In vielen Tenants, die ich betreue, ist die Zusammenarbeit mit externen Organisationen ein Dauerbrenner. Regelmäßig wird darüber diskutiert, wie sicher, wie transparent und wie bequem sie sein soll. Besonders interessant finde ich dabei die Möglichkeit, Shared Channels in Microsoft Teams mit anderen Unternehmen zu teilen, ohne dass in der eigenen Entra ID klassische Gastkonten entstehen. Dafür sorgt B2B Direct Connect, und es verändert die tenantübergreifende Zusammenarbeit grundlegend.

B2B Direct Connect ersetzt das Gastkonto durch die eigene Identität des Partners

Bisher musste man Gäste im eigenen Tenant verwalten. Mit B2B Direct Connect greifen Benutzer aus Partnerorganisationen dagegen direkt mit ihrer eigenen Identität auf geteilte Teams-Kanäle zu. Dadurch bleiben weniger verwaiste Konten zurück, es entsteht weniger Schatten-IT, und die Governance wird übersichtlicher. Allerdings müssen beide Seiten ihr Einverständnis ausdrücklich erklären, indem sie im Microsoft Entra Admin Center passende Cross-Tenant Access Settings konfigurieren. Die Grundlagen beschreibt Microsoft in der Übersicht zu B2B Direct Connect. In der Praxis ist das Ganze aber oft komplizierter, als das Whitepaper vermuten lässt. Häufig beobachte ich, dass Unternehmen B2B Direct Connect nicht von sich aus einschalten. Sie werden erst aktiv, wenn Partner Druck machen oder wenn die vielen Gastkonten und die damit verbundenen Compliance-Risiken keinen anderen Weg mehr lassen.

Cross-Tenant-Zugriffseinstellungen und Teams-Richtlinien müssen zusammenspielen

Der Einstieg erfolgt immer im Entra Admin Center unter Externe Identitäten → Cross-Tenant-Zugriffseinstellungen. Unter „Organisatorische Einstellungen“ legt man dort für jede Partnerorganisation fein abgestuft fest, ob und in welcher Form B2B Direct Connect greift. Für eingehenden (Inbound) und ausgehenden (Outbound) Zugriff gibt es jeweils einen eigenen Abschnitt. Die Option global zu aktivieren genügt übrigens nicht, denn jeder Partner muss einzeln freigegeben werden. An derselben Stelle entscheidet man auch, ob man den MFA- und Gerätekonformitätssignalen des Partners vertraut. Nur dann bekommen die Benutzer das gewünschte Single Sign-on, ohne dass Conditional Access an Wirkung verliert. Ausführlich bin ich darauf im Beitrag Cross-Tenant-Zugriffseinstellungen in Entra ID eingegangen.

Außerdem öffnet ihr die Seite Teams-Admin Center → Teams-Richtlinien. Unter „Freigegebene Kanäle“ legt ihr fest, ob eure Benutzer Shared Channels mit Externen anlegen und ob sie externen Shared Channels beitreten dürfen. Viele Organisationen nutzen diese Richtlinie, um die Funktion zunächst mit kleinen Gruppen auszuprobieren, bevor sie sie für alle freischalten. Ich empfehle, die Freigabe schrittweise auszuweiten und dabei genau zu beobachten, was sich für Supportprozesse und Helpdesk ändert.

flowchart TD
  OwnTenant["Eigener Tenant"] -->|"Kanal freigegeben"| PartnerTenant["Partner-Tenant"]
  PartnerUser["Partner-Benutzer"] -->|"Zugriff auf Shared Channel"| OwnTenant
  OwnUser["Eigener Benutzer"] -->|"Kann Partner-Channel beitreten"| PartnerTenant
  OwnTenant -->|"Cross-Tenant Access Settings"| PartnerTenant

Abbildung: Zusammenarbeit in Shared Channels über B2B Direct Connect

Partnerbenutzer sehen nur das, was ihr ausdrücklich freigebt

In Projekten treffe ich oft auf die Annahme, B2B Direct Connect verhalte sich automatisch wie ein Gastzugriff. Das stimmt nicht. Partnerbenutzer behalten ihre eigene Identität vollständig, und ihre Rechte reichen nur so weit wie die ausdrücklich freigegebenen Kanäle und deren Inhalte. Teammitglieder, andere Kanäle oder Dateien außerhalb der Freigabe bekommen sie nicht zu sehen. Ein paar Unterschiede gibt es dennoch. Manche Teams-Apps und Bots laufen für externe Benutzer gar nicht oder nur eingeschränkt, und die Kanaleinstellungen verwaltet immer der Ursprungstenant. Auditing ist zwar grundsätzlich möglich, Aktionen externer Benutzer werden aber weniger detailliert protokolliert als die interner. Wer Shared Channels über B2B Direct Connect einführt, sollte sich deshalb auch die FAQ zu Teams Shared Channels ansehen, um typische Stolperfallen zu umgehen.

Steht die Zusammenarbeit mit einer neuen Organisation an, empfehle ich, rechtzeitig einen kurzen Termin mit den zuständigen Entra-Admins beider Seiten anzusetzen. Dort lassen sich die Cross-Tenant-Einstellungen aufeinander abstimmen, und spätere Supportfälle bleiben aus.

Access Reviews greifen bei B2B Direct Connect nur eingeschränkt

Immer wieder werde ich gefragt, wie man überprüft, wer noch Zugriff hat. Da bei B2B Direct Connect keine Gastkonten existieren, funktionieren Access Reviews hier anders als bei klassischen Gästen. Ihr seid also auf die Kanalmitgliedschaften im Teams Admin Center und die Auswertungen in Entra ID angewiesen. Wer die Governance feiner steuern möchte, kann zusätzlich Access Packages einsetzen und damit etwa Zugriffsanträge, Ablaufdaten und Genehmigungen für die Kanalmitgliedschaft regeln (Zugangspakete für Gäste).

Auditing und Monitoring verlangen weiterhin Handarbeit

Aktivitäten in Shared Channels werden auf mehreren Ebenen protokolliert. Im Teams Admin Center könnt ihr Kanalzugriffe und Einladungen nachvollziehen, für forensische Analysen genügen diese Protokolle aber nicht immer. Im Entra Admin Center unter Überwachung → Anmeldeprotokolle tauchen externe Zugriffe auf, sobald man gezielt nach Anmeldungen aus Partnerorganisationen filtert. Mit Microsoft Purview lassen sich zusätzlich die Audit-Logs zu Zugriffen auf Teams-Ressourcen auswerten. Einen schnellen Überblick liefert im Anmeldeprotokoll der Filter nach „External user“. Noch ein Tipp aus der Praxis: Conditional-Access-Richtlinien, die B2B Direct Connect betreffen, solltet ihr immer zuerst im Report-Only-Modus testen, bevor ihr sie scharf schaltet. Andernfalls sperrt man sich schnell selbst aus.

Klare Regeln verringern die Schatten-IT, doch Zusammenarbeit bleibt Chefsache

Für die moderne Zusammenarbeit ist B2B Direct Connect in Teams Shared Channels ein großer Fortschritt, sofern beide Seiten mindestens einen Nachmittag in die technische und organisatorische Abstimmung stecken. Das Durcheinander mit Gastkonten nimmt ab, die Kontrolle wird besser, und explizite Einladungsprozesse entfallen. Governance und Auditing brauchen allerdings weiterhin Aufmerksamkeit und lassen sich nicht eins zu eins mit den klassischen Verfahren vergleichen. Wer das Thema angeht, sollte es als gemeinsamen Prozess mit den Partnern begreifen und nicht als reines IT-Projekt. Am wichtigsten bleibt gegenseitiges Vertrauen, denn es ist die eigentliche Access Policy.