Gasteinladungen in Entra ID lassen sich gezielt einschränken

Wer darf eigentlich Gäste in den eigenen Microsoft-365-Tenant einladen? Mit dieser Frage habe ich in fast jedem Projekt zu tun. Gerade in Organisationen, die schon seit Jahren mit Microsoft 365 arbeiten, haben sich bei den Gastkonten meist alte Einladungen, schnelle Admin-Lösungen und kaum kontrollierte Zusammenarbeit angesammelt. Gasteinladungen lassen sich nur einschränken, wenn man an mehreren Stellen ansetzt. Dabei braucht es Augenmaß, sonst versinkt der Support in Anfragen oder die Zusammenarbeit kommt ganz zum Erliegen.

Entra ID legt fest, wer Gäste einladen darf und aus welchen Domains

Die Grundlage für Gasteinladungen schafft man im Entra Admin Center unter Entra ID → Externe Identitäten → Externe Kollaborationseinstellungen. Dort bestimmt man, wer Gäste einladen darf (alle Benutzer, Administratoren und Gäste selbst, nur Administratoren oder Benutzer mit einer bestimmten Rolle), und ebenso, wie streng Einladungen gehandhabt werden. Die Option Gastbenutzereinladungen sollte meiner Meinung nach nie pauschal für alle freigegeben sein. In der Praxis hat es sich bewährt, nur Admins und ausgewählten Benutzern mit der Rolle „Gast-Einladender“ (Guest Inviter) das Hinzufügen von Gästen zu erlauben. Das lässt sich fein steuern, und es lädt nicht mehr jeder Mitarbeitende nach Belieben Externe ein.

Wer noch strenger vorgehen möchte, nutzt die Allow/Deny-Liste für Domains. Unter „Kollaborationsbeschränkungen“ trägt man ausdrücklich erlaubte oder gesperrte Domänen ein (Dokumentation). In regulierten Branchen ist das häufig Pflicht, denn dort dürfen nur Partner mit bekannten und geprüften Domains eingeladen werden. Ich rate dazu, mit einer Allow-List zu beginnen, um den Wildwuchs einzudämmen. Die Listen gelten übrigens für den ganzen Tenant, egal an welcher Stelle die Einladung ausgelöst wird.

graph TD
  A["Benutzer"] --> B["Einladung auslösen"]
  B --> C["Rollen- und Domain-Check in Entra ID"]
  C -->|"Erlaubt"| D["Gastkonto wird erstellt"]
  C -->|"Nicht erlaubt"| E["Einladung abgelehnt"]

Abbildung: Ob eine Einladung durchgeht, entscheiden Rolle und Domain-Check.

Die Rolle „Gast-Einladender“ erlaubt eine fein abgestufte Vergabe

Für genau diesen Zweck gibt es die Rolle Gast-Einladender. Man weist sie einzelnen Personen oder Gruppen zu, die anschließend Gäste einladen dürfen, ohne dafür weitere Adminrechte zu erhalten. Sinnvoll ist es, die Rolle gezielt an Personen mit Organisations- oder Teamverantwortung zu delegieren. Die zugehörigen Einstellungen lassen sich jederzeit unter Entra Admin Center → Rollen und Administratoren nachvollziehen und auditieren. Die Kontrolle bleibt also erhalten, und die zentrale IT wird trotzdem entlastet. Ein häufiger Fehler: Die Rolle wird zu breit vergeben oder, noch schlimmer, über Gruppen wie „Alle Mitarbeitenden“ verteilt.

Praxis-Tipp: In vielen Tenants, die ich mir ansehe, ist die Rolle Gast-Einladender versehentlich zu großzügig zugewiesen. Wer die Rollenzuweisungen regelmäßig überprüft, bekommt das wieder in den Griff.

SharePoint und Teams bringen eigene Freigaberegeln mit

Viele gehen davon aus, dass die Einstellungen in Entra ID genügen. SharePoint und Teams haben allerdings eigene Freigaberegeln. Die Freigabe in SharePoint/OneDrive kann strenger (oder auch lockerer) sein als die Entra-Einstellungen und wird gesondert im SharePoint Admin Center unter „Freigabe“ konfiguriert. Wer Gasteinladungen einschränken möchte, muss deshalb die Richtlinien in SharePoint und Entra ID aufeinander abstimmen. Andernfalls bekommen Nutzer seltsame Fehlermeldungen zu sehen oder landen in Einladungsschleifen (mehr dazu im Blog). Teams baut zwar ebenfalls auf Entra ID auf, übernimmt für Datei- und Ordnerfreigaben aber die Freigabeeinstellungen von SharePoint und OneDrive. Lädt jemand Gäste über Teams ein, gelten deshalb alle Prüfungen aus Entra ID und zusätzlich die Einschränkungen auf SharePoint-Ebene.

Wichtig sind außerdem die Cross-Tenant Access Settings. Schalten sich Organisationen gegenseitig für B2B Direct Connect oder gemeinsame Teams-Kanäle frei, kann das Auswirkungen auf die erlaubten Domains und Berechtigungen haben (Dokumentation). Wer hier nicht sorgfältig arbeitet, öffnet den Tenant womöglich weiter als beabsichtigt.

Einmalcodes per E-Mail und alte Gastkonten verdienen besondere Aufmerksamkeit

Seit einiger Zeit können sich Gäste per E-Mail-One-Time-Passcode authentifizieren. Für Externe ohne Microsoft-Konto ist das bequem, es birgt aber ein Risiko. Solche Gäste lassen sich schwerer zuordnen, weil sie mit keiner festen Identität in ihrem Heimattenant verknüpft sind. In regulierten Umgebungen empfehle ich ausdrücklich, die Option in den Kollaborationseinstellungen abzuschalten. Wer nicht darauf verzichten kann, sollte Einladungen wenigstens über die Allow-Liste für Domains begrenzen.

Ein Dauerbrenner sind außerdem alte, nie bestätigte oder inaktive Gastkonten. Mit einem regelmäßigen Access Review (siehe auch Gäste aufräumen) bekommt man die Zahl der „Zombie-Gäste“ deutlich nach unten.

Meine Baseline regelt Gasteinladungen in fünf Punkten

Für die meisten Tenants gehe ich derzeit pragmatisch so vor:

• Gasteinladungen nur Admins und Inhabern der Rolle „Gast-Einladender“ erlauben
• Eine Allow-List für Gastdomains anlegen und regelmäßig pflegen
• Den E-Mail-One-Time-Passcode nur einsetzen, wenn es nicht anders geht, sonst deaktivieren
• Die Freigaberichtlinien in SharePoint und Teams an die Entra-ID-Einstellungen angleichen
• Access Reviews für Gäste mindestens einmal im Quartal durchführen

Damit bleibt die Zusammenarbeit im Alltag offen genug, ohne dass die Risiken aus dem Ruder laufen. Wer den Tenant weiter absichern möchte, kann zusätzlich Cross-Tenant Access Settings nutzen und Conditional-Access-Richtlinien für Gäste verbindlich vorgeben, etwa MFA für sensible Ressourcen.

So kann ein Access-Review-Report aussehen, den Microsoft Entra ID Governance ermöglicht (Lizenz: Entra ID Governance, Rolle: Globaler Administrator oder Identity Governance Administrator):

{
  "reviewType": "GuestAccess",
  "frequency": "quarterly",
  "reviewers": ["Externe Kollaborationsverantwortliche"],
  "autoApplyDecisionsEnabled": true
}

Jede Organisation muss ihre eigene Balance finden. Wer Gasteinladungen einschränken will, kommt aber nicht darum herum, die Werkzeuge aus Entra ID, SharePoint und Teams zusammen einzusetzen und regelmäßig zu kontrollieren, ob die Einstellungen tatsächlich greifen.