Access Reviews in Microsoft 365 prüfen systematisch, wer Zugriff auf Teams, SharePoint-Bibliotheken, Sharing-Links und Gruppen hat — und entziehen Berechtigungen, die nicht mehr benötigt werden. Microsoft bietet dafür zwei separate Tools: SharePoint Advanced Management für Oversharing-Analysen und Entra ID Governance für Gruppenmitgliedschaften. Ohne regelmäßige Reviews kumulieren Berechtigungen über Monate, vergrößern die Angriffsfläche und blockieren eine saubere Copilot-Einführung.
Wenn ein IT-Administrator in einer Organisation mit hunderten von Teams und SharePoint-Seiten den Überblick über Berechtigungen behalten muss, braucht er ein strukturiertes System für Access Reviews, das Oversharing-Risiken automatisch identifiziert und gezielte Reviews an die richtigen Personen delegiert — damit sensible Dokumente nicht dauerhaft für alle zugänglich bleiben und ein Copilot-Rollout nicht an unkontrollierten Berechtigungen scheitert.
Warum sollte man Access Reviews in Microsoft 365 durchführen?
Access Reviews reduzieren die Angriffsfläche in Microsoft 365 durch das Zero-Trust-Prinzip „Least Privilege": Jede Person soll nur auf die Inhalte zugreifen können, die sie für ihre aktuelle Aufgabe tatsächlich benötigt. Ohne regelmäßige Reviews wachsen Berechtigungen im Laufe der Unternehmenszugehörigkeit systematisch — und schrumpfen kaum.
Zwei Entwicklungen verschärfen dieses Problem heute konkret. Erstens sind Phishing-Angriffe und KI-gestützte Deepfakes so professionell geworden, dass Mitarbeiter sie kaum noch erkennen: branchenspezifische Ansprache, täuschend echte Absender, kontextbezogene Inhalte. Ein kompromittiertes Konto mit kumulierten Berechtigungen richtet exponentiell mehr Schaden an als eines, das nur den aktuell notwendigen Zugriff hat. Zweitens scheitert Copilot für Microsoft 365 in der Praxis nicht daran, dass es zu wenig findet — sondern daran, dass es zu viel findet. Copilot respektiert Microsoft-365-Berechtigungen: Wenn ein Dokument für alle zugänglich ist, kann Copilot es für alle zitieren. Unbereinigtes Berechtigungschaos bedeutet, dass vertrauliche Projektdaten, Gehaltsinformationen oder Strategiepapiere plötzlich in KI-generierten Zusammenfassungen auftauchen können.
Wo liegen die Berechtigungsebenen in Microsoft 365 und Teams?
Microsoft 365 kennt mehrere Berechtigungsebenen, die unabhängig voneinander gepflegt werden müssen. Wer Access Reviews nur auf der obersten Ebene durchführt, übersieht systematisch Risiken auf den darunter liegenden Ebenen.
Teams-Mitgliederliste. Der zentrale Ausgangspunkt: Hier sind Owner und Members mit ihren Teams-Berechtigungen abgebildet. Wenn ein externer Berater das Projekt verlässt oder eine Auszubildende die Abteilung wechselt, muss die Änderung hier erfolgen.
SharePoint-Site-Berechtigungen. Jedes Team erzeugt im Hintergrund automatisch eine SharePoint Site Collection. Diese erbt zwar die Teams-Berechtigungen, verfügt aber zusätzlich über ein eigenes Berechtigungssystem. Über „Share site only" können Personen auf die SharePoint-Seite berechtigt werden, ohne in Teams aufzutauchen — und damit in der normalen Teams-Mitgliederliste unsichtbar zu bleiben.
Dokumentenbibliotheken, Ordner und einzelne Dokumente. Jede dieser Ebenen kann eigene, von der Team-Berechtigung abweichende Berechtigungen haben. In der Praxis entstehen so Berechtigungsinseln: Einzelne Dateien, die über Jahre für Personen zugänglich sind, die längst aus dem Projekt ausgeschieden sind.
Sharing-Links. Der am häufigsten unterschätzte Berechtigungskanal. Microsoft 365 kennt vier Link-Typen:
| Link-Typ | Zugriff | Wichtiges Detail |
|---|---|---|
| Anyone (anonym) | Jeder mit dem Link, intern und extern | Schneeballeffekt möglich — weiterleitbar |
| Organization | Alle internen Nutzer nach Einlösung | Kein spezifisches Ablaufdatum per Default |
| People with existing access | Keine neuen Berechtigungen | Entspricht einem kopierten Browser-URL |
| Specific people | Einzelpersonen intern und extern | Berechtigung gilt sofort — auch ohne Link-Versand |
Everyone except External Users. Diese spezielle Microsoft-Gruppe berechtigt alle internen Nutzer auf Inhalte. Sie wird auch systemseitig verwendet — etwa um ein Public Team öffentlich zu machen. Externe Dienstleister, die mit einem internen Account arbeiten, fallen unter diese Gruppe und erhalten damit Zugriff auf alle so freigegebenen Inhalte.
Wie funktionieren Access Reviews mit SharePoint Advanced Management?
SharePoint Advanced Management (SAM) ist ein Microsoft-Add-on, das Oversharing-Risiken auf Site-Ebene visualisiert und gezielte Access Reviews anstoßen kann. Es ist für 3 US-Dollar pro User und Monat erhältlich — oder ohne Zusatzkosten, wenn mindestens eine aktiv genutzte Copilot-Lizenz im Tenant vorhanden ist.
SAM stellt im SharePoint Admin Center zwei Report-Typen bereit:
Snapshot Reports zeigen eine Momentaufnahme des aktuellen Oversharing-Stands. Die Top-100-Site Collections werden nach Oversharing-Risiko sortiert: Sites mit den meisten Anyone-Links, Org-Links, Unique Permissions und Everyone-Except-Externals-Berechtigungen erscheinen oben. Der Report kann maximal einmal in 30 Tagen neu generiert werden und kann je nach Tenant-Größe mehrere Tage laufen. Für mehr als 100 Sites ist ein CSV-Export notwendig — die Weiterverarbeitung erfolgt dann vollständig manuell außerhalb der UI.
Activity Reports zeigen, welche Sharing-Links und Everyone-Except-Externals-Zuweisungen in den letzten 28 Tagen neu erstellt wurden. Das 28-Tage-Fenster ist dabei ein wichtiger Parameter: Wer Reviews häufiger als alle 28 Tage auslöst, sieht Links doppelt; wer seltener reviewt, verpasst ältere Links in diesem Report.
Aus beiden Report-Typen heraus können Administratoren per Klick einen Access Review für einzelne Site Collections anstoßen. Die Site-Owner erhalten eine E-Mail mit einer anpassbaren Nachricht, sehen in einem eigenen Portal alle Items mit geänderten Berechtigungen oder gesetzten Sharing-Links und können diese einzeln bereinigen oder bestätigen. Über „Complete Review" schließen sie den Prozess ab.
Was SAM nicht leistet: Das System prüft nicht, ob Owner den Review tatsächlich vollständig durchgeführt haben — ein Klick auf „Complete Review" schließt ihn ab, unabhängig davon, ob alle Items bearbeitet wurden. Eskalationsmechanismen, automatische Erinnerungen bei Nicht-Reaktion oder regelbasierte Archivierung bei fehlendem Review sind nicht vorhanden und müssten manuell organisiert werden. Außerdem deckt SAM nur Sharing-Links und Unique Permissions ab — nicht die regulären Gruppenmitgliedschaften der Teams.
Wie funktionieren Access Reviews mit Entra ID Governance?
Für die Überprüfung regulärer Gruppenmitgliedschaften — also wer Mitglied eines Teams oder einer Microsoft 365 Gruppe ist — bietet Microsoft Entra ID Governance ein eigenständiges Access-Review-Modul. Es ist nicht mit SharePoint Advanced Management verknüpft und erfordert eine Entra ID P2-Lizenz für alle Personen, die den Review durchführen (nicht für die Personen, die reviewt werden).
Entra ID Governance bietet für Gruppen-Reviews wesentlich mehr Konfigurationstiefe als SAM:
- Scope-Definitionen: Review aller M365-Gruppen mit Gästen, oder gezielt einzelner Gruppen; Filter auf inaktive User möglich
- Reviewer-Auswahl: Automatisch die Group Owner — oder manuell definierte Reviewer
- Wiederholungen: Einmalig, wöchentlich, monatlich, halbjährlich oder jährlich
- Nicht-Reaktion: Konfigurierbar als „keine Änderung", „Zugriff entziehen", „implizite Genehmigung" oder „Empfehlungen anwenden"
- Decision Helpers: Das System markiert Nutzer als Kandidaten zum Entfernen, wenn sie sich längere Zeit nicht angemeldet haben oder wenn ihre organisatorische Einheit nicht zur Gruppenzusammensetzung passt (User-to-Group-Affiliation)
Der Review-Prozess läuft über ein dediziertes Portal: Reviewer sehen alle Gruppenmitglieder mit der jeweiligen System-Empfehlung (Approve/Deny) und können einzeln oder als Bulk-Operation entscheiden. Die Begründungspflicht bei Änderungen ist konfigurierbar und wird auditiert.
Welche Einschränkungen haben die Microsoft-Standardlösungen?
Beide Microsoft-Tools lösen jeweils einen Teil des Access-Review-Problems — aber nicht das Gesamtproblem.
| Kriterium | SharePoint Advanced Management | Entra ID Governance |
|---|---|---|
| Abdeckung | Sharing-Links, Unique Permissions, Everyone-Gruppen | Gruppenmitgliedschaften |
| Berechtigungsebenen | SharePoint-Ebene | Teams/Gruppen-Ebene |
| Verbindung | Eigenständig, keine Verknüpfung mit Entra | Eigenständig, keine Verknüpfung mit SAM |
| Eskalation | Nicht vorhanden | Konfigurierbar |
| Vollständigkeitsprüfung | Nicht vorhanden | Nicht vorhanden |
| Top-N-Einschränkung | Top 100 Sites in der UI | Keine |
| Zeitfenster | 28 Tage (Activity Reports) | Frei konfigurierbar |
| Lizenz | SAM Add-on oder Copilot | Entra ID P2 |
Die entscheidende Lücke: Kein Tool zeigt gleichzeitig die Mitgliederliste und die SharePoint-Einzelberechtigungen einer Site an einem Ort. Wer einen vollständigen Access Review für ein Team durchführen will, muss Teams-Mitglieder in Entra ID Governance, Sharing-Links in SAM und Unique Permissions separat prüfen — mit manueller Koordination zwischen den Systemen.
Wie führe ich Access Reviews in Microsoft 365 Schritt für Schritt durch?
Eine strukturierte Vorgehensweise verhindert, dass Access Reviews zu einem einmaligen Compliance-Projekt werden und schafft einen wiederholbaren Prozess.
Schritt 1: Risiko-Inventur mit Snapshot Report
Starten Sie mit dem SharePoint-Snapshot-Report in SAM. Identifizieren Sie die Top-20-Sites nach Oversharing-Score. Das sind die Sites, bei denen die Kombination aus vielen Unique Permissions, Org-Links, Anyone-Links und großen User-Zahlen das höchste Risiko anzeigt. Ergänzen Sie die Liste mit den Teams, deren Mitglieder seit mehr als 6 Monaten nicht überprüft wurden.
Schritt 2: Access Review für hochriskante Sites anstoßen
Triggern Sie aus dem Snapshot-Report heraus Access Reviews für die Top-10-Sites. Passen Sie die Owner-E-Mail an: Erklären Sie kurz, was die Owner prüfen sollen, und geben Sie einen Link zu Ihren internen Governance-Richtlinien mit. Setzen Sie eine klare Deadline — zwei Wochen ist ein praxistauglicher Zeitraum für einen ersten Review.
Schritt 3: Gruppenmitgliedschaften in Entra ID Governance konfigurieren
Legen Sie einen wiederkehrenden Access Review für alle M365-Gruppen an, die externe Mitglieder haben — halbjährlich ist für die meisten Organisationen ein guter Startpunkt. Aktivieren Sie Decision Helpers und konfigurieren Sie „Deny" als Standardaktion bei Nicht-Reaktion, wenn Sie einen konservativeren Sicherheitsansatz verfolgen.
Schritt 4: Everyone-Except-Externals-Zuweisungen bereinigen
Prüfen Sie im Activity Report, welche Inhalte über Everyone Except Externals zugänglich sind — und welche davon tatsächlich öffentlich sein sollen. Public Teams sind ein legitimer Anwendungsfall; vertrauliche Projektdokumente sind es nicht. Ersetzen Sie Everyone-Except-Externals-Zuweisungen durch dedizierte Sicherheitsgruppen, wo immer es möglich ist.
Schritt 5: Wiederholungsintervall festlegen und kommunizieren
Access Reviews sind kein einmaliges Projekt. Definieren Sie, wie häufig welche Review-Typen stattfinden: Sharing-Links monatlich, Gruppenmitgliedschaften halbjährlich, Snapshot-Reports vierteljährlich. Kommunizieren Sie den Prozess an die Site- und Team-Owner — und stellen Sie klar, dass „Review abgeschlossen" nicht „alles genehmigt" bedeutet.
Häufig gestellte Fragen zu Access Reviews in Microsoft 365
-
Warum reicht es nicht, nur die Teams-Mitgliederliste zu prüfen?
Die Teams-Mitgliederliste zeigt nur die direkte Gruppenmitgliedschaft. Über „Share site only" können Personen auf SharePoint berechtigt werden, ohne in Teams aufzutauchen. Einzelne Bibliotheken, Ordner und Dokumente können eigene Berechtigungen haben. Sharing-Links gewähren Zugriff unabhängig von der Mitgliedschaft. Ein vollständiger Access Review muss alle vier Ebenen abdecken.
-
Wer braucht eine Entra ID P2-Lizenz für Access Reviews?
Die Entra ID P2-Lizenz wird für die Personen benötigt, die den Access Review durchführen — also die Reviewer und Administratoren, die den Prozess konfigurieren. Die Personen, deren Mitgliedschaften reviewt werden, benötigen diese Lizenz nicht. Einzelne erweiterte Funktionen innerhalb von Access Reviews erfordern darüber hinaus die Entra ID Governance- oder Entra ID Suite-Lizenz.
-
Was passiert, wenn ein Owner auf den Access Review nicht reagiert?
In SharePoint Advanced Management passiert ohne manuelle Nachverfolgung durch den Administrator nichts. In Entra ID Governance können Sie konfigurieren, was bei Nicht-Reaktion geschehen soll: Keine Änderung, automatischer Zugriffsentzug, implizite Genehmigung oder Anwendung der System-Empfehlungen. Welche Option sinnvoll ist, hängt von Ihrer Risikotoleranz und der Sensibilität der jeweiligen Inhalte ab.
-
Wie oft sollten Access Reviews durchgeführt werden?
Eine praxistaugliche Grundregel: Sharing-Link-Reviews monatlich für hochriskante Sites, Gruppen-Mitgliedschafts-Reviews halbjährlich, Snapshot-Reports quartalsweise. Für Teams mit externen Mitgliedern oder besonders sensiblen Inhalten empfehlen sich kürzere Intervalle. Wichtiger als die genaue Frequenz ist die Konsistenz — ein Review, der tatsächlich halbjährlich stattfindet, ist wertvoller als ein geplanter monatlicher Review, der nie ausgeführt wird.
-
Was ist der Unterschied zwischen SharePoint Advanced Management und Entra ID Governance für Access Reviews?
SharePoint Advanced Management deckt Oversharing-Risiken auf Inhaltsebene ab: Sharing-Links, Unique Permissions auf Bibliotheken, Ordner und Dokumente sowie Everyone-Except-Externals-Zuweisungen. Entra ID Governance deckt Gruppenmitgliedschaften ab: Wer ist Owner oder Member eines Teams oder einer M365-Gruppe? Beide Tools sind voneinander unabhängig und lösen unterschiedliche Teile des Gesamtproblems. Einen vollständigen Access Review benötigen Sie für beide Ebenen.
-
Prüft das System, ob der Owner den Review wirklich vollständig durchgeführt hat?
Nein. In SharePoint Advanced Management kann ein Owner den Review als abgeschlossen markieren, ohne alle Items durchgegangen zu sein. Das System überprüft die Vollständigkeit nicht. Die Verantwortung für einen gewissenhaften Review liegt beim Owner selbst. Wenn Sie sicherstellen wollen, dass Reviews tatsächlich vollständig durchgeführt werden, benötigen Sie einen übergeordneten Prozess mit Admin-Kontrolle oder ein Tool, das diese Prüfung übernimmt.
Fazit
Access Reviews in Microsoft 365 sind kein einmaliges Compliance-Projekt zum Abhaken — sie sind ein kontinuierlicher Prozess, der Berechtigungen mit der aktuellen Realität in Einklang hält. Microsoft bietet SharePoint Advanced Management und Entra ID Governance als zwei separate Tools, jedes für sich funktional, aber nicht miteinander verknüpft. Wer beide Ebenen — Inhalte und Gruppenmitgliedschaften — in einem strukturierten Prozess zusammenführen will, nach Risikoklassifikation priorisiert, ohne Owner mit vollständigen Site-Listen zu überfordern, stößt schnell an die Grenzen der Microsoft-Standardtools.
Jetzt Demo vereinbaren: Sehen Sie, wie Valprovia Access Reviews mit automatischer Risikoklassifikation, vollständiger Berechtigungsübersicht über alle Ebenen und einem fokussierten Blick auf tatsächliche Problemfälle durchführt.
Vereinbaren Sie einen Termin mit Valprovia, um Lösungen für Microsoft-365-Governance, Automatisierung und Compliance zu erkunden. Sofortige Bestätigung.
