Mit den Freigabeeinstellungen in SharePoint und OneDrive steuern Sie, wer von außen auf Ihre Daten zugreifen darf. Die Anleitung richtet sich an Admins im Mittelstand, die externe Zusammenarbeit ermöglichen und Datenabfluss verhindern wollen. Sie legen die organisationsweite Freigabeebene im SharePoint admin center fest, schränken Link-Typen und Domänen ein, erzwingen den Ablauf von Gast-Links und koppeln den Gastzugriff über Entra External ID (B2B) an MFA. Ergänzend schützt DLP (Data Loss Prevention, Schutz vor Datenabfluss) sensible Inhalte, und Downloads auf nicht verwalteten Geräten werden blockiert.

Voraussetzungen

Adminrolle: SharePoint Administrator oder Global Administrator für die Freigabeeinstellungen; für DLP zusätzlich eine passende Purview-Rolle.
Das PowerShell-Modul Microsoft.Online.SharePoint.PowerShell (Cmdlets Set-SPOTenant, Get-SPOTenant, Set-SPOSite) für die Steuerung per Skript.
Für die Kopplung an MFA und Bedingten Zugriff: Entra ID P1 (Conditional Access, Basis) bzw. P2 (risikobasiert); MFA selbst ist in Microsoft 365 ohne Zusatzkosten enthalten.
Für die Download-Sperre auf nicht verwalteten Geräten: Microsoft Defender for Cloud Apps (Conditional Access App Control, Plan 1 oder 2).
Für das Blockieren externer Freigabe sensibler Inhalte: Microsoft Purview mit DLP, idealerweise mit Sensitivity Labels.
Zugriff auf die Portale: SharePoint admin center, Microsoft 365 admin center, Entra admin center (entra.microsoft.com), Microsoft Purview und Defender for Cloud Apps.

Die reine Konfiguration kostet nichts; Conditional Access App Control und DLP setzen die genannten Lizenzen voraus.

Schritt 1: Organisationsweite Freigabeebene im SharePoint admin center festlegen

Die organisationsweite Freigabeebene ist die oberste Schranke: Keine Site und kein OneDrive kann permissiver freigeben. Vier Stufen, von offen nach restriktiv:

Jeder – Anyone-Links ohne Anmeldung; auch Unauthentifizierte können zugreifen.
Neue und vorhandene Gäste – Externe müssen sich anmelden bzw. verifizieren; neue Gäste werden zugelassen.
Vorhandene Gäste – Nur bereits im Verzeichnis vorhandene Gäste; keine neuen Einladungen über Freigaben.
Nur Personen in der Organisation – Externe Freigabe ist vollständig deaktiviert.

Für die meisten Mittelständler ist Neue und vorhandene Gäste ein sicherer Standard. Im Portal: SharePoint admin center (über admin.microsoft.com) → Policies → Sharing → Schieberegler External sharing für SharePoint auf die gewünschte Stufe.

Per PowerShell setzen Sie die Stufe mit Set-SPOTenant. Der Wert ExistingExternalUserSharingOnly entspricht Vorhandene Gäste:

Connect-SPOService -Url https://IHR-TENANT-admin.sharepoint.com

# Nur vorhandene Gäste zulassen (restriktiv)
Set-SPOTenant -SharingCapability ExistingExternalUserSharingOnly

Weitere gültige Werte sind ExternalUserSharingOnly (Neue und vorhandene Gäste), ExternalUserAndGuestSharing (Jeder) und Disabled (Nur Personen in der Organisation).

Verifizieren: Get-SPOTenant | Select-Object SharingCapability zeigt den gesetzten Wert, und im SharePoint admin center unter Policies → Sharing steht der Schieberegler für SharePoint auf derselben Stufe.

Schritt 2: OneDrive gleich oder restriktiver halten

Die OneDrive-Freigabeebene darf nicht permissiver als die SharePoint-Ebene sein; die restriktivere SharePoint-Schranke gilt immer.

Im Portal: SharePoint admin center → Policies → Sharing → zweiter Schieberegler OneDrive. Typisch ist Neue und vorhandene Gäste oder enger, etwa Vorhandene Gäste, wenn OneDrive nicht für externe Zusammenarbeit gedacht ist.

Prüfen Sie Ihre aktuellen Werte jederzeit zentral:

Get-SPOTenant | Select-Object SharingCapability, OneDriveSharingCapability, EnableAzureADB2BIntegration, SharingDomainRestrictionMode

Verifizieren: OneDriveSharingCapability steht auf demselben oder einem restriktiveren Wert als SharingCapability.

Schritt 3: Standard-Linktyp und Berechtigungen einschränken

Der Standard-Linktyp ist beim Klick auf Teilen vorausgewählt. Drei Typen:

Bestimmte Personen – der restriktivste und empfohlene Standard; der Link funktioniert nur für namentlich genannte Empfänger.
Nur Personen in der Organisation – intern nutzbar, aber nicht für Externe.
Jeder mit dem Link – nur verfügbar, wenn die Freigabeebene auf Jeder steht; offen und ohne Anmeldung.

Setzen Sie als Standard Bestimmte Personen und als Standardberechtigung Anzeigen statt Bearbeiten, damit keine versehentlichen Schreibfreigaben entstehen. Im Portal: Sharing → Abschnitt File and folder links (Standardtyp) bzw. die Berechtigungs-Optionen daneben.

Freigaben gelten auf Site-/Container-Ebene (ganze SharePoint-Site) oder Datei-/Ordner-Ebene. Datei-Links sind feiner steuerbar; die Site-Ebene kann nie permissiver sein als die Organisationsebene.

Verifizieren: Klicken Sie in einer Dokumentbibliothek bei einer Testdatei auf Teilen. Vorausgewählt ist „Bestimmte Personen“ mit der Berechtigung „Anzeigen“.

Schritt 4: Ablauf von Gast-Links und Anyone-Links erzwingen

Dauerhafte externe Links sind ein klassisches Datenleck. Erzwingen Sie einen automatischen Ablauf: Für den Gastzugriff legen Sie eine maximale Gültigkeit in Tagen fest; abgelaufene Gäste müssen neu eingeladen werden:

# Gastzugriff läuft nach 90 Tagen ab (erlaubt: 30 bis 730 Tage)
Set-SPOTenant -ExternalUserExpirationRequired $true -ExternalUserExpireInDays 90

Anyone-Links (nur bei Stufe Jeder) brauchen zwingend ein Ablaufdatum, sonst entstehen permanente unauthentifizierte Freigaben:

# Anyone-Links laufen nach 30 Tagen ab
Set-SPOTenant -RequireAnonymousLinksExpireInDays 30

Den Gastzugriff verfeinern Sie je Site. Im Portal: SharePoint admin center → Sites → Active sites → Site wählen → Settings → External sharing. Per PowerShell:

# Eine sensible Site auf vorhandene Gäste beschränken
Set-SPOSite -Identity https://IHR-TENANT.sharepoint.com/sites/Projekt -SharingCapability ExistingExternalUserSharingOnly

Eine offenere Site-Einstellung als die Organisationsebene greift nicht.

Verifizieren: Get-SPOTenant | Select-Object ExternalUserExpirationRequired, ExternalUserExpireInDays, RequireAnonymousLinksExpireInDays zeigt True, 90 und 30. Get-SPOSite -Identity https://IHR-TENANT.sharepoint.com/sites/Projekt | Select-Object SharingCapability meldet ExistingExternalUserSharingOnly.

Schritt 5: Externe Freigaben auf erlaubte Domänen begrenzen

Mit einer Domänenbeschränkung erlauben Sie externe Freigaben nur an definierte Partnerdomänen (AllowList) oder sperren Domänen (BlockList), bis zu 5000 je Liste. Für einen festen Partnerkreis ist die AllowList besonders wirksam:

Set-SPOTenant -SharingDomainRestrictionMode AllowList -SharingAllowedDomainList 'contoso.com fabrikam.com'

Die Domänenbeschränkung in SharePoint und die Allow-/Deny-Liste in Entra External Identities wirken unabhängig; konfigurieren Sie beide. Im Portal: Policies → Sharing → More external sharing settings → Limit external sharing by domain.

Verifizieren: Get-SPOTenant | Select-Object SharingDomainRestrictionMode, SharingAllowedDomainList zeigt AllowList und Ihre Partnerdomänen. Eine Testfreigabe an eine Adresse außerhalb der Liste wird abgelehnt.

Schritt 6: Gastzugriff über Entra External ID (B2B) absichern

Mit der Entra-B2B-Integration erhalten Gäste echte Gastkonten in Entra ID und unterliegen MFA und Bedingtem Zugriff. Seit Mai 2026 aktiviert Microsoft sie für alle Tenants, unabhängig von EnableAzureADB2BIntegration, und sie lässt sich nicht mehr abschalten. Der SharePoint-eigene Einmalcode entfällt; Gäste ohne Geschäfts- oder Microsoft-Konto erhalten den Einmalcode über Entra B2B. Ist die Umstellung im Tenant noch nicht angekommen, setzen Sie sie selbst:

Set-SPOTenant -EnableAzureADB2BIntegration $true

Legen Sie danach fest, wer Gäste einladen darf: Entra admin center (entra.microsoft.com) → External Identities → External collaboration settings → Guest invite settings. Beschränken Sie das für kontrollierte Einladungen auf Admins oder bestimmte Rollen.

Die Entra-Einstellungen wirken zusätzlich zu SharePoint; es gilt die strengere. Planen Sie einen Gast-Lebenszyklus mit Zugriffsüberprüfungen (Access Reviews) und automatischem Löschen abgelaufener Gastkonten, denn der Entra-Lebenszyklus ist nicht mit SharePoint synchronisiert und verwaiste Konten könnten weiter auf alte Links zugreifen. MFA und Bedingten Zugriff zeigt die verlinkte Anleitung am Ende.

Verifizieren: Get-SPOTenant | Select-Object EnableAzureADB2BIntegration zeigt True. Nach einer Testfreigabe an eine externe Adresse erscheint der Gast im Entra admin center unter Users mit dem Benutzertyp Guest.

Schritt 7: Datenabfluss per DLP und Download-Sperre verhindern

Selbst bei sauberen Freigabeeinstellungen sollen sensible Inhalte gar nicht erst nach außen gelangen. Eine DLP-Richtlinie in Microsoft Purview blockiert die externe Freigabe, sobald geschützte Inhalte erkannt werden. Im Portal: Microsoft Purview → Data loss prevention → Policies → Create policy → Speicherorte SharePoint sites & OneDrive accounts → Bedingung Content is shared from Microsoft 365 mit only with people outside my organization, kombiniert mit einem Sensitivity Label (z. B. Confidential) oder einem Sensitive Info Type (z. B. Kreditkartennummer) → Aktion Restrict access or encrypt the content in Microsoft 365 locations mit der Option, nur Personen außerhalb der Organisation zu blockieren.

Damit DLP rechtzeitig greift, müssen Inhalte vor dem Teilen klassifiziert sein: Setzen Sie Sensitivity Labels frühzeitig oder nutzen Sie eine Standardklassifizierung.

Gegen Downloads auf privaten, nicht verwalteten Geräten nutzen Sie Conditional Access App Control in Defender for Cloud Apps: Eine Session-Richtlinie unterbindet Herunterladen, Ausschneiden, Kopieren und Drucken. Im Portal: Defender for Cloud Apps → Conditional Access App Control → Session policies → Richtlinie für nicht verwaltete Geräte anlegen.

Damit auch Ad-hoc-Freigabelinks diesen Einschränkungen unterliegen, aktivieren Sie in SharePoint:

Set-SPOTenant -ApplyAppEnforcedRestrictionsToAdHocRecipients $true

Geräteunterscheidung und passende Conditional-Access-Richtlinien beschreibt die verlinkte MFA-/Conditional-Access-Anleitung.

Verifizieren: Die DLP-Richtlinie steht in Purview unter Policies auf „On“ (anfangs im Simulationsmodus prüfen). Eine als „Confidential“ gekennzeichnete Testdatei lässt sich nicht an eine externe Adresse freigeben, und Get-SPOTenant | Select-Object ApplyAppEnforcedRestrictionsToAdHocRecipients zeigt True.

Troubleshooting

Problem: Eine offenere Site-Einstellung greift nicht. Die restriktivste Ebene gewinnt. Heben Sie zuerst die Org-Ebene an, dann die Site.
Problem: OneDrive-Freigabe verhält sich strenger als eingestellt. Eine permissivere OneDrive-Stufe als SharePoint wird ignoriert. OneDrive senken oder SharePoint anheben.
Problem: Alte Einmalcode-Links funktionieren nicht mehr. Externe sehen die Meldung „This organization updated its guest access settings“. Nach der Umstellung auf die B2B-Integration (für alle Tenants ab Mai 2026) müssen betroffene Dateien, Ordner und Sites neu freigegeben werden, damit Gäste ein B2B-Konto erhalten.
Problem: Download-Sperre wirkt nicht. Conditional Access App Control benötigt eine Defender-for-Cloud-Apps-Lizenz (Plan 1 oder 2). Ohne Lizenz greift die Session-Richtlinie nicht.
Problem: Abgelaufene Gäste greifen weiter auf Inhalte zu. Der Entra-Gast-Lebenszyklus ist nicht mit SharePoint gekoppelt. Richten Sie Access Reviews und automatisches Löschen in Entra ein und prüfen Sie vorhandene Freigabe-Links.
Problem: Gäste teilen Dateien weiter. Ist Allow guests to share items they don’t own aktiv, können Gäste resharen. Deaktivieren Sie die Option im SharePoint admin center für sensible Bereiche.
Problem: DLP blockiert zu spät. Vor der Klassifizierung geteilte Dateien erfasst die Blockade nicht mehr; Inhalte vor dem Teilen klassifizieren.

Häufige Fragen

Welche Freigabeebene ist für den Mittelstand empfehlenswert?

In der Regel Neue und vorhandene Gäste auf Organisationsebene mit Bestimmte Personen als Standard-Linktyp und Berechtigung Anzeigen: Jede Freigabe ist authentifiziert und auf benannte Personen begrenzt.

Was ändert sich durch die Entra-B2B-Integration ab Mai 2026?

Gäste erhalten echte Gastkonten in Entra ID mit MFA und Bedingtem Zugriff. Ältere Freigaben an Nutzer des SharePoint-Einmalcodes funktionieren nicht mehr und müssen neu erfolgen; Gäste ohne Geschäfts- oder Microsoft-Konto nutzen den Einmalcode jetzt über Entra B2B.

Kann ich externe Freigaben auf bestimmte Partnerdomänen begrenzen?

Ja, per Set-SPOTenant -SharingDomainRestrictionMode AllowList -SharingAllowedDomainList oder im Portal unter Sharing → Limit external sharing by domain, zusätzlich zur unabhängigen Allow-/Deny-Liste in Entra External Identities.

Wie verhindere ich Downloads auf privaten Geräten?

Per Session-Richtlinie in Conditional Access App Control (Defender for Cloud Apps) gegen Herunterladen, Kopieren und Drucken, plus Set-SPOTenant -ApplyAppEnforcedRestrictionsToAdHocRecipients $true für Ad-hoc-Links.

Worin unterscheiden sich Site-Ebene und Datei-Ebene?

Site-/Container-Ebene gilt für die gesamte Site, Datei-/Ordner-Ebene nur für das Element. Keine Ebene kann permissiver sein als die Organisationsebene.

Brauche ich Lizenzen für diese Konfiguration?

Die reinen Freigabeeinstellungen und MFA sind in Microsoft 365 ohne Zusatzkosten enthalten. Für Bedingten Zugriff brauchen Sie Entra ID P1 (bzw. P2 für risikobasierte Richtlinien), für die Download-Sperre Defender for Cloud Apps (Plan 1 oder 2) und für DLP eine passende Microsoft-Purview-Lizenz.

Fazit

Sichere externe Freigaben entstehen gestaffelt: Organisationsebene festlegen, OneDrive gleich oder strenger, Bestimmte Personen als Standard, Ablauf für Gäste und Anyone-Links, erlaubte Domänen, Gäste über Entra B2B an MFA und Bedingten Zugriff, dazu DLP und Download-Sperre auf nicht verwalteten Geräten.

Weiterführende Anleitungen und Quellen

Passend dazu aus unseren Anleitungen:

Datenverlust vermeiden: DLP und Vertraulichkeitslabels in Microsoft 365 – sensible Daten automatisch erkennen und schützen
Microsoft 365: MFA und Conditional Access in Entra ID konfigurieren
Microsoft 365: Backup-Grundlagen einrichten
Microsoft Teams für KMU einrichten und absichern – Teams legt seine Dateien in SharePoint und OneDrive ab
Weitere Anleitungen in der Kategorie Microsoft 365

Quellen (Microsoft Learn): Freigabeeinstellungen für SharePoint und OneDrive · Integration mit Entra B2B · Set-SPOTenant · DLP-Richtlinienreferenz