In vielen Tenants, die ich betreue, wird ein Risiko unterschätzt: Nutzer greifen unkontrolliert auf persönliche oder fremde Microsoft-365-Tenants zu. Copilot und ähnliche Werkzeuge haben die Schatten-IT zusätzlich angeheizt, und ob Mitarbeiter Daten aus Versehen oder mit Absicht in andere Clouds schaffen, spielt für das Ergebnis keine Rolle. Klassische Conditional-Access-Richtlinien allein reichen dagegen nicht mehr aus. Fehlt eine technische Kontrolle, synchronisieren Nutzer immer wieder Daten mit privaten OneDrive- oder SharePoint-Konten, oder es tauchen unvermittelt Gastkonten in anderen Umgebungen auf. Seit Anfang 2025 ist Tenant Restrictions v2 der Standardweg, um solche Datenabflüsse in Microsoft Entra ID zu unterbinden.

Tenant Restrictions v2 ist weit mehr als ein Upgrade

Wer Tenant Restrictions v2 nur für einen Nachfolger der ursprünglichen Lösung hält, greift zu kurz. Die erste Generation war im Alltag zu starr, weil sie ausschließlich über Proxy-Header und eine aufwendige Infrastruktur lief. Die neue Version steckt vollständig im Entra Admin Center (External Identities → Cross-tenant access settings → Default settings → Tenant restrictions). Dort legt man eine zentrale Policy an, die fein zwischen blockierten und erlaubten Tenants unterscheidet. Ab Werk sind alle fremden und persönlichen Tenants gesperrt, durch kommen nur ausdrücklich freigegebene Partner. So ist eindeutig festgelegt, aus welchem Tenant heraus sich Nutzer anmelden und auf welche Ressourcen sie zugreifen dürfen. Zusammen mit den Cross-Tenant Access Settings (siehe Cross-Tenant-Zugriff in Entra ID praxisnah einrichten) hat man damit ein wirksames Mittel gegen Datenabfluss und Schatten-IT in der Hand.

Policy, GPO, Intune und Universal Tenant Restrictions setzen die Regeln durch

Die Tenant-Restrictions-v2-Policy selbst konfiguriert man direkt im Entra Admin Center. Damit die Endgeräte diese Entscheidung aber auch wirklich umsetzen, ist ein weiterer Schritt nötig. Auf der Authentifizierungsebene geschieht das klassisch über einen Registry-Schlüssel, den man per Windows-GPO oder Intune verteilt. Schon bei der Anmeldung kommen dann nur noch die erlaubten Tenants zum Zug. Für moderne Szenarien und für Clients, die nicht unter Windows laufen, lohnt sich ein Blick auf die neue Option Universal Tenant Restrictions. Microsoft nutzt dafür den Global Secure Access Client aus der Entra Suite: Er setzt die Policy auf dem Gerät durch und sichert den Zugriff auf der Datenebene ab. Einzelheiten beschreibt die Dokumentation zu Universal Tenant Restrictions.

Typischerweise läuft das so ab:

flowchart TD
    PolicyDef["Policy-Konfiguration im Entra Admin Center"] --> GPOIntune["Rollout Registry-Key per GPO/Intune"]
    GPOIntune --> Client["Gerät wendet Tenant Restrictions an"]
    PolicyDef --> GSAClient["GSA Client rollout für Universal Restrictions"]
    GSAClient --> Client
    Client --> AuthPlane["Authentifizierungsebene blockiert fremde Tenants"]
    Client --> DataPlane["Datenebene (Apps, Browser) nur für erlaubte Tenants"]

Abbildung: Policy, Client-Konfiguration und Durchsetzung auf Authentifizierungs- und Datenebene greifen bei Tenant Restrictions v2 ineinander.

Bei der Durchsetzung hat man im Alltag also die Wahl. Wer Windows-Geräte weiterhin per GPO oder Intune verwaltet, bleibt bei der Registry-Variante. Bei einer gemischten Gerätelandschaft und dem Anspruch, Zero-Trust-Prinzipien umzusetzen, ist der GSA-Client die bessere Wahl. Dafür braucht man allerdings eine Entra-Suite-Lizenz.

Proxy-Header taugen nur noch als Rückfallebene

Einige Unternehmen bleiben bei einer klassischen Proxy-Lösung. Der Unternehmensproxy fügt dabei spezielle HTTP-Header ein, anhand derer die Microsoft-Dienste den Tenant prüfen. Bei nicht verwalteten Geräten oder völlig anderen Plattformen kann das durchaus sinnvoll sein. Eine lückenlose Kontrolle erreicht man so aber nicht, denn Geräte außerhalb des Proxys, etwa im Homeoffice oder unterwegs, umgehen diese Methode mühelos. Moderne Authentifizierungswege wie mobile Apps erfasst man damit ebenfalls kaum. In meinen Projekten rate ich deshalb, Proxy-Header nur noch ergänzend einzusetzen und nicht als Grundlage der Strategie.

Tipp aus der Praxis: Wer mit Proxy-Headern arbeitet, sollte regelmäßig kontrollieren, ob tatsächlich alle gewünschten Verbindungen erfasst werden und sich keine neuen Wege ins Office-365-Netzwerk aufgetan haben. Neue Apps oder Browser-Updates reißen hier schnell Lücken.

Bei persönlichen Konten und nicht verwalteten Geräten stößt die Lösung an Grenzen

Ein Allheilmittel ist auch Tenant Restrictions v2 nicht. Persönliche Microsoft-Konten (MSA) lassen sich zwar gezielt sperren, bei nicht verwalteten Geräten bleibt die Kontrolle aber begrenzt. Auf privaten Endgeräten bzw. im BYOD-Szenario kommen Nutzer unter Umständen weiterhin an eigene oder fremde Tenants heran, vor allem, wenn weder ein GSA-Client noch ein GPO- oder Intune-Profil greift. Hinzu kommen Grenzen im Zusammenspiel mit Conditional Access: Wer Gastzugriffe bewusst zulässt, muss die Ausnahmen ausdrücklich pflegen, sonst steht die Zusammenarbeit schnell still. Die Dokumentation zu Tenant Restrictions v2 listet die wichtigsten Einschränkungen und Umgehungsmöglichkeiten derzeit sehr offen auf.

Wer genauer hinschauen möchte, kann im Defender-Portal unter „Hunting → Advanced hunting“ nachsehen, ob es unerlaubte Anmeldungen bei fremden Tenants gab. Eine Beispielabfrage:

IdentityLogonEvents
| where AppDisplayName == "Microsoft Office" and AccountType == "ExternalGuest"
| where RemoteTenantId != "<eigener Tenant GUID>"

Voraussetzungen: Lizenz für Microsoft Defender XDR, Rolle „Security Reader“ und aktivierte relevante Logs.

Ohne Tenant Restrictions v2 ist heute niemand mehr sicher unterwegs

Wer 2025 noch auf Tenant Restrictions v2 verzichtet, spart an der falschen Stelle. Die Lösung schließt eine Governance-Lücke, mit der viele Unternehmen jahrelang leben mussten. Kombiniert mit den neuen Universal Tenant Restrictions auf Datenebene und den Cross-Tenant Access Settings (siehe auch Microsoft Entra Suite: Praxisstart mit Global Secure Access) ergibt sich ein sehr wirksamer Schutz gegen Datenabfluss und Schatten-IT. Wer jetzt sauber umstellt, behält die Kontrolle über seine Daten und kann zugleich die Zusammenarbeit mit Partnern gezielt und nachvollziehbar freigeben, ohne aufwendige Workarounds oder unsichere Bastellösungen. Damit hat man Cloud-Identitäten endlich wirklich im Griff, und das war lange überfällig.