SharePoint External Sharing: Der vollständige Leitfaden 2026

Fast jedes Projekt benötigt irgendwann jemanden von außerhalb des Unternehmens: eine Agentur, einen Kunden, einen Prüfer oder einen freiberuflichen Designer. SharePoint External Sharing ist der Weg, auf dem Microsoft 365 das ermöglicht – ohne E-Mail-Anhänge, USB-Sticks oder ein inoffizielles Dropbox-Konto – und ohne Fremden die Schlüssel zu Ihrem Tenant zu überlassen.

Dieser Leitfaden erklärt, was External Sharing tatsächlich ist, wie Sie es auf Organisations- und Websiteebene aktivieren und konfigurieren, wie Sie eine Website, einen Ordner oder eine einzelne Datei mit einem Gast teilen und wie Sie das Ganze kontrolliert halten. Am Ende finden Sie Lösungen für die häufigsten Helpdesk-Probleme, einschließlich des bekannten ausgegrauten Teilen-Buttons.

Kurzantwort

External Sharing in SharePoint bezeichnet die Möglichkeit, Websites, Dateien und Ordner mit Personen außerhalb Ihrer Organisation – Gästen – zu teilen. Es wird an zwei Stellen gesteuert: einer organisationsweiten Einstellung im SharePoint Admin Center (Richtlinien → Freigabe) und einer websitespezifischen Einstellung (Aktive Websites → Website → Einstellungen → Weitere Freigabeeinstellungen). Die jeweils restriktivere Einstellung hat immer Vorrang. Um External Sharing zu aktivieren, setzen Sie die Organisationsebene auf Neue und vorhandene Gäste und stellen Sie jede Website auf dieselbe oder eine restriktivere Ebene ein.

Was ist External Sharing in SharePoint?

External Sharing bezeichnet den Satz von Microsoft 365-Funktionen, mit denen eine Person ohne Konto in Ihrem Tenant Inhalte öffnen – und optional bearbeiten – kann, die in SharePoint oder OneDrive gespeichert sind. Diese Person ist ein Gast. Anstatt eine Datei aus Ihrer Umgebung herauszukopieren, gewähren Sie einen kontrollierten, widerrufbaren und revidierbaren Zugang – der Inhalt verlässt Ihren Governance-Bereich nie.

Zwei Tatsachen erklären den Großteil der Verwirrung rund um External Sharing. Erstens ist External Sharing eine mehrstufige Einstellung und kein einfacher Schalter: Der Tenant legt eine Obergrenze fest, und jede Website kann sich auf dieser Ebene oder darunter befinden. Zweitens ist die Freigabeebene (mit wem geteilt werden darf) von der Frage des Linktyps (wie ein bestimmtes Element geteilt wird) getrennt. Sie können External Sharing vollständig aktiviert haben und trotzdem einen Link versenden, den nur eine bestimmte Person öffnen kann – und das ist meistens genau das, was Sie wollen.

Mitglieder, Gäste und externe Benutzer – die entscheidenden Begriffe

• Mitglieder sind Personen mit einem Konto in Ihrem Microsoft Entra ID-Tenant – Ihre Mitarbeitenden. Sie melden sich mit einem Geschäfts- oder Schulkonto an.
• Gäste sind externe Personen, die Ihrem Verzeichnis als Gastobjekte hinzugefügt wurden (ihr Benutzerprinzipalname enthält #EXT#). Sie melden sich mit einem Geschäfts- oder Schulkonto ihrer eigenen Organisation, einem Microsoft-Konto oder einem E-Mail-Einmalpasscode an. Da sie als Verzeichnisobjekte existieren, kann ihr Zugang ausgewertet, überprüft, befristet und widerrufen werden.
• Anonyme Empfänger sind Personen, die einen Jeder-Link öffnen. Hinter ihnen steckt keinerlei Identität: kein Anmeldevorgang, kein Verzeichnisobjekt, kein personenbezogener Audit-Trail. Dies ist der einzige externe Freigabemodus, der tatsächlich nicht authentifiziert ist.

Im alltäglichen Sprachgebrauch deckt „externer Benutzer" sowohl Gäste als auch anonyme Empfänger ab. In der Praxis ist dieser Unterschied entscheidend: Gäste sind steuerbar, Inhaber anonymer Links nicht.

Wie External Sharing in der Praxis aussieht

Drei Muster decken den Großteil des realen Bedarfs ab:

• Ein Auftragnehmer, der an einem Projekt mitarbeitet. Ein freiberuflicher Designer muss sechs Wochen lang Dateien in einer Projektbibliothek öffnen, bearbeiten und hochladen. Die richtige Lösung ist ein Gastkonto mit Mitwirken-Berechtigung für eine einzelne Bibliothek und einer Gastzugangs-Ablaufzeit, sodass der Zugang automatisch endet, wenn niemand ihn verlängert.
• Ein Kunde, der Arbeitsergebnisse prüft. Ein Kunde muss eine Reihe von Dokumenten lesen und kommentieren, aber nichts ändern. Die richtige Lösung ist ein Link vom Typ Bestimmte Personen mit Lese- oder Überprüfungsberechtigung und einem Ablaufdatum – kein Website-Zugang überhaupt.
• Ein Partner in einem langfristigen Programm. Eine externe Agentur arbeitet kontinuierlich über mehrere Arbeitsbereiche hinweg. Die richtige Lösung ist eine eigene Website oder ein eigenes Team pro Partner, wobei Gäste über einen kontrollierten Onboarding-Prozess hinzugefügt und regelmäßig überprüft werden.

Beachten Sie, wie der Umfang schrumpft, je enger die Beziehung ist. Die meisten Oversharing-Vorfälle entstehen, wenn eine Anfrage, die das zweite Muster verdient hätte, mit dem dritten beantwortet wird.

Wie sich Gäste tatsächlich anmelden

Die Gastanmeldung basiert auf der Microsoft Entra B2B-Zusammenarbeit, die es externen Personen ermöglicht, sich mit einer bereits vorhandenen Identität zu authentifizieren, anstatt ein von Ihnen ausgestelltes und zurückzusetzendes Passwort zu verwenden. Wenn ein Gast eine Einladung öffnet, arbeitet Microsoft 365 eine kurze Liste ab:

1. Ein Geschäfts- oder Schulkonto im Microsoft Entra-Tenant des Gastes – der sauberste Fall, bei dem der Arbeitgeber des Gastes weiterhin MFA und Geräterichtlinien durchsetzt.
2. Ein Microsoft-Konto (outlook.com, hotmail.com oder eine als solches registrierte Adresse).
3. Ein E-Mail-Einmalpasscode – ein Fallback für Empfänger ohne eine der oben genannten Optionen. Microsoft sendet einen temporären Code per E-Mail; laut Microsoft-Dokumentation ist der Passcode 30 Minuten gültig und die daraus resultierende Sitzung dauert 24 Stunden, danach fordert der Gast einen neuen an. Diese Option ist in neuen Tenants standardmäßig aktiviert.

Die dritte Option beantwortet die Frage: „Wie teile ich mit jemandem, der kein Microsoft-Konto hat?" – Sie müssen nichts Besonderes tun, und Sie sollten nicht auf einen Jeder-Link zurückgreifen, nur weil der Empfänger Gmail verwendet.

Wie SharePoint External Sharing gesteuert wird: das zweistufige Modell

Bevor Sie irgendwelche Einstellungen ändern, hilft es, die Struktur des Systems zu verstehen. External Sharing wird auf zwei Ebenen geregelt, und Microsofts Regel ist eindeutig: Wenn die Einstellung einer Website und die organisationsweite Einstellung nicht übereinstimmen, gilt immer der restriktivere Wert.

Abb. 1. External Sharing wird auf zwei Ebenen gesteuert – die Organisationsebene legt die Obergrenze fest, die Websiteebene kann diese nur weiter einschränken.

Wenn man dieses Diagramm in beide Richtungen liest, ergeben sich zwei praktische Konsequenzen:

• Sie können External Sharing für eine einzelne Website nicht aktivieren, wenn es auf Tenant-Ebene deaktiviert ist. Wenn die Organisationsebene auf Nur Personen in Ihrer Organisation gesetzt ist, sind die Freigabeoptionen jeder Website ausgegraut. Dies ist die häufigste Ursache für „Der Teilen-Button funktioniert nicht".
• Das Aktivieren auf Tenant-Ebene öffnet nicht automatisch jede Website. Website-Einstellungen bleiben unabhängig bestehen, und verschiedene Websitetypen sind standardmäßig auf Nur Personen in Ihrer Organisation eingestellt – klassische Websites, Kommunikationswebsites und moderne Websites ohne Gruppenverknüpfung, gemäß der Microsoft-Dokumentation zur Website-Freigabe.

Diese Standardwerte sollten Sie kennen, bevor Sie nach einem Fehler suchen, der gar nicht vorhanden ist:

OneDrive folgt demselben Muster mit einer eigenen Tenant-Einstellung, die restriktiver als die von SharePoint sein kann, aber nie freizügiger.

Die vier External-Sharing-Ebenen erklärt

Auf Organisationsebene und für jede Website stehen dieselben vier Optionen zur Verfügung. Von der offensten zur restriktivsten:

Abb. 2. Die vier External-Sharing-Ebenen, von der offensten bis zur restriktivsten.

Ein Punkt wird leicht übersehen: Unabhängig davon, welche Ebene Sie wählen, bleiben alle restriktiveren Optionen verfügbar. Die Auswahl von Jeder auf Tenant-Ebene zwingt niemanden dazu, Jeder-Links zu verwenden – sie macht diese lediglich möglich. Aus diesem Grund sollte die Tenant-Einstellung als „das Offenste, was hier passieren könnte" gelesen werden, nicht als „was hier passieren wird".

Welche Ebene sollten Sie wählen?

Für die meisten Organisationen ist Neue und vorhandene Gäste auf Tenant-Ebene die richtige Obergrenze. Sie ermöglicht echte Zusammenarbeit, hält jede externe Person als Verzeichnisobjekt, das ausgewertet und befristet werden kann, und erlaubt es Ihnen, einzelne Websites auf Vorhandene Gäste oder Nur Personen in Ihrer Organisation zurückzusetzen. Den Tenant auf Nur Personen in Ihrer Organisation zu setzen, sieht in einer Präsentation sicher aus und veranlasst in der Regel nur dazu, dass Mitarbeitende auf Consumer-Dateifreigabetools ausweichen, die Sie überhaupt nicht einsehen können – Microsofts eigene Planungsanleitung macht dasselbe Argument.

External Sharing in SharePoint aktivieren – Schritt für Schritt

Sie benötigen die Rolle SharePoint-Administrator oder Globaler Administrator. Websitebesitzer können die External-Sharing-Einstellungen auf Websiteebene nicht ändern; nur ein SharePoint-Administrator kann das.

Schritt 1 – Organisationsebene festlegen

1. Melden Sie sich beim SharePoint Admin Center unter https://<tenant>-admin.sharepoint.com an.
2. Erweitern Sie in der linken Navigation Richtlinien und wählen Sie Freigabe.
3. Verschieben Sie unter Externe Freigabe den SharePoint-Schieberegler auf die gewünschte Ebene – für die meisten Tenants Neue und vorhandene Gäste.
4. Legen Sie den OneDrive-Schieberegler fest. Er kann dieselbe oder eine restriktivere Ebene haben, aber niemals eine freizügigere.
5. Wählen Sie Speichern.

Änderungen sind nicht immer sofort wirksam. Microsoft weist darauf hin, dass Freigabeeinstellungsänderungen in der Regel innerhalb einer Stunde wirksam werden. Schließen Sie daher nicht auf einen fehlgeschlagenen Vorgang, nur weil der Teilen-Dialog dreißig Sekunden später noch gleich aussieht.

Schritt 2 – Die Einstellungen konfigurieren, die tatsächlich das Risiko enthalten

Erweitern Sie auf derselben Seite Weitere Einstellungen für externe Freigabe. Hier wird aus einem scheinbar freizügigen Tenant ein gut verwalteter.

Schritt 3 – Ebene für eine einzelne Website festlegen

1. Gehen Sie im SharePoint Admin Center zu Websites → Aktive Websites.
2. Wählen Sie den Website-Namen aus, um das Detailpanel zu öffnen. (Öffnen Sie bei einem Teams-Kanal-Site zuerst den Link in der Spalte Kanal-Websites.)
3. Öffnen Sie die Registerkarte Einstellungen und wählen Sie unter Externe Freigabe die Option Weitere Freigabeeinstellungen.
4. Wählen Sie die External-Sharing-Ebene für diese Website.
5. Erweitern Sie optional Erweiterte Einstellungen für externe Freigabe, um eine websitespezifische Domänen-Allow- oder Blockliste (bis zu 500 Domänen), eine websitespezifische Gastablaufzeit oder einen anderen Standard-Linktyp festzulegen.
6. Wählen Sie Speichern.

Diese websitespezifische Steuerung ist der Mechanismus, der einen freizügigen Tenant sicher macht. Ein Tenant mit der Einstellung Neue und vorhandene Gäste, bei dem die Websites für Finanzen, HR und Recht einzeln auf Nur Personen in Ihrer Organisation gesetzt sind, ist deutlich besser aufgestellt als ein global gesperrter Tenant, in dem Mitarbeitende Tabellen an ihre persönlichen Konten mailen.

Schritt 4 – Den richtigen Linktyp wählen

Jeder Teilen-Dialog in SharePoint und OneDrive erzeugt einen von drei Linktypen, und der Linktyp – nicht die Freigabeebene – entscheidet, wer das Element tatsächlich öffnen kann.

Abb. 3. Die drei Freigabe-Linktypen im Vergleich.

Für externe Zusammenarbeit lautet die Antwort fast immer Bestimmte Personen. Gemäß Microsofts Dokumentation zu freigebbaren Links ist ein Bestimmte-Personen-Link nicht übertragbar: Wird er an jemand anderen weitergeleitet, schlägt er einfach fehl. Es ist auch die einzige externe Option, die einen echten Audit-Trail erzeugt und es ermöglicht, dass der Inhalt in den eigenen Suchergebnissen des Empfängers erscheint.

Ein Hinweis zu OneDrive

OneDrive und SharePoint teilen dieselbe External-Sharing-Infrastruktur und dieselbe Admin-Seite – OneDrive ist technisch gesehen eine persönliche SharePoint-Website. Die praktischen Unterschiede betreffen eher die Eigentümerschaft als den Mechanismus. Inhalte in OneDrive gehören einer einzelnen Person; wenn diese Person das Unternehmen verlässt, werden die Inhalte und alles, was sie daraus geteilt hat, zu einem Offboarding-Problem. Inhalte auf einer SharePoint-Website gehören einem Team und überdauern einzelne Personen.

Faustregel: Verwenden Sie OneDrive, um einen Entwurf, den Sie besitzen, mit jemandem extern zu teilen, und wechseln Sie zu einer SharePoint-Website, sobald mehr als eine interne Person daran arbeiten muss oder das Material über die unmittelbare Aufgabe hinauslebt. Denken Sie daran, dass die OneDrive-Tenant-Einstellung standardmäßig auf Jeder steht – wenn Sie SharePoint eingeschränkt haben, aber OneDrive nicht, sind Sie noch nicht fertig.

External Sharing ist nicht dasselbe wie internes Teilen

Beide verwenden denselben Teilen-Dialog, weshalb sie oft verwechselt werden. Sie werden jedoch unterschiedlich geregelt: Internes Teilen wird durch das eigene Berechtigungsmodell Ihres Tenants begrenzt, während External Sharing eine Organisationsgrenze überschreitet und einen völlig anderen Satz von Einstellungen, Ablaufregeln und Audit-Pflichten mit sich bringt. Wenn Sie tatsächlich ein Dokument unter Kollegen verteilen möchten, behandelt unser Leitfaden zum Teilen von Dateien in SharePoint diesen Fall; alles in diesem Artikel setzt voraus, dass der Empfänger außerhalb Ihrer Organisation ist.

Eine SharePoint-Website mit externen Benutzern teilen

Eine gesamte Website zu teilen ist sinnvoll, wenn ein Partner dauerhaften Zugang zu einem Arbeitsbereich benötigt – einem Projekt-Workspace, einem Kundenportal oder einem Bereich für die Lieferantenzusammenarbeit –, anstatt nur zu einem einzelnen Dokument.

1. Öffnen Sie die Website.
2. Wählen Sie das Einstellungen-Zahnrad oben rechts und dann Websiteberechtigungen.
3. Wählen Sie Mitglieder hinzufügen (für eine gruppenverbundene Website) oder Website teilen (für eine Kommunikationswebsite).
4. Geben Sie die E-Mail-Adresse der externen Person ein. Wenn External Sharing für diese Website verfügbar ist, bietet SharePoint an, sie als Gast einzuladen.
5. Wählen Sie die Berechtigungsebene und dann Hinzufügen oder Teilen.

Abb. 4. Einladen eines externen Benutzers über das Websiteberechtigungen-Panel.

Die hier gewählte Berechtigungsebene ist das Einzige, das Menschen überstürzen und später bereuen:

Ein Gast mit Vollzugriff kann die Website weiterteilen. Selbst wenn die Tenant-Einstellung Gästen erlauben, Elemente zu teilen, die ihnen nicht gehören deaktiviert ist, behalten Gäste mit Vollzugriff diese Möglichkeit – weshalb diese Ebene auf interne Personen beschränkt bleiben sollte.

Eine einzelne Datei oder einen Ordner teilen

1. Wählen Sie in der Dokumentbibliothek die Datei oder den Ordner aus und wählen Sie Teilen (oder Link kopieren).
2. Wählen Sie in den Link-Einstellungen Bestimmte Personen und geben Sie die externe Adresse ein.
3. Legen Sie die Berechtigung fest – Kann anzeigen, Kann bearbeiten oder Kann überprüfen für Word-Dokumente.
4. Legen Sie optional ein Ablaufdatum, ein Kennwort oder Download blockieren für Nur-Lesen-Links fest.
5. Senden Sie den Link oder kopieren Sie ihn und senden Sie ihn selbst.

Abb. 5. Der Teilen-Dialog mit geöffnetem Link-Einstellungspanel, das Bestimmte Personen, Ablaufdatum und Download blockieren zeigt.

Das Teilen eines Ordners anstelle einzelner Dateien verdient einen kurzen Gedanken. Ein Ordner-Link funktioniert auch dann noch, wenn sich der Inhalt ändert – praktisch während eines aktiven Projekts und ein schleichender Datenverlust danach, da alles, was später in diesen Ordner abgelegt wird, denselben externen Zugang erbt. Wenn der Ordner die Zusammenarbeit überdauern wird, teilen Sie ihn mit einem Ablaufdatum.

Mit jemandem teilen, der kein Microsoft-Konto hat

Das funktioniert ohne weiteres Zutun. Senden Sie einen Bestimmte Personen-Link an die normale geschäftliche E-Mail-Adresse der Person; diese erhält einen Einmal-Verifizierungscode per E-Mail, gibt ihn ein und erhält Zugang als Gast. Sie erscheint in Ihrem Verzeichnis genauso wie jeder andere Gast, und Sie können ihren Zugang auf dieselbe Weise befristen und widerrufen.

Der Reflex, in dieser Situation auf einen Jeder-Link zurückzugreifen, ist verständlich und falsch: Er tauscht einen vollständig verwalteten Gast gegen eine anonyme, weitergeleitete URL, nur um dem Empfänger einen zusätzlichen Klick zu ersparen.

Wenn die Partnerbeziehung größer ist als eine Website

Für ein dauerhaftes Partnerprogramm – ein Lieferantennetzwerk, ein Franchise, ein langfristiges Kundenportfolio – ist Microsofts B2B-Extranet-Muster besser geeignet als die Ad-hoc-Freigabe. Jeder Partner erhält eine eigene, nur für Mitglieder zugängliche Website oder ein eigenes Team, sodass Partner A die Inhalte von Partner B nie sieht und das Gast-Onboarding über einen kontrollierten, revidierbaren Prozess statt über den Teilen-Dialog einzelner Personen läuft.

Sicherheit und Governance für External Sharing

External Sharing zu aktivieren dauert etwa neunzig Sekunden. Es sicher zu halten ist die eigentliche Arbeit – und es handelt sich meist um eine Designentscheidung, die einmalig pro Website getroffen wird, keine tägliche Aufgabe.

Abb. 6. Ein Entscheidungsfluss für die Wahl der Freigabeebene, des Linktyps und der Kontrollen für eine Website.

Betrachten Sie die Kontrollen als fünf Schichten, von denen jede etwas abfängt, was die darüber liegende nicht kann.

Abb. 7. Fünf Kontrollebenen über das SharePoint External Sharing.

Minimale Rechte, richtig angewendet

Gewähren Sie den engsten Zugang, der es dem Gast ermöglicht, die Aufgabe zu erledigen, und gewähren Sie ihn im engsten Umfang. In absteigender Reihenfolge der Bevorzugung: eine einzelne Datei, ein Ordner, eine Dokumentbibliothek, eine Website. „Er wird wahrscheinlich später andere Dinge brauchen" ist kein Grund, eine Website zu teilen – es ist ein Grund, die Datei jetzt zu teilen und die nächste, wenn sie angefordert wird.

Gewähren Sie Zugang über Gruppen, nicht für einzelne Gäste. Das Entfernen eines abgehenden Auftragnehmers sollte eine einzige Aktion sein, keine Spurensuche in neun Bibliotheken.

Ablauf, Kennwörter und Download-Sperre

Drei Link-Ebenen-Kontrollen leisten unverhältnismäßig viel:

• Ablaufdaten verwandeln ein dauerhaftes Loch in ein temporäres Fenster. Setzen Sie sie pro Link fest und erzwingen Sie ein Maximum für Jeder-Links auf Tenant-Ebene.
• Kennwörter auf einem Link bedeuten, dass eine abgefangene oder weitergeleitete URL allein nicht ausreicht.
• Download blockieren bei einem Nur-Lesen-Link hält den Inhalt im Browser, was wichtig ist, wenn die Sorge darin besteht, dass eine Kopie das Unternehmen verlässt, anstatt dass jemand ihn liest.

Domänen-Allowlisten und Blocklisten

Die Freigabe nach Domäne einzuschränken ist die am meisten unterschätzte Kontrolle im Admin Center. Eine Allowlist Ihrer tatsächlichen Partnerdomänen verhindert das versehentliche Teilen mit einer persönlichen Adresse oder einer falsch eingegebenen Domäne, bevor es passiert. Zwei Faustregeln: Die organisationsweite Einstellung hat Vorrang vor websitespezifischen Listen, und eine websitespezifische Allowlist muss eine Teilmenge der Tenant-Allowlist sein. Wildcards werden nicht unterstützt, listen Sie Domänen daher explizit auf.

Vertraulichkeitsbezeichnungen und bedingter Zugriff

Eine auf eine Website angewendete Vertraulichkeitsbezeichnung kann deren External-Sharing-Ebene festschreiben, steuern, ob Besitzer Gäste hinzufügen dürfen, und den Zugriff von nicht verwalteten Geräten über den bedingten Zugriff von Microsoft Entra blockieren oder einschränken. Das ist der Unterschied zwischen einer Einstellung und einer Richtlinie: Eine Bezeichnung überdauert den nächsten gut gemeinten Administrator, der die Freigabe einer Website erweitert, um eine Deadline zu entsperren.

Der bedingte Zugriff fügt die identitätsseitigen Bedingungen hinzu – MFA für Gäste erzwingen, nach Standort einschränken oder nur Browser-Zugriff von nicht verwalteten Geräten erlauben, damit nichts mit einem Gerät synchronisiert wird, das Sie nicht kontrollieren.

Verhinderung von Datenverlust

Microsoft Purview DLP prüft Inhalte statt Container. Eine DLP-Richtlinie kann blockieren oder warnen, wenn ein Dokument mit Kartennummern, Gesundheitskennungen oder Ihren eigenen benutzerdefinierten vertraulichen Informationstypen mit Personen außerhalb der Organisation geteilt wird – und fängt damit den Fall ab, in dem die Website korrekt konfiguriert ist, aber die darin enthaltene Datei dort nie hätte sein sollen.

Prüfung und Überprüfung – die Ebene, die alle überspringen

Konfigurationen verfallen. Gäste bleiben nach Projektende, Links überdauern ihren Zweck, und eine Website, die für einen Partner eingerichtet wurde, sammelt still drei weitere an. Die Instrumente dafür existieren:

• Datenzugangs-Governance-Berichte im SharePoint Admin Center zeigen Websites auf, die mit Gästen geteilt wurden, in den letzten 28 Tagen erstellte Freigabelinks und Inhalte, die mit Jeder außer externen Benutzern geteilt wurden. Beachten Sie die Lizenzanforderung: Der vollständige Zugang erfordert SharePoint Advanced Management, während Microsoft 365 E5 eine eingeschränkte Ansicht bietet.
• Websiteberechtigungen auf jeder Website zeigt aktuelle Mitglieder und Gäste – der schnellste Weg zur Antwort auf „Wer kann das sehen?".
• Das Microsoft Purview-Überwachungsprotokoll zeichnet Freigabeereignisse, Einladungen und Dateizugriffe auf.
• Zugriffsüberprüfungen in Microsoft Entra ID können Rezertifizierungen nach einem Zeitplan einplanen und machen Websitebesitzer – nicht die IT – dafür verantwortlich zu bestätigen, dass jeder Gast noch Zugang benötigt.

Abb. 8. Ein Datenzugangs-Governance-Bericht, der Websites auflistet, die mit Gästen und mit allen außer Gästen geteilt wurden.

Wie man externen Zugang prüft und entfernt

Zwei Dinge müssen entfernt werden, und Personen erledigen routinemäßig nur das erste:

1. Website-Mitgliedschaft. Öffnen Sie die Website → Einstellungs-Zahnrad → Websiteberechtigungen, suchen Sie den Gast und entfernen Sie ihn. Dies widerruft den Zugang auf Website-Ebene.
2. Einzelne Freigabelinks. Wählen Sie die Datei oder den Ordner aus → Zugriff verwalten → prüfen Sie die Links und benannten Personen und löschen Sie alle, die nicht mehr benötigt werden. Ein für ein bestimmtes Element erstellter Link bleibt auch nach dem Entfernen der Website-Mitgliedschaft bestehen.
3. Das Gastkonto selbst. Entfernen Sie den Gast für einen sauberen Abschluss aus Microsoft Entra ID. Dadurch wird sein Zugang überall im Tenant auf einmal widerrufen – was genau das ist, was Sie wollen, wenn ein Auftragsverhältnis endet.

Wenn Sie sich nur eines dieser drei Dinge merken, dann das dritte: Das Löschen des Gastobjekts ist die einzige Maßnahme, die garantiert vollständig ist.

Ein praktikabler Überprüfungsrhythmus

Monatlich: neue Freigabelinks und neu hinzugefügte Gäste prüfen. Vierteljährlich: Gästelisten auf extern geteilten Websites überprüfen und alle entfernen, deren Projekt beendet ist. Jährlich: die Tenant-weiten Freigabeeinstellungen und die Domänenlisten im Abgleich mit der tatsächlichen aktuellen Zusammenarbeit des Unternehmens überprüfen.

Häufige Probleme und deren Lösungen

Fast jedes External-Sharing-Ticket lässt sich auf eine von sechs Ursachen zurückführen. Arbeiten Sie diese der Reihe nach durch und hören Sie beim ersten Fehler auf.

Abb. 9. Sechs Prüfpunkte, die fast jede blockierte externe Freigabe lösen.

Die Option „Teilen" ist ausgegraut oder externe Adressen werden abgelehnt

Dies ist eine Konfigurationssperre, kein Fehler. In der Reihenfolge der Wahrscheinlichkeit: External Sharing ist auf Tenant-Ebene deaktiviert; es ist für diese Website deaktiviert; die Domäne des Empfängers steht auf einer Blockliste oder fehlt auf einer Allowlist; eine Vertraulichkeitsbezeichnung auf der Website erzwingt Nur Personen in Ihrer Organisation; oder die teilende Person befindet sich nicht in der Sicherheitsgruppe, die zum externen Teilen berechtigt ist. Beheben Sie die Ebene, die tatsächlich blockiert, und warten Sie dann bis zu einer Stunde, bis die Änderung die Website erreicht.

Die Einladung kommt nie an

1. Prüfen Sie die Adresse auf Tippfehler – eine falsche Adresse schlägt meistens lautlos fehl.
2. Bitten Sie den Empfänger, Spam, Quarantäne und alle externen E-Mail-Filter seiner Organisation zu prüfen. Einladungs-E-Mails von Microsoft 365 werden häufig abgefangen.
3. Senden Sie die Einladung über Websiteberechtigungen erneut, oder senden Sie den Link direkt über Ihre eigene E-Mail, anstatt sich auf die Einladungsnachricht zu verlassen.
4. Bestätigen Sie, dass die Domäne des Empfängers nicht auf einer Blockliste steht.

Der Gast hat akzeptiert, erhält aber „Zugriff verweigert"

Die Einladung und die Berechtigung sind zwei verschiedene Dinge. Prüfen Sie, ob der Gast die Einladung tatsächlich eingelöst hat, anstatt den Link zu öffnen, während er als eine andere Identität angemeldet war – eine sehr häufige Ursache, die sich sofort in einem privaten Browser-Fenster löst. Prüfen Sie dann, ob der Gastzugang abgelaufen ist, ob eine Richtlinie für bedingten Zugriff das Gerät oder den Standort blockiert und ob die Berechtigungen des Elements den Gast einschließen und nicht nur die der Website.

Der Gast kann die Datei öffnen, aber nicht bearbeiten

Entweder wurde der Link als Nur-Lesen erstellt, oder die Berechtigungsebene des Gastes ist auf Lesen gesetzt. Teilen Sie erneut mit Kann bearbeiten oder erhöhen Sie die Berechtigung auf Mitwirken. Wenn keines davon hilft, prüfen Sie, ob die Website für Gäste auf Nur-Lesen eingestellt ist oder ob eine Vertraulichkeitsbezeichnung oder DLP-Richtlinie einschränkt, was sie mit dem Inhalt tun können.

Externe Links haben alle auf einmal aufgehört zu funktionieren

Jemand hat die organisationsweite Einstellung auf Nur Personen in Ihrer Organisation geändert. Das Verhalten von Microsoft ist hier erwähnenswert: Bestehende externe Links funktionieren nicht mehr, während die Einstellung deaktiviert ist, und nehmen die Funktion wieder auf, wenn sie wieder eingeschaltet wird. Wenn sich auf Ihrer Seite nichts geändert hat, prüfen Sie das Microsoft 365 Service-Health-Dashboard – Freigabe-Vorfälle betreffen in der Regel den gesamten Tenant.

Was sich kürzlich geändert hat

Drei Entwicklungen sind es wert, bekannt zu sein, wenn Ihre External-Sharing-Konfiguration vor einigen Jahren eingerichtet wurde und seitdem nicht überprüft wurde.

• Gastidentität läuft über Microsoft Entra B2B. External Sharing ist kein reines SharePoint-Konzept mehr. Gäste sind Entra-Objekte, was dazu führt, dass bedingter Zugriff, Zugriffsüberprüfungen und identitätsseitige Prüfungen überhaupt auf sie zutreffen – und es bedeutet, dass Ihre Entra-Allow- und Blocklisten auch das SharePoint-Teilen einschränken, nicht nur Einladungen.
• Link-Verhalten beeinflusst jetzt Suche und Copilot. Inhalte, die über einen Jeder-Link erreicht werden, erscheinen nicht in den Suchergebnissen des Empfängers, und ein Personen in Ihrer Organisation-Link wird erst sichtbar, wenn der Empfänger ihn geöffnet hat. Ein Bestimmte Personen-Link macht Inhalte für die benannten Empfänger auffindbar. Wenn Sie sich fragen, warum geteilte Inhalte nicht dort erscheinen, wo Benutzer sie erwarten, ist der Linktyp oft die Ursache.
• Oversharing-Berichte sind gereift. Die Datenzugangs-Governance-Berichte im SharePoint Admin Center decken jetzt Websites ab, die mit Gästen geteilt wurden, aktuelle Freigabelink-Aktivitäten und Inhalte, die mit Jeder außer externen Benutzern geteilt wurden, wobei der vollständige Funktionsumfang hinter SharePoint Advanced Management verfügbar ist und eine reduzierte Ansicht mit Microsoft 365 E5 zur Verfügung steht.

Mehr mit Virto-Apps für SharePoint

Natives External Sharing regelt den Zugang. Es bietet jedoch wenig in Bezug auf das, was danach passiert – Teams darüber zu informieren, dass ein Partner etwas hochgeladen hat, Dateien und Informationen von Gästen zu sammeln, ohne ihnen eine Tour durch Ihre Bibliotheksstruktur zu geben, oder Hunderte von Dateien auf einmal zu verschieben, wenn ein Projekt abgeschlossen ist. Diese Lücke füllen Virtos Apps für SharePoint und Microsoft 365.

Abb. 10. Virto Calendar App in einer SharePoint Online-Website.

• Virto Alerts & Reminders App – vorlagenbasierte E-Mail- und Microsoft Teams-Benachrichtigungen bei Änderungen in einer Liste oder Bibliothek. Auf einer extern geteilten Website erfährt das interne Team so, dass ein Kunde eine Überarbeitung hochgeladen hat, ohne dass jemand den Ordner beobachten muss.
• Virto Multiple File Operations App – Massen-Upload, Massen-Metadatenbearbeitung und gefiltertes Massen-Löschen. Nützlich an beiden Enden einer Zusammenarbeit: die Arbeitsergebnisse eines Partners einzubringen und die Website anschließend aufzuräumen.
• Virto Forms Designer – benutzerdefinierte Formulare mit Validierung und bedingter Logik, sodass ein Gast strukturierte Informationen über ein Formular einreicht, anstatt Bearbeitungsrechte für eine Liste zu erhalten.
• Virto Kanban Board App – ein visuelles Board über SharePoint-Listendaten, das Gästen eine klare Sicht auf einen gemeinsamen Arbeitsablauf gibt, ohne dass sie Zugang zu allem dahinter benötigen.
• Virto Calendar App – überlagert SharePoint-, Exchange- und Google-Kalender in einer Ansicht für gemeinsame Projektzeitpläne.

Alle Virto-Apps für Microsoft 365 und lokales SharePoint sind mit einer kostenlosen 30-Tage-Testversion erhältlich – ohne Kreditkarte, mit vollem Funktionsumfang. Sehen Sie sich den vollständigen App-Katalog an oder erfahren Sie mehr zum Kauf.

Häufig gestellte Fragen

Was ist SharePoint External Sharing?

Es ist die Möglichkeit, SharePoint-Websites, Dateien oder Ordner mit Personen außerhalb Ihrer Organisation – Gästen – zu teilen, geregelt durch External-Sharing-Einstellungen auf Tenant- und Website-Ebene in Microsoft 365.

Wie aktiviere ich External Sharing in SharePoint?

Gehen Sie im SharePoint Admin Center zu Richtlinien → Freigabe und setzen Sie die organisationsweite External-Sharing-Ebene (in der Regel Neue und vorhandene Gäste). Setzen Sie dann die Freigabe jeder Website auf dieselbe oder eine restriktivere Ebene unter Aktive Websites → Einstellungen → Weitere Freigabeeinstellungen. Benutzer können dann mit Gästen teilen. Warten Sie bis zu einer Stunde, bis Änderungen wirksam werden.

Ist SharePoint External Sharing sicher?

Es kann es sein, und es ist wesentlich sicherer als die Alternativen, auf die Mitarbeitende zurückgreifen, wenn es deaktiviert ist. Gäste authentifizieren sich über Microsoft Entra B2B, der Zugang ist widerrufbar und prüfbar und kann mit Domänen-Allowlisten, Gastablauf, Vertraulichkeitsbezeichnungen, bedingtem Zugriff und DLP eingeschränkt werden. Der unsichere Modus sind nicht authentifizierte Jeder-Links – diese sollten eingeschränkt oder deaktiviert werden.

Was ist der Unterschied zwischen einem externen Benutzer und einem Gast?

In der Praxis bezeichnet „Gast" eine externe Person, die ein Gastobjekt in Ihrem Microsoft Entra-Verzeichnis hat, sich anmeldet und daher ausgewertet, befristet und widerrufen werden kann. „Externer Benutzer" ist der allgemeinere Begriff und umfasst oft auch anonyme Empfänger von Jeder-Links, die überhaupt keine Identität haben.

Kann ich mit jemandem teilen, der kein Microsoft-Konto hat?

Ja. Senden Sie einen Bestimmte Personen-Link an die normale E-Mail-Adresse der Person; sie erhält einen Einmal-Verifizierungscode per E-Mail, gibt ihn ein und erhält als Gast Zugang. Es ist nicht notwendig, auf einen Jeder-Link zurückzugreifen.

Warum kann ich eine SharePoint-Datei nicht extern teilen?

Meistens weil External Sharing auf Organisationsebene deaktiviert ist, für diese bestimmte Website deaktiviert ist, durch eine Domänen-Allowlist oder Blockliste blockiert wird, durch eine Vertraulichkeitsbezeichnung eingeschränkt ist oder weil Ihr Konto nicht in einer Sicherheitsgruppe enthalten ist, die zum externen Teilen berechtigt ist. Prüfen Sie diese fünf Punkte in dieser Reihenfolge.

Wie sehe ich, wer Zugang zu einer SharePoint-Website hat?

Öffnen Sie die Website, wählen Sie das Einstellungs-Zahnrad und wählen Sie Websiteberechtigungen, um Mitglieder und Gäste zu sehen. Für einen tenantweiten Überblick verwenden Sie die Datenzugangs-Governance-Berichte im SharePoint Admin Center, die Websites auflisten, die mit Gästen geteilt wurden und kürzlich erstellte Freigabelinks anzeigen.

Wie entferne ich den Zugang eines externen Benutzers?

Entfernen Sie ihn aus Websiteberechtigungen auf der Website, löschen Sie die spezifischen Freigabelinks, die ihm gewährt wurden, über das Zugriff verwalten-Panel des Elements und – für einen sauberen Abschluss – entfernen Sie das Gastkonto aus Microsoft Entra ID. Das Entfernen des Gastobjekts widerruft den Zugang überall im Tenant auf einmal.

Kurz zusammengefasst

SharePoint External Sharing ist eine zweistufige Einstellung mit einer einzigen Regel: Tenant und Website mit der restriktiveren Einstellung haben immer Vorrang. Setzen Sie den Tenant auf Neue und vorhandene Gäste, sperren Sie die Websites mit sensiblen Daten, stellen Sie den Standard des Teilen-Dialogs auf Bestimmte Personen, aktivieren Sie den Gastablauf und eine Domänen-Allowlist, und tragen Sie eine vierteljährliche Überprüfung in den Kalender ein. Dann hört die externe Zusammenarbeit auf, das Thema zu sein, um das sich die IT-Sicherheit sorgt, und wird zu dem, das verhindert, dass Mitarbeitende Tabellen an ihre persönlichen Konten mailen.

Für mehr zum Thema Zusammenarbeit lesen Sie unsere Leitfäden zu SharePoint-Zusammenarbeit, zum Teilen von Dateien in SharePoint für die interne Seite derselben Frage, zu SharePoint-Dokumentenverwaltung und zu Was ist SharePoint, wenn Sie ganz von vorne beginnen.