M365 SharePoint | OTP-Abschaltung auf Entra B2B vorbereiten

Warum externe Zugriffe im Oktober still ausfallen und wie du das verhinderst

Ein externer Partner öffnet einen Freigabelink, den er vor acht Monaten bekommen hat, und sieht eine Zugriffsverweigerung. Er meldet sich nicht bei dir, sondern beim Fachbereich, und der Fachbereich meldet sich zwei Wochen später. So wird die OTP-Abschaltung in den meisten Organisationen ankommen.

Microsoft schaltet die SharePoint-eigene Einmalkennwort-Authentifizierung ab und überführt externe Freigaben in SharePoint und OneDrive vollständig auf Entra B2B. Der Vorgang läuft unter MC1243549. Phase 1 ist bereits durch: Neue externe Freigaben laufen seit Mai 2026 über Entra B2B und legen dabei automatisch ein Gastkonto an. Phase 2, die eigentliche Abschaltung, läuft vom 1. bis 31. Oktober 2026 in den Produktionsumgebungen. GCC, GCC High und DoD sind ausgenommen und bekommen eigene Termine.

Ein Missverständnis vorweg, weil die Namensgebung irreführt: Das Einmalkennwort als Verfahren verschwindet nicht. Entra B2B nutzt E-Mail-OTP weiterhin als Standardmethode für Gäste, die kein eigenes Entra- oder Microsoft-Konto haben. Für den externen Benutzer fühlt sich der Ablauf ähnlich an.

Was sich ändert, liegt dahinter. Ohne aktivierte Entra-B2B-Integration lief die Freigabe bisher über SharePoints eigene externe Authentifizierung. Es entstand nie ein Gastobjekt in Entra ID, und deine External Collaboration Settings griffen schlicht nicht. Danach existiert für jeden Externen ein Verzeichnisobjekt, und damit greifen Conditional Access, Lebenszyklusverwaltung, Zugriffsüberprüfungen und Auditierung.

Für Organisationen unter ISO 27001, TISAX oder NIS2 schließt das eine Lücke, die in Audits regelmäßig als Finding auftaucht: externe Zugriffe ohne identifizierbares Verzeichnisobjekt und ohne durchsetzbare Richtlinie.

Steht EnableAzureADB2BIntegration auf False, läuft dein Tenant noch im alten Modell und wird von Phase 2 voll getroffen. Der Schalter lässt sich setzen, sollte aber nicht ohne Vorlauf gezogen werden, weil ab diesem Moment jede neue Freigabe ein Gastobjekt erzeugt.

Die zentrale Frage lautet: Welche Externen haben heute Zugriff, ohne ein Gastkonto zu besitzen. Genau diese verlieren im Oktober den Zugang.

Dagegen stellst du die tatsächlich vorhandenen Gastkonten im Verzeichnis:

Der Abgleich liefert dir die Risikoliste:

Jede Adresse in dieser Ausgabe steht für einen externen Benutzer, dessen bestehende Freigabelinks ab Oktober ins Leere laufen. Bei größeren Tenants musst du Get-SPOExternalUser über den Parameter Position seitenweise durchlaufen, weil die Ausgabe begrenzt ist.

Passend dazu: M365 EntraID | Gastkonten per PowerShell aufräumen, das Skript passt direkt auf diese Liste.

Für jede gefundene Adresse gibt es zwei Wege zurück, und beide setzen voraus, dass jemand aktiv handelt.

Der administrative Weg: Du legst manuell ein Entra-B2B-Gastkonto mit exakt derselben E-Mail-Adresse an, die den ursprünglichen Freigabelink erhalten hat. Weicht die Adresse ab, greift die Zuordnung nicht. Sobald das Gastobjekt existiert und die Berechtigungen stehen, funktioniert der Zugriff wieder.

Der fachliche Weg: Der interne Datei- oder Site-Owner teilt mindestens eine Datei, einen Ordner oder eine Site erneut über den normalen Freigabedialog. Dabei entsteht das Gastkonto automatisch.

Der administrative Weg ist schneller, der fachliche ist ehrlicher. Wenn niemand im Fachbereich bereit ist, eine Freigabe erneut zu erteilen, war der Zugriff vermutlich ohnehin überfällig. Nutze die Umstellung als Anlass für eine Bereinigung, statt jede Altfreigabe blind in ein Gastkonto zu überführen. Sonst importierst du eine gewachsene Berechtigungslage unverändert in dein Verzeichnis und hast danach dieselbe Unordnung, nur mit Objekten.

Nach Phase 2 erzeugt jede externe Freigabe ein Gastobjekt in deinem Unternehmensverzeichnis. Das Volumen steigt, und ohne Ablaufsteuerung wächst es monoton.

Drei Einstellungen solltest du vorher setzen. In den External Collaboration Settings legst du fest, wer überhaupt einladen darf, und schränkst die Domänen ein, mit denen zusammengearbeitet werden darf. Über eine Conditional-Access-Richtlinie für den Benutzertyp Gast erzwingst du MFA, was im alten OTP-Modell technisch nicht möglich war. Und über Zugriffsüberprüfungen in Entra ID Governance setzt du eine wiederkehrende Rezertifizierung auf, damit Gastkonten nicht dauerhaft liegenbleiben.

Zugriffsüberprüfungen setzen eine Entra-ID-Governance-Lizenz voraus, MFA per Conditional Access mindestens Entra ID P1. Wer nur Business Premium einsetzt, deckt den Conditional-Access-Teil ab, muss die Rezertifizierung aber manuell oder per Skript lösen.

Passend dazu: EntraID Admin Center | Bedingter Zugriff, für die Richtlinie auf den Benutzertyp Gast.

Der Ausfall ist still. Weder du noch der externe Benutzer bekommen eine automatische Benachrichtigung, wenn ein Link nicht mehr funktioniert. Bereite deshalb zwei Dinge vor: eine kurze Information an die Fachbereiche mit externen Kontakten, und eine Textvorlage für den Helpdesk, damit eine Zugriffsverweigerung im Oktober sofort richtig eingeordnet wird statt drei Tage im Ticketsystem zu liegen.

Diese Umstellung ist technisch klein und organisatorisch groß. Der PowerShell-Teil kostet dich einen Vormittag. Die Klärung, welche der gefundenen externen Adressen überhaupt noch Zugriff braucht, kostet mehrere Wochen, weil sie über Fachbereiche läuft, die das Thema nicht auf der Agenda haben.

Deshalb ist der Zeitpunkt jetzt richtig und nicht Ende September. Phase 2 hat ein festes Fenster vom 1. bis 31. Oktober 2026, und Microsoft hat den Termin bereits einmal vom ursprünglichen August verschoben. Auf eine weitere Verschiebung zu planen wäre eine Wette ohne Gegenwert.

Sicherheitlich ist die Richtung stimmig. Externe Zugriffe ohne Verzeichnisobjekt waren nie kontrollierbar, weder für Conditional Access noch für eine Auditierung. Was du eintauschst, ist Verwaltungsaufwand: Gastkonten haben einen Lebenszyklus, und der endet nicht von selbst. Wer die Rezertifizierung nicht mit aufsetzt, tauscht ein Sichtbarkeitsproblem gegen ein Aufräumproblem. Das ist ein Fortschritt, aber nur, wenn du den zweiten Teil auch machst.

Weiterlesen: M365 SharePoint | Hero-Link vorbereiten, der zweite Umbau an der Freigabelogik.