiedene Ebenen, um externe Freigaben zu begrenzen. Dazu gehören organisationsweite Einstellungen, restriktivere Einstellungen für einzelne Websites, festgelegte Standard-Linktypen, Ablaufregelungen, Domainbeschränkungen und die Beschränkung der Freigabemöglichkeit auf ausgewählte Benutzergruppen. Auf Inhaltsebene lässt sich außerdem zwischen Lese- und Bearbeitungsrechten unterscheiden.

Eine erlaubte Partnerdomain ersetzt jedoch nicht die Auswahl der tatsächlich benötigten Personen. Sie begrenzt einen organisatorischen Rahmen, nicht den fachlichen Bedarf einzelner Zugriffe.

Welche Optionen verfügbar und bereits gesetzt sind, muss in der jeweiligen Microsoft-365-Umgebung geprüft werden. Oberflächen, Richtlinien und technische Voraussetzungen können sich unterscheiden. Deshalb ersetzt diese Orientierung keine mandantenbezogene Konfigurationsprüfung und keine konkrete Klickanleitung.

Checkliste: Eine Freigabe mit geplantem Ende einrichten

• [ ] Geschäftlichen Zweck benennen.
• [ ] Schutzbedarf nach den internen Vorgaben prüfen.
• [ ] Empfänger oder zulässigen Empfängerkreis bestimmen.
• [ ] Einmaligen Austausch von fortlaufender Zusammenarbeit unterscheiden.
• [ ] Persönliche oder gemeinsam verantwortete Ablage bewusst auswählen.
• [ ] Link für bestimmte Personen, Gastzugang oder begründete anonyme Ausnahme festlegen.
• [ ] Nur erforderliche Lese- oder Bearbeitungsrechte vergeben.
• [ ] Gültigkeitsende, Projektende oder ein anderes Prüfereignis bestimmen.
• [ ] Fachlichen Eigentümer auf Unternehmensseite benennen.
• [ ] Prüftermin beziehungsweise Prüfanlass dokumentieren.
• [ ] Festhalten, über welchen Berechtigungsweg der Zugriff später entfernt wird.

Bestehende Freigaben prüfen

Es gibt keinen allgemeingültigen Kontrollrhythmus für jedes Unternehmen. Sinnvoll ist eine Prüfung bei konkreten Ereignissen wie Projektende oder Partnerwechsel, ergänzt um eine intern festgelegte wiederkehrende Kontrolle nach Schutzbedarf.

Dabei sollten folgende Fragen beantwortet werden:

• [ ] Besteht der geschäftliche Zweck noch?
• [ ] Sind alle externen Personen weiterhin beteiligt?
• [ ] Werden alle freigegebenen Inhalte noch benötigt?
• [ ] Genügt Leserecht, obwohl Bearbeitungsrecht vergeben wurde?
• [ ] Existieren zusätzlich anonyme Links?
• [ ] Bestehen direkte Rechte auf Dateien, Ordner oder Bereiche?
• [ ] Entsteht Zugriff über Gruppen-, Team- oder Website-Mitgliedschaften?
• [ ] Ist ein vorhandenes Ablaufdatum noch passend?
• [ ] Ist der eingetragene fachliche Eigentümer weiterhin zuständig?
• [ ] Wurden inzwischen Dateien abgelegt, die nicht für Externe bestimmt sind?

Wenn Freigaben historisch gewachsen sind oder eine einheitliche Regel für Benutzer, Gruppen, Websites und externe Zugriffe fehlt, kann eine strukturierte Prüfung der Umgebung sinnvoll sein. netzmal unterstützt im Bereich Cloud Native und Microsoft 365 bei der Strukturierung von Benutzern, Gruppen, Freigaben und Richtlinien sowie bei der laufenden Betreuung veränderter Berechtigungen.

Zugriff vollständig beenden

Eine einzelne Administrationshandlung bietet keine Gewähr dafür, dass sämtliche Zugriffswege beendet sind. Der Entzug sollte deshalb in einer festen Reihenfolge erfolgen:

1. Umfang feststellen: Betroffene Dateien, Ordner, Websites, Teams-Bereiche und externe Personen erfassen.
2. Freigabelinks widerrufen: Anonyme und personenbezogene Links prüfen und nicht mehr benötigte Links entfernen.
3. Direkte Berechtigungen entfernen: Kontrollieren, ob unabhängig von Links Rechte auf Dateien, Ordner oder Bereiche vergeben wurden.
4. Mitgliedschaften beenden: Die Person aus den betreffenden Gruppen, Teams und Website-Mitgliedschaften entfernen.
5. Gastkonto gesondert bewerten: Zuerst prüfen, ob die Identität noch für eine andere berechtigte Zusammenarbeit benötigt wird. Nur ohne verbleibenden legitimen Zweck kommt ihre Entfernung infrage.
6. Weitere Zugriffspfade kontrollieren: Sicherstellen, dass kein anderer Link, keine direkte Berechtigung und keine Gruppenmitgliedschaft fortbesteht.
7. Abschluss dokumentieren: Zeitpunkt, betroffene Bereiche, verantwortliche Person und Prüfergebnis festhalten.

Ein abgelaufener Link beendet also nicht zwingend jeden Zugriff. Ebenso wenig entfernt das Löschen eines Gastkontos unabhängig nutzbare anonyme Links.

Anpassbares Muster für eine interne Mindestregel

> Externe Dateifreigaben erfolgen grundsätzlich an benannte Personen und mit den geringsten erforderlichen Rechten. Anonyme Links benötigen eine begründete Ausnahme und eine begrenzte Gültigkeit. Für wiederkehrende Zusammenarbeit wird ein gemeinsam verantworteter Bereich mit authentisierten externen Personen verwendet. Jede Freigabe erhält einen fachlichen Eigentümer sowie ein definiertes Prüf- oder Endereignis. Nach Ende des Zwecks werden Links, direkte Berechtigungen, Mitgliedschaften und gegebenenfalls nicht mehr benötigte Gastkonten getrennt geprüft und entfernt.

Dieses Muster ist eine redaktionelle Orientierung, keine unverändert zu übernehmende Richtlinie. Es muss an Schutzklassifizierung, Zuständigkeiten, Verträge und rechtliche Anforderungen des jeweiligen Unternehmens angepasst werden.