Gastkonten und externe Identitäten in Microsoft Entra ID verwalten

Wie werden Gastkonten in Microsoft Entra ID so verwaltet, dass externe Personen nur die benötigten Ressourcen und nur für den erforderlichen Zeitraum erreichen? Ein sicheres Modell verbindet B2B-Einladung, Cross-Tenant Access Settings, Conditional Access, Ressourcenberechtigungen, fachliche Sponsoren, Ablaufdaten und regelmäßige Access Reviews. Das Gastobjekt im Verzeichnis allein gewährt noch keinen Zugriff auf eine Datei oder Anwendung; der tatsächliche Zugriff entsteht erst durch Gruppen, App-Zuweisungen, Teams, SharePoint-Freigaben oder andere Ressourcenrechte.

Microsoft Entra External ID umfasst mehrere Szenarien. Für die Zusammenarbeit mit Geschäftspartnern im eigenen Workforce-Tenant ist B2B Collaboration zentral. Kundenidentitäten für eigene Anwendungen können dagegen in einer External-Tenant-/CIAM-Konfiguration liegen. Diese Modelle sollten nicht vermischt werden.

Gastidentität, Anmeldung und Ressourcenrecht trennen

Drei Ebenen müssen separat betrachtet werden:

1. Identität: Gast- oder externe Benutzerrepräsentation im Ressourcentenant.
2. Authentifizierung: Wie weist die Person ihre Identität nach – eigener Entra-Tenant, Microsoft-Konto, Einmalpasscode oder anderer unterstützter Provider?
3. Autorisierung: Welche Gruppen, Apps, Sites, Teams oder Dateien darf sie verwenden?

Das Löschen einer SharePoint-Freigabe entfernt nicht automatisch das Gastobjekt. Umgekehrt bedeutet ein vorhandenes Gastobjekt nicht, dass aktuell Zugriff besteht.

B2B Collaboration und B2B Direct Connect

Für Workforce-Tenants ist klassische B2B Collaboration mit anderen Entra-Organisationen grundsätzlich das Standardszenario. B2B Direct Connect ist dagegen nicht automatisch für jede Zusammenarbeit aktiv und muss organisationsbezogen auf beiden Seiten bewusst zugelassen und getestet werden.

B2B Collaboration

Der externe Benutzer greift als Gast oder externe Identität auf Ressourcen im eigenen Tenant zu. Er verwendet typischerweise seine vorhandenen Anmeldeinformationen. Im Ressourcentenant entsteht ein Benutzerobjekt.

B2B Direct Connect

B2B Direct Connect wird über Cross-Tenant Access Settings organisationsbezogen gesteuert und ist für bestimmte direkte Kollaborationsszenarien vorgesehen. Es ist nicht identisch mit normaler B2B Collaboration.

Für jedes Partnerunternehmen sollte dokumentiert sein, welches Modell verwendet wird und welche Ressourcen es betrifft.

Einladungsprozess

Wenn der Gast keinen passenden Entra- oder Microsoft-Account verwendet, greift in vielen Workforce-Tenants standardmäßig der E-Mail-One-Time-Passcode, sofern er nicht bewusst deaktiviert wurde. Das sollte im Supportprozess bekannt sein, weil sich Einladung, Einlösung und MFA-Fragen je nach Identitätsquelle spürbar unterscheiden.

Ein kontrollierter Prozess beantwortet:

• Wer darf Gäste einladen?
• Welche Domänen sind zulässig oder blockiert?
• Wer ist fachlicher Sponsor?
• Welche Ressource und Rolle wird benötigt?
• Wie lange gilt der Zugriff?
• Welche Nutzungsbedingungen oder Datenschutzinformationen gelten?
• Wie erfolgt die Identitätsprüfung des Partners?
• Wann wird der Zugriff überprüft oder entfernt?

Einladung nicht mit Freigabe verwechseln

Eine Einladung kann das Gastobjekt erzeugen. Die Ressourcenberechtigung muss separat gesetzt werden. Am besten wird Zugriff über eine klar benannte Gruppe oder ein Access Package vergeben, damit Entzug und Review nachvollziehbar bleiben.

External Collaboration Settings

Tenantweite External-Collaboration-Einstellungen steuern unter anderem:

• wer Gäste einladen darf,
• wie eingeschränkt Gäste Verzeichnisinformationen sehen,
• Domain Allow-/Deny-Listen,
• Self-Service-Sign-up-nahe Funktionen, soweit verwendet.

Eine Domain-Allow-Liste beweist nicht, dass jeder Benutzer der Domäne vertrauenswürdig ist. Sie ist nur eine organisatorische Einschränkung des Einladungsspektrums.

Cross-Tenant Access Settings

Cross-Tenant Access Settings bestimmen für andere Microsoft-Entra-Organisationen eingehenden und ausgehenden Zugriff. Es gibt Standardwerte und organisationsspezifische Einstellungen.

Mögliche Aspekte:

• welche externen Benutzer oder Gruppen zugelassen sind,
• auf welche internen Anwendungen sie zugreifen dürfen,
• welche eigenen Benutzer in den Partnertenant dürfen,
• ob MFA-Claims des Home-Tenants vertraut werden,
• ob Geräte-Compliance oder Hybrid-Join-Claims vertraut werden,
• ob B2B Direct Connect zugelassen wird.

Vertrauen in MFA- und Device-Claims

Die Ressourcenorganisation kann entscheiden, ob sie bestimmte Claims eines Partner-Tenants akzeptiert. Diese Entscheidung sollte nur für bekannte Organisationen mit abgestimmtem Sicherheitsniveau getroffen werden. Andernfalls verlangt der Ressourcentenant eigene Kontrollen.

Conditional Access für externe Benutzer

Für Gäste mit E-Mail-One-Time-Passcode ist Require multifactor authentication in der Praxis häufig die realistischere Grant Control als eine anspruchsvollere Authentication Strength. Stärkebasierte Anforderungen funktionieren nur dort sauber, wo die externe Identität die erwarteten Methoden-Claims tatsächlich liefern kann.

Externe Benutzer können eigene Conditional-Access-Richtlinien erhalten. Typische Kontrollen:

• MFA oder Authentication Strength,
• akzeptierte Nutzungsbedingungen,
• Zugriff nur auf bestimmte Apps,
• Session Controls,
• Blockierung unbekannter oder nicht unterstützter Szenarien.

Geräteanforderungen sind bei externen Benutzern besonders zu testen. Ein Partnergerät ist nicht automatisch im eigenen Intune verwaltet. Cross-Tenant Trust oder alternative Kontrollen können notwendig sein.

Ressourcenberechtigungen

Microsoft 365 Groups und Teams

Gäste können Mitglied einer Microsoft-365-Gruppe oder eines Teams sein. Dadurch entstehen verbundene Zugriffe auf SharePoint, Unterhaltungen und weitere Dienste. Private oder Shared Channels besitzen zusätzliche Mitgliedschafts- und Sitebeziehungen.

SharePoint und OneDrive

Zugriff kann über Site-Mitgliedschaft, Gruppen, direkte Datei-/Ordnerfreigabe oder Freigabelinks entstehen. Für eine vollständige Bereinigung müssen alle Wege betrachtet werden. Der technische Aufbau externer SharePoint-Zusammenarbeit wird im Beitrag Externe Zusammenarbeit in SharePoint vertieft.

Enterprise Applications

Eine App kann Benutzer-/Gruppenzuweisung verlangen. Gastobjekt, Consent und App-Zuweisung sind getrennte Ebenen.

Sponsor und Eigentümer

Jedes Gastkonto benötigt einen fachlichen Sponsor. Der Sponsor bestätigt:

• Identität und Partnerorganisation,
• geschäftlichen Zweck,
• benötigte Ressourcen,
• Gültigkeitszeitraum,
• Verlängerung oder Entzug.

Der IT-Betrieb kann technische Inaktivität erkennen, weiß aber nicht immer, ob ein Vertrag oder Projekt weiterläuft. Ohne Sponsor werden Reviews zu Ratespielen.

Ablauf und Verlängerung

Ein Gastzugang sollte ein Ablauf- oder Reviewdatum besitzen. Mögliche Modelle:

• Access Package mit befristeter Zuweisung,
• wiederkehrende Access Review,
• projektbezogene Gruppe mit Lifecycle,
• externe Workflow-/Ticketfrist,
• manuelle, aber kontrollierte Wiedervorlage.

Verlängerung erfolgt nicht automatisch nur, weil sich der Gast kürzlich angemeldet hat. Aktivität und fachliche Notwendigkeit sind unterschiedliche Signale.

Protokollierung und Auswertung

Microsoft Entra stellt Audit- und Anmeldeprotokolle bereit. Für B2B-Nutzer können Aktivitäten im Home- und Ressourcentenant entstehen.

Prüfbare Informationen:

• Einladung und Einlösung,
• Benutzererstellung und -änderung,
• Gruppenmitgliedschaften,
• interaktive und nicht interaktive Anmeldungen,
• Conditional-Access-Ergebnis,
• Zielanwendung,
• Auditaktivitäten des Gastbenutzers,
• Provisioning- und Access-Review-Ergebnisse.

Nicht jede fachliche Dateiaktion erscheint im Entra-Audit. SharePoint-, Purview- oder anwendungsspezifische Protokolle können zusätzlich nötig sein.

Typische Fehlerbilder

Gast kann Einladung nicht einlösen

Mögliche Ursachen:

• falsche E-Mail-Adresse oder anderes Home-Konto,
• Cross-Tenant Access blockiert,
• Domainrestriktion,
• Conditional Access,
• bereits vorhandenes Gastobjekt mit anderer Identität,
• Einmalpasscode- oder Browserproblem.

Test: Einladung, Redemption Status, Home-Tenant/Issuer, Anmeldeprotokoll und Conditional Access prüfen. Keine zweite Gastidentität erzeugen, bevor die bestehende Zuordnung verstanden ist.

Gast kann anmelden, sieht aber keine Ressource

Authentifizierung funktioniert, Autorisierung fehlt. Prüfen Sie Gruppe, Team, Site, Datei oder App-Zuweisung sowie verschachtelte Mitgliedschaften.

Gast wurde aus Team entfernt, hat aber weiterhin Dateizugriff

Direkte SharePoint-Freigaben oder Freigabelinks können bestehen bleiben. Führen Sie eine Ressourcenprüfung durch und entziehen Sie alle relevanten Pfade.

Gastkonto ist inaktiv, aber geschäftlich noch nötig

Inaktivität ist ein Review-Signal, kein automatischer Beweis für Entbehrlichkeit. Sponsor und Ressourcenowner entscheiden. Bei saisonalen Projekten können längere Pausen normal sein.

Ehemaliger Partner nutzt neues Konto

Eine Person kann mehrere externe Identitäten besitzen. Sponsor, Mailadresse und Partnerorganisation sollten regelmäßig abgeglichen werden. Alte Objekte werden nach kontrollierter Übertragung entfernt.

Kontrollierte Bereinigung

1. Zugriff inventarisieren

• Gruppen und Teams,
• Enterprise Applications,
• Access Packages,
• SharePoint-/OneDrive-Freigaben,
• Rollen und Administrative Units,
• direkte Ressourcenberechtigungen.

2. Sponsor befragen

Geschäftsbedarf, Vertragsstatus und Datenübergabe klären.

3. Zugriff entziehen

Zuerst Ressourcen- und Gruppenrechte entfernen. Bei Sicherheitsvorfall Anmeldung blockieren und Sitzungen widerrufen.

4. Beobachten

Fehlgeschlagene Anmeldungen oder Betriebsprobleme prüfen.

5. Gastobjekt löschen

Wenn keine Ressourcen- oder Nachweisanforderungen mehr bestehen, Gastobjekt kontrolliert entfernen. Aufbewahrung von Protokollen und fachlichen Daten ist separat zu behandeln.

Access Reviews und Entitlement Management

Bei Gast-Szenarien sollten neben der Funktion auch die Abrechnungsfolgen dokumentiert sein. External Identities wird für B2B-Kollaboration typischerweise MAU-basiert betrachtet; zusätzliche Governance-Funktionen für Gäste können je nach Vertrag ebenfalls eigene MAU- oder Add-on-Wirkungen haben.

Access Reviews können Gruppen- und App-Zugriffe wiederkehrend prüfen. Entitlement Management kann Access Packages mit Anfrage, Genehmigung, Ablauf und Review bereitstellen. Lizenzanforderungen und Gastabrechnung müssen anhand aktueller Microsoft-Dokumentation geprüft werden.

Der Reviewprozess wird im Beitrag Access Reviews in Microsoft Entra ID detailliert beschrieben.

Testkatalog

1. Gast aus Entra-Partner-Tenant einladen.
2. Einladung mit richtiger Identität einlösen.
3. Zugriff über Gruppe erhalten.
4. Zugriff ohne Zuweisung scheitert.
5. Conditional Access und MFA erfüllen.
6. Cross-Tenant-MFA-Trust prüfen.
7. Sponsor erhält Review.
8. Gruppenrecht wird entzogen.
9. direkte Datei-Freigabe wird separat erkannt.
10. Gastobjekt wird nach Bereinigung gelöscht.
11. Audit- und Anmeldeereignisse werden gefunden.
12. Ausnahme oder Verlängerung besitzt Enddatum.

Betriebskennzahlen

• Gäste ohne Sponsor,
• Gäste ohne Ablauf-/Reviewdatum,
• inaktive Gäste mit aktiven Ressourcenrechten,
• Gäste in privilegierten Gruppen,
• organisationsspezifische Cross-Tenant-Trusts,
• offene Einladungen,
• abgelehnte oder unbeantwortete Reviews,
• Gäste ohne aktuelle Anmeldung, aber mit direkter Freigabe.

Für die ressourcenseitige Umsetzung in Microsoft 365 vertieft der Beitrag Externe Zusammenarbeit in SharePoint das Freigabemodell. Die regelmäßige Bestätigung bestehender Gastzugriffe behandelt Access Reviews in Microsoft Entra ID.

So bleiben externe Identitäten zeitlich begrenzt und fachlich zugeordnet

Sichere externe Zusammenarbeit trennt Identität, Authentifizierung und Ressourcenrecht. B2B- und Cross-Tenant-Einstellungen steuern den Zugang, während Sponsor, Gruppen, Access Packages und Reviews den fachlichen Bedarf abbilden. Durch Ablaufdaten, Protokollierung und eine mehrstufige Bereinigung werden sichtbare Teammitgliedschaften, App-Zuweisungen und Dateifreigaben gemeinsam geprüft und entfernt.