← Microsoft 365 Collaboration Administration

Freigabe: eine Kette aus fünf Gliedern

Ein Angebot taucht beim Wettbewerber auf. Die Datei war über einen Link freigegeben, den jeder öffnen konnte. Die Frage der Geschäftsführung — wer hat zugegriffen? — ist nicht schwer zu beantworten, sondern unbeantwortbar: Wer einen Anyone-Link benutzt, muss sich laut Dokumentation nicht anmelden, und sein Zugriff lässt sich nicht überprüfen. In diesem Modul lernst du die fünf Glieder der Freigabekette kennen und die eine Regel, aus der sich fast jede Diagnose ableitet: Jedes Glied darf verschärfen, keines erweitern. Du lernst die vier Freigabestufen samt ihrer PowerShell-Namen, die drei Linktypen und ihre Grenzen in geteilten Kanälen, warum ein Link keine Berechtigung ist und beim Entfernen einer Person bestehen bleibt, warum ohne aktive Entra-B2B-Integration bei Dateifreigaben gar kein Gastkonto entsteht — und warum das Abschalten externer Freigabe nichts löscht, sondern den Gästen beim Wiedereinschalten ihren Zugriff zurückgibt.

Lehrtext · 12 Abschnitte · zuletzt geprüft: 2026-09-12

Der Link, den niemand mehr zuordnen kann

Ein Angebot taucht bei einem Wettbewerber auf. Die Datei stammt aus einer Projekt-Site, und sie war über einen Link freigegeben, den jeder öffnen konnte, der ihn hatte. Die Frage der Geschäftsführung lautet: Wer hat darauf zugegriffen?

Die Antwort ist unangenehm und steht so in der Dokumentation: Wer einen Anyone-Link benutzt, muss sich nicht anmelden, und der Zugriff lässt sich nicht überprüfen. Es gibt kein Konto, an dem ein Zugriff hängen könnte. Der Link selbst ist die Berechtigung, und er wirkt für jeden, der ihn besitzt — weitergeleitet, kopiert, in einem Ticketsystem abgelegt.

LernzielDu kannst eine Freigabeanfrage entlang der fünf Glieder der Freigabekette einordnen, den passenden Linktyp begründet wählen und benennen, was ein Link anders macht als eine Berechtigung — vor allem beim Zurücknehmen.

Freigabelink — Ein eigenständiges Objekt, das auf eine Datei oder einen Ordner zeigt und selbst festlegt, wer damit Zugriff bekommt. Er ist keine Eintragung in einer Berechtigungsliste: Er entsteht neben ihr, hat eine eigene Lebensdauer und wird an anderer Stelle zurückgenommen.

Fünf Glieder, und jedes darf nur verschärfen

Ob eine Freigabe funktioniert, entscheidet keine Einstellung, sondern eine Kette. Jedes Glied kann das Ergebnis enger machen; weiter machen kann es keines. Das ist die eine Regel, aus der sich fast alle Diagnosen dieses Themas ableiten.

Microsoft Entra: Die Einstellungen für externe Zusammenarbeit bestimmen, wer überhaupt Gäste einladen darf — für Site-Freigaben immer, für Datei- und Ordnerfreigaben, sobald die B2B-Integration aktiv ist.
Tenant: Die organisationsweite Freigabestufe für SharePoint und, getrennt davon, für OneDrive.
Site: Eine eigene Stufe je Site. Sie muss gleich oder restriktiver sein als die der Organisation.
OneDrive: Kann laut Dokumentation restriktiver sein als SharePoint, aber nicht großzügiger.
Link: Der einzelne Freigabelink mit seinem Typ, seiner Berechtigung und gegebenenfalls seinem Ablaufdatum.

Daraus folgt die Diagnoserichtung, und sie hängt daran, in welche Richtung der Fehler zeigt. Geht eine Freigabe nicht, wird von oben geprüft: Entra, Tenant, Site, dann der Link. Geht eine Freigabe zu weit, wird von unten geprüft — dort ist sie entstanden, und dort wird sie auch zurückgenommen.

Dasselbe Kettenmuster taucht an anderer Stelle noch einmal auf, und zwar in einer Form, die es besonders gut zeigt. Die Einstellung, ob Site-Besitzer anzeigen dürfen, wer eine Datei oder Seite angesehen hat, ist laut Dokumentation organisationsweit voreingestellt an und bei bestehenden Sites auf Site-Ebene aus. Die Information erscheint nur, wenn sie auf beiden Ebenen eingeschaltet ist. Wer sie vermisst und nur die organisationsweite Einstellung prüft, findet dort ein Ja und sucht danach an der falschen Stelle weiter.

Eine weitere Eigenheit dieser Einstellung lohnt die Erwähnung, weil sie der Erwartung widerspricht: Wird sie ein- und wieder ausgeschaltet, sind die Aufrufe aus der Zwischenzeit laut Dokumentation im Verlauf enthalten, sobald sie wieder an ist. Das Ausschalten unterdrückt die Anzeige, es verhindert nicht die Aufzeichnung — derselbe Unterschied zwischen Ausblenden und Löschen, der weiter unten auch beim Abschalten der externen Freigabe entscheidet.

Der AusgangszustandExterne Freigabe ist laut Dokumentation für die Organisation standardmäßig eingeschaltet. Wer in einem gewachsenen Tenant die Kette zum ersten Mal anschaut, schaut also nicht auf eine Entscheidung, sondern auf einen Auslieferungszustand, der nie widersprochen wurde.

Die vier Stufen der Organisation

Organisationsweit und je Site steht dieselbe Auswahl zur Verfügung. Die Namen in PowerShell weichen von denen in der Oberfläche ab — beide zu kennen erspart Rückfragen.

ExternalUserAndGuestSharing — Anyone: Freigabe über Links, die jeder ohne Anmeldung öffnen kann, plus Freigabe an neue und bestehende Gäste.
ExternalUserSharingOnly — New and existing guests: Empfänger melden sich mit Arbeits-, Schul- oder Microsoft-Konto an oder bestätigen ihre Identität über einen zugesandten Code.
ExistingExternalUserSharingOnly — Existing guests: Nur an Gäste, die bereits im Verzeichnis stehen.
Disabled — Only people in your organization: Externe Freigabe ist aus.

Wichtig ist, dass eine höhere Stufe die niedrigeren nicht ersetzt, sondern einschließt. Die Dokumentation sagt es ausdrücklich: Welche Option auch gewählt ist, die restriktivere Funktionalität bleibt verfügbar. Wer Anyone erlaubt, hat damit nicht Anyone verordnet — die Nutzer können weiterhin an angemeldete Gäste und an interne Personen freigeben.

Der Umkehrschluss für VertraulichesDie Dokumentation empfiehlt für Inhalte, die nie nach außen sollen, ausdrücklich eine eigene Site mit abgeschalteter externer Freigabe — und nicht, sie in einer offenen Site eng zu berechtigen. Die Trennung nach Ablageort ist prüfbar, die Trennung nach Einzelrecht nicht.

Drei Linktypen und ihre Grenzen

Innerhalb dessen, was Tenant und Site erlauben, wählt der Nutzer beim Teilen einen Linktyp. Die drei Typen unterscheiden sich nicht in der Bequemlichkeit, sondern darin, ob am Ende jemand identifizierbar ist.

Anyone: Zugriff für jeden mit dem Link, auch außerhalb der Organisation. Keine Anmeldung, keine Überprüfbarkeit des Zugriffs. In der Site eines geteilten Teams-Kanals nicht verwendbar.
People in your organization: Funktioniert nur für Personen innerhalb der Organisation — nicht für Gäste und nicht für externe Teilnehmer in geteilten Kanälen. Weitergeleitete Links funktionieren intern weiter.
Specific people: Wirkt nur für die beim Teilen benannten Personen. Für Dateien in der Site eines geteilten Kanals lässt er sich an Externe nur senden, wenn diese im Kanal sind.

Die betriebliche Konsequenz aus der ersten Zeile wird oft unterschätzt. Ein Anyone-Link macht eine spätere Frage nach dem Zugriff unbeantwortbar — nicht schwer zu beantworten, sondern unbeantwortbar, weil die Information gar nicht erst entsteht. Alles, was danach über Nachvollziehbarkeit gesagt wird, betrifft die Erzeugung des Links, nicht seine Nutzung.

Welcher Typ vorgeschlagen wirdDer standardmäßig vorgeschlagene Linktyp lässt sich je Site einstellen. Er ist eine Voreinstellung, keine Grenze: Der Nutzer kann im Dialog wechseln, soweit Tenant und Site es zulassen. Eine sichere Voreinstellung senkt die Zahl unnötig weiter Links — sie verhindert keinen einzigen bewussten.

Ein Link ist keine Berechtigung

Der häufigste Denkfehler in diesem Bereich ist, Freigabe und Berechtigung für dasselbe zu halten. Sie erzeugen denselben Effekt und verhalten sich in jeder anderen Hinsicht verschieden.

Wo sie stehen: Eine Berechtigung steht in der Berechtigungsliste des Objekts. Ein Link ist ein eigenes Objekt daneben und erscheint dort nicht als Eintrag.
Wie sie entstehen: Eine Berechtigung vergibt jemand mit dem entsprechenden Recht. Einen Link erzeugt jeder, der Schreibrecht auf die Datei hat.
Wie sie enden: Eine Berechtigung endet, wenn man sie entfernt. Ein Link endet, wenn man ihn entfernt oder sein Ablaufdatum erreicht ist — das Entfernen der Person aus der Site beendet ihn nicht.
Was sie hinterlassen: Eine Direktvergabe an einem Element und eine Freigabe daran beenden beide die Vererbung dieses Elements.

Die dritte Zeile ist die, die im Ernstfall zählt. Wer den Zugriff einer Person beendet, indem er sie aus Gruppe und Site entfernt, hat jeden Link unberührt gelassen, den diese Person besitzt. Bei Specific people-Links greift die Entfernung des Kontos; bei einem Anyone-Link gibt es gar kein Konto, das man entfernen könnte.

Zwischenstand

Kurzcheck

Der Tenant steht auf ExistingExternalUserSharingOnly. Ein Projektteam bittet darum, an seiner Site einen Anyone-Link erzeugen zu dürfen. Was gilt?

Nicht möglich — die Site darf nur gleich oder enger stehen als die Organisation.
Möglich, sobald die Site-Stufe auf ExternalUserAndGuestSharing angehoben wird.
Möglich, wenn der Link zusätzlich ein Ablaufdatum und reine Leseberechtigung erhält.

Treffer. Richtig. Eine Site-Stufe kann die organisationsweite verschärfen, aber nie überschreiten. Die Anfrage ist damit eine Tenant-Entscheidung.

Zwei Freigabemodelle unter derselben Oberfläche

SharePoint und OneDrive kennen laut Dokumentation zwei Modelle für externe Freigabe, und welches gilt, ändert grundlegend, was hinterher im Verzeichnis steht.

SharePoint-eigene Authentifizierung: Ohne aktive B2B-Integration entsteht bei Datei- und Ordnerfreigaben kein Gastkonto, und die Entra-Einstellungen greifen dafür nicht.
Integration mit Microsoft Entra B2B: Es entsteht immer ein Gastkonto, und die Entra-Einstellungen für externe Zusammenarbeit gelten mit.

Für Site-Freigaben wird ohnehin stets B2B verwendet — der Unterschied betrifft Dateien und Ordner. Wer also eine Liste aller Externen aus dem Verzeichnis zieht und sie für vollständig hält, macht ohne aktive B2B-Integration einen systematischen Fehler: Die Datei-Freigaben stehen dort nicht.

Geteilte Kanäle folgen einem dritten WegGeteilte Kanäle in Teams verwenden laut Dokumentation keine Gastkonten, sondern B2B-Direktverbindung. Externe Freigabe muss trotzdem eingeschaltet sein, damit Personen außerhalb der Organisation überhaupt in einen geteilten Kanal eingeladen werden können. Die Einstellung wirkt hier als Schalter, nicht als Mechanismus.

Die Schrauben an Anyone-Links

Wo Anyone-Links erlaubt sind, lassen sie sich eingrenzen. Diese Schrauben sind die einzige wirksame Milderung für einen Linktyp, dessen Nutzung sich nicht überprüfen lässt.

Ablauf erzwingen: Alle Anyone-Links müssen nach einer festgelegten Höchstzahl an Tagen ablaufen.
Auf Anzeigen begrenzen: Anyone-Links können auf reines Lesen beschränkt werden.
Gastablauf: Der Zugriff eingeladener Gäste auf eine Site oder ein OneDrive kann nach einer festgelegten Zahl von Tagen automatisch enden.
Erneute Anmeldung: Wer sich über einen Bestätigungscode angemeldet hat, muss nach einer festgelegten Zahl von Tagen erneut nachweisen, dass er das Konto noch erreicht.

Bei der Ablauffrist gibt es ein Verhalten, das man kennen muss, bevor man sie ändert: Wird die maximale Gültigkeit angepasst, behalten bestehende Links ihre bisherige Frist, wenn die neue länger ist — und übernehmen die neue, wenn sie kürzer ist. Eine Verlängerung wirkt also nur nach vorn, eine Verkürzung auch rückwirkend.

Eine Kopplung, die überraschtDie Funktion Dateianforderung — Externe laden etwas hoch, ohne den Inhalt zu sehen — setzt laut Dokumentation voraus, dass OneDrive auf Anyone steht und Anyone-Links Bearbeitungsrechte haben dürfen. Jede engere OneDrive-Stufe schaltet Dateianforderungen ab. Wer sie braucht, kann OneDrive nicht beliebig verschärfen.

Wer teilen darf und mit wem

Neben der Stufe gibt es zwei Stellschrauben, die nicht das Ob regeln, sondern den Kreis der Beteiligten.

Die Domänenbegrenzung erlaubt, externe Freigabe auf benannte Partnerdomänen zu beschränken oder bestimmte Domänen auszuschließen. Organisationsweit wirkt sie auf alle Sites und jedes OneDrive; in PowerShell läuft sie über Set-SPOTenant mit -SharingDomainRestrictionMode und dazu -SharingAllowedDomainList oder -SharingBlockedDomainList. Die Liste fasst bis zu 5.000 Domänen. Parallel dazu wirken die erlaubten oder gesperrten Domänen in Entra — für Site-Freigaben immer, für Datei- und Ordnerfreigaben bei aktiver B2B-Integration.

Freigabe auf Sicherheitsgruppen begrenzen: Nur Mitglieder benannter Sicherheitsgruppen dürfen extern teilen.
Gäste dürfen fremde Inhalte teilen: Standardmäßig brauchen Gäste Vollzugriff, um Inhalte extern weiterzugeben. Diese Einstellung lockert das.
Die Entra-Einstellungen für externe Zusammenarbeit bestimmen unabhängig davon, wer Gäste überhaupt einladen darf.

Warum beide Enden geprüft gehörenEine Domänenliste in SharePoint und eine in Entra sind zwei getrennte Listen mit derselben Wirkungsrichtung. Wer nur eine pflegt, erklärt sich eine halbe Kontrolle — und wundert sich, dass eine Freigabe scheitert, obwohl die Domäne in der Liste steht, die er gerade offen hat.

Was beim Abschalten wirklich passiert

Externe Freigabe abzuschalten fühlt sich wie ein Not-Aus an. Drei dokumentierte Verhaltensweisen widersprechen diesem Gefühl, und alle drei sind im Ernstfall relevant.

Es wirkt nicht sofort. Wird externe Freigabe eingeschränkt oder abgeschaltet, verlieren Gäste ihren Zugriff typischerweise innerhalb einer Stunde.
Es löscht nichts. Wer abschaltet und später wieder einschaltet, gibt den Gästen laut Dokumentation ihren Zugriff zurück. Das Abschalten blendet aus.
Es ist nicht selektiv. Wer bestimmten Gästen den Zugriff dauerhaft nehmen will, muss das vorher an den betroffenen Sites tun — sonst kehren sie mit dem Wiedereinschalten zurück.

Dazu kommt ein stiller Rückfall, der keine Fehlermeldung erzeugt. Steht die organisationsweite Voreinstellung für Links auf Anyone with the link, die betroffene Site aber auf einer Stufe, die Anmeldung verlangt, fällt der vorgeschlagene Link auf Only people in your organization zurück. Der Nutzer sieht keinen Hinweis — nur einen Link, der bei seinem externen Partner nicht funktioniert.

Durchgerechnet: eine Freigabe, die nicht funktioniert

Die Kette von oben prüfen

Szenario

Ein Projektleiter meldet, er könne einer Partnerfirma keine Datei freigeben. Im Dialog erscheint kein passender Linktyp, eine Fehlermeldung gibt es nicht. Er hat Schreibrecht auf die Datei und ist Mitglied der Site.

Anforderungen

Die Ursache benennen, nicht nur eine Umgehung finden
Feststellen, ob nur diese Site oder die ganze Organisation betroffen ist
Eine Lösung vorschlagen, die zur Ebene der Ursache passt

Schritte

Die Richtung bestimmen: Die Freigabe geht nicht — also wird von oben geprüft, nicht an der Datei.
Entra zuerst: Dürfen Personen dieser Rolle überhaupt Gäste einladen? Für Site-Freigaben gilt das immer, für Datei- und Ordnerfreigaben bei aktiver B2B-Integration.
Tenant-Stufe lesen. Steht sie auf Disabled, ist jede Site-Betrachtung überflüssig; steht sie auf ExistingExternalUserSharingOnly, scheitert die Freigabe an einen neuen Partner genau hier.
Site-Stufe lesen. Sie kann enger sein als der Tenant — dann ist die Ursache lokal und die Lösung ebenfalls.
Domänenbegrenzung prüfen, und zwar in beiden Listen: SharePoint und Entra. Eine Freigabe kann an der Liste scheitern, die man gerade nicht offen hat.
Prüfen, ob die Freigabe auf Sicherheitsgruppen begrenzt ist — dann liegt es nicht an der Datei, sondern an der Mitgliedschaft des Freigebenden.
Erst zuletzt den Link betrachten: Ein fehlender Typ im Dialog ist meist die Folge einer Stufe weiter oben, nicht ein Problem des Dialogs.

Merksatz: Der Dialog zeigt nur, was die Kette übrig lässt. Wer die Ursache an der Datei sucht, findet dort nichts — und die Verlockung, stattdessen die Tenant-Stufe anzuheben, löst einen Einzelfall zulasten aller Sites.

Der Preis und die Route

Jede Verschärfung in dieser Kette hat einen benennbaren Preis, und er fällt nicht bei denen an, die sie beschließen. Anyone-Links abzuschalten beendet die unbeantwortbare Zugriffsfrage — und nimmt der Organisation zugleich den einzigen Weg, jemandem etwas zugänglich zu machen, der kein Konto hat und keines bekommen wird. Domänenlisten begrenzen den Kreis sauber und müssen bei jedem neuen Partner gepflegt werden, meist unter Zeitdruck.

Umgekehrt ist die offene Voreinstellung nicht kostenlos, nur unauffällig. Sie erzeugt über Jahre Links, die niemand inventarisiert hat, und macht jede spätere Auskunft zu einer Schätzung. Beide Seiten kosten — die eine sofort und sichtbar, die andere später und im Ernstfall.

Richtung bestimmen: geht zu wenig oder zu viel?→Zu wenig: von oben prüfen — Entra, Tenant, Site, Link→Zu viel: von unten prüfen — Link, Element, Site→Linktyp nach Nachvollziehbarkeit wählen, nicht nach Bequemlichkeit→Ablauf und Domänengrenze setzen, bevor der Bedarf akut wird

Jedes Glied verschärft, keines erweitert

Das nächste Modul geht von der Freigabe zur Ablage: OneDrive, die Synchronisierung auf den Arbeitsplatz und die Frage, was mit persönlichen Dateien geschieht, wenn jemand das Unternehmen verlässt.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität4 Primärquellen · zuletzt geprüft: 2026-09-12