So richten Sie einen sicheren Gastzugriff in Microsoft Teams ein, ohne die Compliance zu gefährden

Die externe Zusammenarbeit ist heute keine Seltenheit mehr, sondern Normalität. Unternehmen teilen ganz selbstverständlich Dokumente, Anwendungen und andere Ressourcen mit Personen außerhalb des eigenen Unternehmens.

Das klingt kompliziert, doch Plattformen wie Microsoft Teams haben es deutlich einfacher gemacht. Über den Gastzugriff in Teams können Sie Ihre Informationen mit externen Benutzer:innen teilen.

Allerdings kann diese Funktion schnell zum Sicherheitsrisiko werden, wenn sie nicht sauber verwaltet wird. Schlimmer noch: Sie kann zu Verstößen gegen Branchenstandards wie HIPAA, ISO 27001 oder CMMC führen.

Die gute Nachricht: Sie können diese Einstellung so konfigurieren, dass die Aktionen und Datenzugriffe Ihrer Gäste begrenzt bleiben.

In diesem Leitfaden zeigen wir Ihnen die verschiedenen Methoden, mit denen Sie den Gastzugriff in Microsoft Teams absichern können.

Eine visuelle Aufbereitung des Themas finden Sie im Video So richten Sie einen sicheren Gastzugriff in Microsoft Teams ein, ohne die Compliance zu gefährden.

Sicheren Gastzugriff in Microsoft Teams aktivieren

Bevor Sie loslegen, sollten Sie unbedingt sicherstellen, dass die folgenden Anforderungen erfüllt sind.

📌 Voraussetzungen:

• Microsoft 365 Business Premium (E3- oder E5-Lizenz)
• Rolle Globaler Administrator, Teams-Administrator oder Compliance-Administrator
• PowerShell 7+ mit den Modulen Microsoft Teams, AzureAD und MSGraph
• Bedingter Zugriff und Microsoft Defender for Cloud Apps (optional)
• RMM (z. B. NinjaOne) für Registry- oder GPO-Audits (optional)

📌 Empfohlene Vorgehensweisen:

Methode 1: Gastzugriff in Azure AD (Microsoft Entra) aktivieren

📌 Anwendungsfall: Konfigurieren Sie Richtlinien für den Gastzugriff in Azure AD, um externen Mitarbeitenden Zugriff auf SharePoint, Teams oder OneDrive zu geben.

A. Gastzugriff prüfen oder aktivieren

Connect-AzureAD

Get-AzureADPolicy | Where-Object {$_.DisplayName -eq "B2BGuest"} 

B. Gasteinladungen zulassen, falls nicht konfiguriert

Set-AzureADPolicy -Id <policyId> -Definition @('{"GuestUserInvitation": "Enabled"}')

Stellen Sie sicher, dass die Zugriffseinschränkungen für Gastbenutzer:innen auf „Gastbenutzer haben eingeschränkten Zugriff auf Eigenschaften und Mitgliedschaften von Verzeichnisobjekten“ gesetzt sind.

Methode 2: Gastzugriff im Microsoft Teams Admin Center aktivieren

📌 Anwendungsfall: Erlauben Sie Gastbenutzer:innen die Teilnahme an Teams-Kanälen, -Besprechungen und -Chats, indem Sie die Einstellungen für den Gastzugriff im Teams Admin Center oder per PowerShell aktivieren.

A. Über das Teams Admin Center

1. Öffnen Sie das Microsoft Teams Admin Center.
2. Navigieren Sie zu Organisationsweite Einstellungen > Gastzugriff.
3. Stellen Sie den Schalter Gastzugriff auf Ein.
4. Konfigurieren Sie Berechtigungen wie:
   1. Dateifreigabe.
   2. Teilnahme an Besprechungen.
   3. Anrufberechtigungen.

Achten Sie darauf, dass die Einstellungen für den Gastzugriff in Teams zu den Compliance-Richtlinien Ihres Unternehmens passen.

B. Über PowerShell

Connect-MicrosoftTeams

Set-CsTeamsClientConfiguration -AllowGuestUser $true

Methode 3: Teams-Richtlinien für den Gastzugriff sicher konfigurieren

📌 Anwendungsfall: Schränken Sie Gastberechtigungen wie Videofreigabe, App-Installation oder das Erstellen von Kanälen ein, um eine sichere Umgebung für die Zusammenarbeit in Microsoft Teams zu erhalten.

A. Riskante Gastberechtigungen begrenzen

Set-CsTeamsGuestMeetingConfiguration -AllowIPAudio $false -AllowIPVideo $false

Set-CsTeamsMessagingPolicy -Identity Global -AllowUserCreateUpdateRemoveConnectors $false

B. Messaging-Richtlinie für Gastbenutzer:innen durchsetzen

Grant-CsTeamsMessagingPolicy -PolicyName "GuestMessagingPolicy" -Identity [email protected]

C. Im Teams Admin Center einschränken

• Bildschirmfreigabe.
• App-Integrationen.
• Erstellen von Kanälen.

Methode 4: Gastzugriff und Gastaktivitäten überwachen

📌 Anwendungsfall: Verfolgen und prüfen Sie die Aktivitäten von Gastbenutzer:innen über das Microsoft Purview Compliance-Portal.

A. Überwachung im Microsoft Purview Compliance-Portal aktivieren

1. Öffnen Sie Microsoft Purview > Überwachung.
2. Aktivieren Sie die Überwachungsprotokollierung, falls noch nicht geschehen.
3. Durchsuchen Sie die Protokolle nach Ereignissen wie „Benutzer zur Gruppe hinzugefügt“ oder „Datei extern freigegeben“.

B. Gastkonten mit PowerShell auflisten

Mit dem folgenden Skript listen Sie alle Gastkonten auf, die derzeit in Ihrem Microsoft Entra registriert sind.

Get-AzureADUser -Filter "UserType eq 'Guest'" | Select DisplayName, UserPrincipalName, AccountEnabled

C. Daten zu Gastkonten für die Dokumentation exportieren

Führen Sie den folgenden Befehl aus, um die Liste der registrierten Gastbenutzer:innen als CSV-Datei für die Dokumentation zu speichern.

Get-AzureADUser -Filter "UserType eq 'Guest'" |

Export-Csv "C:\Reports\TeamsGuestAccounts.csv" -NoTypeInformation

Methode 5: Ablaufdatum oder Überprüfungsplan für Gastkonten festlegen

📌 Anwendungsfall: Erstellen Sie Ablaufrichtlinien und automatisierte Überprüfungen für Gastkonten, um den Zugriff inaktiver Benutzer:innen zu unterbinden.

A. Microsoft Entra Access Reviews oder eigene Skripte nutzen, um inaktive Gäste zu erfassen

Filtern Sie die in Azure AD registrierten inaktiven Gastkonten heraus.

Get-AzureADUser -Filter "UserType eq 'Guest'" |

Where-Object { $_.AccountEnabled -eq $true -and $_.CreationType -eq "Invitation" } |

ForEach-Object {

# Custom logic for review or expiration tagging

}

B. Protokollierung in der Registry auf hybriden Endpunkten (optional)

Protokollieren Sie die Ergebnisse lokal in der Registry.

New-Item -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Name "LastAudit" -Value (Get-Date).ToString("u")

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\GuestAudit" -Name "GuestCount" -Value 12

C. Über die Eingabeaufforderung prüfen

Überprüfen Sie die Registry-Einträge mit dem folgenden Befehl:

reg query HKLM\SOFTWARE\Org\GuestAudit

⚠️ Darauf sollten Sie achten

Behalten Sie diese Stolperfallen im Blick, wenn Sie unserer Anleitung folgen:

Profi-Tipps für einen sichereren und intelligenteren Gastzugriff in Microsoft Teams

Hier noch ein paar Tipps, wie Sie eine sichere Microsoft 365-Umgebung für die Zusammenarbeit aufbauen:

Steuern Sie mit bedingtem Zugriff, wie sich Gäste anmelden.

Bedingter Zugriff ermöglicht es Ihnen, Regeln für Gastanmeldungen festzulegen. So können Sie etwa zusätzliche Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung (MFA) einführen, damit Benutzer:innen für den Zugriff auf Ihre Ressourcen mehr als nur ein Passwort benötigen.

Sie können damit außerdem Zugriffe von riskanten Standorten oder Geräten blockieren, indem Sie Bedingungen definieren, die prüfen, woher eine Anmeldung stammt.

Setzen Sie Richtlinien zum Schutz vor Datenverlust (DLP) ein, um die unbefugte Weitergabe von Informationen zu verhindern.

Damit Gastbenutzer:innen keine sensiblen Daten nach außen weitergeben, erstellen Sie DLP-Richtlinien, die Nachrichten, Dateien und E-Mails von Gästen auf sensible Inhalte prüfen. Sie können diese Richtlinien zudem so konfigurieren, dass solche Aktionen blockiert werden oder eine Alarmierung ausgelöst wird.

Richten Sie Informationsbarrieren ein, damit Gastbenutzer:innen nicht mit bestimmten Gruppen interagieren können.

Informationsbarrieren segmentieren die Kommunikation innerhalb von Gruppen und verhindern, dass zwei Parteien einander Nachrichten schicken oder die Profile der anderen Seite sehen. Diese Funktion ist ideal, wenn Sie in unterschiedlichen Projekten mit zwei konkurrierenden Anbietern arbeiten.

Sie können Informationsbarrieren so einrichten, dass Ihr erster Anbieter weder mit dem zweiten interagieren noch diesen sehen kann, selbst wenn beide in Ihrer Microsoft-Umgebung angemeldet sind.

Verfolgen Sie den Gastzugriff auf lokalen Rechnern über GPO- oder Registry-Einstellungen.

Die Aktivitäten von Gastzugriffen auf lokalen Rechnern nachzuvollziehen, kann anspruchsvoll sein, wenn Sie mehrere in die Domäne eingebundene Systeme verwalten.

Die gute Nachricht: Mit Gruppenrichtlinienobjekten (GPOs) oder Registry-Einstellungen können Sie Gastaktivitäten lokal protokollieren, Audits auslösen und die auf einem einzelnen Rechner registrierten Gastkonten zählen.

Häufige Probleme beim Gastzugriff in Microsoft Teams und ihre Lösung

Gast kann nicht auf Microsoft Teams zugreifen

Wenn Gastbenutzer:innen trotz Einladung nicht auf Microsoft Teams zugreifen können, ist entweder die Azure AD B2B-Einstellung oder der Gastzugriff in Teams nicht korrekt konfiguriert.

Öffnen Sie in diesem Fall Azure AD und prüfen Sie, ob die Einstellungen für die B2B-Zusammenarbeit Gasteinladungen zulassen. Stellen Sie außerdem sicher, dass der Gastzugriff in Teams sowohl in PowerShell als auch im Teams Admin Center aktiviert ist.

Prüfen Sie zum Schluss, ob der Gast der richtigen Teams-Gruppe angehört und ob sein Azure AD-Konto aktiv ist. Manchmal liegt die Ursache in einer fehlenden Gruppenmitgliedschaft oder einem deaktivierten Konto.

Fehlende Audit-Protokolle

Wenn Sie in Microsoft Purview nach einer bestimmten Gastaktivität suchen und nicht fündig werden, war die Überwachungsprotokollierung zum Zeitpunkt des Ereignisses höchstwahrscheinlich nicht aktiviert.

Um das zu vermeiden, prüfen Sie vor dem Einladen von Gästen, ob die Überwachungsprotokollierung in Microsoft Purview aktiviert ist, und sehen Sie sich die Aufbewahrungseinstellungen an.

Skripte schlagen über mehrere Mandanten hinweg fehl

Wenn eines Ihrer Skripte in einem Mandanten einwandfrei läuft und in einem anderen Fehler wirft, sollten Sie delegierten Zugriff mit dem Secure App Model verwenden. Diese Authentifizierungsmethode eignet sich ideal für Szenarien mit mehreren Mandanten.

Ziehen Sie zusätzlich in Betracht, für die mandantenübergreifende Automatisierung auf zertifikatsbasierte Authentifizierung mit Microsoft Graph-Token umzusteigen.

Gäste behalten alte Berechtigungen.

Wenn Sie einen Gast aus einem Team oder einer Gruppe entfernen, wird sein Zugriff auf andere freigegebene Ressourcen nicht automatisiert entzogen.

Sie müssen veraltete Azure AD-Gruppenzuweisungen oder Teams-Mitgliedschaften manuell entfernen oder die Bereinigung per PowerShell-Skript automatisieren.

Gastzugriff in Microsoft Teams mit NinjaOne absichern

NinjaOne vereinfacht die Absicherung des Gastzugriffs, indem es:

• PowerShell-basierte Audit-Skripte auf hybriden Endpunkten bereitstellt.
• Registry-Schlüssel ausliest, die Ergebnisse von Gast-Audits erfassen, und darauf alarmiert.
• Geräte oder Mandanten mit hohem Gastaufkommen für die Sicherheitsüberprüfung kennzeichnet.
• QBR-fertige Berichte zu Gastnutzung, Risiken und Rechten in Teams erstellt.
• Prüfungen des Gastzugriffs bei der Einarbeitung, beim Offboarding oder in geplanten Überprüfungsfenstern automatisiert.

Mit NinjaOne können MSPs die sichere Zusammenarbeit in Microsoft Teams über alle verwalteten Mandanten hinweg standardisieren und skalieren.

Sichere Umgebungen für die Zusammenarbeit schaffen: Gastzugriff in Microsoft Teams richtig verwalten

Sie müssen die Compliance nicht opfern, um Microsoft 365-Umgebungen für die Zusammenarbeit aufzubauen.

Wenn Sie wissen, wie sich der Gastzugriff in Teams steuern lässt, und regelmäßige Audits durchführen, können Sie Ihren Kund:innen dabei helfen, starke Geschäftsbeziehungen aufzubauen, ohne sich um die Sicherheit sorgen zu müssen.

Verwandte Themen:

• So nutzen Sie Microsoft Teams für eine reibungslose Zusammenarbeit am Arbeitsplatz
• So nutzen Sie Microsoft Teams für eine reibungslose Zusammenarbeit am Arbeitsplatz
• So erstellen und verwalten Sie ein Team in Microsoft Teams
• So erstellen und verwalten Sie ein Team in Microsoft Teams