Gastzugriff in Microsoft 365 absichern: Wie Sie mit externen Partnern zusammenarbeiten, ohne Firmendaten zu riskieren

Die Zusammenarbeit mit externen Partnern läuft heute über Microsoft 365: Der Steuerberater soll in den Buchhaltungsordner schauen, die Werbeagentur arbeitet an Entwürfen in einem gemeinsamen Teams-Kanal mit, der Projektpartner braucht Zugriff auf eine SharePoint-Seite. Das ist praktisch und schnell eingerichtet. Zu schnell, denn in der Grundeinstellung darf praktisch jeder jeden einladen, und niemand behält den Überblick.

Genau hier entsteht das Risiko. Gastkonten sammeln sich an, bleiben nach Projektende offen, und mit der Zeit haben Dutzende externe Personen Zugänge, von denen keiner mehr weiß, wofür sie noch gebraucht werden. Dieser Artikel zeigt, wie Sie den Gastzugriff so einrichten, dass die Zusammenarbeit weiter einfach bleibt, Sie aber jederzeit wissen und steuern, wer von außen auf welche Firmendaten zugreift.

Microsoft 365 Gastzugriff absichern: die vier Hebel

Den Gastzugriff abzusichern heißt, vier Dinge in Ordnung zu bringen: Erstens festlegen, wer überhaupt Gäste einladen darf und mit welchen Partnern Zusammenarbeit erlaubt ist. Zweitens die Berechtigungen der Gäste eng halten. Drittens Anmeldung und Freigaben über MFA und Ablaufdaten absichern. Viertens Gastkonten regelmäßig überprüfen und beim Projektende abschalten.

Diese vier Hebel greifen ineinander. Die ersten beiden entscheiden, wer überhaupt herein darf und was er dann sieht. Der dritte sorgt dafür, dass ein gestohlenes Partner-Passwort nicht sofort zum Problem wird. Der vierte verhindert, dass sich über die Jahre ein Friedhof vergessener Zugänge aufbaut. Kein einzelner Punkt ist aufwendig, aber zusammen machen sie den Unterschied zwischen kontrollierter Zusammenarbeit und einem unübersichtlichen Zustand, den im Ernstfall niemand mehr aufklären kann.

Dass externe Partner ein echtes Einfallstor sind, zeigt die aktuelle Lage: In der Bitkom-Studie Wirtschaftsschutz 2026 nennen 8 Prozent der betroffenen Unternehmen eine Kompromittierung über externe Zulieferer oder Dienstleister als Faktor für einen erfolgreichen Angriff. Noch deutlicher wird die Studie bei den professionellen Tätern: Staatlich gesteuerte Angreifer gehen demnach selten direkt auf ihr Ziel, sondern nehmen den Weg über Zulieferer, Dienstleister, Steuerberater und IT-Partner.

Quelle: Bitkom: Wirtschaftsschutz 2026, Lagebild der deutschen Wirtschaft, Stand: 2026-11-02.

Gast oder externer Zugriff: zwei Dinge, die oft verwechselt werden

Ein Gast ist ein externer Nutzer, den Sie mit seiner eigenen E-Mail-Adresse in Ihr Verzeichnis einladen und der dort als eigenes Konto mit dem Zusatz #EXT# erscheint. Der externe Zugriff dagegen ist die direkte Verbindung zwischen zwei Microsoft-365-Organisationen, bei der ein Partner mitarbeitet, ohne bei Ihnen ein Gastkonto zu brauchen. Für die Zusammenarbeit an gemeinsamen Dateien ist der Gastzugriff der Normalfall.

Der Unterschied ist wichtig, weil in Teams und in den Entra-Einstellungen beide Begriffe nebeneinander auftauchen und leicht verwechselt werden. Beim Gastzugriff (B2B-Zusammenarbeit) laden Sie eine konkrete Person ein. Sie meldet sich mit ihren eigenen Zugangsdaten an, taucht aber als Gast in Ihrem Verzeichnis auf und kann an Teams, SharePoint-Seiten und einzelnen Dateien teilnehmen, auf die Sie sie berechtigen. Sie müssen keine Passwörter für diese Person verwalten.

Davon zu unterscheiden sind zwei andere Formen: Der externe Zugriff (Federation) regelt, mit welchen fremden Organisationen Ihre Leute per Teams chatten und telefonieren dürfen. Und über geteilte Kanäle (Teams Connect, technisch B2B Direct Connect) arbeitet ein Partner in einem einzelnen Kanal mit, ohne dass bei Ihnen überhaupt ein Gastkonto entsteht. Für den typischen KMU-Fall, den Dienstleister an einem gemeinsamen Projektordner, ist der Gastzugriff der richtige und meistgenutzte Weg. Dieser Artikel konzentriert sich darauf.

Warum die Standardeinstellungen nicht reichen

In der Grundeinstellung ist die Zusammenarbeit über Gäste aktiviert, und jeder Nutzer in Ihrer Organisation darf externe Personen einladen, laut Microsoft ausdrücklich auch bereits vorhandene Gäste. Das ist die inklusivste von vier möglichen Stufen. Für einen kontrollierten Gastzugriff ist sie zu weit offen, weil praktisch jeder unbemerkt Externe hereinlassen kann.

Microsoft begründet diese offene Grundeinstellung mit Bequemlichkeit: Zusammenarbeit soll ohne Rückfrage bei der IT funktionieren. Für ein Unternehmen, das den Überblick behalten will, ist das aber die falsche Voreinstellung. Konkret sind drei Punkte im Auslieferungszustand kritisch:

• Einladen darf jeder. Die Standardeinstellung erlaubt es allen Nutzern, einschließlich vorhandener Gäste, weitere Gäste einzuladen. Damit kann ein einmal eingeladener externer Partner selbst wieder Dritte hereinholen.
• Keine Begrenzung auf Partner. Ohne Konfiguration ist Zusammenarbeit mit beliebigen Organisationen und Domänen möglich, nicht nur mit Ihren tatsächlichen Partnern.
• Gäste sehen mehr, als nötig. Zwar sind Gäste standardmäßig nicht völlig frei im Verzeichnis, sie können aber die Mitgliedschaften nicht ausgeblendeter Gruppen sehen. Die restriktivste Stufe, bei der ein Gast nur sein eigenes Profil sieht, ist nicht voreingestellt.

Quelle: Microsoft Learn: Einstellungen für externe Zusammenarbeit konfigurieren, Stand: 2026-11-02.

Dazu kommt die organisatorische Seite. Dass sich unkontrolliertes Zugriffsmanagement rächt, ist keine Theorie: In der Bitkom-Studie Wirtschaftsschutz 2026 nennen 55 Prozent der Unternehmen ein unzureichendes Identitäts- und Zugriffsmanagement als Ursache erfolgreicher Angriffe. Gastkonten sind genau ein Teil dieses Problems, weil sie oft außerhalb der normalen Konten-Verwaltung entstehen und gepflegt werden. Wie das grundsätzlich zusammenhängt, vertieft der Beitrag zu Sammelkonten, Adminrechten und Zugriffsmanagement.

Hebel 1: Festlegen, wer einladen darf und mit wem

Der erste Schritt ist der wirksamste: Begrenzen Sie, wer Gäste einladen darf, und legen Sie fest, mit welchen externen Organisationen Zusammenarbeit überhaupt erlaubt ist. In Microsoft Entra stehen dafür die Einstellungen für externe Zusammenarbeit (wer darf einladen, welche Domänen) und die Cross-Tenant-Access-Einstellungen (mit welchen Organisationen) zur Verfügung.

Beim Einladen bietet Microsoft vier Stufen an, von "jeder darf einladen" bis "niemand darf einladen". Für die meisten KMU ist die mittlere Variante sinnvoll, bei der nur Mitglieder und bestimmte Administratorrollen einladen dürfen, nicht aber die Gäste selbst. Wer eine straffere Kontrolle will, beschränkt das Einladen über die Rolle "Gasteinlader" (Guest Inviter) auf wenige benannte Personen, etwa Teamleitungen oder die IT. Entscheidend ist, dass das Einladen eine bewusste Handlung bleibt und nicht jeder unbemerkt Externe hereinholt.

Der zweite Teil ist die Eingrenzung auf echte Partner. Über die Cross-Tenant-Access-Einstellungen bestimmen Sie, mit welchen Microsoft-Entra-Organisationen überhaupt zusammengearbeitet werden darf, und können den Zugriff auf einzelne Nutzer, Gruppen und Anwendungen eingrenzen. Zusätzlich lassen sich in den Einstellungen für externe Zusammenarbeit ganze Domänen gezielt erlauben oder sperren. Praktisch heißt das: Sie können eine Positivliste pflegen, auf der nur die Domänen Ihrer tatsächlichen Dienstleister stehen.

Quelle: Microsoft Learn: Übersicht Cross-Tenant-Zugriff (Entra External ID), Stand: 2026-11-02.

Hebel 2: Berechtigungen eng halten statt großzügig freigeben

Gäste sollen genau das sehen, was sie für die gemeinsame Arbeit brauchen, und nicht mehr. Dafür gibt es zwei Ebenen: die Rechte im Verzeichnis (was ein Gast über Ihre Organisation erkennen kann) und die Freigaben auf konkrete Inhalte (welche Teams, Seiten und Dateien er erreicht). Beide sollten so knapp wie möglich bemessen sein.

Auf Verzeichnisebene empfiehlt sich die restriktivste der drei Stufen, bei der ein Gast nur sein eigenes Profil sieht und keine anderen Nutzer, Gruppen oder Mitgliedschaften durchsehen kann. Die Standardeinstellung ist weniger streng. Für Zusammenarbeit an Dateien braucht ein externer Partner diese Verzeichnis-Einblicke praktisch nie, deshalb ist das Zurückdrehen hier ein einfacher Gewinn.

Auf Inhaltsebene gilt der Grundsatz: pro Projekt freigeben, nicht pauschal. Statt einem Dienstleister Zugriff auf ein ganzes Laufwerk oder ein zentrales Team zu geben, legen Sie einen eigenen Teams-Kanal oder eine eigene SharePoint-Seite für die Zusammenarbeit an und laden den Gast nur dorthin ein. So bleibt die Trennung zwischen internen und geteilten Inhalten erhalten, und ein kompromittiertes Partner-Konto reißt nicht gleich den ganzen Datenbestand mit. Sensible Bereiche wie Personal, Buchhaltung und Geschäftsführung bleiben grundsätzlich außen vor.

Wer die Trennung von Inhalten konsequent umsetzen will, kommt um eine saubere Grundordnung der Berechtigungen nicht herum. Die gleichen Prinzipien, die für interne Konten gelten, gelten auch für Gäste: so wenig Rechte wie möglich, nachvollziehbar vergeben. Der Beitrag zu Zugriffsmanagement, Sammelkonten und Adminrechten zeigt, wie das im gesamten Unternehmen funktioniert.

Hebel 3: Anmeldung und Freigaben absichern

Für Gäste gilt dieselbe Grundregel wie für eigene Mitarbeitende: Ein Passwort allein darf nicht reichen. Über eine Conditional-Access-Richtlinie erzwingen Sie Multi-Faktor-Authentifizierung auch für externe Nutzer. Ergänzend sollten Freigabelinks ein Ablaufdatum bekommen, damit ein einmal geteilter Zugang nicht unbegrenzt gültig bleibt.

MFA für Gäste ist wichtig, weil Sie die Geräte und Passwort-Gewohnheiten Ihrer Partner nicht kontrollieren können. Ein Dienstleister, dessen Zugangsdaten über eine Phishing-Mail abgegriffen wurden, wird sonst zum Einstieg in Ihre Daten. Mit MFA reicht das gestohlene Passwort nicht mehr aus. Technisch stellen Sie das über eine Conditional-Access-Richtlinie ein, die für alle Gast- und externen Nutzer gilt. Microsoft bietet dafür Richtlinien, die MFA gezielt für Gäste verlangen.

Quelle: Microsoft Learn: Microsoft Entra Multifactor Authentication

Zwei weitere Einstellungen gehören dazu. Erstens Ablaufdaten für Freigabelinks, zum Beispiel sieben oder dreißig Tage, damit alte Links von selbst ungültig werden. Zweitens, wo nötig, der Einsatz von Vertraulichkeitskennzeichnungen (Sensitivity Labels), die eine Einstufung direkt an eine Datei oder einen Team-Bereich heften, sodass die Schutzregel mitreist, egal wohin der Inhalt geteilt wird. Für den Einstieg ist MFA plus Link-Ablauf der wichtigste und einfachste Schritt. Wie MFA im gesamten Unternehmen sauber ausgerollt wird, steht im Beitrag zu MFA und Passwortmanagern im Unternehmen.

Hebel 4: Gastkonten überprüfen und beim Projektende abschalten

Gastkonten gehören in Ihren Offboarding-Prozess, genauso wie die Konten eigener Mitarbeitender. Ein Gastkonto, das nach Projektende aktiv bleibt, ist ein offener Zugang, der niemandem mehr auffällt. Deshalb braucht es zwei Routinen: ein festes Abschalten beim Projektende und eine regelmäßige Überprüfung aller noch vorhandenen Gäste.

Das Problem entsteht, weil niemand sich zuständig fühlt. Wenn ein Projekt endet, denkt selten jemand daran, auch den Zugang des externen Partners zu schließen. Nach ein paar Jahren haben sich so Dutzende Gastkonten angesammelt, von denen keiner mehr weiß, wofür sie gebraucht werden. Jedes davon ist ein möglicher Einstieg, der zudem die Nachweispflicht erschwert, denn im Ernstfall müssen Sie darlegen können, wer Zugriff hatte.

Zwei Dinge helfen. Erstens die Aufnahme von Gästen in den regulären Offboarding-Ablauf, damit mit dem Projektende auch der Zugang endet. Wie dieser Ablauf grundsätzlich aussieht, steht im Beitrag zu Onboarding und Offboarding in der IT. Zweitens eine wiederkehrende Überprüfung aller Gastkonten. Microsoft bietet dafür in der Entra-ID-Governance die Zugriffsüberprüfungen und Zugriffspakete, mit denen sich Gastzugänge automatisch mit Ablaufdatum versehen und regelmäßig von einem Verantwortlichen bestätigen lassen. Wo das nicht automatisiert ist, reicht für den Anfang ein fester Quartals- oder Halbjahrestermin, an dem die Gästeliste durchgegangen wird.

1. 1
   Bestand aufnehmen
   Alle vorhandenen Gastkonten und externen Freigaben auflisten. Jeden Gast einer aktiven Zusammenarbeit zuordnen, nicht zuordenbare Konten deaktivieren. Das ist der Ausgangspunkt und zugleich der erste Aufräumschritt.
2. 2
   Einladen begrenzen
   Festlegen, wer Gäste einladen darf. Für die meisten Betriebe passt: nur Mitglieder und bestimmte Rollen, nicht die Gäste selbst. Wer strenger sein will, vergibt gezielt die Rolle Gasteinlader an wenige Personen.
3. 3
   Partner eingrenzen
   Über die Cross-Tenant-Access-Einstellungen und eine Domänen-Positivliste nur die Organisationen zulassen, mit denen Sie wirklich zusammenarbeiten. Alles andere blockieren.
4. 4
   Rechte der Gäste zurückdrehen
   Die Verzeichnis-Berechtigungen für Gäste auf die restriktivste Stufe setzen, sodass ein Gast nur sein eigenes Profil sieht. Freigaben pro Projekt vergeben, nicht pauschal ganze Laufwerke.
5. 5
   Anmeldung absichern
   Eine Conditional-Access-Richtlinie einrichten, die MFA für alle Gäste erzwingt. Freigabelinks mit Ablaufdatum versehen und anonyme Jeder-mit-Link-Freigaben einschränken.
6. 6
   Überprüfung verankern
   Gastkonten in den Offboarding-Prozess aufnehmen und eine regelmäßige Überprüfung einrichten, idealerweise automatisiert über Zugriffspakete mit Ablaufdatum, mindestens aber als fester Quartalstermin.

Gastzugriff im Vergleich: bequem gegen kontrolliert

Die Entscheidung ist kein Entweder-oder zwischen offener und abgeschotteter Zusammenarbeit, sondern eine Frage der Voreinstellung. Die folgende Gegenüberstellung zeigt, was der Auslieferungszustand bedeutet und was sich mit überschaubarem Aufwand gewinnen lässt.

Was die Absicherung kostet

Der Gastzugriff selbst ist in den gängigen Microsoft-365-Business-Plänen enthalten, für die reine Zusammenarbeit fallen in der Regel keine zusätzlichen Lizenzkosten pro Gast an. Der Aufwand liegt in der einmaligen, sauberen Einrichtung und in der laufenden Pflege. Die folgenden Werte sind Orientierung, keine Angebote.

Zwei Dinge gehören zur ehrlichen Einordnung. Erstens: Für die automatisierten Zugriffsüberprüfungen und Zugriffspakete der Entra-ID-Governance sind höhere Entra-Lizenzen nötig, sie sind nicht in jedem Business-Plan enthalten. Ob sich das lohnt, hängt von der Zahl Ihrer externen Partner ab. Für einen kleinen Betrieb mit einer Handvoll Dienstleistern tut es der feste manuelle Überprüfungstermin. Welcher Plan überhaupt zu Ihrem Betrieb passt, ordnet der Beitrag zum Microsoft-365-Business-Plan ein. Wie sich planbare IT-Kosten insgesamt über eine Pauschale rechnen, steht im Artikel zu Flatrate statt Stundensatz.

DSGVO und NIS2: die rechtliche Seite des Gastzugriffs

Wer externe Partner einbindet, bewegt sich im Rahmen von DSGVO und, je nach Betrieb, NIS2. Verarbeitet ein Dienstleister in Ihrem Auftrag personenbezogene Daten, brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Unabhängig davon verlangt Art. 32 DSGVO eine nachvollziehbare Zugriffskontrolle, Sie müssen also belegen können, wer worauf zugreifen durfte.

Der Auftragsverarbeitungsvertrag ist dabei der Punkt, der im Gastzugriff gern übersehen wird. Nicht jeder externe Partner ist ein Auftragsverarbeiter: Eine andere Kanzlei, die mit Ihnen an einem gemeinsamen Mandat arbeitet, ist es meist nicht, ein IT-Betreuer oder ein Lohnbüro dagegen schon. Wo die Grenze verläuft und wann Sie einen Vertrag brauchen, klärt der Beitrag zum AV-Vertrag für KMU. Die nachvollziehbare Zugriffskontrolle nach Art. 32 erfüllen Sie genau mit den vier Hebeln aus diesem Artikel: begrenzte Einladung, enge Rechte, abgesicherte Anmeldung und dokumentierte Überprüfung.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Für Unternehmen im Anwendungsbereich von NIS2 kommt eine weitere Ebene dazu. NIS2 verlangt angemessene Maßnahmen im Risikomanagement, ausdrücklich auch mit Blick auf die Sicherheit in der Lieferkette und auf Zugriffskontrolle. Der kontrollierte Umgang mit externen Zugängen ist damit nicht nur gute Praxis, sondern Teil der nachzuweisenden Sorgfalt. Ob und ab wann Ihr Betrieb betroffen ist, klärt der Beitrag zu den NIS2-Pflichten für KMU.

Quelle: BSI: NIS-2-regulierte Unternehmen

ITCC richtet Ihren Gastzugriff sicher ein

Gastzugriff ist kein Schalter, den man umlegt, sondern eine saubere Konfiguration aus Einladungsregeln, Partnerfreigaben, Berechtigungen und einer dauerhaften Überprüfung. Genau dabei unterstützt ITCC als externe IT-Abteilung: Wir nehmen den vorhandenen Bestand an Gastkonten auf, räumen die vergessenen Zugänge auf und richten die Zusammenarbeit so ein, dass sie für Ihre Leute einfach bleibt und für Sie kontrollierbar wird.