SharePoint-Berechtigungen: Stufen, Gruppen & Best Practices

Kurze Antwort: Was sind SharePoint-Berechtigungen?

SharePoint-Berechtigungen sind die Einstellungen, die festlegen, wer SharePoint-Inhalte sehen oder ändern darf. Der Zugriff wird über Berechtigungsstufen vergeben – vordefinierte Rechtebündel wie Vollzugriff, Bearbeiten, Mitwirken und Lesen –, die Benutzern und Gruppen zugewiesen und von der Website abwärts an jede Liste, Bibliothek, jeden Ordner und jedes Element vererbt werden, bis jemand diese Vererbung unterbricht.

Berechtigungen sind der Teil von SharePoint, der still und leise darüber entscheidet, ob Ihr Intranet eine gut geführte Bibliothek oder ein offener Aktenschrank ist. Macht man sie richtig, finden die Mitarbeitenden genau das, was sie brauchen – und nichts, was sie nicht sehen sollten. Macht man sie falsch, hat man entweder eine Helpdesk-Warteschlange voller „Zugriff verweigert“-Tickets oder, schlimmer, einen Finanzordner, den das halbe Unternehmen lesen kann.

Dieses zweite Risiko ist 2026 deutlich sichtbarer geworden. Microsoft 365 Copilot und SharePoint-Agents halten sich exakt an bestehende Berechtigungen – sie gewähren niemandem neuen Zugriff –, aber sie rücken Inhalte, die technisch freigegeben und praktisch vergraben waren, auf eine einzige Frage Entfernung. Berechtigungen, die 2023 lediglich unordentlich waren, entscheiden heute über den Unterschied zwischen einem nützlichen Assistenten und einer versehentlichen Offenlegung.

Dieser Leitfaden behandelt das Berechtigungsmodell von SharePoint Online so, wie es heute tatsächlich funktioniert: die Berechtigungsstufen und was jede einzelne erlaubt, wie Gruppen auf modernen Websites funktionieren, wie sich Vererbung und eindeutige Berechtigungen verhalten, die genauen Schritte zum Anzeigen und Ändern von Zugriffsrechten sowie die Governance-Funktionen, die Microsoft für die Copilot-Ära ergänzt hat. Wo sich SharePoint Server On-Premises unterscheidet, weisen wir darauf hin.

Was SharePoint-Berechtigungen wirklich sind

Vier Begriffe erledigen den Großteil der Arbeit – und sie zu verwechseln ist die Ursache der meisten Missverständnisse rund um Berechtigungen.

Eine Berechtigung ist ein einzelnes Recht – Elemente anzeigen, Elemente bearbeiten, Listen verwalten, Berechtigungen verwalten. Es gibt Dutzende davon, und Sie vergeben praktisch nie eine einzelne direkt.

Eine Berechtigungsstufe ist ein benanntes Bündel dieser Rechte. Lesen, Mitwirken, Bearbeiten, Entwerfen und Vollzugriff sind die, mit denen Sie täglich zu tun haben. Das ist es, was Sie tatsächlich aus einem Dropdown auswählen.

Ein Sicherheitsprinzipal ist derjenige, dem Sie die Stufe zuweisen – ein einzelner Benutzer, eine SharePoint-Gruppe, eine Microsoft-Entra-Sicherheitsgruppe oder eine Microsoft-365-Gruppe.

Ein Bereich (Scope) ist das Objekt, auf dem Sie die Stufe vergeben. Bereiche sind ineinander verschachtelt: Websitesammlung → Website → Liste oder Bibliothek → Ordner → Element. Jede Ebene erbt standardmäßig von der darüberliegenden.

Abb. 1. SharePoint-Berechtigungsbereiche, von der Websitesammlung bis zum einzelnen Element

Zusammengesetzt liest sich eine Berechtigungszuweisung wie ein einziger Satz: Dieser Prinzipal hat diese Berechtigungsstufe in diesem Bereich. „Die Gruppe Marketing-Mitglieder hat Bearbeiten auf der Bibliothek Kampagnen-Assets.“ Jede Zugriffsfrage in SharePoint löst sich am Ende in diesen Satz auf – und jede Fehlersuche ist der Versuch herauszufinden, welcher der drei Teile nicht stimmt.

SharePoint-Berechtigungsstufen im Überblick

Berechtigungsstufen werden auf Ebene der Websitesammlung definiert. Jede Website innerhalb dieser Sammlung kann sie verwenden. Zehn Stufen sind standardmäßig enthalten, auch wenn eine einfache Teamwebsite nur einige davon anzeigt, solange Sie die Veröffentlichungsfeatures nicht aktivieren.

Abb. 2. SharePoint-Berechtigungsstufen und was jede einzelne gewährt

Zwei Einträge in dieser Liste verdienen einen genaueren Blick, weil sie am häufigsten falsch verstanden werden.

Bearbeiten vs. Mitwirken – der Unterschied, auf den es ankommt

Das ist die häufigste Berechtigungsfrage in SharePoint, und die Antwort ist ein einziges Recht: Listen verwalten.

Mitwirken erlaubt die Arbeit mit Inhalten. Man kann ein Dokument hinzufügen, bearbeiten und löschen, ein Listenelement anlegen, ändern und entfernen. Was man nicht kann, ist den Container zu verändern – keine Spalten hinzufügen oder entfernen, keine Ansichten erstellen oder löschen, die Bibliothek nicht umbenennen und die Liste nicht löschen.

Bearbeiten ist Mitwirken plus Listen verwalten. Wer Bearbeiten hat, kann die Liste selbst umbauen. Auf einer Website, auf der Listen Geschäftsprozesse tragen – ein Anfragen-Tracker mit sorgfältig aufgebauten Ansichten, eine Bibliothek mit Metadatenspalten, die einen Workflow speisen –, ist das erhebliche Macht. Wer eine Spalte löscht, weil sie ungenutzt aussah, nimmt den Prozess gleich mit.

Microsoft weist der Gruppe Mitglieder standardmäßig Bearbeiten zu. Das heißt: Die Standard-Teamwebsite gibt jedem Mitglied die Möglichkeit, Listen umzubauen. Wenn Ihre Website Listen enthält, auf die es ankommt, ist die Herabstufung der Gruppe Mitglieder auf Mitwirken eine der wirkungsvollsten Fünf-Minuten-Änderungen überhaupt. Sie finden sie unter Websiteberechtigungen → Erweiterte Berechtigungseinstellungen → Gruppe Mitglieder → Einstellungen → Gruppeneinstellungen oder indem Sie die Berechtigungsstufe der Gruppe auf der Seite Berechtigungen ändern.

Eingeschränkter Zugriff ist nichts, was Sie selbst vergeben

Wenn Sie ein einzelnes Dokument mit jemandem teilen, der sonst keinen Zugriff auf die Website hat, steht SharePoint vor einem Problem: Um das Dokument zu öffnen, muss der Browser die Bibliothek und die Website durchlaufen. Also vergibt SharePoint in diesen übergeordneten Bereichen stillschweigend Eingeschränkten Zugriff. Diese Stufe erlaubt es nicht, irgendetwas anderes zu sehen oder zu öffnen – sie existiert einzig, damit die URL auflösbar bleibt.

Sie taucht in Berechtigungslisten und Berichten auf, oft an eine Gruppe namens Limited Access System Group gebunden. Das ist keine Fehlkonfiguration, und Sie sollten nicht versuchen, sie zu entfernen. Tun Sie es doch, können Benutzer mit legitimem Zugriff auf Elementebene plötzlich nicht mehr zu ihren eigenen Elementen navigieren.

Benutzerdefinierte Berechtigungsstufen

Sie können jede Stufe außer Vollzugriff und Eingeschränkter Zugriff kopieren und die enthaltenen Rechte anpassen – Websiteeinstellungen → Websiteberechtigungen → Berechtigungsstufen → Berechtigungsstufe hinzufügen, oder indem Sie eine bestehende Stufe am Ende ihrer Seite kopieren. Der klassische Anwendungsfall ist eine Stufe, die das Hinzufügen von Elementen erlaubt, aber nicht das Bearbeiten oder Löschen – für eine Einreichungsbibliothek, in der Datensätze nachträglich nicht verändert werden dürfen.

Setzen Sie das sparsam ein. Jede benutzerdefinierte Stufe ist eine Sache mehr, die ein künftiger Administrator entschlüsseln muss, und eine Stufe, deren Name ihren Inhalt nicht beschreibt („Mitwirken Plus“), ist schlimmer als gar keine. Benennen Sie sie nach dem, was sie tun: Nur hinzufügen, Lesen ohne Download.

Bild 1. Verwalten von Berechtigungsstufen auf einer SharePoint-Website

SharePoint-Gruppen: Besitzer, Mitglieder und Besucher

Vergeben Sie Berechtigungen an Gruppen, nicht an Personen. Das ist die eine Regel, die ein Berechtigungsmodell wartbar hält, und sie sei hier deutlich gesagt: Eine individuelle Zuweisung ist das Versprechen, dass jemand daran denken wird, sie zu entfernen, wenn die Person die Rolle wechselt – und daran denkt nie jemand.

Jede SharePoint-Website wird mit drei Gruppen angelegt:

Abb. 3. Standard-SharePoint-Gruppen und ihre Berechtigungsstufen

Websites mit aktivierten Veröffentlichungsfeatures ergänzen Genehmigende Personen, Designer, Hierarchie-Manager, Eingeschränkte Leser und einige weitere. Teamwebsites nutzen sie nicht.

Der Punkt, der überrascht: Moderne Websites werden nicht alle gleich verwaltet

In einem modernen SharePoint-Online-Tenant sind die oben genannten SharePoint-Gruppen nicht immer der Ort, an dem über Zugriff entschieden wird. Das hängt vom Websitetyp ab.

Gruppenverbundene Teamwebsites. Jede Teamwebsite, die in der modernen Oberfläche erstellt wird, ist durch eine Microsoft-365-Gruppe hinterlegt. Gruppenbesitzer werden Websitebesitzer, Gruppenmitglieder werden Websitemitglieder. Berechtigungen fließen von der Gruppe zu SharePoint, nie zurück – jemanden in die SharePoint-Gruppe Besitzer aufzunehmen macht ihn nicht zum Besitzer der Gruppe, ihres Postfachs oder ihres Planners. Verwalten Sie diese Websites über die Gruppe, nicht über SharePoint. Eine Eigenheit zum Merken: Microsoft-365-Gruppen haben keine reine Lesestufe, wer also nur lesenden Zugriff braucht, muss direkt der Gruppe Besucher der Website hinzugefügt werden.

Teams-verbundene Websites. Wenn ein Team in Microsoft Teams auf der Website aufsetzt, erledigen Sie die gesamte Berechtigungsverwaltung in Teams. Teambesitzer werden Websitebesitzer, Teammitglieder werden Websitemitglieder.

Websites privater und freigegebener Kanäle. Jeder private oder freigegebene Kanal erzeugt eine eigene, separate SharePoint-Website. Deren Berechtigungen können überhaupt nicht aus SharePoint heraus verwaltet werden – das Berechtigungspanel zeigt sie schreibgeschützt an, und der einzige Ort zum Ändern ist der Kanal in Teams. Das ist so vorgesehen und beantwortet die häufige Frage „Warum fehlen die erweiterten Berechtigungseinstellungen?“.

Kommunikationswebsites. Diese sind nicht mit einer Microsoft-365-Gruppe verbunden und nutzen das klassische Modell Besitzer / Mitglieder / Besucher. Fügen Sie einzelne Benutzer, Entra-Sicherheitsgruppen oder Microsoft-365-Gruppen in diese drei SharePoint-Gruppen ein. Besucher ist der Platz für eine breite Sicherheitsgruppe – es ist der einfachste Weg, einer ganzen Abteilung Lesezugriff zu geben.

Hubwebsites. Werden nach dem verwaltet, was die zugrunde liegende Website ist. Beachten Sie: Ob eine Website mit einem Hub verknüpft werden darf, steuert ein SharePoint-Administrator im Admin Center; delegieren lässt sich das nicht an den Websitebesitzer.

Abb. 4. Die drei Wege, über die jemand 2026 Zugriff auf SharePoint-Inhalte erhält

Der dritte Weg: Freigabelinks

Gruppen und Berechtigungsstufen sind nur zwei der drei Wege, über die Menschen Zugriff bekommen. Der dritte – und in den meisten Tenants der geschäftigste – ist die Schaltfläche Teilen.

Es gibt drei Linktypen:

• Jeder, der über den Link verfügt. Funktioniert ohne Anmeldung, lässt sich beliebig weiterleiten, und der daraus entstehende Zugriff kann in Überwachungsprotokollen keiner Person zugeordnet werden. In Websites freigegebener Teams-Kanäle nicht verfügbar. Wenn Sie nach diesem Artikel nur eine Sache tun: Prüfen Sie, ob dieser Linktyp in Ihrem Tenant aktiviert ist – und ob er es sein sollte.
• Personen in Ihrer Organisation. Funktioniert für alle, die in Ihrem Tenant angemeldet sind. Nicht für Gäste oder externe Teilnehmende freigegebener Kanäle.
• Bestimmte Personen. Funktioniert nur für die namentlich genannten Empfänger.

Welcher Linktyp den Benutzern standardmäßig angeboten wird, lässt sich pro Website und tenantweit konfigurieren (Aktive Websites → die Website → Einstellungen → Weitere Freigabeeinstellungen). Den Standard auf sensiblen Websites auf Bestimmte Personen zu setzen, ist eine reibungsarme Änderung mit großer Wirkung: Menschen übernehmen den Standard weit häufiger, als sie ihn ändern.

Wichtig ist zu verstehen, was ein Freigabelink strukturell bewirkt. Die Freigabe einer einzelnen Datei oder eines Ordners unterbricht dort die Berechtigungsvererbung. Wer ein Dokument teilt, hat einen eindeutigen Berechtigungsbereich erzeugt, ohne je eine Einstellungsseite geöffnet zu haben. Genau deshalb driften reale SharePoint-Websites in Tausende eindeutiger Bereiche ab, die kein Administrator je bewusst angelegt hat.

Berechtigungsvererbung und eindeutige Berechtigungen

Standardmäßig erbt in einer Websitesammlung alles von oben. Die Stammwebsite gibt das Muster vor; Websites, Listen, Bibliotheken, Ordner und Elemente folgen ihm. Das ist der Zustand, den Sie so lange wie irgend möglich erhalten wollen.

Die Vererbung zu unterbrechen kopiert die aktuellen Gruppen, Benutzer und Berechtigungsstufen auf das untergeordnete Objekt und kappt anschließend die Verbindung. Von diesem Moment an hat das Objekt seinen eigenen, unabhängigen Berechtigungssatz – mit einer Asymmetrie, die man kennen sollte: Entzüge werden unabhängig vom Vererbungsstatus nach unten weitergegeben, Ergänzungen nicht.

Die Vererbung wiederherzustellen verwirft alles, was für das Objekt eindeutig war, und übernimmt wieder die Berechtigungen des übergeordneten Objekts. Es gibt kein Zusammenführen und kein Rückgängig. Alles, was Sie auf dieser Liste eingerichtet haben, ist weg.

Wo das Modell an Grenzen stößt

Es gibt harte Limits, und große Websites erreichen sie:

• 50.000 eindeutige Berechtigungsbereiche pro Liste oder Bibliothek sind die unterstützte Obergrenze. Microsoft empfiehlt, aus Performancegründen unter 5.000 zu bleiben.
• Bei einem Ordner, einer Bibliothek oder Liste mit mehr als 100.000 Elementen lässt sich die Vererbung überhaupt nicht mehr unterbrechen oder wiederherstellen. Bei einzelnen Elementen darin geht es weiterhin.
• Jede einzeln freigegebene Datei erzeugt einen Bereich. Die Freigabe eines Ordners mit 75.000 Dateien erzeugt genau einen.

Der letzte Punkt ist die praktische Erkenntnis: Wenn mehrere Dateien an dieselbe Zielgruppe gehen sollen, legen Sie sie in einen Ordner und geben Sie diesen einmal frei. Einzeln freigegeben erzeugt jede Datei einen Bereich und verschlechtert die Bibliothek still und leise für alle.

Wann Sie die Vererbung unterbrechen sollten – und wann nicht

Unterbrechen Sie sie, wenn eine wirklich andere Zielgruppe eine wirklich andere Zugriffsebene auf einen ganzen Container braucht: eine HR-Bibliothek auf einer allgemeinen Teamwebsite, eine Vertragsbibliothek, die nur die Rechtsabteilung lesen soll.

Unterbrechen Sie sie nicht für ein einzelnes Dokument, für eine vorübergehende Situation oder weil es schneller schien, als eine Gruppe anzulegen. Und unterbrechen Sie sie nicht auf Elementebene in einer großen Liste – eindeutige Berechtigungen auf Elementebene sind der Ort, an dem SharePoint-Berechtigungsmodelle sterben. Wenn eine Liste für viele Datensätze eine Sicherheit pro Datensatz braucht, ist das ein Signal dafür, dass die Datensätze in getrennte Listen oder getrennte Websites gehören.

Bild 2. Die Option „Berechtigungsvererbung beenden“ im Menüband der Listenberechtigungen

So bearbeiten Sie Berechtigungen in SharePoint

Auf Websiteebene

1. Öffnen Sie die Website und wählen Sie oben rechts das Zahnradsymbol.
2. Wählen Sie Websiteberechtigungen.
3. Das Panel zeigt Websitebesitzer, Websitemitglieder und Websitebesucher. Über Personen einladen fügen Sie jemanden hinzu, oder Sie wählen eine Gruppe, um deren Mitglieder zu ändern.
4. Für alles darüber hinaus – Gruppen anlegen, die Berechtigungsstufe einer Gruppe ändern, eine Stufe direkt vergeben – wählen Sie unten im Panel Erweiterte Berechtigungseinstellungen.
5. Auf der Seite Berechtigungen fügen Sie mit Berechtigungen erteilen einen Prinzipal hinzu, ändern ihn mit Benutzerberechtigungen bearbeiten und entziehen ihn mit Benutzerberechtigungen entfernen.

Bild 3. Aufruf von „Websiteberechtigungen“ über das Menü der Websiteeinstellungen

Bild 4. „Erweiterte Berechtigungseinstellungen“ wählen, wenn das Panel die gesuchte Option nicht anzeigt

Bild 5. Bearbeiten der Berechtigungen für Websitemitglieder

Denken Sie auf einer gruppenverbundenen Teamwebsite daran, dass Sie hier ausschließlich die SharePoint-Website vergeben – nicht das Postfach, den Kalender, Planner oder das Team. Wenn jemand all das haben soll, fügen Sie ihn stattdessen der Microsoft-365-Gruppe oder dem Team hinzu. Auf einer Kanalwebsite ist das Panel schreibgeschützt; wechseln Sie zu Teams.

Ebenfalls in diesem Panel: Ändern, wie Mitglieder freigeben können – hier legen Sie fest, ob Mitglieder die Website und Dateien freigeben dürfen oder nur Websitebesitzer, und ob Zugriffsanforderungen angenommen werden. Auf sensiblen Websites lohnt es sich, die Freigabe auf Besitzer zu beschränken.

Auf Listen- oder Bibliotheksebene

1. Öffnen Sie die Liste oder Bibliothek. Falls Sie sie nicht finden, gehen Sie zu Einstellungen → Websiteinhalte.
2. Wählen Sie Zahnradsymbol → Listeneinstellungen bzw. Bibliothekseinstellungen (in neueren Bibliotheken Einstellungen und dann Weitere Bibliothekseinstellungen).
3. Wählen Sie unter Berechtigungen und Verwaltung den Punkt Berechtigungen für diese Liste bzw. Berechtigungen für diese Dokumentbibliothek.
4. Die Seite zeigt an, ob die Liste erbt. Um ihr eigene Berechtigungen zu geben, wählen Sie Berechtigungsvererbung beenden und bestätigen Sie.
5. Sobald die Vererbung unterbrochen ist, nutzen Sie Berechtigungen erteilen, Benutzerberechtigungen bearbeiten und Benutzerberechtigungen entfernen wie auf Websiteebene.
6. Um zurückzukehren, wählen Sie Eindeutige Berechtigungen löschen (oder Übergeordnetes Element verwalten) – denken Sie daran, dass damit alles verworfen wird, was für die Liste eindeutig war.

Auf Datei- oder Ordnerebene

Für ein einzelnes Element überspringen Sie die Einstellungsseiten ganz. Wählen Sie die Datei oder den Ordner und dann ⋯ → Zugriff verwalten. Das Panel trennt Links (die vorhandenen Freigabelinks, jeweils mit der Möglichkeit zum Löschen) von Direktzugriff (Personen und Gruppen mit expliziten Berechtigungen). Über Erweiterte Einstellungen gelangen Sie bei Bedarf zur klassischen Berechtigungsseite des Elements.

„Zugriff verwalten“ ist auch der schnellste Weg, eine Überfreigabe rückgängig zu machen: Das Löschen eines Links entzieht ihn sofort allen, die ihn besitzen.

Zugriffsanforderungen

Wenn jemand ohne Zugriff einen Link öffnet, kann SharePoint anbieten, eine Zugriffsanforderung an die Websitebesitzer zu senden. Konfigurieren Sie das unter Erweiterte Berechtigungseinstellungen → Einstellungen für Zugriffsanforderungen. Die Funktion ganz abzuschalten ist verlockend, aber meist kontraproduktiv – aus einer nicht weitergeleiteten Anforderung wird eine E-Mail an irgendwen, den der Benutzer zufällig kennt, und der Zugriff wird informell vergeben.

Was sich 2026 geändert hat

Die oben beschriebene Mechanik ist seit Jahren stabil. Geändert haben sich die Konsequenzen von Fehlern – und die Werkzeuge, die Microsoft inzwischen bereitstellt.

Abb. 5. Was sich 2026 bei SharePoint-Berechtigungen geändert hat

Das Wertvollste davon ist das Unspektakulärste: der Bericht „Jeder außer externen Benutzern“. EEEU ist die Gruppe, die Inhalte für jedes interne Konto sichtbar macht, und ungeklärte EEEU-Zuweisungen sind durchweg die größte Quelle versehentlicher Offenlegung in Copilot-Ergebnissen. Sie zu finden ist ein Bericht; sie zu beheben ein Nachmittag.

Abb. 6. Eine praktikable Reihenfolge, um Überfreigaben zu finden und zu beheben, bevor Copilot sie findet

Fehlersuche: Berechtigung erteilt, Zugriff trotzdem verweigert

Ein Benutzer hat die Berechtigungsstufe, und SharePoint sagt trotzdem Nein. Arbeiten Sie die folgenden Punkte der Reihe nach ab – fast immer ist es einer der ersten drei.

• Eindeutige Berechtigungen irgendwo im Pfad. Die Liste, Bibliothek, der Ordner oder das Element hat die Vererbung unterbrochen, und der Benutzer wurde dem untergeordneten Bereich nie hinzugefügt. Prüfen Sie das Element selbst, nicht nur die Website.
• Der Benutzer ist in einer Gruppe, die in diesem Bereich keinen Zugriff hat. Gruppenmitgliedschaft bringt nichts in einem Bereich, aus dem die Gruppe nach dem Unterbrechen der Vererbung entfernt wurde.
• Restricted Access Control ist aktiv. Der Benutzer hat Berechtigungen, ist aber nicht in der Gruppe, auf die die Website beschränkt ist. RAC sticht alles darunter.
• Die Gruppenmitgliedschaft ist noch nicht repliziert. Änderungen an Entra-Sicherheitsgruppen und Microsoft-365-Gruppen brauchen Zeit, bis sie in SharePoint ankommen. Meist Minuten, gelegentlich länger.
• Einer angepassten Berechtigungsstufe fehlt ein Recht. Jemand hat eine Stufe bearbeitet und etwas entfernt, das für den Anwendungsfall nötig ist – häufig Elemente öffnen oder Anwendungsseiten anzeigen.
• Der Sperrmodus für Benutzer mit eingeschränktem Zugriff ist aktiv. Ein Feature der Websitesammlung, das Benutzer mit Eingeschränktem Zugriff bewusst daran hindert, einzeln freigegebene Elemente zu erreichen. Es graut außerdem Freigabeoptionen aus.
• Vertraulichkeitsbezeichnung, DLP-Richtlinie oder bedingter Zugriff. Zunehmend die eigentliche Ursache. Eine Bezeichnung kann ein Dokument unabhängig von SharePoint-Berechtigungen einschränken, und ein Authentifizierungskontext kann eine Website auf nicht verwalteten Geräten blockieren.
• Inhaltsgenehmigung. Das Element existiert, ist aber nicht genehmigt, sodass Leser es nicht sehen.

Für die letzten Punkte ist das SharePoint-Berechtigungsmodell nicht der richtige Ort – prüfen Sie Purview und Entra.

Best Practices für SharePoint-Berechtigungen

Planen Sie die Zielgruppen, bevor Sie die Website bauen. Wer erstellt, wer wirkt mit, wer liest nur. Drei aufgeschriebene Antworten verhindern die meiste spätere Unordnung.

Nutzen Sie Gruppen. Immer. Individuelle Zuweisungen sind die Schuld, die Sie heute aufnehmen und beim Audit zurückzahlen.

Bevorzugen Sie separate Websites gegenüber unterbrochener Vererbung. In der modernen flachen Architektur ist eine neue Website billig und ein eindeutiger Berechtigungsbereich teuer. Braucht ein Inhalt eine andere Zielgruppe, geben Sie ihm eine eigene Website und verbinden Sie beide über einen Hub.

Stufen Sie Mitglieder auf Mitwirken herab – auf jeder Website, deren Listen eine schützenswerte Struktur tragen.

Beheben Sie besitzerlose Websites. Jede Website braucht mindestens zwei Besitzer. Websitelebenszyklus-Richtlinien in SharePoint Advanced Management gehen dem für Sie im großen Maßstab nach.

Setzen Sie den Standard-Freigabelink bewusst. Bestimmte Personen auf sensiblen Websites, und zwar pro Website, nicht nur tenantweit.

Prüfen Sie nach Plan, nicht nach dem Vorfall. Momentaufnahme des Berechtigungszustands quartalsweise; Berichte zu Freigabelinks und EEEU monatlich. Beides finden Sie im Admin Center.

Betrachten Sie die externe Freigabe gesondert. Externer und Gastzugriff hat eigene Einstellungen und eigene Risiken – das ganze Bild finden Sie in unserem Leitfaden zur externen Freigabe in SharePoint.

Entfernen Sie Ausscheidende zeitnah und suchen Sie nach Waisen. Konten, die nach dem Austritt Berechtigungen behalten, sind der Klassiker in jedem Zugriffsaudit.

Verwechseln Sie SharePoint-Berechtigungen nicht mit Teams-Berechtigungen. Sie greifen ineinander, sind aber nicht dasselbe Modell; Microsoft Teams-Berechtigungen haben eigene Rollen und eine eigene Verwaltungsoberfläche.

Häufige Fehler, die Sie vermeiden sollten

• Vollzugriff vergeben, um ein Problem zu lösen, das Sie nicht diagnostiziert haben. Es funktioniert – und ist fast nie die richtige Lösung.
• Die Vererbung auf Elementebene in einer Liste unterbrechen, die noch wachsen wird.
• Sicherheitsgruppen tief verschachteln – das verursacht Performanceprobleme und wird nicht empfohlen.
• Eine Standard-SharePoint-Gruppe löschen. Löschen Sie nur Gruppen, die Sie selbst angelegt haben.
• Annehmen, eine Unterwebsite sei die Lösung. Die moderne Empfehlung ist flach: separate Websites, verbunden über einen Hub.
• „Jeder“-Links für harmlos halten, weil der Inhalt damals unwichtig schien.

Berechtigungen auswerten und prüfen

Für eine einzelne Website beantworten die Berechtigungsseite und Berechtigungen prüfen (im Menüband der Berechtigungsseite – Namen eingeben, und SharePoint zeigt exakt, was diese Person hat und woher es kommt) die meisten Fragen.

Auf Tenant-Ebene beginnen Sie mit den Berichten zur Datenzugriffsgovernance im SharePoint Admin Center: die Momentaufnahme der Websiteberechtigungen als Ausgangsbasis, dann Freigabelinks und EEEU für die laufende Drift. Das PowerShell-Modul für SharePoint Online erzeugt dieselben Berichte über Start-SPODataAccessGovernanceInsight, falls Sie das skripten möchten. Beachten Sie: Der erste Momentaufnahme-Bericht dauert unabhängig von der Tenantgröße bis zu fünf Tage, spätere sind innerhalb von 24 Stunden fertig, und jeder lässt sich alle 30 Tage erneut ausführen.

Das Überwachungsprotokoll in Purview deckt die Ereignisse ab – wer hat was mit wem wann geteilt – und ist damit die Ergänzung zu den Berechtigungs-Momentaufnahmen. Drittanbieterwerkzeuge wie ShareGate und AvePoint bleiben für tenantübergreifende Auswertungen und Massenbereinigungen nützlich, sind aber deutlich weniger unverzichtbar als vor der Einführung der DAG-Berichte.

Kennzahlen, die sich über die Zeit zu verfolgen lohnen: Anzahl der Konten mit Vollzugriff, Anzahl eindeutiger Berechtigungsbereiche pro Website, Anzahl aktiver „Jeder“-Links und Anzahl der Websites mit EEEU-Zuweisungen. Alle vier sollten fallen.

SharePoint Online vs. SharePoint On-Premises

Die Konzepte sind identisch – Berechtigungen, Stufen, Prinzipale, Bereiche und Vererbung funktionieren in SharePoint Server genauso. Die Unterschiede liegen im Drumherum.

Abb. 7. Berechtigungsverwaltung in SharePoint Online im Vergleich zu SharePoint Server

Wenn Sie On-Premises arbeiten, ist Microsofts Übersicht über Websiteberechtigungen in SharePoint Server die maßgebliche Referenz – und eine unterstützte Version ist die erste Voraussetzung für jedes Sicherheitsgespräch.

Berechtigungen mit Virto-Apps verwalten

Webparts und Apps von Drittanbietern arbeiten innerhalb des SharePoint-Berechtigungsmodells und nicht daneben – jedenfalls die gut gebauten. Bevor Sie etwas installieren, lohnt eine einfache Frage an den Anbieter: Liest die Lösung Inhalte als angemeldeter Benutzer und respektiert dabei Berechtigungen auf Elementebene, oder nutzt sie ein privilegiertes Dienstkonto?

Virto-Apps basieren auf SPFx und halten sich durchgehend an SharePoint-Berechtigungen. Zwei Beispiele, wie sich das in der Praxis auswirkt:

Virto Calendar App. Die Virto Calendar App für Microsoft 365 überlagert mehrere SharePoint-Listen, Exchange-Kalender und externe Quellen in einer Ansicht. Jede Datenquelle behält ihre eigenen Berechtigungen: Ein Benutzer sieht genau die Termine, die er auch in der zugrunde liegenden Liste sähe, und nichts darüber hinaus – selbst wenn sechs Kalender in einer Ansicht übereinanderliegen.

Bild 6. Virto Calendar App

Darüber hinaus hat die App eine eigene Einstellungsregisterkarte, auf der Sie Kalender auf eine Website oder Websitesammlung eingrenzen und Rollen für Kalender- und Lizenzverwaltung vergeben. Websitesammlungsadministratoren behalten ihre inhärenten Rechte, die die App nicht überschreiben kann – diese ändern Sie in SharePoint. Alle Details stehen in der Dokumentation zu Benutzerberechtigungen.

Bild 7. Die Registerkarte „Berechtigungen“ in den Virto-Calendar-Einstellungen

Weniger Berechtigungsaufwand von vornherein. Ein guter Teil der Berechtigungskomplexität entsteht, weil Inhalte am falschen Ort liegen – eine Bibliothek bedient drei Zielgruppen und bekommt dafür drei unterbrochene Bereiche. Werkzeuge, mit denen Menschen Inhalte dort bearbeiten können, wo sie liegen, statt sie an neue Orte zu kopieren, halten die Zahl der Bereiche niedrig. Für ein Berechtigungsmodell ist das mehr wert als jede Berichtsfunktion.

Damit klar ist, was Apps nicht können: Keine Drittanbieter-App kann eine SharePoint-Berechtigung erteilen, entziehen oder umgehen, die Microsofts Modell nicht ohnehin zulässt, und keine ersetzt Purview oder SharePoint Advanced Management für tenantweite Governance. Was sie können, ist: das Modell nicht schlechter machen.

Den vollständigen Katalog finden Sie unter Virto-Apps für Microsoft 365 und SharePoint Online und Virto SharePoint On-Premises Webparts. Zu jedem Produkt gehört eine 30-tägige kostenlose Testversion, und unser Team geht eine berechtigungssensible Einführung gerne mit Ihnen durch.

Häufig gestellte Fragen

Was sind SharePoint-Berechtigungsstufen?

Vordefinierte Rechtebündel – Vollzugriff, Bearbeiten, Mitwirken, Lesen, Entwerfen sowie einige spezielle Stufen einschließlich Eingeschränkter Zugriff –, die Benutzern oder Gruppen zugewiesen werden, um zu steuern, was sie tun dürfen. Sie wählen eine Stufe, statt einzelne Rechte zusammenzustellen.

Wie bearbeite ich Berechtigungen in SharePoint?

Für eine Website: Zahnradsymbol → Websiteberechtigungen → Erweiterte Berechtigungseinstellungen → Berechtigungen erteilen oder Benutzerberechtigungen bearbeiten. Für eine Liste oder Bibliothek: Listen-/Bibliothekseinstellungen → Berechtigungen für diese Liste → bei Bedarf Berechtigungsvererbung beenden, dann bearbeiten. Für eine einzelne Datei: Datei auswählen → ⋯ → Zugriff verwalten.

Was ist unterbrochene Berechtigungsvererbung?

Wenn ein Objekt aufhört, Berechtigungen von seiner übergeordneten Website oder Bibliothek zu erben, und stattdessen einen eigenen, eindeutigen Satz erhält. Beim Unterbrechen werden die aktuellen Berechtigungen nach unten kopiert und die Verbindung anschließend gekappt, sodass spätere Änderungen oben nicht mehr greifen – mit Ausnahme von Entzügen, die weiterhin durchgereicht werden.

Was ist der Unterschied zwischen Bearbeiten und Mitwirken?

Mitwirken erlaubt die Arbeit mit Inhalten – Elemente und Dokumente hinzufügen, bearbeiten und löschen. Bearbeiten ergänzt das Recht Listen verwalten, sodass der Inhaber zusätzlich die Struktur von Listen und Bibliotheken ändern kann: Spalten, Ansichten und die Liste selbst.

Sollte ich SharePoint-Gruppen oder Microsoft-365-Gruppen verwenden?

Auf einer gruppen- oder Teams-verbundenen Teamwebsite verwalten Sie den Zugriff über die Microsoft-365-Gruppe bzw. das Team. Auf einer Kommunikationswebsite nutzen Sie die SharePoint-Gruppen Besitzer / Mitglieder / Besucher. Auf der Website eines privaten oder freigegebenen Kanals haben Sie keine Wahl – die Berechtigungen werden ausschließlich in Teams verwaltet.

Wie viele eindeutige Berechtigungen kann eine Liste haben?

Das unterstützte Limit liegt bei 50.000 eindeutigen Berechtigungsbereichen pro Liste oder Bibliothek, Microsoft empfiehlt aber, aus Performancegründen unter 5.000 zu bleiben. Bei einem Ordner oder einer Bibliothek mit mehr als 100.000 Elementen lässt sich die Vererbung überhaupt nicht mehr unterbrechen oder wiederherstellen.

Warum erhält ein Benutzer „Zugriff verweigert“, obwohl er Berechtigungen hat?

Meist, weil eine Liste, ein Ordner oder ein Element irgendwo im Pfad eindeutige Berechtigungen hat, denen der Benutzer nie hinzugefügt wurde. Weitere Ursachen: Restricted Access Control beschränkt die Website auf eine Gruppe, in der er nicht ist; die Gruppenmitgliedschaft ist noch nicht repliziert; einer angepassten Berechtigungsstufe fehlt ein nötiges Recht; oder eine Vertraulichkeitsbezeichnung bzw. eine Richtlinie für bedingten Zugriff blockiert den Zugriff außerhalb von SharePoint.

Ändert Copilot, wer was in SharePoint sehen kann?

Nein. Copilot und SharePoint-Agents respektieren bestehende Berechtigungen exakt und gewähren keinen neuen Zugriff. Was sich ändert, ist die Auffindbarkeit – Inhalte, die technisch zugänglich, praktisch aber vergraben waren, tauchen jetzt in Antworten auf. Genau deshalb wurde die Bereinigung von Berechtigungen 2026 dringend.

Wie finde ich überfreigegebene Inhalte im gesamten Tenant?

Über die Berichte zur Datenzugriffsgovernance im SharePoint Admin Center unter Berichte → Datenzugriffsgovernance. Beginnen Sie mit der Momentaufnahme der Websiteberechtigungen, dann die Aktivitätsberichte zu Freigabelinks und „Jeder außer externen Benutzern“. Mit Websitezugriffsprüfungen geben Sie die Ergebnisse an die Websitebesitzer weiter, die handeln können.

Kann ich Mitglieder daran hindern, Dateien freizugeben?

Ja. Auf der Website: Websiteberechtigungen → Ändern, wie Mitglieder freigeben können → Nur Websitebesitzer können Dateien, Ordner und die Website freigeben. Die tenantweite externe Freigabe steuern Sie im SharePoint Admin Center unter Richtlinien → Freigabe.

Fazit

SharePoint-Berechtigungen sind weniger kompliziert als kumulativ. Das Modell selbst ist klein – Stufen, Prinzipale, Bereiche, Vererbung – und hat sich seit Jahren nicht verändert. Was wächst, sind die Ablagerungen: hier ein geteilter Link, dort eine unterbrochene Vererbung, ein Besitzer, der gegangen ist, eine Gruppe, die einmal praktisch war. Ein paar Jahre sich selbst überlassen, sorgen genau diese Ablagerungen dafür, dass sich ein Tenant unbeherrschbar anfühlt.

Die gute Nachricht: 2026 hat Administratoren die Sichtbarkeit gebracht, die ihnen fehlte. Sie können heute in einem Bericht genau sehen, wie breit jede Website exponiert ist und wer Links erzeugt – und diese Sicht an die Personen weitergeben, die sie beurteilen können. Zusammen mit der alten Disziplin – Gruppen statt Einzelpersonen, Vererbung statt Ausnahmen, separate Websites statt eindeutiger Bereiche – reicht das, um auch einen großen Tenant sauber zu halten.

Fangen Sie mit den Berichten an, beheben Sie die EEEU-Zuweisungen, und arbeiten Sie sich dann nach unten. Und halten Sie das Modell langweilig: Langweilige Berechtigungsmodelle sind die, die auch für den Nachfolger noch Sinn ergeben.

Verwandte Leitfäden

• SharePoint-Sicherheit: der vollständige Leitfaden
• Externe Freigabe in SharePoint
• SharePoint Best Practices: Struktur, Berechtigungen und Governance
• Was ist SharePoint und wofür wird es verwendet?
• SharePoint-Dokumentenmanagement
• Microsoft Teams-Berechtigungen
• Microsoft Teams-Gastzugriff

Quellen

• Microsoft Learn — Understanding permission levels in SharePoint
• Microsoft Learn — Sharing and permissions in the SharePoint modern experience
• Microsoft Learn — Overview of site permissions in SharePoint Server
• Microsoft Support — Customize permissions for a SharePoint list or library