Manche Kunden werden bald aus Dateien ausgesperrt, die Sie letztes Jahr geteilt haben. Gehört Ihrer dazu?

Irgendwo in Ihrem SharePoint oder OneDrive liegt ein Ordner, den ein Kunde mit einem sechsstelligen Code aus einer E-Mail öffnet. Niemand hat diesen Kunden je als Benutzer angelegt. Es hat einfach funktioniert, also hat niemand mehr daran gedacht. Microsoft entfernt diesen Mechanismus jetzt, und bemerken werden es zuerst Ihre Kunden, nicht Ihre IT.

Die Lösung dauert pro Person nur Minuten, wenn man weiß, wo man suchen muss. Eine Microsoft-365-Sicherheitsanalyse zeigt, mit wem Ihr Tenant heute teilt. Genau diese Liste brauchen Sie, bevor die Umstellung Sie erreicht.

Kurz beantwortet

Was genau wird abgeschaltet? Die SharePoint-Anmeldung per Einmalcode, die externe Personen bei Links für "bestimmte Personen" genutzt haben. Laut Microsofts eigener FAQ wird sie für kommerzielle Tenants im Oktober 2026 eingestellt. Der separate E-Mail-Code in Microsoft Entra bleibt bestehen.

Können wir widersprechen oder den Zeitpunkt wählen? Nein. Die Microsoft-FAQ hält fest, dass kommerzielle Tenants nicht aussteigen können und automatisch ausgewählt werden, ohne Wahl des Termins.

Welche Links funktionieren danach nicht mehr? Bereits geteilte Links für "bestimmte Personen", bei denen die externe Person kein passendes Gastkonto in Ihrem Verzeichnis hat. Wer schon ein Gastkonto hat, behält den Zugriff, ebenso funktionieren "Jeder"-Links weiter.

Wie kommt jemand wieder hinein? Legen Sie ein Gastkonto für die E-Mail-Adresse an, oder geben Sie eine Datei, einen Ordner oder eine Website erneut frei. Eine einzige erneute Freigabe stellt den Zugriff auf alles wieder her, was dieser Person zuvor freigegeben wurde.

Wie lief die externe Freigabe bisher, und was ersetzt sie?

Wenn ein Mitarbeitender eine Datei mit "bestimmten Personen" außerhalb des Unternehmens teilte, konnte SharePoint den Empfänger selbst prüfen. Es schickte einen Einmalcode per E-Mail, der Empfänger tippte ihn ein und war drin. In Ihrem Microsoft-365-Verzeichnis entstand dabei kein Konto, also auch kein Eintrag, den später jemand hätte prüfen können.

Der Ersatz nutzt Gastkonten von Microsoft Entra B2B. Der Empfänger wird zum Gastbenutzer in Ihrem Verzeichnis und meldet sich mit einem Code, mit seinem eigenen Microsoft-Konto oder mit dem Login seiner eigenen Firma an. Microsofts FAQ für Administratoren bestätigt, dass neue externe Freigaben bereits diesen Weg gehen und sich nicht zurückstellen lassen.

Aus Sicht des Empfängers ändert sich wenig, wenn er bereits ein Gastkonto hat. Hat er keines, entsteht es bei der nächsten Freigabe automatisch.

Wer wird ausgesperrt, und wer nicht?

Es gibt drei Gruppen, und nur eine davon hat ein Problem.

Gäste, die bereits ein Konto haben. Für sie ändert sich nichts. Reguläre Partner, die Sie in Teams eingeladen oder mehrfach beteiligt haben, gehören wahrscheinlich zu dieser Gruppe.

Personen, die nur den E-Mail-Code genutzt haben. Das ist die gefährdete Gruppe. Laut Microsoft-FAQ erhalten sie "Zugriff verweigert" bei älteren Links für "bestimmte Personen", sobald die Abschaltung Ihren Tenant erreicht, bis ein passendes Gastkonto existiert. Typisch sind die Buchhalterin, der externe Anwalt, der freie Designer oder ein Kundenordner, der vor zwei Jahren eingerichtet wurde.

Alle mit einem "Jeder"-Link. Microsoft stellt klar, dass anonyme Links von der Änderung nicht betroffen sind. Sie bleiben so offen oder so eingeschränkt, wie Ihre Freigaberichtlinie es schon festlegte. Wenn Sie auch das straffen wollen, erklärt unser Beitrag zum Baseline-Sicherheitsmodus in Microsoft 365, was die Standardeinstellungen offenlassen.

Eine Ausnahme sollten Sie kennen: Laut Message-Center-Meldung sind die Behörden-Clouds (GCC, GCC High, DoD) vorerst ausgenommen. Normale kommerzielle Tenants sind betroffen.

Wann erreicht das tatsächlich Ihren Tenant?

Die Termine weichen zwischen den Microsoft-Seiten leicht voneinander ab, und das ist schon ein Grund, nicht auf einen einzigen Tag zu planen. Die Learn-FAQ sagt, die Abschaltung werde im Oktober 2026 für kommerzielle Tenants ausgerollt. Die Message-Center-Meldung MC1243549 nennt in ihrer Fassung vom 1. Oktober Mitte Oktober als Beginn und erwartet den Abschluss für Produktiv-Tenants bis Ende November.

Frühere Fassungen derselben Meldung nannten Juli und August. Der Plan hat sich verschoben und kann sich wieder verschieben. Praktisch heißt das: Rechnen Sie ab der zweiten Oktoberhälfte damit, und halten Sie Ihre Liste vorher bereit. Den Termin für Ihren eigenen Tenant gibt Microsoft nicht bekannt, die sichere Annahme lautet also "jederzeit". Wer seine Liste jetzt erstellt, hat die Arbeit erledigt, bevor der erste Kunde anruft, und kann sie in Ruhe nach Wichtigkeit abarbeiten.

Was sollte eine Agentur mit 15 Mitarbeitenden diese Woche tun?

Nehmen wir eine Marketingagentur mit 15 Mitarbeitenden als Beispiel. Über die Jahre haben die Teams Kampagnendateien mit freien Mitarbeitern, Druckereien und einigen Kunden geteilt, und niemand hat eine Liste geführt. Sechs Schritte genügen, und keiner braucht eine Anschaffung.

1. Die Personen finden. Microsofts FAQ verweist auf den Bericht zur externen Freigabe auf Website-Ebene. Er listet Gäste, die über den alten Einmalcode-Weg eingeladen wurden und noch kein Entra-Gastkonto haben, in der Spalte "User E-mail". Beginnen Sie mit den Websites, auf denen Kundenarbeit liegt. Unsere Kunden aus dem Agenturumfeld haben meist die längsten Listen, weil freie Mitarbeiter kommen und gehen.

2. Entscheiden, wer noch Zugriff braucht. Nicht jeder auf dieser Liste sollte übernommen werden. Ein Freelancer aus einem Projekt, das letztes Jahr endete, braucht kein Gastkonto. Lassen Sie den Zugriff bewusst auslaufen, nicht zufällig.

3. Die Gastkonten anlegen, die bleiben sollen. Ein Administrator kann sie im Entra-Admin-Center mit der E-Mail-Adresse aus dem ursprünglichen Link hinzufügen, wie in Microsofts Anleitung zum Hinzufügen von Gastbenutzern beschrieben. Alternativ gibt eine Kollegin mit Freigaberecht einen Inhalt erneut für die Person frei, wodurch das Konto automatisch entsteht. Laut Microsoft werden keine doppelten Konten angelegt.

4. Prüfen, ob überhaupt eingeladen werden darf. Wenn Ihr Tenant einschränkt, wer Gäste einladen darf, funktioniert die automatische Kontoerstellung für normale Mitarbeitende nicht. Die Message-Center-Meldung empfiehlt, die Rolle "Guest Inviter" an alle zu vergeben, die extern teilen.

5. E-Mail-Codes in Entra eingeschaltet lassen. Die Meldung rät, die Einstellung für E-Mail-Einmalcodes in den External-ID-Einstellungen aktiviert zu lassen, wenn Ihre Organisation darauf angewiesen ist. Gäste ohne Microsoft-Konto melden sich auf diesem Weg an. Einzelheiten stehen in Microsofts Dokumentation zu E-Mail-Einmalcodes.

6. Die Belegschaft informieren. Die Kolleginnen und Kollegen, die Dateien teilen, bekommen die erste verärgerte E-Mail. Eine kurze Notiz hilft: Ab Mitte Oktober sehen einige externe Empfänger möglicherweise "Zugriff verweigert", und eine erneute Freigabe behebt das. Bitten Sie darum, solche Meldungen an die Person weiterzugeben, die Microsoft 365 betreut, und nicht mit Dateien als E-Mail-Anhang zu improvisieren, denn damit verlässt der Inhalt Ihre Kontrolle.

Ist das ein Verlust oder ein Gewinn an Kontrolle?

Beides, und das sollte man offen sagen. Der Verlust liegt auf der Hand: Einige Ihrer Kunden stoßen für ein paar Wochen an eine Wand, und angerufen wird, wer die Datei geteilt hat. Das bedeutet Supportaufwand und einen kleinen Imageschaden. Deshalb zählt die Vorbereitung oben mehr als die Technik.

Der Gewinn: Externe Personen sind nicht mehr unsichtbar. Mit Gastkonten erfassen Ihre Conditional-Access-Regeln und Anmeldeprotokolle auch sie, und laut Microsofts Meldung gelten zudem die Richtlinien für die Gastverwaltung. Ein Kunde, der bisher nur "ein Code" war, steht nun in einer Liste, die Sie lesen, prüfen und aufräumen können. Das zählt für Kanzleien, die belegen müssen, wer eine Mandatsakte einsehen konnte, eine Frage, die meist erst nach einem Vorfall kommt. Unsere Kunden aus Anwaltskanzleien fragen als Erste nach dieser Liste.

Auf der anderen Seite steht ein Preis. Eine Gästeliste wächst. Ohne jährliche Prüfung sammeln sich Konten von Personen an, die ihre Firma längst verlassen haben, und jedes ist ein möglicher Anmeldeweg in Ihren Tenant. Es gilt dieselbe Logik wie bei den eigenen Mitarbeitenden: Eine offene Tür, die niemand kontrolliert, ist ein Risiko. Wenn Sie Ihre Belegschaft bereits von SMS-Anmeldecodes weggeführt haben, wie in unserem Beitrag zum Ende der SMS-Codes beschrieben, schenken Sie den Gästen dieselbe Aufmerksamkeit.

Was gehört danach in Ihre Freigaberichtlinie?

Nutzen Sie die Umstellung als Anlass, drei Regeln aufzuschreiben, denn die meisten kleinen Unternehmen haben keine.

Erstens: Wer darf außerhalb des Unternehmens teilen? Nicht jeder Mitarbeitende braucht dieses Recht auf jeder Website. Zweitens: Wie lange behält ein Gast den Zugriff? Ein Projektordner sollte ein Enddatum haben, und jemand sollte ihn verantworten. Drittens: Was muss ein Gast für die Anmeldung tun? Weil Gäste jetzt unter Ihre Conditional-Access-Regeln fallen, können Sie auch von ihnen Multi-Faktor-Authentifizierung verlangen, wie bei Ihrer Belegschaft. In den Einstellungen für externe Zusammenarbeit steuern Sie, wer einladen darf.

Für Unternehmen unter der NIS2-Richtlinie oder mit ISO-27001-Plänen ist das zugleich der Nachweis, den ein Auditor verlangt: eine Liste externer Konten, ein Verantwortlicher, ein Prüfdatum. Eine IT-Governance- und Compliance-Prüfung macht aus den drei Regeln eine einseitige Richtlinie und eine wiederkehrende Kontrolle.