Darum geht es
SharePoint und OneDrive können Links erzeugen, die ohne Anmeldung funktionieren („Jeder mit dem Link“). Solche Links werden weitergeleitet, landen in Suchmaschinen oder fremden Postfächern. Niemand kann nachvollziehen, wer die Datei geöffnet hat. Externe sollten sich daher immer als Gast anmelden müssen.
Was passieren kann
Vertrauliche Dateien wie Angebote oder Personaldaten sind für jeden abrufbar, der den Link kennt. Ein Datenabfluss lässt sich weder verhindern noch nachweisen.
Schritt für Schritt
Prüfen Sie vorab, ob Abteilungen anonyme Links aktiv nutzen (z. B. für Kunden-Downloads), und klären Sie Alternativen wie Gastzugang.
Öffnen Sie im SharePoint Admin Center Richtlinien > Freigabe.
Stellen Sie den Regler für SharePoint auf „Neue und vorhandene Gäste“, „Vorhandene Gäste“ oder „Nur Personen in Ihrer Organisation“. OneDrive kann nicht großzügiger sein als SharePoint.
Speichern Sie. Hinweis: Bereits verschickte „Jeder“-Links funktionieren danach nicht mehr – informieren Sie betroffene Teams vorab.
Prüfen Sie einzelne Websites mit abweichenden Freigabeeinstellungen unter Websites > Aktive Websites.
Testen Sie: Beim Freigeben einer Datei darf die Option „Jeder mit dem Link“ nicht mehr angeboten werden.
Hier finden Sie die Einstellung
- SharePoint Admin Center (<tenant>-admin.sharepoint.com)
- Richtlinien
- Freigabe
- Externe Freigabe (SharePoint)
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
SharePoint erlaubt keine anonymen „Jeder mit dem Link"-Freigaben
So prüft Auditspiegel es
Auditspiegel liest diese Einstellung bei jedem Scan automatisch und nur lesend aus Ihrem Tenant aus. Ist sie nicht erfüllt, steht sie im Bericht als Befund mit dieser Anleitung, dem Messwert, wo es einen gibt, und dem Klickpfad.
Für Ihre IT: per PowerShell nachsehen
SharePoint Online PowerShell: Get-SPOTenant | fl SharingCapability – erwartet ExternalUserSharingOnly, ExistingExternalUserSharingOnly oder Disabled. Setzen: Set-SPOTenant -SharingCapability ExternalUserSharingOnly
Bezüge
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- CON.9.A1 – Festlegung zulässiger Empfangender
- DSGVO Art. 32 Abs. 1
- lit. b – Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.