Wer regelmäßig mit dem Zugriffsmanagement in Microsoft 365 zu tun hat, merkt schnell, dass sich Gäste auf Dauer nicht sinnvoll einzeln per E-Mail einladen lassen. In größeren Mandanten finde ich häufig Hunderte, manchmal sogar Tausende veralteter Gastkonten. Wer sie eingeladen hat und ob sie den Zugriff überhaupt noch brauchen, weiß niemand mehr. Die manuelle Pflege lässt Wildwuchs entstehen, und spätestens wenn Data Governance und Sicherheit ernst genommen werden, genügt das nicht mehr. Genau hier helfen Access Packages für Gäste. Mit ihnen lassen sich externe Nutzer kontrolliert, nachvollziehbar und weitgehend automatisiert in den Mandanten holen.

Access Packages für Gäste werden in Projekten zunehmend zum Standard

In vielen Tenants, die ich mir ansehe, arbeiten Organisationen inzwischen konsequent mit Entitlement Management, statt einfach einzelne Gastkonten anzulegen. Mit Access Packages lässt sich genau festlegen, welche Ressourcen ein externer Nutzer erhält, und das geht weit über Teams oder einzelne Gruppen hinaus. Ein Access Package kann beliebige Kombinationen aus Microsoft-365-Gruppen, Teams, SharePoint-Seiten und sogar Enterprise-Apps enthalten. Weil jedes Paket einem Katalog zugeordnet ist, bleibt jederzeit nachvollziehbar, wer auf welche Daten und Anwendungen zugreifen darf. Das Risiko überzähliger Berechtigungen sinkt dadurch deutlich. Außerdem entsteht so die Grundlage für vernünftige Rezertifizierungen und dafür, Gäste automatisiert wieder zu entfernen.

Kataloge, Pakete und Richtlinien bauen aufeinander auf

Den Einstieg ins Entitlement Management findet man im Microsoft Entra Admin Center unter Identity Governance → Entitlement Management. Zuerst legt man dort einen Katalog an, also eine logische Sammlung thematisch zusammengehöriger Ressourcen. In diesem Katalog entstehen anschließend die Access Packages. Jedes davon bündelt, was ein externer (oder interner) Nutzer für eine bestimmte Rolle oder Zusammenarbeit braucht: das passende Team, SharePoint-Sites, Gruppen und Anwendungen.

Den Kern bilden die Richtlinien (Policies), die zu jedem Access Package gehören. Sie bestimmen, wer eine Zuweisung erhalten kann und auf welchem Weg. Besonders wichtig ist die Unterscheidung, ob nur Mitglieder verifizierter, verbundener Organisationen (Cross-Tenant Access) einen Antrag stellen dürfen oder auch beliebige Externe („any user not in my directory“). Daneben legt die Policy das Genehmigungsverfahren, die Laufzeit (Ablauf) und optionale Access Reviews fest. Das folgende Diagramm zeigt den typischen Weg von der Anfrage bis zur automatischen Entfernung:

flowchart TD
  Antragsteller["Externer Nutzer stellt Antrag"] --> Prüfung["Policy prüft Herkunft und Anforderungen"]
  Prüfung --> Genehmigung["Genehmiger freigeben oder ablehnen"]
  Genehmigung --> Zuweisung["Ressourcen werden zugewiesen"]
  Zuweisung --> Ablauf["Berechtigung läuft ab/an Access Review"]
  Ablauf --> Entfernung["Zugriff wird entzogen (und Gast ggf. entfernt)"]

Abbildung: So durchläuft ein externer Nutzer typischerweise ein Access Package im Entitlement Management.

Gerade in der Zusammenarbeit mit Partnern sehe ich immer wieder, dass durchdachte Policies sensible Daten schützen, ohne die nötige Flexibilität zu opfern. E-Mail-Chaos und manuelles Nachhaken entfallen dabei vollständig.

Gastkonten verschwinden automatisch, wenn die letzte Zuweisung endet

Zu den stärksten Funktionen gehört die Einstellung „Gastbenutzer entfernen, wenn kein Zugriff mehr auf Access Packages besteht“. Hat ein Gastkonto keine aktive Zuweisung mehr, verschwindet es damit automatisch aus dem Verzeichnis. Auf diese Weise bekommt man die Altkonten in den Griff, die nach Projektende oft jahrelang liegen bleiben. Aktivieren lässt sich die Funktion in den Einstellungen des Entitlement Managements. Verliert ein Gastnutzer dann seine letzte Berechtigung, startet ein Timer, nach dessen Ablauf das Konto gelöscht wird. In der Praxis klappt das sehr zuverlässig und erspart einem die mühsame, fehleranfällige Aufräumarbeit, über die ich auch im Beitrag Gastkonten mit Access Reviews in Entra ID aufräumen geschrieben habe.

Tipp aus der Praxis: Klärt früh mit dem Fachbereich, welche Gäste welche Ressourcen brauchen, und legt pro Projekttyp möglichst granulare Kataloge und Access Packages an. Dann behaltet ihr den Überblick, und das Onboarding läuft ohne Reibung.

In der Policy steckt der gesamte Ablauf vom Antrag bis zum Entzug

Die Policy eines Access Package legt fest:

  • wer einen Antrag stellen darf (interne/externe Nutzer, bestimmte Organisationen)
  • ob eine Genehmigung nötig ist und wer sie erteilt
  • wie lange der Zugriff besteht (Ablaufdatum, automatische Verlängerung)
  • ob und wann Access Reviews stattfinden
  • was beim Entzug geschieht: sofort oder mit Vorwarnung

Vor allem das Zusammenspiel von Ablaufdatum und regelmäßigen Access Reviews verhindert, dass Zugriffsrechte endlos bestehen bleiben. Das senkt das Risiko und ebenso die Lizenzkosten, denn ehemalige Gäste werden automatisch aus dem Tenant entfernt, statt weiter in Gruppen oder Teams zu hängen. Wer tiefer in Access Reviews für Gäste einsteigen möchte, findet praktische Tipps im Beitrag Gastkonten mit Access Reviews in Entra ID aufräumen.

Ohne P2-Lizenz funktioniert Entitlement Management nicht

Entitlement Management gehört zu Entra ID Governance und erfordert mindestens eine Entra-ID-P2-Lizenz für jeden Nutzer, ob intern oder extern, der ein Access Package beantragt oder zugewiesen bekommt. Bei externen Nutzern genügt in der Praxis eine P2-Lizenz pro 5 eingeladene Gäste (monatlich aktive User), wie die Microsoft-Dokumentation beschreibt (Lizenzzuweisung für externe Benutzer). Fehlt die Lizenz, funktionieren weder die automatische Entfernung noch die Zuweisung über Access Packages.

Konfiguriert wird ausschließlich im Entra Admin Center unter Identity Governance → Entitlement Management. Dort bearbeitet man auch bestehende Access Packages, verwaltet Gastkataloge und stellt den Lebenszyklus ein. Wer mit mehreren Tenants zusammenarbeitet, sollte zusätzlich die Cross-Tenant-Access-Einstellungen prüfen, vor allem dann, wenn Gäste bestimmter Organisationen bevorzugt behandelt werden oder eigene Regeln gelten sollen.

Für strukturiertes Gäste-Onboarding sind Access Packages aus meiner Sicht Pflicht

Wer als Organisation viele Externe einbindet, kommt aus meiner Sicht an Access Packages für Gäste nicht mehr vorbei. Bündelung, Genehmigungsworkflow, Lebenszyklusverwaltung und automatische Entfernung beseitigen zusammen gleich mehrere Schwachstellen, die mir seit Jahren in Projekten begegnen. Etwas Planung ist natürlich nötig, vor allem beim Zuschnitt von Katalogen und Policies. Im Gegenzug gewinnt man spürbar an Übersicht und Sicherheit. Wer Gäste noch ad hoc einlädt, sollte spätestens jetzt über einen Umstieg nachdenken. Ein sauber gesteuertes Onboarding von Gästen lohnt sich für Nutzer, Admins und das Security-Team gleichermaßen.