Access Reviews in Entra ID halten Gastkonten dauerhaft in Ordnung

In vielen Microsoft-365-Tenants, die ich mir anschaue, haben sich über die Jahre Unmengen an Gastkonten angesammelt. Teams und SharePoint machen das Teilen so einfach, dass irgendwann niemand mehr weiß, wie viele externe Nutzer noch Zugang haben und ob sie ihn überhaupt brauchen. Oft stoße ich auf Gäste, die sich kein einziges Mal angemeldet haben oder zu Projekten gehörten, die längst abgeschlossen sind. Spätestens vor einem Audit oder wenn sensible Daten im Spiel sind, fragt jemand, wer diese externen Zugänge eigentlich kontrolliert. Genau dafür gibt es in Entra ID die Access Reviews für Gastkonten. Mit wenigen gezielten Schritten schaffen sie deutlich mehr Übersicht und Sicherheit.

Eine Inventur zeigt, wie viele Gastkonten es wirklich gibt

Bevor ich Access Reviews einrichte, will ich wissen, womit ich es zu tun habe. Meist zeigt schon ein erster Blick in die Benutzerverwaltung von Entra ID, dass es mehr Gäste gibt als gedacht. Die Konten nur zu zählen, reicht allerdings nicht, man sollte auch ihre Aktivität prüfen. Sehr aufschlussreich ist dabei das Feld „signInActivity“ in Microsoft Graph. Es verrät, wann sich ein Gast zuletzt angemeldet hat, und gibt damit einen guten Hinweis darauf, ob das Konto tatsächlich genutzt wird. Ein Dauerbrenner sind außerdem Einladungen, die nie angenommen wurden („pending invitations“). Diese Konten kann man meist bedenkenlos bereinigen.

Für einen schnellen Überblick greife ich gern zu Microsoft Graph PowerShell:

Connect-MgGraph -Scopes 'User.Read.All'
Get-MgUser -Filter "userType eq 'Guest'" -Property DisplayName,UserPrincipalName,SignInActivity |
  Select-Object DisplayName,UserPrincipalName,@{Name='LastSignIn';Expression={$_.SignInActivity.LastSignInDateTime}}

So erhalte ich eine Liste aller Gastkonten mit dem Zeitpunkt der letzten Anmeldung. Gäste ohne Eintrag waren häufig nie aktiv oder sind schlicht in Vergessenheit geraten. Wer tiefer einsteigen möchte, findet weitere Hinweise in der Microsoft-Dokumentation zu Access Reviews.

Für Gastnutzer lassen sich Access Reviews unterschiedlich zuschneiden

Als Nächstes richte ich Access Reviews gezielt für Gastnutzer ein. Entra ID kann Access Reviews für verschiedene Bereiche starten, am meisten bringen sie bei Microsoft-365-Gruppen bzw. Teams. Dort legt man fest, ob Gruppenbesitzer, „Sponsoren“ (also die internen Ansprechpartner der Gäste) oder die Gäste selbst die Prüfung übernehmen. Besonders praxistauglich finde ich regelmäßige Reviews, deren Ergebnisse automatisch angewendet werden. Abgelehnte Gäste werden dann direkt entfernt, und für den Fall, dass niemand antwortet, lässt sich ein automatischer Ablauf hinterlegen.

In der Praxis haben sich diese Varianten bewährt:

• Review aller Gäste einer bestimmten Gruppe bzw. eines bestimmten Teams
• Regelmäßige Reviews (z. B. quartalsweise) für alle Gäste im Tenant
• Engmaschige Prüfungen für ausgewählte, besonders sensible Gruppen

In größeren Tenants lohnt es sich, die Prüfungen zu staffeln oder mit Pilotgruppen zu beginnen. Die Einrichtung im Entra-Portal erklärt sich weitgehend von selbst, eine ausführliche Anleitung findet sich unter Access Reviews erstellen.

Automatische Maßnahmen regeln den Lebenszyklus von Gastzugängen

Häufig unterschätzt man, wie wichtig es ist, die Ergebnisse eines Reviews auch konsequent umzusetzen. Entra ID bietet dafür mehrere Automatismen, die ich fast immer empfehle. Lehnt ein Prüfer einen Gastzugang ab oder kommt keine Rückmeldung, kann Entra ID das Konto sofort entfernen oder zunächst die Anmeldung sperren. Besonders elegant finde ich die Option, Gäste nach einer Karenzzeit (z. B. 30 Tage nach Entzug des Zugriffs) endgültig zu löschen. Das entlastet die IT und gibt den Gastzugängen einen klar geregelten Lebenszyklus.

Den typischen Ablauf habe ich in einem einfachen Diagramm skizziert:

flowchart TD
  Start["Start Access Review"] --> Review["Review durch Prüfer"]
  Review -->|"Zugriff bestätigt"| Keep["Behalte Zugang"]
  Review -->|"Keine Reaktion"| Block["Blockiere Anmeldung"]
  Review -->|"Entzug beschlossen"| Block
  Block --> Wait["30 Tage warten"]
  Wait --> Delete["Gast löschen"]

Abbildung: Typischer Ablauf eines Access Reviews für Gastkonten mit automatischer Löschung nach der Sperrung.

Vor allem die Möglichkeit, nicht bestätigte Zugänge zuerst zu sperren und später automatisch zu löschen, hat in vielen meiner Projekte spürbar etwas bewegt. Allerdings sollten die Abläufe vorher mit dem Datenschutz und den Fachbereichen abgestimmt sein.

Access Reviews setzen Lizenzen und klare Einladungsregeln voraus

Access Reviews erfordern mindestens Lizenzen für Entra ID P2 oder Entra ID Governance, das sollte man nicht übersehen. In Projekten werde ich oft gefragt, welche Nutzer diese Lizenzen brauchen. Laut Microsoft müssen sowohl die Prüfer als auch die betroffenen Nutzer lizenziert sein, also auch die Gäste, über die entschieden wird. Wer Access Reviews in großem Umfang einsetzen will, sollte das im Lizenzkonzept einplanen.

Aus der Praxis noch ein weiterer Punkt. Viele Tenants gehen mit externen Einladungen viel zu großzügig um, und damit steigt das Risiko, dass ständig neue Gäste hinzukommen. Unter Externe Zusammenarbeit konfigurieren lässt sich genau festlegen, wer überhaupt Gäste einladen darf und welche Rechte diese erhalten. An dieser Stelle lässt sich die Flut an Gastkonten oft am wirksamsten eindämmen.

Mein Tipp: Bevor ihr Access Reviews auf alle Gäste loslasst, bereinigt zuerst die nie angenommenen Einladungen und legt klar fest, wer künftig einladen darf. Das spart Lizenzkosten für Access Reviews und verhindert auf Dauer Wildwuchs.

Regelmäßiges Aufräumen gehört zu jedem Tenant mit Teams und SharePoint

Sobald Teams und SharePoint aktiv genutzt werden, sind Access Reviews für Gastkonten Pflicht und kein Luxus. Sie schaffen Transparenz bei den externen Zugängen und helfen, Altlasten loszuwerden, bevor daraus ein Sicherheitsrisiko wird. In den meisten Umgebungen, die ich betreue, ist das ein befreiender Schritt. Am besten erledigt man ihn regelmäßig und automatisiert und verbindet ihn mit klaren Prozessen. Wer zusätzlich die Einstellungen für externe Zusammenarbeit im Auge behält, hat einen Großteil der Risiken im Griff. Wie so oft entscheidet dabei weniger die Technik als die konsequente Umsetzung und Pflege.