SharePoint-Berechtigungen: drei Quellen, eine Vererbung

Die drei Quellen von Zugriff

Bei einer Teamwebsite hängen die Rechte an der Microsoft-365-Gruppe: Wer die Gruppe besitzt, landet bei den Websitebesitzern mit Vollzugriff, wer Mitglied ist, bei den Websitemitgliedern mit der Stufe Bearbeiten. Daneben gibt es die Websitebesucher mit Leserechten, die nicht automatisch befüllt werden. Nimmst du jemanden ins Team auf, ändern sich die Websiterechte mit. Umgekehrt gilt das nicht: Trägst du jemanden direkt in eine SharePoint-Gruppe ein, ist diese Person deshalb noch lange nicht Mitglied des Teams.

Die dritte Quelle ist die unauffälligste. Jeder Freigabelink auf eine einzelne Datei oder einen Ordner bindet die betreffenden Personen direkt an dieses Element, technisch über eigene Systemgruppen, die in der normalen Ansicht nicht auftauchen. Genau daher stammen die Fälle, in denen jemand eine Datei öffnen kann, obwohl sein Name in keiner sichtbaren Gruppe steht.

Berechtigungsstufen und was Bearbeiten wirklich erlaubt

SharePoint bringt mehrere Stufen mit, darunter Vollzugriff, Entwerfen, Bearbeiten, Mitwirken, Lesen und Anzeigen. Der wichtigste Unterschied im Alltag liegt zwischen Bearbeiten und Mitwirken: Bearbeiten schließt das Anlegen und Löschen von Listen und Bibliotheken ein, Mitwirken beschränkt sich auf Inhalte. Wer nur Dokumente pflegen soll, braucht also Mitwirken, nicht Bearbeiten. Die Standardgruppe der Websitemitglieder ist aber auf Bearbeiten gesetzt, was in vielen Umgebungen unbemerkt bleibt.

Brauchst du eine abweichende Stufe, kopier eine bestehende und pass die Kopie an, statt eine der eingebauten Stufen zu verändern. Und stell dich darauf ein, dass Berechtigungsstufen nicht verhindern, dass Inhalte das Haus verlassen. Wer steuern will, was nach dem Öffnen mit einem Dokument geschieht, ist bei den Vertraulichkeitsbezeichnungen in Microsoft Purview richtig und nicht bei den Websiteberechtigungen.

Vererbung: warum das Unterbrechen auf Ordnerebene teuer wird

Rechte fließen von der Website über die Bibliothek und den Ordner bis zum einzelnen Element. Unterbrichst du die Vererbung, wird der aktuelle Stand einmalig kopiert, und ab diesem Moment wirken Änderungen weiter oben an dieser Stelle nicht mehr. Wer danach jemanden aus der Websitegruppe entfernt, hat den Zugriff auf den abgekoppelten Ordner nicht entfernt.

Das Problem ist weniger der einzelne Fall als die Summe. Nach zwei Jahren weiß niemand mehr, welche Ordner abweichen, und die Prüfung wird zur Handarbeit, Ordner für Ordner. Dazu kommt, dass viele Einzelberechtigungen die Anzeige von Ansichten und Berichten spürbar bremsen, weshalb Microsoft ausdrücklich empfiehlt, die Zahl der Stellen mit eigenen Berechtigungen klein zu halten.

Die bessere Antwort auf den Wunsch nach einem abgeschotteten Bereich ist fast immer eine eigene Website. Innerhalb von Microsoft Teams erreichst du dasselbe über einen privaten oder freigegebenen Kanal, denn beide erzeugen eine separate Website mit eigenen Berechtigungen. Das ist sauberer als ein Ordner mit unterbrochener Vererbung und für die Beteiligten sogar sichtbarer.

Freigabelinks organisationsweit steuern

Im SharePoint Admin Center legst du unter den Freigaberichtlinien die äußere Grenze fest. Einzelne Websites können anschließend restriktiver eingestellt werden, aber niemals weiter als die organisationsweite Vorgabe. OneDrive wird dabei getrennt geregelt, was leicht übersehen wird, wenn nur die SharePoint-Seite angepasst wurde.

Der wirksamste einzelne Schalter ist der Standardlinktyp. Steht er auf einer offenen Variante, entstehen im Alltag laufend Links, die weiter reichen als beabsichtigt, weil niemand die Voreinstellung ändert. Setz ihn auf "Personen in der Organisation" oder auf "Personen mit vorhandenem Zugriff", ergänzt um ein Ablaufdatum und eine Standardberechtigung für Links an Externe. Für den Überblick zeigen die Berichte zur Datenzugriffs-Governance im Admin Center, welche Websites besonders viele weitreichende Freigaben tragen, und das ist ein guter Anfang für eine Aufräumaktion.

Betrieb: was du regelmäßig prüfst

Jede Website braucht mindestens zwei Besitzer, sonst steht die Verwaltung still, sobald eine Person das Unternehmen verlässt. Trag in SharePoint-Gruppen möglichst Sicherheitsgruppen aus Microsoft Entra ID ein statt einzelner Personen, dann folgt der Zugriff automatisch dem Personalprozess. Und aktivier die Zugriffsanforderungen so, dass sie an eine Gruppe gehen und nicht an eine einzelne Person.

Für die Bestandsaufnahme nutzt du auf Websiteebene die erweiterten Berechtigungseinstellungen und die Übersicht über den Websitezugriff, auf Dateiebene die Prüfung des Zugriffs im Kontextmenü. Alle drei zeigen auch die Freigabelinks. Denk bei der Prüfung an die Websites, die zu privaten und freigegebenen Kanälen gehören, denn die tauchen in Übersichten leicht unter, tragen aber eigene Berechtigungen.

Leg zuletzt fest, wer überhaupt Websites anlegen darf und nach welchem Muster sie benannt werden. Vertraulichkeitsbezeichnungen auf Websiteebene sind das passende Werkzeug, um die externe Freigabe und den Zugriff von nicht verwalteten Geräten nach Schutzbedarf zu steuern, statt jede Website einzeln zu konfigurieren.