Darum geht es
Wenn jede Person Gäste einladen darf, wächst die Zahl externer Konten unkontrolliert. Legen Sie fest, dass nur Administratoren und Personen mit der Rolle „Gasteinladender“ einladen dürfen. Dann gibt es eine bewusste Entscheidung pro Gast und einen klaren Überblick.
Was passieren kann
Unkontrollierte Einladungen führen zu vielen vergessenen Gastkonten mit Zugriff auf Firmendaten, über die Angreifer leicht in Ihre Umgebung gelangen.
Schritt für Schritt
Öffnen Sie Entra ID > Externe Identitäten > Einstellungen für externe Zusammenarbeit.
Wählen Sie unter „Einstellungen für Gasteinladungen“ die Option „Nur Benutzer mit bestimmten Administratorrollen können Gastbenutzer einladen“.
Weisen Sie Personen, die regelmäßig Gäste einladen müssen (z. B. Projektleitung), die Rolle „Gasteinladender“ zu.
Beachten Sie, dass diese Einstellung seit 2026 auch für Freigaben aus SharePoint und OneDrive an neue externe Personen gilt, weil dort jetzt Gastkonten entstehen. Kommunizieren Sie den neuen Ablauf für Gastanfragen an die Belegschaft.
Prüfen Sie mit einem normalen Konto, dass eine Gasteinladung in Teams oder Entra nicht mehr möglich ist.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Externe Identitäten
- Einstellungen für externe Zusammenarbeit
- Einstellungen für Gasteinladungen
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Nur Administratoren und Gasteinladende dürfen Gäste einladen
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell: `(Get-MgPolicyAuthorizationPolicy).AllowInvitesFrom`. Sollwert: adminsAndGuestInviters oder none; ändern mit `Update-MgPolicyAuthorizationPolicy -AllowInvitesFrom adminsAndGuestInviters`.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.8.2v1: Nur Gasteinladende dürfen Gäste einladen
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A1: Regelung für die Einrichtung und Löschung von Benutzenden und Benutzendengruppen
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.