Was bedeutet externer Zugriff?
Externer Zugriff in Microsoft Teams ermöglicht die Zusammenarbeit mit Personen außerhalb der eigenen Organisation. Technisch gibt es zwei Varianten: Guest Access und External Access. Externe Nutzer arbeiten mit ihrem eigenen Unternehmensaccount — neue Konten sind nicht nötig. Das spart Lizenzkosten und verbessert die User Experience.
Ein offener externer Zugriff ohne klar definierte Prozesse birgt allerdings erhebliche Risiken. Unternehmen verlieren die Kontrolle über ihre Daten, sobald Externe diese weitergeben können. Laut der Teams Governance Studie 2022 der HdM Stuttgart entfernen 71% der befragten Unternehmen externe Nutzer manuell aus Teams — Automatisierung fehlt vielerorts.
Differenzierung: externer Zugriff vs. Gastzugriff
Externer Zugriff bedeutet, dass externe Nutzer Zugriff auf die Domäne erhalten und mit internen Nutzern im Teams-Chat kommunizieren. Dateien außerhalb des Chats bleiben für sie unzugänglich. Das Teilen von Dokumenten im privaten Chat lässt sich unterbinden.
Gastzugriff lädt externe Nutzer direkt in ein Team ein und gewährt Zugriff auf dort abgelegte Daten. Im Fokus dieses Artikels steht der Gastzugriff.
Möglichkeiten zur Konfiguration externer Zugriffe
Microsoft Entra ID
Im Entra-ID-Portal (früher Azure AD) lassen sich Gäste verwalten und neue hinzufügen. Im Bereich 'Externe Identitäten' entscheiden Administratoren, ob Team-Besitzer und Mitglieder selbst Gäste einladen dürfen.
Microsoft Teams Admin Center
Mit dem Gastzugriff-Regler in den organisationsweiten Einstellungen lassen sich externe Nutzer in alle Teams einladen. Über die Konfiguration nutzbarer Features hinaus fehlen im Microsoft-Standard aber weitere Steuerungsmöglichkeiten.
Microsoft 365 Admin Center
Unter 'Security & Compliance' lässt sich die externe Freigabe aktivieren. In den Office-365-Gruppeneinstellungen ('Dienste' und 'Add-Ins') gibt es zwei Optionen:
- Vollzugriff für Gäste
- Berechtigung für Team-Owner, Externe einzuladen
Wird die zweite Option nicht aktiviert, müssen alle Gäste manuell im AD und in den einzelnen Gruppen ergänzt werden.
SharePoint Admin Center
Hier lassen sich externe Berechtigungen aus Azure übernehmen oder separat verwalten. Die Wahl zwischen 'nur vorhandene Gäste' und 'Jeder' bestimmt, ob auch anonyme Nutzer auf SharePoint Sites zugreifen können.
Verwaltung externer Nutzer
Externe Nutzer müssen sorgfältig verwaltet werden. Nach Abschluss der Zusammenarbeit gehören sie zeitnah aus Teams entfernt. Bleiben sie unnötig lang Mitglied, entstehen Sicherheitsrisiken durch unkontrollierten Datenzugriff.
Häufige Probleme
- Projektmitarbeitende vergessen: Nach Projektabschluss kümmert sich niemand um Archivierung oder Mitgliederverwaltung.
- Chatverlauf bleibt zugänglich: Externe haben dauerhaften Zugriff auf Kommunikationshistorien.
- NDA-Probleme: Geheimhaltungsvereinbarungen werden nicht regelmäßig geprüft — Dritte können auf Daten zugreifen, ohne in rechtliche Verpflichtungen einzutreten.
IT-Perspektive: Verwaltung externer Nutzer
Ein häufig gewählter — aber nicht empfohlener — Ansatz ist es, eigene Unternehmensaccounts für Externe anzulegen. So lassen sich diese wie interne Mitarbeitende in Teams einladen und der externe Gastzugriff entfällt ganz.
Probleme dieser Strategie
- Zusätzliche Lizenzkosten für jeden neuen Account.
- Schlechte Akzeptanz: Externe verwenden ungern Unternehmensaccounts und sind darüber schlechter erreichbar.
- Höherer administrativer Aufwand: Accounts müssen erstellt, verwaltet und am Ende gelöscht werden.
- Fehlende Kontrolle: Accounts werden oft nicht entfernt — dauerhafter unautorisierter Zugriff ist die Folge.
Aufwändige Verwaltung von Externen
Die Verwaltung externer Nutzer ist zeit- und kostenintensiv. Team-Besitzer fügen einfach hinzu — das Entfernen muss aber manuell pro Team geschehen. Da Mitgliedschaften dauerhaft und nicht zeitlich begrenzt sind, steigt der Aufwand linear mit der Zahl der externen Nutzer.
Laut der Teams Governance Studie 2022 entfernen 71% der befragten Unternehmen externe Benutzer händisch.
Externe Nutzer mit dem Microsoft-Standard verwalten
Ein Lösungsansatz ist das Access-Review-Feature von Microsoft Entra ID (früher Azure AD). Damit lassen sich aktuelle Berechtigungen analysieren und Externe automatisiert entfernen. Allerdings:
- Nur Entra-ID-Administratoren können das manuell konfigurieren.
- Die Dauer lässt sich nicht pro Team festlegen.
- Voraussetzung: Entra ID Premium P2 — die nicht jedes mittelständische Unternehmen einsetzt.
Entra ID P2: Vor- und Nachteile
Vorteile:
- Umfassende Verwaltung aller Nutzer inkl. SSO-Zugang
- Identitätsschutz und Verwaltung privilegierter Identitäten
- Detaillierte Daten für Compliance und Problemlösung
Nachteile:
- Für separate Verzeichnisdienste ausgelegt
- Begrenzte Systemverwaltungsfunktionen
- Schwierigkeiten beim Übergang zu Cloud-Infrastrukturen
- RADIUS-basierte Netzwerkzugriffsverwaltung nicht möglich
Empfehlungen zum Umgang mit Externen
Empfohlene Strategie:
- Whitelisting definieren: nur zugelassene Domains erlauben — keine neuen Unternehmensaccounts erstellen.
- Externe mit eigenen Konten einladen: vorhandene Benutzerkonten nutzen.
- Zeitbegrenzte Mitgliedschaft: Zugriff mit definierten Fristen (7, 30, 90 oder 180 Tage).
- Automatische Entfernung: Löschung nach Fristablauf.
- Verlängerung möglich: Nutzer oder Administratoren können die Frist per Antrag verlängern, verkürzen oder ganz entfernen.
Mit Standard-Microsoft-Tools allein ist dieser Ansatz nicht abzubilden — er erfordert eine dedizierte externe Benutzerverwaltung, die Whitelisting, Zeitbegrenzung und automatische Entfernung zentral abbildet.
Unterscheidung externer Nutzer
Organisationen sollten festlegen, welche externen Nutzer eingeladen werden dürfen:
- Nur bestehende externe Nutzer — bereits im AD oder von genehmigten Domains
- Auch neue externe Nutzer — mit unbekannten Mail-Adressen
Die Vorgehensweise kann je Team unterschiedlich sein. Teams sollten kategorisiert werden und eigene Sicherheitsstufen erhalten — nicht alles muss pauschal geregelt sein.
Gastberechtigungen für ein Team einrichten
So schützen Sie Unternehmensdaten:
- Dokumentklassifizierung nutzen: Sensitivity-Labels bestimmen, auf welche Dokumente Externe zugreifen dürfen.
- Externe identifizieren: Bestandsaufnahme aller externen Nutzer.
- Proaktive Entfernung: systematisches Entfernen nicht mehr benötigter externer Nutzer.
Fazit
Wenn Zeit und Ressourcen für die manuelle Verwaltung externer Nutzer fehlen, sind Governance-Lösungen der richtige Weg. Sie machen es leicht, Richtlinien zu konfigurieren und zu automatisieren:
- temporärer Zugriff auf Basis definierter Bedingungen
- automatisierte Entfernung abgelaufener Berechtigungen
- Berichte über externe Nutzer und deren Aktivitäten
Mit einer Governance-Lösung reduziert sich der manuelle Aufwand erheblich — und die Sicherheitsrisiken sinken.
Häufig gestellte Fragen zur Verwaltung externer Benutzer in Microsoft Teams
-
Was ist der Unterschied zwischen External Access und Guest Access in Microsoft Teams?
External Access bedeutet, dass externe Nutzer Zugriff auf die Domäne erhalten und mit internen Nutzern im Teams-Chat kommunizieren; Dateien außerhalb des Chats bleiben für sie unzugänglich. Guest Access lädt externe Nutzer direkt in ein Team ein und gewährt Zugriff auf die dort abgelegten Daten. Externe Nutzer arbeiten dabei mit ihrem eigenen Unternehmensaccount - neue Konten sind nicht nötig.
-
Wie viele Unternehmen entfernen externe Nutzer manuell aus Teams?
Laut der Teams Governance Studie 2022 der HdM Stuttgart entfernen 71% der befragten Unternehmen externe Nutzer manuell aus Teams. Automatisierung fehlt vielerorts. Da Team-Besitzer Externe einfach hinzufügen, das Entfernen aber manuell pro Team geschehen muss und Mitgliedschaften dauerhaft und nicht zeitlich begrenzt sind, steigt der Aufwand linear mit der Zahl der externen Nutzer.
-
Kann man externe Nutzer mit Microsoft-Standardwerkzeugen automatisiert entfernen?
Ein Ansatz ist das Access-Review-Feature von Microsoft Entra ID (früher Azure AD), mit dem sich Berechtigungen analysieren und Externe automatisiert entfernen lassen. Allerdings können nur Entra-ID-Administratoren das manuell konfigurieren, die Dauer lässt sich nicht pro Team festlegen, und Voraussetzung ist Entra ID Premium P2 - das nicht jedes mittelständische Unternehmen einsetzt.
-
Wie sollte man externe Nutzer in Microsoft Teams richtig verwalten?
Empfohlen wird: Whitelisting definieren (nur zugelassene Domains, keine neuen Unternehmensaccounts), Externe mit ihren eigenen Konten einladen, zeitbegrenzte Mitgliedschaften vergeben (7, 30, 90 oder 180 Tage), abgelaufene Zugriffe automatisch entfernen und Verlängerungen per Antrag ermöglichen. Mit Standard-Microsoft-Tools allein ist dieser Ansatz nicht abzubilden - er erfordert eine dedizierte externe Benutzerverwaltung.
-
Kann man für den Gastzugriff in Microsoft Teams ein Ablaufdatum festlegen?
Im Microsoft-Standard sind Gast-Mitgliedschaften dauerhaft - ein Ablaufdatum pro Team lässt sich nicht erzwingen. Genau hier setzt eine dedizierte externe Benutzerverwaltung an: Beim Einladen wird ein Pflicht-Ablaufdatum vergeben (etwa 7, 30, 90 oder 180 Tage), sodass jeder Gastzugriff von vornherein zeitlich begrenzt ist und nicht unbemerkt bestehen bleibt.
-
Lässt sich beim Einladen externer Nutzer ein NDA-Nachweis hinterlegen?
In einer governancegesteuerten externen Benutzerverwaltung wird pro Gast erfasst, ob eine unterschriebene Geheimhaltungsvereinbarung (NDA) vorliegt - sofern das Governance-Template dies verlangt. So ist beim Einladen dokumentiert, dass der externe Zugriff nur mit dem erforderlichen NDA-Nachweis gewährt wird. Der Microsoft-Standard kennt kein solches NDA-Tracking pro Gast.
-
Wie entfernt man Gäste automatisch aus Microsoft Teams?
Mit Microsoft-Bordmitteln erfolgt die Entfernung manuell pro Team oder - mit Entra ID Premium P2 - über periodische Access Reviews. Eine automatische, richtliniengesteuerte Entfernung erreicht man über zeitbegrenzte Mitgliedschaften: Läuft das hinterlegte Ablaufdatum ab, wird der Gast automatisch aus dem Team entfernt, ohne dass ein Administrator händisch nachfassen muss.
-
Wie fügt man externe Identitäten in Microsoft Teams hinzu?
Externe Identitäten werden je nach Kollaborationsart unterschiedlich eingebunden: Guest Access lädt die Person direkt in ein Team ein (Zugriff auf die dort abgelegten Daten), External Access verbindet nur den Chat über die Domäne. In beiden Fällen bringt der externe Nutzer sein eigenes Unternehmenskonto mit - neue Konten sind nicht nötig. In verwalteten Umgebungen läuft das Einladen über eine Domain-Allowlist, damit nur zugelassene Organisationen hinzugefügt werden können.
-
Wie macht man einen Gast in Microsoft Teams zum Mitglied?
Ein Gastkonto lässt sich nicht direkt in ein reguläres Mitglied umwandeln - der Rollenwechsel setzt voraus, dass die Person ein internes Konto in Ihrer Organisation erhält und anschließend als internes Mitglied hinzugefügt wird. Solange jemand extern bleibt, sollte der Zugriff über Gastzugriff mit klar begrenztem Ablaufdatum gesteuert werden, statt die Grenze zwischen intern und extern zu verwischen.
