SharePoint-Berechtigungen verstehen: Gruppen, Vererbung, Links

Die drei Quellen von Zugriff

Bei einer Teamwebsite hängen die Rechte an der Microsoft-365-Gruppe: Wer die Gruppe besitzt, landet bei den Websitebesitzern mit Vollzugriff, wer Mitglied ist, bei den Websitemitgliedern mit der Stufe Bearbeiten. Daneben gibt es die Websitebesucher mit Leserechten, die nicht automatisch befüllt werden. Nimmst du jemanden ins Team auf, ändern sich die Websiterechte mit. Umgekehrt gilt das nicht: Trägst du jemanden direkt in eine SharePoint-Gruppe ein, ist diese Person deshalb noch lange nicht Mitglied des Teams.

Ein Sonderfall sind öffentliche Teams. Dort steht bei den Websitemitgliedern zusätzlich die Gruppe "Jeder außer externen Benutzern", und damit darf jede Person im Unternehmen die Inhalte bearbeiten. Soll das nicht so sein, stellst du das Team auf privat.

Die dritte Quelle ist die unauffälligste. Gibst du eine einzelne Datei oder einen Ordner für jemanden frei, der bisher keinen Zugriff hatte, unterbricht SharePoint an diesem Element automatisch die Vererbung und bindet die Person über eigene Systemgruppen direkt daran. Diese Gruppen tauchen in der normalen Ansicht nicht auf. Genau daher stammen die Fälle, in denen jemand eine Datei öffnen kann, obwohl sein Name in keiner sichtbaren Gruppe steht.

Die Berechtigungsstufen und was sie erlauben

Für den Alltag zählen sechs der eingebauten Stufen. Vollzugriff hat die Gruppe der Besitzer, Bearbeiten die Gruppe der Mitglieder und Lesen die Gruppe der Besucher. Mitwirken erlaubt das Hochladen, Ändern und Löschen von Dokumenten und Listeneinträgen, Entwerfen zusätzlich das Gestalten von Seiten und das Anlegen von Listen und Bibliotheken. Nur anzeigen öffnet Dokumente im Browser, ohne dass sie sich herunterladen lassen, sofern SharePoint das Format selbst darstellen kann. Daneben taucht in Listen der Beschränkte Zugriff auf. Den vergibst du nie selbst, SharePoint setzt ihn automatisch, wenn jemand nur ein einzelnes Element sehen darf.

Der wichtigste Unterschied im Alltag liegt zwischen Bearbeiten und Mitwirken: Bearbeiten schließt das Anlegen und Löschen von Listen und Bibliotheken ein, Mitwirken beschränkt sich auf Inhalte. Wer nur Dokumente pflegen soll, braucht also Mitwirken, nicht Bearbeiten. Die Standardgruppe der Websitemitglieder ist aber auf Bearbeiten gesetzt, was in vielen Umgebungen unbemerkt bleibt.

Brauchst du eine abweichende Stufe, kopier eine bestehende und pass die Kopie an, statt eine der eingebauten Stufen zu verändern. Und stell dich darauf ein, dass Berechtigungsstufen nicht verhindern, dass Inhalte das Haus verlassen. Wer steuern will, was nach dem Öffnen mit einem Dokument geschieht, ist bei den Vertraulichkeitsbezeichnungen in Microsoft Purview richtig und nicht bei den Websiteberechtigungen.

Vererbung: warum das Unterbrechen auf Ordnerebene teuer wird

Rechte fließen von der Website über die Bibliothek und den Ordner bis zum einzelnen Element. Unterbrichst du die Vererbung, wird der aktuelle Stand einmalig kopiert, und ab diesem Moment wirken Änderungen weiter oben an dieser Stelle nicht mehr. Wer danach jemanden aus der Websitegruppe entfernt, hat den Zugriff auf den abgekoppelten Ordner nicht entfernt.

Das Problem ist weniger der einzelne Fall als die Summe. Nach zwei Jahren weiß niemand mehr, welche Ordner abweichen, und die Prüfung wird zur Handarbeit, Ordner für Ordner. Dazu kommt, dass viele Einzelberechtigungen die Anzeige von Ansichten und Berichten spürbar bremsen, weshalb Microsoft ausdrücklich empfiehlt, die Zahl der Stellen mit eigenen Berechtigungen klein zu halten.

Die bessere Antwort auf den Wunsch nach einem abgeschotteten Bereich ist fast immer eine eigene Website. Innerhalb von Microsoft Teams erreichst du dasselbe über einen privaten oder freigegebenen Kanal, denn beide erzeugen eine separate Website mit eigenen Berechtigungen. Das ist sauberer als ein Ordner mit unterbrochener Vererbung und für die Beteiligten sogar sichtbarer.

Berechtigungen verwalten: wo du was einstellst

Auf Websiteebene öffnest du über das Zahnrad oben rechts die Websiteberechtigungen. Dort siehst du Besitzer, Mitglieder und Besucher, lädst Personen ein und änderst ihre Stufe. Bei einer Teamwebsite fügst du Mitglieder besser über das Team hinzu als über die reine Freigabe der Website, sonst entsteht genau die zweite Liste, die später niemand mehr abgleicht. Über den Link zu den erweiterten Berechtigungseinstellungen kommst du auf die klassische Seite mit allen SharePoint-Gruppen und Berechtigungsstufen.

Für eine Bibliothek führt der Weg über das Zahnrad, die Bibliothekseinstellungen und die weiteren Bibliothekseinstellungen zu den Berechtigungen für diese Dokumentbibliothek. Dort erkennst du, ob die Bibliothek noch erbt, und kannst dir die Elemente mit eindeutigen Berechtigungen anzeigen lassen. Für einen Ordner oder eine Datei wählst du im Kontextmenü "Zugriff verwalten". Dort stehen alle Personen, Gruppen und Links mit Zugriff, und einzelne Links lassen sich gezielt entfernen.

Ein Berechtigungskonzept in vier Entscheidungen

Ein Berechtigungskonzept für SharePoint muss nicht dick sein. Es hält vier Entscheidungen fest: welche Website zu welchem Bereich gehört und wer dort Besitzer ist, welche Gruppen mit welcher Stufe dort arbeiten, ab wann ein abgeschotteter Bereich eine eigene Website bekommt und wie weit Freigabelinks nach außen reichen dürfen.

Zu jeder Entscheidung gehört, wer sie trifft und wie oft sie überprüft wird. Die Verteilung in der Tabelle oben ist ein brauchbarer Ausgangspunkt. Wichtiger als die Form ist der Zeitpunkt: Das Konzept muss stehen, bevor der erste Ordner Sonderrechte bekommt, nicht erst beim Aufräumen.

Freigabelinks organisationsweit steuern

Im SharePoint Admin Center legst du unter Richtlinien und Freigabe die äußere Grenze fest, getrennt für SharePoint und OneDrive. OneDrive darf dabei nur gleich oder enger eingestellt sein als SharePoint. Jede einzelne Website kann anschließend restriktiver sein, aber nie offener als die Vorgabe der Organisation.

Der wirksamste einzelne Schalter steht unter Datei- und Ordnerlinks: der Linktyp, den SharePoint beim Freigeben vorschlägt. Steht er auf "Jeder mit dem Link", entstehen im Alltag laufend Links, die weiter reichen als beabsichtigt, weil kaum jemand die Voreinstellung ändert. Schlägt SharePoint stattdessen Links für bestimmte Personen oder nur für Personen in der eigenen Organisation vor, bleibt der Normalfall eng. Lasst ihr Jeder-Links überhaupt zu, gehört eine Ablauffrist dazu, und für eingeladene Gäste kannst du festlegen, dass ihr Zugriff nach einer bestimmten Zahl von Tagen endet.

Für den Überblick gibt es im Admin Center unter Berichte die Datenzugriffs-Governance. Die Berichte zeigen etwa die Websites, auf denen zuletzt die meisten Freigabelinks entstanden sind, oder Inhalte, die für "Jeder außer externen Benutzern" freigegeben wurden. Den vollen Umfang gibt es mit SharePoint Advanced Management. Das ist als Zusatzlizenz erhältlich und wird zum größten Teil automatisch freigeschaltet, sobald im Unternehmen mindestens eine Copilot-Lizenz zugewiesen ist.

Betrieb: was du regelmäßig prüfst

Jede Website braucht mindestens zwei Besitzer, sonst steht die Verwaltung still, sobald eine Person das Unternehmen verlässt. Trag in SharePoint-Gruppen möglichst Sicherheitsgruppen aus Microsoft Entra ID ein statt einzelner Personen, dann folgt der Zugriff automatisch dem Personalprozess. Und aktivier die Zugriffsanforderungen so, dass sie an eine Gruppe gehen und nicht an eine einzelne Person.

Für die Bestandsaufnahme nutzt du auf Websiteebene die erweiterten Berechtigungseinstellungen, auf Ordner- und Dateiebene "Zugriff verwalten". Beide zeigen auch die Freigabelinks. Denk bei der Prüfung an die Websites, die zu privaten und freigegebenen Kanälen gehören, denn die tauchen in Übersichten leicht unter, tragen aber eigene Berechtigungen.

Leg zuletzt fest, wer überhaupt Websites anlegen darf und nach welchem Muster sie benannt werden. Vertraulichkeitsbezeichnungen auf Websiteebene sind das passende Werkzeug, um die externe Freigabe und den Zugriff von nicht verwalteten Geräten nach Schutzbedarf zu steuern, statt jede Website einzeln zu konfigurieren.