Externe in Teams: Zugriff geben, ohne zu viel zu öffnen
Gastzugriff, freigegebener Kanal und externer Zugriff öffnen drei sehr unterschiedliche Türen, und die Wahl entscheidet, wie viel jemand von außen sieht.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Vier Verwaltungsoberflächen entscheiden über eine einzige Einladung
Ein Dienstleister soll ab Montag mitarbeiten. Der Gastzugriff wird eingeschaltet, die Einladung geht raus, und die Person kommt trotzdem nicht ins Team. Der Grund ist selten ein Fehler, sondern die Verteilung der Entscheidung auf vier Verwaltungsoberflächen, die unabhängig voneinander gesetzt werden und von denen immer die strengere gewinnt.
Unter Zeitdruck endet das meistens damit, dass überall die großzügige Einstellung gewählt wird. Die Einladung funktioniert dann, aber der Gast sieht mehr als gedacht: die Kanalunterhaltung aus der Zeit vor seiner Aufnahme und die gesamte SharePoint-Website des Teams, in der oft noch Kalkulationen aus der Angebotsphase liegen.
Die Gegenbewegung ist genauso teuer. Bleibt der Gastzugriff aus, weil niemand ihn verantworten will, wandert die Zusammenarbeit in private Postfächer und fremde Dateidienste. Dort greift weder eine Aufbewahrung noch eine Protokollierung, und aus einer Frage der Steuerung wird ein Datenschutzfall.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Wer entscheidet was
| Thema | Wer entscheidet | Wer setzt um | Stolperfalle |
|---|---|---|---|
| Der Weg der Zusammenarbeit: Gast, freigegebener Kanal oder externer Zugriff | Die fachlich verantwortliche Person im Projekt, gemeinsam mit der Informationssicherheit | Administration von Microsoft Teams | Der freigegebene Kanal wird als schnelle Lösung eingeplant, obwohl er eine Absprache mit der Gegenseite über die mandantenübergreifenden Zugriffseinstellungen voraussetzt. |
| Zulässige Partnerdomänen | Informationssicherheit, bei personenbezogenen Daten gemeinsam mit dem Datenschutz | Administration in Microsoft Entra ID unter Externe Identitäten | Eine Zulassungsliste wirkt sauber, erzeugt aber laufend Anfragen, sobald ein Projekt eine neue Domäne braucht. |
| Freigabe je Team und Website | Die Besitzer des Teams im Rahmen der Vorgabe | Administration über Vertraulichkeitsbezeichnungen für Teams und Websites | Auf Mandantenebene wird eng eingestellt, danach lässt sich eine einzelne Website nicht mehr großzügiger freigeben. |
| Bereinigung von Gastkonten | Die Besitzer des Teams, angestoßen aus der Administration | Administration über Ablaufrichtlinie und Zugriffsüberprüfungen | Wer aus einem Team entfernt wird, verschwindet nicht aus dem Verzeichnis. Das Konto bleibt bestehen, bis es jemand getrennt löscht. |
| Ausscheiden der externen Person bei ihrem Arbeitgeber | Einkauf oder Vertragsverantwortung | Administration nach Meldung, ersatzweise über kurze Überprüfungsintervalle | Das zugrunde liegende Konto gehört dem anderen Mandanten, ein Austritt dort löst in deinem Verzeichnis nichts aus. |
Der Weg der Zusammenarbeit: Gast, freigegebener Kanal oder externer Zugriff
- Wer entscheidet
- Die fachlich verantwortliche Person im Projekt, gemeinsam mit der Informationssicherheit
- Wer setzt um
- Administration von Microsoft Teams
- Stolperfalle
- Der freigegebene Kanal wird als schnelle Lösung eingeplant, obwohl er eine Absprache mit der Gegenseite über die mandantenübergreifenden Zugriffseinstellungen voraussetzt.
Zulässige Partnerdomänen
- Wer entscheidet
- Informationssicherheit, bei personenbezogenen Daten gemeinsam mit dem Datenschutz
- Wer setzt um
- Administration in Microsoft Entra ID unter Externe Identitäten
- Stolperfalle
- Eine Zulassungsliste wirkt sauber, erzeugt aber laufend Anfragen, sobald ein Projekt eine neue Domäne braucht.
Freigabe je Team und Website
- Wer entscheidet
- Die Besitzer des Teams im Rahmen der Vorgabe
- Wer setzt um
- Administration über Vertraulichkeitsbezeichnungen für Teams und Websites
- Stolperfalle
- Auf Mandantenebene wird eng eingestellt, danach lässt sich eine einzelne Website nicht mehr großzügiger freigeben.
Bereinigung von Gastkonten
- Wer entscheidet
- Die Besitzer des Teams, angestoßen aus der Administration
- Wer setzt um
- Administration über Ablaufrichtlinie und Zugriffsüberprüfungen
- Stolperfalle
- Wer aus einem Team entfernt wird, verschwindet nicht aus dem Verzeichnis. Das Konto bleibt bestehen, bis es jemand getrennt löscht.
Ausscheiden der externen Person bei ihrem Arbeitgeber
- Wer entscheidet
- Einkauf oder Vertragsverantwortung
- Wer setzt um
- Administration nach Meldung, ersatzweise über kurze Überprüfungsintervalle
- Stolperfalle
- Das zugrunde liegende Konto gehört dem anderen Mandanten, ein Austritt dort löst in deinem Verzeichnis nichts aus.
Vier Ebenen, die eine Einladung passieren muss
- 01 Im Microsoft Entra Admin Center steht, wer überhaupt einladen darf.
- 02 Die Einstellungen für Microsoft-365-Gruppen regeln, ob Gäste Mitglied werden dürfen.
- 03 Im Teams Admin Center wird der Gastzugriff für Teams selbst freigeschaltet.
- 04 Die Freigabestufe im SharePoint Admin Center entscheidet über die Dateien.
- 05 Erst wenn alle vier Ebenen zustimmen, landet der Gast wirklich im Team.
Was du danach vor der Einladung klärst
Du triffst die Entscheidung künftig vor der Einladung und nicht hinterher im Supportfall, und zwar in einer festen Reihenfolge aus Weg, Ebenen und Frist.
Den passenden Weg wählen
Du ordnest jede Anfrage einem der drei Wege zu: Gastzugriff für längere Mitarbeit im ganzen Team, freigegebener Kanal für einen abgegrenzten Ausschnitt, externer Zugriff für reine Abstimmung per Chat, Anruf und Besprechung.
Vier Ebenen abgleichen
Du weißt, wie Microsoft Entra ID, die Einstellungen für Microsoft-365-Gruppen, das Teams Admin Center und das SharePoint Admin Center zusammenwirken. Weil die strengere Ebene gewinnt, stellst du oben großzügiger ein und schränkst darunter ein.
Sichtbarkeit vorher ansprechen
Du sagst vor der Einladung, was der Gast sehen wird, und verlagerst interne Abstimmung rechtzeitig in ein eigenes Team oder einen privaten Kanal, statt sie im selben Kanal offen liegen zu lassen.
Freigabe an Bezeichnungen hängen
Statt jede Website einzeln zu pflegen, steuerst du Gastzugriff und externe Freigabe über Vertraulichkeitsbezeichnungen für Teams und Websites. Damit trifft die Person, die ein Team erstellt, diese Entscheidung sichtbar gleich mit.
Gastkonten wieder loswerden
Du filterst die Benutzerliste nach dem Benutzertyp Gast und siehst dir die letzte Anmeldung an, statt einmal im Jahr von Hand aufzuräumen. Die laufende Bereinigung übernehmen Ablaufrichtlinie und Zugriffsüberprüfungen, sofern eure Lizenzstufe in Microsoft Entra ID sie hergibt.
Den Personalwechsel einplanen
Du weißt, dass ein Gastzugang nicht endet, wenn die externe Person das Unternehmen wechselt, weil das Konto der Gegenseite gehört. Auffangen lässt sich das über kurze Überprüfungsintervalle und eine Meldepflicht im Vertrag.
KI-generiertDieses Bild wurde mit KI erzeugt · Yves Hoppe / KI / cmt
Gastzugriff, externer Zugriff und freigegebener Kanal sind drei Dinge
Beim Gastzugriff bekommt die externe Person ein Gastkonto in deinem Microsoft Entra ID. Das Konto steht danach in der Mitgliederliste, trägt die Kennzeichnung Gast und arbeitet im Team wie ein reguläres Mitglied: Kanäle lesen und schreiben, Dateien öffnen und bearbeiten, an Besprechungen teilnehmen. Für ein Projekt über mehrere Monate mit einem festen Kreis ist das der passende Weg.
Der externe Zugriff, im Teams Admin Center unter Benutzer zu finden, regelt etwas ganz anderes, nämlich die Verbindung zu anderen Teams-Mandanten. Freigeschaltet sind damit Chat, Anrufe und Besprechungen mit Personen aus zugelassenen Domänen. Zugriff auf Teams, Kanäle oder Dateien entsteht dabei nicht, und es bleibt auch kein Konto in deinem Verzeichnis zurück. Für kurze Abstimmungen mit einem Lieferanten reicht das völlig.
Freigegebene Kanäle sind der jüngste der drei Wege. Die externe Person bleibt in ihrem eigenen Mandanten angemeldet, muss also nicht das Konto wechseln, und sieht ausschließlich diesen einen Kanal samt der zugehörigen Dateien. Der Rest des Teams bleibt unsichtbar. Voraussetzung ist, dass beide Organisationen sich in den mandantenübergreifenden Zugriffseinstellungen gegenseitig freigeben. Das ist eine Absprache mit der Gegenseite und keine Sache von fünf Minuten.
Warum ein einzelner Schalter selten reicht
Der häufigste Supportfall klingt so: Der Gastzugriff ist eingeschaltet, die Einladung ist raus, und der Gast landet trotzdem nicht im Team. Die Ursache liegt fast immer darin, dass die Freigabe an vier Stellen unabhängig voneinander gesetzt wird. Im Microsoft Entra Admin Center steht unter Externe Identitäten, wer überhaupt einladen darf und ob es eine Zulassungs- oder Sperrliste für Domänen gibt. Im Microsoft 365 Admin Center regeln die Einstellungen für Microsoft-365-Gruppen, ob Gäste Mitglied einer Gruppe werden dürfen. Im Teams Admin Center sitzt der Schalter für Teams selbst. Und im SharePoint Admin Center entscheidet die Freigabestufe, ob der Gast an die Dateien kommt.
Dabei gewinnt immer die strengere Ebene. Eine einzelne Website kann nicht großzügiger freigeben, als es der Mandant erlaubt. Wer die Freigabe pro Team unterschiedlich steuern will, wählt auf Mandantenebene deshalb die großzügigere Einstellung und schränkt erst darunter ein, nicht umgekehrt.
Übersichtlich wird das mit Vertraulichkeitsbezeichnungen für Teams und Websites. Damit hängen Gastzugriff und externe Freigabe an einer Bezeichnung statt an jeder einzelnen Website, und wer ein Team erstellt, trifft diese Entscheidung sichtbar gleich mit.
Was ein Gast tatsächlich zu sehen bekommt
In einem Standardkanal sieht ein Gast auch die Unterhaltung, die vor seiner Aufnahme stattgefunden hat. Das überrascht regelmäßig, weil intern oft wochenlang im selben Kanal diskutiert wird, bevor der externe Dienstleister dazukommt. Wer das vermeiden will, legt für die Zusammenarbeit ein eigenes Team an oder verlagert die interne Abstimmung in einen privaten Kanal, zu dem der Gast nicht gehört.
Bei Dateien gilt dasselbe in größerem Maßstab: Ein Gast im Team hat Zugriff auf die SharePoint-Website des Teams, also auf alle Ordner der Standardkanäle, nicht nur auf den Ordner, in dem er gerade arbeitet. Wenn dort noch Kalkulationen aus der Angebotsphase liegen, sind sie mit zwei Klicks erreichbar.
Außerhalb des Teams bleibt der Gast eingeschränkt. Ein eigenes OneDrive in deinem Mandanten bekommt er nicht. Dateien in Einzel- und Gruppenchats kann er trotzdem teilen, allerdings nur aus der Ablage seiner eigenen Organisation heraus. Ob das funktioniert, hängt an den Freigabeeinstellungen beider Seiten und lässt sich per Richtlinie abschalten. Wie weit die Einschränkung sonst reicht, steuert im Microsoft Entra Admin Center die Einstellung zu den Zugriffsbeschränkungen für Gastbenutzer. Die strengste Stufe verhindert, dass ein Gast Verzeichnisobjekte wie andere Gruppen oder fremde Mitgliederlisten durchsuchen kann.
Gastkonten laufen nicht von allein ab
Ein Gastkonto bleibt im Verzeichnis, auch wenn du es aus dem Team entfernst. Nach zwei Jahren Projektgeschäft stehen dort schnell mehrere hundert Konten, bei denen niemand mehr weiß, wer dahintersteckt. Filtere die Benutzerliste im Microsoft Entra Admin Center nach dem Benutzertyp Gast und sortiere nach der letzten Anmeldung, dann hast du die Kandidaten für die Bereinigung beisammen.
Automatisieren lässt sich das über zwei Mechanismen. Die Ablaufrichtlinie für Microsoft-365-Gruppen zwingt das ganze Team nach einer festgelegten Frist zur Verlängerung durch die Besitzer, und Zugriffsüberprüfungen fragen turnusmäßig ab, ob ein einzelner Gast noch gebraucht wird. Zugriffsüberprüfungen hängen an einer höheren Lizenzstufe von Microsoft Entra ID, das solltest du vor der Planung im eigenen Mandanten prüfen.
Wechselt die externe Person das Unternehmen, endet der Zugang bei dir nicht automatisch, denn das zugrunde liegende Konto gehört der Gegenseite. Genau deshalb steht in vielen Dienstleisterverträgen eine Meldepflicht bei Personalwechsel. Technisch auffangen kannst du das nur über kurze Überprüfungsintervalle.
Dazu passende Kurse
Wie du diese Einstellungen im eigenen Mandanten zusammenbringst, ohne dabei mehr zu öffnen als nötig, üben die Teams-Schulungen für Verwaltung und Betrieb .
Wer daneben auch Identitäten, Lizenzen und Sicherheitsrichtlinien verantwortet, für den sind Kurse rund um die Verwaltung des Mandanten der richtige Einstieg.
Wie sicher bist du beim Thema wirklich?
Lesen fühlt sich schnell nach Können an. Ein kurzer Test zeigt dir, was davon schon sitzt und wo sich ein Kurs lohnt. Kostenlos, ohne Anmeldung, mit einer Erklärung zu jeder Antwort.
Der passende Lernpfad
Wenn du nicht nur ein Thema abhaken, sondern eine Rolle ausfüllen willst, zeigt dir der Lernpfad die Kurse in der Reihenfolge, in der sie aufeinander aufbauen.
Effizent mit Outlook & Teams
Wenn Outlook und Teams deinen Tag steuern - und nicht umgekehrt, dann läuft etwas schief. Andere sind längst schneller, klarer und stressfreier unterwegs – nicht, weil sie mehr arbeiten, sondern weil sie die Tools beherrschen.
Dieser Lernpfad holt dich raus aus Mail-Chaos, Meeting-Flut und Dauer-Ping. Jetzt starten: Kontrolle zurückholen, professioneller werden und im Arbeitsalltag souverän sein – bevor Ineffizienz zum Normalzustand wird.
Die ersten Schritte
Effizient werden und Zeit sparen
Wo du genau das übst
Ich bin sehr zufrieden, alles wurde klar erklärt. Insgesamt war der Kurs sehr informativ und sehr empfehlenswert.
Referent und Inhalt sehr gut und vor allem durch den kleinen Teilnehmerkreis sehr hilfreich.
Gut verständlich erklärt, weitere Möglichkeiten und Optionen aufgezeigt. Die Teilnehmer hatten bereits sehr unterschiedliche Vorkenntnisse, da hat der Veranstalter aber keinen Einfluss.
Häufige Fragen
Sieht ein Gast auch die Nachrichten, die vor seiner Aufnahme geschrieben wurden?
Worin unterscheidet sich ein Gast von einem externen Mitglied in einem freigegebenen Kanal?
Wie bekomme ich einen Überblick über alle Gäste im Mandanten?
Passt thematisch dazu
Sobald ein KI-Assistent im Mandanten sucht, findet er jede Datei, die versehentlich für alle offen liegt, und genau dagegen hilft der Aufräumlauf vor dem Copilot-Rollout .
Deine Ansprechpartner
Du bist dir nicht sicher, welcher Kurs oder welches Level zu dir passt? Wir beraten dich persönlich und kostenlos.
Yves Hoppe
Weiterbildung & Beratung
Hilft dir, aus dem Microsoft 365-Programm den passenden Kurs für deinen Stand zu finden.
Norbert Jansen
Beratung & Inhouse
Plant mit dir Inhouse-Trainings, die auf eure Abläufe und euren Datenbestand zugeschnitten sind.
Externe einbinden, ohne den Mandanten aufzumachen
In den cmt-Kursen zu Microsoft Teams und Microsoft 365 gehst du die vier Ebenen durch und klärst für deine Organisation, welcher der drei Wege zu welcher Art von Zusammenarbeit passt.