M365 SharePoint | nächste Generation der Datei- und Ordnerfreigabe

Eine einzige Datei in SharePoint sammelt über Monate ein Dutzend Freigabelinks an: einen für das Projektteam, einen für den externen Dienstleister, einen anonymen aus dem Jahr davor, den niemand mehr zuordnen kann. Jeder dieser Links trägt seine eigene Berechtigung, und wer wissen will, wer eine Datei tatsächlich öffnen kann, muss alle einzeln prüfen.

Ab Ende August 2026 räumt Microsoft dieses Modell um. Der Rollout der dritten Generation der Dateifreigabe läuft bis Ende Oktober 2026 und erfasst Worldwide, GCC, GCC High und DoD gleichzeitig.

Im Zentrum steht der Hero-Link: ein primärer Freigabelink pro Datei oder Ordner, dessen Zielgruppe sich nachträglich ändern lässt. Die URL bleibt dabei stabil. Wenn ein Empfänger die Datei nicht öffnen kann, erweiterst Du die Zielgruppe des bestehenden Links, statt einen neuen zu erzeugen und erneut zu verschicken. Technisch verschiebt sich damit die Berechtigungslogik von der URL auf das Objekt.

Für Dich als Administrator heißt das: Es gibt keinen einzelnen Schalter für den Rollout. Die Vorbereitung besteht aus einer Bestandsaufnahme und einer bewussten Entscheidung pro Websitesammlung, weil aktuell auch keine mandantenweite Einstellung für die Hero-Link-Zielgruppe existiert.

Der Roadmap-Eintrag 492622 listet als betroffene Produkte SharePoint, OneDrive, Word, Excel, PowerPoint und Microsoft 365, als Plattformen Web, Desktop, Mac, iOS und Android. Eine Lizenzvoraussetzung nennt weder der Roadmap-Eintrag noch die Message-Center-Meldung, betroffen sind laut Meldung alle Benutzer, die Dateien und Ordner in Microsoft 365 teilen oder verwalten.

Die Konfiguration läuft über die SharePoint Online Management Shell. Bring das Modul auf den aktuellen Stand und verbinde Dich mit der Admin-URL Deines Mandanten:

Prüfe anschließend, ob Deine Modulversion den Parameter überhaupt kennt. Fehlt er, greift jede weitere Konfiguration ins Leere und Du brauchst zuerst ein Update:

Bevor Du etwas änderst, hältst Du den Ist-Stand fest. Die bestehenden Standardwerte für Freigabelinks bleiben nach dem Rollout gültig, sie steuern aber nur noch die Altlinks und die zusätzlichen Links, nicht den Hero-Link. Ohne dokumentierten Ausgangszustand kannst Du später nicht unterscheiden, welche Abweichung vom Rollout stammt und welche aus Deiner eigenen Konfiguration.

Relevant sind die Freigabeparameter, die Set-SPOTenant steuert: SharingCapability, DefaultSharingLinkType, DefaultLinkPermission, CoreDefaultShareLinkScope, CoreDefaultShareLinkRole, OneDriveDefaultShareLinkScope, OneDriveDefaultShareLinkRole und RequireAnonymousLinksExpireInDays. Welche davon Deine Modulversion tatsächlich zurückgibt, siehst Du mit Get-SPOTenant | Get-Member.

Auf Websiteebene ziehst Du dieselben Werte für alle aktiven Sites in eine CSV, die später als Nachweis dient. Personal Sites bleiben dabei außen vor, weil Get-SPOSite sie nur mit -IncludePersonalSite liefert:

Der Standardwert ist OnlyPeopleAdded. Der Hero-Link gewährt damit von sich aus keinen Zugriff. Er spiegelt die Personen, die explizit berechtigt wurden. Wer den Link weiterleitet, verschafft dem Empfänger keinen Zugang. Das ist die restriktive Variante und für die meisten Umgebungen die richtige Ausgangslage. Die Berechtigungsstufe startet nach der Message-Center-Meldung mit Ansicht, nicht mit Bearbeitung.

Auf Websitesammlungen, in denen interne Zusammenarbeit der Regelfall ist (etwa eine Intranet-Site oder ein internes Projektarchiv), kannst Du auf Organization wechseln:

Die Learn-Referenz zu Set-SPOSite führt zusätzlich den Wert Anyone. Er greift nur, wenn anonyme Links auf Mandantenebene erlaubt sind. Ist das nicht der Fall oder blockiert die Website anonyme Links, fällt der effektive Standard auf die nächstrestriktivere Stufe zurück. Die Message-Center-Meldung MC1454378 nennt Anyone nicht, sondern nur OnlyPeopleAdded und Organization. Diese Abweichung solltest Du im Pilotmandanten prüfen, bevor Du sie in die interne Dokumentation übernimmst.

Zwei Punkte gehören in jede Risikobewertung: Der Parameter setzt nur den Vorgabewert. Er hindert Nutzer nicht daran, die Zielgruppe im Dialog zu erweitern, solange die Freigaberichtlinie das zulässt. Und er greift auf den Elementen im Stamm der Dokumentbibliothek. Eine globale Sperre für die gesamte Websitesammlung ersetzt er damit nicht.

OneDrive-Speicherorte sind eigene Websitesammlungen und werden vom Site-Level-Parameter nicht automatisch miterfasst. Du adressierst sie über die persönlichen Sites:

Lass den Lauf zuerst gegen eine Handvoll Testkonten laufen. Bei mehreren tausend OneDrive-Konten ist die Ausführung drosselungsanfällig, weshalb eine Aufteilung in Batches und ein Fehlerprotokoll sinnvoll sind.

Arbeitest Du als Dienstleister über mehrere Tenants, fehlt Dir die mandantenweite Einstellung als Hebel. Die Standardisierung läuft deshalb über ein Skript, das je Kunde die Admin-URL, die Zielwerte und eine Ausnahmeliste aus einer Konfigurationsdatei liest. Über GDAP und die Partner-Center-Delegierung verbindest Du Dich nacheinander mit Connect-SPOService gegen die jeweilige Admin-URL. Ein zentraler Report über alle Mandanten, gebaut aus den CSV-Exporten aus Schritt 1, ist die Grundlage für die Abstimmung mit dem Kunden.

Beim ersten Öffnen des neuen Dialogs sehen Deine Nutzer ein Tutorial. Das ersetzt keine Kommunikation, weil sich die mentale Landkarte ändert: Bisher galt ein Link als das, was Zugriff gibt. Künftig gibt der Link nur weiter, was am Objekt hinterlegt ist. Altlinks funktionieren weiter und wandern im Dialog unter den Bereich für weitere Links.

Aktualisiere die internen Richtlinien und Anleitungen, in denen steht, dass ein neuer Link nötig ist, wenn sich der Empfängerkreis ändert. Diese Aussage stimmt nach dem Rollout nicht mehr.

Der Hero-Link löst ein reales Governance-Problem: Die Zahl der Links pro Datei sinkt, und die Frage nach dem effektiven Zugriff lässt sich an einem Objekt beantworten statt an einer Sammlung historischer URLs. Für Audits nach ISO 27001 oder für eine Datenschutz-Folgenabschätzung ist das ein Fortschritt, weil der Nachweis der Zugriffskontrolle näher an der Datei liegt.

Der Preis dafür ist ein neues Risikomuster. Ein Link, der seine Reichweite nachträglich ändern kann, ist bequem für den Absender und schwerer nachvollziehbar für alle anderen. Eine bereits verteilte URL kann morgen mehr Personen erreichen als heute, ohne dass ein technischer Marker beim Empfänger sichtbar wird. Der effektive Zugriff bleibt die permissivste Kombination aus direkten, vererbten, gruppenbasierten und linkbasierten Berechtigungen, und der Hero-Link fügt dieser Rechnung eine Variable hinzu, die Nutzer selbst verändern.

Dazu kommt eine Lücke in den Kontrollen: Bestehende Ablaufrichtlinien für Freigabelinks gelten nach der Message-Center-Meldung für Altlinks und regeln keine Hero-Links. Wer Ablaufdaten als Kompensationsmaßnahme in einer Richtlinie dokumentiert hat, prüft diese Aussage vor dem Rollout besser nach.

Der Aufwand für die Vorbereitung ist überschaubar. Eine Bestandsaufnahme, eine Entscheidung pro Websitesammlung, ein Skriptlauf für OneDrive und eine kurze Nutzerinformation reichen für die meisten Umgebungen. Der Zeitpunkt ist der eigentliche Druckpunkt: Der Rollout beginnt Ende August 2026 und läuft bis Ende Oktober 2026. Wer erst reagiert, wenn die Nutzer den neuen Dialog sehen, diskutiert Zielgruppen im Betrieb statt vorher am Konzept.