Darum geht es
Gäste aus anderen Firmen erhalten Zugriff auf Teams, Dateien und Chats. Ist festgelegt, dass Einladungen nur an Domains bekannter Partner gehen dürfen, können Mitarbeitende nicht versehentlich oder absichtlich beliebige Privatadressen in Ihre Umgebung holen.
Was passieren kann
Einladungen an beliebige Adressen, etwa private Freemail-Konten, öffnen Firmendaten für Personen, die Sie nicht kennen. Der Zugriff bleibt oft lange unbemerkt bestehen.
Schritt für Schritt
Erstellen Sie mit den Fachabteilungen eine Liste der Partnerdomains, mit denen tatsächlich zusammengearbeitet wird.
Öffnen Sie Entra ID > Externe Identitäten > Einstellungen für externe Zusammenarbeit.
Wählen Sie unter „Einschränkungen für die Zusammenarbeit“ die Option „Einladungen nur an die angegebenen Domänen zulassen (restriktivste Einstellung)“.
Tragen Sie die freigegebenen Domains ein und speichern Sie.
Testen Sie eine Einladung an eine nicht gelistete Adresse; sie muss abgelehnt werden.
Legen Sie fest, wer neue Partnerdomains freigeben darf, und prüfen Sie die Liste halbjährlich.
Hier finden Sie die Einstellung
- Microsoft Entra Admin Center (entra.microsoft.com)
- Entra ID
- Externe Identitäten
- Einstellungen für externe Zusammenarbeit
- Einschränkungen für die Zusammenarbeit
So prüfen Sie es selbst
Öffnen Sie den Klickpfad oben und sehen Sie nach. In Ordnung ist die Einstellung, wenn gilt:
Gasteinladungen sind nur an freigegebene Partnerdomains möglich
So prüft Auditspiegel es
Diese Einstellung prüft Auditspiegel derzeit nicht automatisch. Der Bericht führt sie im Abschnitt „Was wir nicht geprüft haben“ mit diesem Grund auf:
Die Domain-Zulassungsliste für Gasteinladungen ist über die allgemein freigegebene Microsoft-Graph-Schnittstelle nicht lesbar. Bitte prüfen Sie sie manuell anhand der Empfehlung.
Für Ihre IT: per PowerShell nachsehen
Die Zulassungsliste steht in der B2B-Management-Richtlinie (Graph beta: `GET /beta/legacy/policies`, Typ B2BManagementPolicy). Am einfachsten im Portal prüfen.
Bezüge
- SCuBA-Baselines der CISA
- MS.AAD.8.3v1: Gasteinladungen nur an freigegebene Domains
- BSI IT-Grundschutz-Kompendium (Edition 2023)
- CON.9.A1: Festlegung zulässiger Empfangender
- DSGVO Art. 32 Abs. 1
- lit. b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Die SCuBA-Baselines veröffentlicht die US-Behörde CISA gemeinfrei (CC0). Die Zuordnung der Bezüge stammt von uns; CISA, BSI und Microsoft prüfen oder empfehlen Auditspiegel nicht. Prüfkatalog von Auditspiegel, Bezug zu den SCuBA-Baselines in Version 2.0.0.