Trivial sind die SharePoint-Freigabeeinstellungen in keinem Tenant. In vielen Umgebungen, die ich betreue, sehe ich immer wieder dasselbe Muster. Ist zu viel erlaubt, läuft die externe Zusammenarbeit zwar reibungslos, doch sensible Informationen landen schnell bei Personen oder Domains, die sie nie hätten sehen dürfen. Ist die Freigabestrategie dagegen zu streng, wuchert es an anderer Stelle: Schatten-IT entsteht, Kopien kursieren unkontrolliert, und die Nutzer behelfen sich mit Workarounds. Seit Microsoft 365 Copilot und Copilot Chat ab Januar 2025 noch mehr Kontext aus geteilten Inhalten ziehen können, führt an einem durchdachten Freigabekonzept kein Weg mehr vorbei.

Auf Organisationsebene legen wenige Schalter die Grenzen für externe Freigaben fest

Zentrale Anlaufstelle ist das SharePoint Admin Center → Richtlinien → Freigabe. Dort bestimmt man, wie weit externe Freigaben überhaupt gehen dürfen. Für die meisten Unternehmen empfehle ich folgende Baseline:

  • Externes Teilen auf „Neue und bestehende Gäste“ beschränken. Einzelne Nutzer können dann weiterhin per B2B-Gastzugriff zusammenarbeiten, allerdings nur über einen Einladungsprozess. Freigaben nach dem Muster „Jeder mit dem Link kann...“ für beliebige Externe fallen damit weg.
  • Den Standard-Linktyp auf „Bestimmte Personen“ setzen. Neu geteilte Dateien sind dann zunächst nur für die ausdrücklich ausgewählten Empfänger zugänglich, nicht für ganze Organisationen oder anonyme Nutzer. Wird ein Link weitergeleitet, erhalten Unbefugte deshalb nicht ohne Weiteres Zugriff. Details stehen in der Microsoft-Dokumentation zum Linktyp.
  • Die Standardberechtigung auf „Anzeigen“ setzen. Wer bearbeiten lassen will, muss das bewusst auswählen – in den meisten Projekten hat sich das als sichere Grundeinstellung bewährt.
  • Einen Ablauf für „Jeder“-Links aktivieren (typischerweise 30 Tage) und ebenso eine Ablaufzeit für Gastzugriffe festlegen (z. B. 60–90 Tage). Bleibt ein Link einmal liegen, wächst die Angriffsfläche dadurch nicht unbegrenzt (mehr dazu in diesem Microsoft-Artikel).
  • Zulassungs- und Sperrlisten für Domains pflegen, wenn bestimmte Partner grundsätzlich oder nie Zugriff bekommen sollen.

Damit findet man einen tragfähigen Kompromiss zwischen Sicherheit und Zusammenarbeit. Wie sich die einzelnen Schalter im Detail auswirken, erklärt Microsofts Übersicht recht kompakt.

Sensible Sites bekommen strengere Freigaberegeln als der Rest des Tenants

Bereiche wie Vorstand oder Personalabteilung brauchen häufig strengere Regeln als der Rest der Organisation. Im SharePoint Admin Center lässt sich das externe Teilen für jede Site einzeln weiter einschränken. Mit der Option „Nur Personen in Ihrer Organisation“ ist jede externe Freigabe ausgeschlossen. Etwas lockerer ist die Einstellung „Bestehende Gäste“: Teamsites können dann weiterhin mit vorhandenen Gastkonten arbeiten, neue Personen lassen sich aber nicht mehr wahllos einladen. Wer es konsequent angehen will, kombiniert das mit Authentifizierungskontext und Conditional Access. Wie das in der Praxis aussieht, beschreibe ich im Artikel Authentication Context gezielt für sensible SharePoint-Sites.

Praxistipp: Sensible Sites regelmäßig anhand der Zugriffsberichte im SharePoint Admin Center prüfen, vor allem wenn neue Gastnutzer dazukommen oder Projekte wechseln. Vieles bemerkt man erst, wenn man gezielt hinschaut.

Jede externe Freigabe landet als Gastkonto in Microsoft Entra ID

Hinter jeder externen Freigabe in SharePoint steht ein B2B-Gast in Microsoft Entra ID. Deshalb reicht es nicht, sich auf die Ablaufzeit der Links zu verlassen; auch die Lebensdauer der Gastkonten gehört auf den Prüfstand. Das Zusammenspiel von SharePoint und Entra hat dabei seine Tücken. Löscht man einen Gast in Entra, verliert er seine Rechte sofort. Entfernt man dagegen nur die Freigaben, wird das Gastkonto nicht immer gleich mit gelöscht. Access Reviews für Gäste sollten deshalb fester Bestandteil des Betriebs sein. Wie ich dabei vorgehe, steht in Gastkonten mit Access Reviews in Entra ID aufräumen. Wer im SharePoint Admin Center den Ablauf von Gastzugriffen einschaltet, sollte außerdem die passenden Richtlinien in Entra ID kontrollieren (erforderliche Rolle: Global Admin oder Privileged Role Admin).

Freigabeberichte und PowerShell zeigen, ob die Baseline wirklich greift

Wie viel extern geteilt wurde und was genau, zeigen die Auswertungen im SharePoint Admin Center unter Überwachung → Freigabeberichte. Sie reichen von den Zugriffsrechten pro Site bis zu Berichten über „Anyone“-Links. In größeren Tenants kontrolliere ich die Baseline zusätzlich regelmäßig per PowerShell:

# PowerShell 7, SharePoint Online Management Shell, Tenant Admin
Connect-SPOService -Url https://<tenant>-admin.sharepoint.com
Get-SPOTenant | Select DefaultSharingLinkType, SharingCapability, ExternalUserExpirationRequired, SharingAllowedDomainList, SharingBlockedDomainList

Über Set-SPOTenant lassen sich sämtliche beschriebenen Einstellungen auch automatisiert oder als Teil eines Deployments setzen:

Set-SPOTenant -DefaultSharingLinkType SpecificPeople -SharingCapability ExternalUserAndGuestSharing -ExternalUserExpirationRequired $true -ExternalUserExpireInDays 60

Für das Security-Review ist das Reporting ohnehin hilfreich. Darüber hinaus sieht man daran, ob Richtlinien wie „Ablauf von Gastzugriff“ tatsächlich wirken oder ob die Nutzer längst einen Weg drumherum gefunden haben.

Restriktive Freigaben halten auch Copilot-Oversharing in Grenzen

Copilot in Microsoft 365 und vor allem Copilot Chat können inzwischen noch mehr Dokumente zusammenfassen. Damit ist der Schutz sensibler Daten deutlich wichtiger geworden, und die SharePoint-Freigabeeinstellungen bilden die erste Verteidigungslinie. Was nie geteilt wurde, kann Copilot auch nicht für Anfragen von Gästen oder Partnern heranziehen. In mehreren Projekten habe ich erlebt, dass gerade Freigaben vom Typ „Any user with the link“ plötzlich Zugriffe auf vermeintlich interne Dokumente ermöglicht haben. Wer von Anfang an „Bestimmte Personen“ als Standard festlegt und Gäste regelmäßig überprüft, hält die Datenbasis für Copilot-Antworten sauber und erspart sich manche Diskussion mit Betriebsrat und Datenschutz. Mehr zu Copilot und Oversharing habe ich in Copilot-Oversharing: Blueprint, Site-Risiken und Praxis-Checks zusammengetragen.

Die folgende Skizze zeigt, wie die wichtigsten Einstellungen mit den tatsächlichen Freigabemöglichkeiten zusammenhängen:

flowchart TD
    OrgSettings["Org.-Freigabeeinstellungen"] --> SiteSettings["Site-Freigabeeinstellungen"]
    SiteSettings --> UserSharing["Benutzer teilt Dokument"]
    UserSharing --> EntraGuest["Entra B2B Gast"]
    EntraGuest --> CopilotAccess["Copilot-Zugriff"]
    SiteSettings --> CopilotAccess

Abbildung: Zusammenspiel von Freigabeeinstellungen auf Organisations- und Site-Ebene, Gastverwaltung und Copilot

Auch die beste Baseline braucht regelmäßige Pflege

Mit einer durchdachten Baseline für die SharePoint-Freigabeeinstellungen sinken die Risiken, der Aufwand nimmt auf Dauer ab, und der Einsatz von Copilot wird kalkulierbar. Ganz ohne Nacharbeit geht es aber auch mit den besten Vorgaben und PowerShell-Skripten nicht. Gastkonten kommen und gehen, neue Teamsites entstehen, Kooperationspartner wechseln, und so hält kein Setup ewig. Wer Monitoring und Berichte regelmäßig nutzt, erlebt jedoch deutlich seltener böse Überraschungen.