Microsoft Teams Gastzugriff sicher steuern

Gastzugang in Microsoft 365

Wer externe Personen sicher in Microsoft Teams einbinden möchte, sollte zunächst unterscheiden, welche Art von Benutzer Zugriff erhält. Microsoft definiert Gäste als externe Benutzer, die über Microsoft Entra ID eingeladen und verwaltet werden. Dabei nutzen sie in der Regel eine bereits vorhandene digitale Identität und erhalten gezielten Zugriff auf freigegebene Ressourcen innerhalb der eigenen Microsoft 365 Umgebung.

Abgrenzung von Gästen und externen Mitarbeitern

Im Unternehmensalltag werden unterschiedliche externe Benutzer häufig unter einem Begriff zusammengefasst. Microsoft unterscheidet hier genauer: Ein Gast ist eine Person außerhalb der eigenen Organisation, die beispielsweise mit einem Microsoft-Konto, Google-Konto oder einer Unternehmensidentität eingebunden wird. Je nach Freigabe kann sie anschließend auf Microsoft Teams, SharePoint Online, OneDrive, Planner oder To Do zugreifen. Die Identität wird dabei nicht vollständig durch die eigene Organisation verwaltet, sondern für die Zusammenarbeit eingebunden.

Verwaltung externer Benutzer mit Microsoft Entra B2B

Die technische Grundlage für die Einladung und Verwaltung von Gästen bildet Microsoft Entra B2B. Darüber können externe Benutzer eingeladen sowie deren Zugriffsrechte kontrolliert werden. Zusätzlich lassen sich Nutzungsbedingungen integrieren und Berechtigungen zeitlich begrenzen. Damit stellt Microsoft Entra B2B zentrale Funktionen bereit, um organisationsübergreifende Zusammenarbeit strukturiert zu verwalten.

Unterscheidung von Gastzugriff und External Sharing

Microsoft Entra B2B und External Sharing sollten nicht gleichgesetzt werden. Funktionen wie Kalenderfreigaben oder die Anzeige des Präsenzstatus gehören zum External Sharing und sind technisch unabhängig von Microsoft Entra B2B. Für ein ganzheitliches Konzept zur externen Zusammenarbeit müssen deshalb sowohl die eigentlichen Gastzugriffe als auch weitere Freigabemöglichkeiten berücksichtigt werden.

Voraussetzungen für eine sichere externe Zusammenarbeit

Damit Gäste effektiv und sicher mit Microsoft 365 arbeiten können, müssen drei zentrale Voraussetzungen erfüllt sein: Der technische Zugriff auf die benötigten Anwendungen muss gewährleistet sein, die Identität des Benutzers muss eindeutig feststehen und die vergebenen Berechtigungen müssen kontrolliert werden. Erst das Zusammenspiel dieser Bereiche schafft die Grundlage für einen sicheren Microsoft Teams Gastzugriff.

Technische Zugriffssteuerung

Gäste müssen Anwendungen wie Microsoft Teams oder SharePoint auch über eigene Geräte oder aus externen Netzwerken erreichen können. Da Microsoft 365 cloudbasiert und grundsätzlich weltweit erreichbar ist, sollten Unternehmen den Zugriff mit klaren Sicherheitsregeln absichern. Über Conditional Access können beispielsweise Zugriffe anhand von IP-Adressen, Gerätestatus oder Standorten eingeschränkt und nicht verwaltete Geräte bei Bedarf blockiert werden.

Verwaltung externer Identitäten

Eine eindeutige digitale Identität ist Voraussetzung für den Gastzugriff. Microsoft Entra ID unterstützt dafür unter anderem Unternehmenskonten aus anderen Entra Mandanten, Microsoft Konten sowie Identitäten von Drittanbietern. Beim sogenannten Bring Your Own Identity Ansatz nutzt der Gast seine bereits vorhandene Identität. Das reduziert den Verwaltungsaufwand für das einladende Unternehmen, kann jedoch die Transparenz über die externe Identität erschweren.

Nachvollziehbare Berechtigungen

Ein kontrolliertes Berechtigungsmanagement entscheidet darüber, auf welche Inhalte und Ressourcen externe Benutzer tatsächlich zugreifen dürfen. Dazu gehören klar definierte Rollen und Rechte, zeitlich begrenzte Berechtigungen, regelmäßige Zugriffsüberprüfungen sowie die Protokollierung von Änderungen. Microsoft Entra ID stellt hierfür entsprechende Funktionen bereit, die jedoch gezielt konfiguriert und in die eigenen Prozesse eingebunden werden müssen.

Managed Identity und Bring Your Own Identity im Vergleich

Bei der Verwaltung von Identitäten unterscheiden sich klassische On-Premises Umgebungen und moderne Cloud Szenarien deutlich. Während Benutzerkonten bei einer Managed Identity vollständig durch die eigene Organisation verwaltet werden, bringen Gäste beim Bring Your Own Identity Ansatz ihre bereits vorhandene digitale Identität mit. Beide Modelle haben unterschiedliche Auswirkungen auf Administration und Kontrolle.

Zentrale Kontrolle mit Managed Identity

In klassischen On-Premises Umgebungen werden Identitäten zentral über das lokale Active Directory verwaltet. Die Organisation übernimmt dabei die Erstellung und Pflege der Benutzerkonten, die Passwortverwaltung, die Pflege von Attributen und Rollen sowie die Sperrung oder Löschung eines Kontos beim Austritt. Dieses Modell bietet eine hohe Kontrolle über die Identitäten, ist jedoch mit entsprechendem administrativem Aufwand verbunden.

Identitäten mit BYOI

Beim Bring Your Own Identity Ansatz bringt ein Gast seine bestehende Identität mit. Die Anmeldung kann beispielsweise über ein Microsoft Konto, Google Login oder ein Unternehmenskonto in Microsoft Entra ID erfolgen. Das einladende Unternehmen muss kein eigenes Benutzerkonto bereitstellen, sondern verwaltet den Gasteintrag über Microsoft Entra B2B und legt die erforderlichen Zugriffsrechte fest. Dadurch entfallen unter anderem die Kontoerstellung und der Passwortversand, während Gäste ihre gewohnten Zugangsdaten verwenden können. Das beschleunigt das Onboarding und reduziert den administrativen Aufwand für die IT.

Kontrolle und Sicherheit bei BYOI

Die geringere administrative Belastung bringt auch Herausforderungen mit sich. Unternehmen haben weniger Kontrolle über die Authentifizierungsmethoden externer Identitäten und sind teilweise von der jeweiligen Identitätsquelle des Gastes abhängig. Fehlende Übersichten oder unklare Prozesse können zusätzliche Risiken verursachen. BYOI sollte deshalb mit klaren Richtlinien und Sicherheitsmaßnahmen wie Conditional Access und Multi Faktor Authentifizierung kombiniert werden.

Rechtliche Grundlagen für die Zusammenarbeit mit Gästen

Neben der technischen Absicherung müssen bei der Zusammenarbeit mit externen Personen auch rechtliche und organisatorische Rahmenbedingungen berücksichtigt werden. Insbesondere bei organisationsübergreifenden Projekten sollten Zugriffsrechte, Datennutzung und Verantwortlichkeiten eindeutig geregelt sein. Die rechtliche Grundlage sollte deshalb bereits geklärt werden, bevor Gäste technisch in Microsoft 365 eingebunden werden.

Vertragliche Rahmenbedingungen

Die Zusammenarbeit mit externen Personen oder Organisationen sollte durch geeignete vertragliche Regelungen abgesichert werden. Dazu gehören insbesondere der Zweck sowie Beginn und Ende der Zusammenarbeit, Rollen und Verantwortlichkeiten, Haftungs- und Datenschutzfragen sowie Anforderungen an Informationssicherheit und Vertraulichkeit, beispielsweise über entsprechende Vertraulichkeitsvereinbarungen. Je nach Szenario sollten IT, Datenschutzbeauftragte und beteiligte Fachbereiche frühzeitig eingebunden werden.

Datenschutz bei externen Identitäten

Werden bei der Zusammenarbeit personenbezogene Daten beispielsweise über SharePoint oder Planner verarbeitet, müssen die Anforderungen der Datenschutz-Grundverordnung berücksichtigt werden. Unternehmen sollten klären, in welchem Umfang personenbezogene Daten verarbeitet werden, wer im Sinne der DSGVO verantwortlich ist und welche technischen und organisatorischen Maßnahmen gelten. Über Microsoft Entra ID lassen sich zudem Terms of Use einbinden, denen Gäste bei der Anmeldung zustimmen müssen.

Steuerung von Partnern

Ein möglicher Ansatz ist die Pflege eines Verzeichnisses mit Partnerunternehmen, für die eine externe Zusammenarbeit grundsätzlich zugelassen ist. Eine solche Whitelist kann beispielsweise für automatisierte Prüfungen beim Onboarding, zur Einschränkung von Self Service Anmeldungen oder als Bestandteil der Conditional Access Konfiguration verwendet werden. Dadurch lässt sich der Kreis möglicher Gäste gezielt kontrollieren, ohne die Zusammenarbeit unnötig einzuschränken.

Sicheres Gast Onboarding in Microsoft 365

Bevor externe Personen auf Inhalte und Anwendungen innerhalb einer Microsoft 365 Umgebung zugreifen können, müssen sie als Gäste eingeladen und korrekt eingebunden werden. Dieses Gast Onboarding ist ein zentraler Bestandteil einer sicheren und effizienten Zusammenarbeit. Microsoft Entra ID bietet dafür unterschiedliche Möglichkeiten - von der direkten Einladung einzelner Gäste bis hin zu strukturierten Self-Service-Prozessen mit Genehmigung.

Einladung von Gästen

Bei der direkten Einladung lädt ein autorisierter Benutzer, beispielsweise ein Team Owner oder Administrator, eine externe Person per E-Mail ein. Der Gast authentifiziert sich anschließend mit seiner bestehenden digitalen Identität, etwa über Microsoft, Google oder ein Entra ID Konto. Dieses Vorgehen ist schnell und eignet sich insbesondere für Einzelfälle oder kleinere Projekte. Gleichzeitig besteht das Risiko, dass zentrale Prüfungen oder Genehmigungsschritte fehlen und interne Vorgaben beim Einladungsprozess umgangen werden.

Self-Service Onboarding mit Genehmigungen

Über Access Packages in Microsoft Entra ID können Unternehmen Self-Service-Prozesse für den Gastzugriff bereitstellen. Externe Personen fordern ihren Zugriff selbst an, anschließend durchläuft die Anfrage einen definierten Genehmigungsprozess. Nach der Freigabe werden die vorgesehenen Rollen und Berechtigungen automatisch zugewiesen. Dieser Ansatz ist besonders für größere Organisationen oder standardisierte Partnerschaften geeignet und lässt sich mit Ablaufdaten, Nutzungsbedingungen und Zugriffsüberprüfungen kombinieren.

Transparente Zugriffsverwaltung

Neben dem eigentlichen Onboarding stellt Microsoft 365 weitere Möglichkeiten bereit, um Gastzugriffe kontrolliert zu verwalten. Dazu gehören Nutzungsbedingungen mit verpflichtender Zustimmung, dynamische Gruppen für die automatische Rollenzuweisung sowie Audit Logs und Protokolle zur Nachverfolgung von Aktivitäten und Änderungen. Dadurch können Unternehmen Gastzugriffe nachvollziehen und gegenüber IT-Security, Datenschutz und Compliance belastbar Auskunft geben.

Erhöhung der Sicherheit durch Ablaufdaten und Zugriffsüberprüfungen

Gastzugriffe sollten nicht dauerhaft bestehen bleiben, wenn sie für die Zusammenarbeit nicht mehr benötigt werden. In der Praxis behalten externe Personen jedoch häufig auch nach dem Ende eines Projekts Zugriff auf Teams, Dateien oder SharePoint Websites. Ändern sich Projektkontext oder Teamstruktur, können solche veralteten Berechtigungen zu einem Sicherheitsrisiko werden.

Vermeidung von dauerhaften Gastzugriffe

Standardmäßig bleibt der Zugriff eines eingeladenen Gastes bestehen, bis dieser manuell entzogen wird. Dadurch können ehemalige Projektpartner noch Monate später auf Inhalte zugreifen oder sensible Informationen weiterhin einsehen. Gleichzeitig geht schnell der Überblick darüber verloren, welche externen Personen aktuell auf welche Ressourcen zugreifen können. Insbesondere bei vertraulichen Daten oder in regulierten Branchen kann dies sicherheitsrelevante und rechtliche Folgen haben.

Automatisierte Überprüfung von Berechtigungen

Mit Microsoft Entra Entitlement Management lassen sich Gastzugriffe automatisiert verwalten. Über definierte Ablaufdaten endet eine Berechtigung nach einem festgelegten Zeitraum automatisch. Ergänzend können regelmäßige Zugriffsreviews eingesetzt werden, bei denen Verantwortliche prüfen, ob ein Gast den jeweiligen Zugriff weiterhin benötigt. Die Berechtigung kann anschließend bestätigt, verlängert oder entzogen werden. Auch Self Service Prozesse für Verlängerungen lassen sich integrieren, sodass Gäste eine Verlängerung beantragen können, die anschließend geprüft wird.

Automatische Beendigung von Projektzugriffen

Ein typisches Beispiel ist ein externer Entwickler, der für ein dreimonatiges Projekt eingebunden wird. Über ein Access Package wird der Zugriff von Beginn an auf 90 Tage begrenzt und endet anschließend automatisch. Wird das Projekt verlängert, kann der Gast eine Verlängerung beantragen, die vom zuständigen Projektleiter bestätigt werden muss. So bleiben Gastzugriffe flexibel, ohne dass daraus unkontrollierte dauerhafte Berechtigungen entstehen.

Gastzugriffe mit Multi Faktor Authentifizierung

Externe Gäste greifen häufig mit einer bereits bestehenden digitalen Identität auf die Microsoft 365 Umgebung zu. Das erleichtert die Zusammenarbeit, bedeutet jedoch auch, dass die einladende Organisation weniger Einfluss darauf hat, wie sicher sich diese Personen bei ihrem eigenen Identitätsanbieter authentifizieren. Gerade beim Zugriff auf sensible Informationen sollte deshalb eine zusätzliche Absicherung vorgesehen werden.

Sicherheitsrisiken externer Identitäten

Beim Bring Your Own Identity Ansatz ist das Sicherheitsniveau der externen Identität nicht vollständig durch die eigene Organisation kontrollierbar. Mögliche Risiken sind beispielsweise unsichere Passwörter, fehlender Virenschutz oder die Nutzung privater statt verwalteter Endgeräte. Insbesondere bei Teams und Bereichen mit sensiblen Informationen können dadurch zusätzliche Schwachstellen entstehen.

Multi-Faktor-Authentifizierung für Gäste

Microsoft Entra ID ermöglicht es, für externe Benutzer eine zusätzliche Authentifizierungsebene zu verlangen. Über Conditional Access Policies kann beispielsweise festgelegt werden, dass Gäste eine Multi Faktor Authentifizierung durchführen müssen. Darüber hinaus können Anforderungen an registrierte Geräte definiert oder Zugriffe aus bestimmten Ländern und IP-Bereichen eingeschränkt werden. So reicht die alleinige Anmeldung mit E-Mail-Adresse und Passwort nicht aus, um auf geschützte Unternehmensdaten zuzugreifen.

MFA mit weiteren Schutzmaßnahmen

Im ursprünglichen Artikel wird empfohlen, MFA bei externen Zugriffen als Mindeststandard einzusetzen, insbesondere wenn Dateien, Kommunikationsdaten oder personenbezogene Informationen betroffen sind. Zusätzlichen Schutz bietet die Kombination mit zeitlich begrenzten Berechtigungen und regelmäßigen Zugriffsreviews. Auf diese Weise werden sowohl die Anmeldung als auch die Dauer des Gastzugriffs kontrolliert.

Individuelle Nutzungsbestimmungen für Gäste

Neben vertraglichen Vereinbarungen wie Vertraulichkeits- oder Datenschutzregelungen können Unternehmen zusätzliche Nutzungsbestimmungen direkt in das Gast Onboarding integrieren. Microsoft Entra ID ermöglicht es, solche Vorgaben beim Anmeldeprozess bereitzustellen und die Zustimmung des Gastes nachvollziehbar zu dokumentieren, bevor dieser Zugriff auf die Microsoft 365 Umgebung erhält.

Nutzungsbedingungen in Microsoft Entra

Mit Microsoft Entra Terms of Use können Unternehmen individuelle Richtlinien und Hinweise beim Login anzeigen. Dazu zählen beispielsweise Datenschutzhinweise, projektbezogene Vertraulichkeitserklärungen, IT-Sicherheitsrichtlinien, Verhaltensregeln oder Vorgaben zur Einhaltung bestimmter Compliance Anforderungen. Der Gast muss den Bedingungen aktiv zustimmen, bevor der Zugriff gewährt wird. Die Zustimmung wird mit Zeitstempel und der jeweiligen Version der Bedingungen dokumentiert.

Zielgruppenspezifische Steuerung der Nutzungsbedingungen

Die Nutzungsbedingungen können gezielt für unterschiedliche Benutzergruppen und Zugriffsszenarien bereitgestellt werden. So lassen sich beispielsweise Vorgaben nur für externe Gäste bestimmter Domains, für den Zugriff auf ausgewählte Anwendungen wie Microsoft Teams oder Planner oder abhängig von Zugehörigkeit und Zugriffsebene definieren. Die entsprechende Zuweisung kann über Conditional Access Policies gesteuert werden.

IT-Richtlinien für das Gast Onboarding

Werden Nutzungsbedingungen unmittelbar in den Gastzugang integriert, wird die Einhaltung zentraler Vorgaben Bestandteil des Onboarding Prozesses. Fachbereiche müssen die notwendigen Regelungen dadurch nicht separat einholen oder kommunizieren. Ein zentral gesteuerter Prozess unterstützt dabei, Compliance-Verstöße zu reduzieren und klare Rahmenbedingungen für interne und externe Beteiligte zu schaffen.