M365

Gastzugriff (B2B-Zusammenarbeit)

Allgemeine Infos

Gastzugriff erlaubt Partnern, Kunden und Dienstleistern den Zugriff auf Teams, SharePoint-Websites, Dateien und Anwendungen Deines Tenants. Technisch basiert er auf Microsoft Entra B2B-Zusammenarbeit (heute Teil von Microsoft Entra External ID): Der Gast meldet sich mit seiner eigenen Identität an, etwa seinem Firmenkonto, einem Microsoft-Konto oder per E-Mail-Einmalkennung, und erhält im einladenden Tenant ein Gastobjekt mit UserType Guest.

Das ersetzt das Anlegen eigener Konten für Externe. Kennwort und Lebenszyklus bleiben beim Gast und seiner Heimatorganisation, Du steuerst nur, worauf er zugreifen darf.

Abgrenzung: B2B Direct Connect (z. B. für freigegebene Teams-Kanäle) legt kein Gastobjekt an, externer Zugriff in Teams (Federation) erlaubt nur Chat und Anrufe ohne Gastkonto. Entra External ID in einem externen Tenant ist für Kunden-Apps gedacht, nicht für die Zusammenarbeit im Mitarbeiter-Tenant.

Funktionsweise & Details

Gastzugriff wird auf mehreren Ebenen gesteuert:

  1. Einladung über Teams, SharePoint, Microsoft-365-Gruppen, das Entra Admin Center oder Graph. Der Gast löst die Einladung ein und wird als Gast im Tenant angelegt.
  2. Die Einstellungen für externe Zusammenarbeit legen fest, wer einladen darf (standardmäßig alle Benutzer inklusive Gäste), welche Domänen erlaubt oder gesperrt sind und was Gäste im Verzeichnis sehen.
  3. Mandantenübergreifende Zugriffseinstellungen (Cross-Tenant Access) regeln eingehenden und ausgehenden Zugriff pro Organisation und ob Du MFA- und Gerätekonformitätsansprüche des Heimattenants vertraust.
  4. Conditional Access kann Gäste gezielt adressieren, etwa mit MFA-Pflicht.
  5. Teams und SharePoint haben eigene Gastschalter, die zusätzlich aktiviert sein müssen.

Vorteile & Nutzen

  • Externe arbeiten mit ihrer eigenen Identität, dadurch entfallen Zusatzkonten, Kennwortpflege und vergessene Konten nach Projektende
  • Zentrale Steuerung von Einladungsrechten und Domänen statt Freigaben per Link ohne Kontrolle
  • Vertrauen in die MFA des Partner-Tenants verhindert doppelte MFA-Abfragen bei Partnern mit eigener Entra-Umgebung
  • Zugriffsüberprüfungen entfernen nicht mehr benötigte Gäste automatisch

Praxisbeispiel

Ein Planungsbüro mit 80 Mitarbeitenden arbeitet mit Bauherren und Fachplanern in projektbezogenen Teams. Einladen dürfen nur Projektleiter mit der Rolle Gasteinlader, eine Conditional-Access-Richtlinie verlangt für alle Gäste MFA. Für zwei feste Partnerbüros vertraut der Tenant deren MFA über die mandantenübergreifenden Zugriffseinstellungen, eine vierteljährliche Zugriffsüberprüfung entfernt inaktive Gäste.

Worauf sollte man achten?

  • Einladungsrechte einschränken, weil standardmäßig jeder Benutzer und sogar jeder Gast Externe einladen darf
  • Gastberechtigungen im Verzeichnis auf die restriktive Stufe setzen, damit Gäste keine Benutzer- und Gruppenlisten auslesen
  • Für Gäste eine eigene Conditional-Access-Richtlinie mit MFA anlegen und bei vertrauenswürdigen Partnern deren MFA akzeptieren
  • Den Tenant mit einem Azure-Abonnement verknüpfen, damit die MAU-Abrechnung und Premium-Funktionen für Gäste korrekt laufen
  • Inaktive Gäste regelmäßig prüfen und entfernen, etwa per Zugriffsüberprüfung oder Skript

Lizenz & Verfügbarkeit

B2B-Gastzugriff ist in jedem Tenant nutzbar. Abgerechnet wird nach Microsoft Entra External ID über monatlich aktive Benutzer (MAU) mit kostenlosem Kontingent. Dafür muss der Tenant mit einem Azure-Abonnement verknüpft sein. SMS-MFA für Gäste, ID Governance für Gäste und Global Secure Access für Gäste sind kostenpflichtige Add-ons. Conditional Access für Gäste setzt Entra ID P1 im Tenant voraus. Stand: Oktober 2026.

Fazit

Gastzugriff ist der saubere Weg für Zusammenarbeit mit Externen. Begrenze Einladungsrechte, erzwinge MFA und räume Gäste regelmäßig auf, sonst wächst die Zahl unkontrollierter Fremdkonten im Tenant.

Weiterführende Links

Verwandte Artikel