Mit Intune bleibt der OneDrive-Sync auf die eigenen Tenants beschränkt

In vielen Microsoft-365-Umgebungen begegnet mir derzeit dieselbe Forderung, die aus der IT, vom Datenschutz und häufig auch vom Betriebsrat kommt: Die OneDrive-Synchronisation soll sich gezielt steuern lassen, vor allem dann, wenn auf Firmengeräten fremde oder private OneDrive-Konten synchronisiert werden. Dass jemand sein persönliches Microsoft-Konto ohne Weiteres auf dem Firmenlaptop mit OneDrive verbindet, ist inzwischen nicht mehr hinnehmbar. Schatten-IT, abfließende Daten und Verstöße gegen Compliance-Vorgaben wären die Folge. Heute lässt sich der Sync erfreulich fein einschränken, besonders wenn Intune und eine moderne Geräteverwaltung im Einsatz sind. Im Folgenden zeige ich, wie man die Tenant-Beschränkung für den OneDrive-Sync alltagstauglich umsetzt und worüber man dabei leicht stolpert.

Im Settings Catalog von Intune stellt man die entscheidenden Weichen

Die zentralen Konfigurationsoptionen für OneDrive stehen schon seit einiger Zeit im Settings Catalog von Intune. Für die Tenant-Beschränkung kommt es auf zwei Einstellungen an: „Allow syncing OneDrive accounts for only specific organizations“ (AllowTenantList) und „Block syncing OneDrive accounts for personal accounts“ (DisablePersonalSync). In AllowTenantList hinterlegt man eine Liste von Tenant-IDs, und nur diese Tenants lassen sich danach noch synchronisieren. Nutzer können dann weder OneDrive-Konten anderer Organisationen noch private Microsoft-Konten hinzufügen. Die Funktion steht unter Windows 10 ebenso zur Verfügung wie unter Windows 11.

Praktischer Tipp: Die Tenant-ID eures Unternehmens findet ihr am schnellsten im Entra-ID-Portal unter „Übersicht“. Kopiert sie, statt sie abzutippen, denn Tippfehler passieren dabei schneller, als man denkt.

In Intune setzt man diese Vorgaben am besten über eine Settings-Catalog-Richtlinie um. Die passenden Einstellungen findet ihr dort unter „OneDrive“. Meist reicht es, in AllowTenantList die eigene Tenant-ID einzutragen. Mehrere IDs braucht man etwa bei Hybrid- oder M&A-Szenarien. DisablePersonalSync gehört grundsätzlich aktiviert, weil es private Microsoft-Konten unterbindet. Die Richtlinie weist man üblicherweise allen Windows-Geräten zu, häufig über eine Gruppe wie „Alle Unternehmensgeräte“.

Files On-Demand und Silent Sign-In gehören gleich mit in die Richtlinie

Damit die Nutzer gut mit OneDrive arbeiten können, verteilt man am besten gleich ein paar weitere Einstellungen mit. Files On-Demand sollte standardmäßig eingeschaltet sein. Das spart Speicherplatz und macht sich gerade bei großen Bibliotheken in der Performance bemerkbar. Über Silent Account Configuration meldet sich OneDrive automatisch mit dem Benutzerkonto an, ohne dass jemand von Hand nachhelfen muss. Auch Storage Sense lässt sich per Intune aktivieren, damit lokal nicht mehr genutzte Dateien automatisch ausgelagert werden. Diese Einstellung liegt allerdings bei den Windows-Optionen und nicht direkt bei OneDrive.

So sieht die AllowTenantList-Richtlinie beispielsweise als JSON-Export aus Intune aus:

{
  "@odata.type": "#microsoft.graph.deviceConfiguration",
  "displayName": "OneDrive Sync nur Firmen-Tenant",
  "oneDriveAllowTenantList": [
    "abcd1234-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
  ],
  "oneDriveDisablePersonalSync": true
}

Anwendung in Intune → Geräte → Konfigurationsprofile → Einstellungenkatalog; dafür sind eine Intune-Lizenz und Admin-Rechte nötig.

Das SharePoint Admin Center blockiert den Sync auf Geräten ohne Domänenmitgliedschaft

Mit dem Client ist die Kontrolle über den OneDrive- und SharePoint-Sync noch nicht erledigt. Auch auf der Serverseite kann und sollte man nachlegen. Im SharePoint Admin Center lässt sich unter „Richtlinien“ → „Zugriffssteuerung“ → „Synchronisierung“ der Sync auf Geräten sperren, die keiner Domäne angehören. Wichtig ist das vor allem dort, wo Intune oder GPOs nicht alle Windows-Geräte erfassen, etwa bei BYOD oder bei externen Partnern. An dieser Stelle trägt man die erlaubten AD-Domänennamen ein. Dabei gilt es aufzupassen: Ein Gerät muss Mitglied einer dieser Domänen sein, klassisch per AD-Join oder per Entra-ID-Join. Andernfalls schlägt der Sync fehl.

Welche Optionen es im Einzelnen gibt und welche Szenarien unterstützt werden, beschreibt die offizielle Dokumentation von Microsoft. Zu den Domänenbeschränkungen gibt es eine eigene Seite.

Bei gewachsenen Umgebungen genügt Intune allein oft nicht

Aus meinen Projekten weiß ich, dass Intune allein meist ausreicht, solange alle Geräte zentral verwaltet werden und keine älteren Gruppenrichtlinien mehr mitspielen. Gibt es dagegen ein über Jahre gewachsenes lokales Active Directory mit GPOs, sollte man nachsehen, ob alte Richtlinien wie „Allow syncing only on computers joined to specific domains“ noch greifen. Sie können sich überschneiden oder einander sogar aushebeln. Bei besonders sensiblen Clients oder in stark regulierten Branchen rate ich dazu, alle verfügbaren Mittel zu kombinieren: den Settings Catalog in Intune, die Sync-Beschränkung im SharePoint Admin Center und für Sonderfälle bei Bedarf GPOs.

Der typische Ablauf in der folgenden Übersicht zeigt, an welchen Stellen der Sync zwischen Client und Cloud kontrolliert wird:

flowchart TD
    Client["Firmengerät"] --> Intune["Intune Richtlinie: AllowTenantList"]
    Intune --> OneDriveClient["OneDrive Client"]
    OneDriveClient --> SharePointAdmin["SharePoint Admin Center Richtlinie"]
    SharePointAdmin --> CloudSync["OneDrive/SharePoint Cloud Sync"]

Abbildung: OneDrive-Synchronisation – Kontrollpunkte vom Endpoint bis zur Cloud

Tenant Restrictions v2 und Known Folder Move erweitern die Kontrolle

Wer noch strenger kontrollieren will, sollte sich außerdem Tenant Restrictions v2 ansehen. Damit filtert man nicht nur den OneDrive-Client, sondern auch Webzugriffe und andere Microsoft-365-Apps sehr genau danach, ob sie auf den eigenen oder einen fremden Tenant zugreifen. Ausführlich gehe ich darauf im Beitrag Tenant Restrictions v2: Datenabfluss in fremde Tenants verhindern ein. Außerdem empfehle ich, Known Folder Move konsequent über Intune einzurichten. So landen auch Desktop, Dokumente und Bilder automatisch im richtigen Tenant. Was dabei schiefgehen kann, beschreibe ich genauer im Artikel OneDrive Known Folder Move mit Intune: Stolperfallen & Health.

Sync-Richtlinien gehören heute zur Pflicht und nicht zur Kür

Den OneDrive-Sync auf bestimmte Tenants zu beschränken, ist inzwischen eine Pflichtaufgabe, die Compliance, Datenschutz und IT-Security gleichermaßen einfordern. An Werkzeugen fehlt es nicht. In der Praxis bleibt das Thema aber nur dann dauerhaft im Griff, wenn man die Einstellungen regelmäßig kontrolliert und testet und dabei auch die übrigen Zugriffsmechanismen im Blick behält. Ändern sich Rollout oder Gerätemanagement, etwa beim Wechsel zwischen Hybrid, Cloud-only und BYOD, sollten die Richtlinien mindestens einmal im Jahr auf den Prüfstand. Wer das ordentlich dokumentiert und technisch konsequent umsetzt, erspart sich eine Menge Ärger – und kann jederzeit belegen, dass die Daten dort bleiben, wo sie hingehören.