Darum geht es
Gastkonten für Kunden, Partner oder Freiberufler bleiben oft bestehen, lange nachdem die Zusammenarbeit beendet ist. Eine regelmäßige Zugriffsüberprüfung fragt die Verantwortlichen automatisch, ob ein Gast noch Zugriff braucht, und entfernt nicht mehr benötigte Zugänge.
Was passieren kann
Vergessene Gastkonten behalten Zugriff auf Teams, Dateien und Kundendaten. Wird so ein externes Konto kompromittiert, fällt der Zugriff lange nicht auf.
Schritt für Schritt
Prüfen Sie die Lizenz: Zugriffsüberprüfungen erfordern Microsoft Entra ID P2 oder Microsoft Entra ID Governance.
Öffnen Sie im Microsoft Entra Admin Center ID Governance > Zugriffsüberprüfungen und prüfen Sie, ob bereits eine aktive Überprüfung für Gäste existiert.
Wählen Sie „Neue Zugriffsüberprüfung“, Typ „Teams + Gruppen“, Bereich alle Microsoft 365-Gruppen mit Gastbenutzern und „Nur Gastbenutzer“.
Legen Sie als Prüfer die Gruppenbesitzer fest (Fallback: eine IT-verantwortliche Person), Wiederholung monatlich oder vierteljährlich, Dauer z. B. 14 Tage.
Aktivieren Sie „Ergebnisse automatisch auf Ressource anwenden“, für fehlende Antworten „Zugriff entfernen“ sowie E-Mail-Benachrichtigungen.
Informieren Sie die Gruppenbesitzer vorab und kontrollieren Sie nach dem ersten Durchlauf die Ergebnisse unter „Zugriffsüberprüfungen“.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- ID Governance
- Zugriffsüberprüfungen
- Neue Zugriffsüberprüfung
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Gastkonten werden regelmäßig per Zugriffsüberprüfung bestätigt
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Fehlt Ihrem Tenant die nötige Lizenz, bewertet der Bericht die Prüfung nicht als Mangel, sondern nennt sie als „Lizenz fehlt“.
Für Ihre IT: per PowerShell nachsehen
Microsoft Graph PowerShell (Scope AccessReview.Read.All): Get-MgIdentityGovernanceAccessReviewDefinition | select DisplayName,Status. Prüfen Sie, ob eine aktive Definition Gastbenutzer abdeckt.
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- ORP.4.A3: Dokumentation der Benutzendenkennungen und Rechteprofile
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeitlit. d: Regelmäßige Überprüfung der Maßnahmen
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.