Externe Gäste in Microsoft Teams einladen und begrenzen

Gastzugriff, externer Zugriff und freigegebener Kanal sind drei Dinge

Beim Gastzugriff bekommt die externe Person ein Gastkonto in deinem Microsoft Entra ID. Das Konto steht danach in der Mitgliederliste, trägt die Kennzeichnung Gast und arbeitet im Team wie ein reguläres Mitglied: Kanäle lesen und schreiben, Dateien öffnen und bearbeiten, an Besprechungen teilnehmen. Für ein Projekt über mehrere Monate mit einem festen Kreis ist das der passende Weg.

Der externe Zugriff, im Teams Admin Center unter Benutzer zu finden, regelt etwas ganz anderes, nämlich die Verbindung zu anderen Teams-Mandanten. Freigeschaltet sind damit Chat, Anrufe und Besprechungen mit Personen aus zugelassenen Domänen. Zugriff auf Teams, Kanäle oder Dateien entsteht dabei nicht, und es bleibt auch kein Konto in deinem Verzeichnis zurück. Für kurze Abstimmungen mit einem Lieferanten reicht das völlig.

Freigegebene Kanäle sind der jüngste der drei Wege. Die externe Person bleibt in ihrem eigenen Mandanten angemeldet, muss also nicht das Konto wechseln, und sieht ausschließlich diesen einen Kanal samt der zugehörigen Dateien. Der Rest des Teams bleibt unsichtbar. Voraussetzung ist, dass beide Organisationen sich in den mandantenübergreifenden Zugriffseinstellungen gegenseitig freigeben. Das ist eine Absprache mit der Gegenseite und keine Sache von fünf Minuten.

Warum ein einzelner Schalter selten reicht

Der häufigste Supportfall klingt so: Der Gastzugriff ist eingeschaltet, die Einladung ist raus, und der Gast landet trotzdem nicht im Team. Die Ursache liegt fast immer darin, dass die Freigabe an vier Stellen unabhängig voneinander gesetzt wird. Im Microsoft Entra Admin Center steht unter Externe Identitäten, wer überhaupt einladen darf und ob es eine Zulassungs- oder Sperrliste für Domänen gibt. Im Microsoft 365 Admin Center regeln die Einstellungen für Microsoft-365-Gruppen, ob Gäste Mitglied einer Gruppe werden dürfen. Im Teams Admin Center sitzt der Schalter für Teams selbst. Und im SharePoint Admin Center entscheidet die Freigabestufe, ob der Gast an die Dateien kommt.

Dabei gewinnt immer die strengere Ebene. Eine einzelne Website kann nicht großzügiger freigeben, als es der Mandant erlaubt. Wer die Freigabe pro Team unterschiedlich steuern will, wählt auf Mandantenebene deshalb die großzügigere Einstellung und schränkt erst darunter ein, nicht umgekehrt.

Übersichtlich wird das mit Vertraulichkeitsbezeichnungen für Teams und Websites. Damit hängen Gastzugriff und externe Freigabe an einer Bezeichnung statt an jeder einzelnen Website, und wer ein Team erstellt, trifft diese Entscheidung sichtbar gleich mit.

Was ein Gast tatsächlich zu sehen bekommt

In einem Standardkanal sieht ein Gast auch die Unterhaltung, die vor seiner Aufnahme stattgefunden hat. Das überrascht regelmäßig, weil intern oft wochenlang im selben Kanal diskutiert wird, bevor der externe Dienstleister dazukommt. Wer das vermeiden will, legt für die Zusammenarbeit ein eigenes Team an oder verlagert die interne Abstimmung in einen privaten Kanal, zu dem der Gast nicht gehört.

Bei Dateien gilt dasselbe in größerem Maßstab: Ein Gast im Team hat Zugriff auf die SharePoint-Website des Teams, also auf alle Ordner der Standardkanäle, nicht nur auf den Ordner, in dem er gerade arbeitet. Wenn dort noch Kalkulationen aus der Angebotsphase liegen, sind sie mit zwei Klicks erreichbar.

Außerhalb der Kanäle bleibt der Gast eingeschränkt. Ein eigenes OneDrive in deinem Mandanten bekommt er nicht, Dateien hängt er nur an Kanalbeiträge an und nicht an Chats. Besprechungen planen, Apps hinzufügen, eigene Teams anlegen oder Besitzer eines Teams werden kann ein Gast ebenfalls nicht. Wie weit er im Verzeichnis sonst sieht, steuert im Microsoft Entra Admin Center die Einstellung zu den Zugriffsbeschränkungen für Gastbenutzer. Die strengste Stufe verhindert, dass ein Gast Verzeichnisobjekte wie andere Gruppen oder fremde Mitgliederlisten durchsuchen kann.

So kommt der Gast ins Team

Sind die Schalter gesetzt, lädt der Besitzer des Teams den Gast selbst ein: am Team über das Menü mit den drei Punkten "Mitglied hinzufügen" wählen, die vollständige E-Mail-Adresse eingeben und den angezeigten Namen gleich um die Firma ergänzen, damit alle erkennen, wer da mitliest. Der Gast bekommt eine Willkommensmail und muss die Einladung annehmen. Bis er tatsächlich Zugriff hat, können einige Stunden vergehen.

In Microsoft Teams wechselt der Gast danach über sein Profilbild oder die Kontoauswahl in deine Organisation und sieht dort das Team. Für die übrigen Mitglieder steht hinter seinem Namen der Zusatz Gast. Zum Mitglied mit allen Rechten wird ein Gast in Teams nicht, und Besitzer kann er nicht werden. Soll eine externe Person dauerhaft wie eine eigene arbeiten, gehört sie in die Benutzerverwaltung und nicht in die Gastliste.

Gastkonten laufen nicht von allein ab

Ein Gastkonto bleibt im Verzeichnis, auch wenn du es aus dem Team entfernst. Nach zwei Jahren Projektgeschäft stehen dort schnell mehrere hundert Konten, bei denen niemand mehr weiß, wer dahintersteckt. Filtere die Benutzerliste im Microsoft Entra Admin Center nach dem Benutzertyp Gast und sortiere nach der letzten Anmeldung, dann hast du die Kandidaten für die Bereinigung beisammen.

Automatisieren lässt sich das über zwei Mechanismen. Die Ablaufrichtlinie für Microsoft-365-Gruppen zwingt das ganze Team nach einer festgelegten Frist zur Verlängerung durch die Besitzer, und Zugriffsüberprüfungen fragen turnusmäßig ab, ob ein einzelner Gast noch gebraucht wird. Zugriffsüberprüfungen hängen an einer höheren Lizenzstufe von Microsoft Entra ID, das solltest du vor der Planung im eigenen Mandanten prüfen.

Verlässt die externe Person ihr Unternehmen und löscht die Gegenseite das Konto, kann sie sich zwar nicht mehr anmelden, das Gastkonto bleibt in deinem Verzeichnis aber stehen. Wechselt sie dagegen nur das Projekt oder die Abteilung, bleibt ihr Zugang vollständig erhalten, denn davon erfährt dein Mandant nichts. Genau deshalb steht in vielen Dienstleisterverträgen eine Meldepflicht bei Personalwechsel. Technisch auffangen kannst du das nur über kurze Überprüfungsintervalle.