Einstellungen und bestehende Zugriffe getrennt erfassen.
Eine Freigaberichtlinie beschreibt den erlaubten Rahmen. Für die Bewertung brauchen Sie zusätzlich eine Bestandsaufnahme der Berechtigungen auf Websites, Ordnern und Dateien. Legen Sie vorab fest, welche Websites, Inhalte und externen Partner zur Prüfung gehören und wer den Bedarf bestätigt.
SharePoint berücksichtigt Freigabeeinstellungen auf Organisations- und Websiteebene; bei unterschiedlichen Werten gilt die strengere Einstellung. Die OneDrive-Einstellung kann gleich streng oder restriktiver sein als die SharePoint-Einstellung. Microsoft erläutert das Zusammenspiel in der Übersicht zur externen Freigabe.
Berücksichtigen Sie bei der Auswahl auch Websites aus der Zusammenarbeit in Teams. Ordnen Sie sie einem fachlichen Eigentümer zu und dokumentieren Sie ausgelassene Bereiche. Der Leitfaden zu externen Zugriffswegen in Teams hilft bei der Abgrenzung; das Gastzugriff-Audit ergänzt die Prüfung der Identitäten.
Fünf Schritte für ein SharePoint-Freigaben-Audit.
1. Websites und Soll-Zustand aufnehmen
Erfassen Sie Website-URL, Eigentümer, Datenkategorie, Partner und Zweck der Zusammenarbeit. Vereinbaren Sie pro Bereich, welche Empfänger welche Inhalte lesen oder bearbeiten sollen. Halten Sie fest, ob die Prüfung den gesamten Bestand oder eine begründete Stichprobe umfasst.
2. Freigabeeinstellungen vergleichen
Lesen Sie im SharePoint Admin Center unter Richtlinien die Freigabeeinstellungen und ergänzen Sie die Werte der ausgewählten Websites. Dokumentieren Sie Freigabestufe, Domänenbeschränkungen, Standard-Linktyp und vorhandene Ablaufvorgaben. Ein voreingestellter Linktyp ist keine vollständige Aussage über die bereits vorhandenen Links.
„Jeder“-Links ermöglichen Zugriff ohne Anmeldung. Prüfen Sie daher getrennt, ob solche Links erlaubt sind und an welchen ausgewählten Inhalten sie tatsächlich bestehen. Linkablauf und Gastablauf sind unterschiedliche Prüfpunkte. Die Microsoft-Dokumentation zu Freigabeeinstellungen beschreibt die Optionen.
3. Tatsächliche Berechtigungen und Links untersuchen
Prüfen Sie für ausgewählte Inhalte direkte Berechtigungen, Gruppenmitgliedschaften und Freigabelinks. Notieren Sie Empfänger beziehungsweise Empfängerkreis, Lesen oder Bearbeiten, Vererbung und vorhandene Ablaufdaten. Lassen Sie den Eigentümer bestätigen, welche Zugriffe weiterhin benötigt werden.
Bei einem Link für bestimmte Personen ist die Empfängerliste relevant; bei einem anonym nutzbaren Link lässt sich der erreichbare Personenkreis nicht auf eine Liste von Gastkonten reduzieren. Erfassen Sie diesen Unterschied im Befund. Veröffentlichen Sie weder nutzbare Freigabelinks noch personenbezogene Berechtigungslisten im öffentlichen Bericht.
4. Berichte mit ihren Grenzen verwenden
Ein Websiteadministrator kann über die Websitenutzung einen Freigabebericht erzeugen und an einem passend geschützten Ort ablegen. Der Bericht unterstützt die Bestandsaufnahme, ersetzt aber keine vollständige Prüfung aller Zugriffswege.
Microsoft beschreibt, dass „Jeder“-Links sowie direkt per E-Mail versandte, noch nicht angeklickte Links nicht enthalten sind. SharePoint-Gruppen werden aufgeführt, ihre einzelnen Mitglieder jedoch nicht aufgelöst. Ein leerer Export belegt deshalb nicht, dass keinerlei externe Zugriffsmöglichkeiten bestehen.
Ergänzen Sie fehlende Nachweise über die Zugriffsverwaltung der ausgewählten Inhalte und die betreffenden Gruppenmitgliedschaften. Dokumentieren Sie verbleibende Lücken. Quelle und Ablauf: Microsoft: Bericht zu Datei- und Ordnerfreigaben.
5. Abweichungen bewerten und Abschluss prüfen
Priorisieren Sie Befunde anhand des Schutzbedarfs, des erreichbaren Empfängerkreises und des bestätigten Zwecks. Vereinbaren Sie für jeden Befund Eigentümer, Maßnahme und Termin. Änderungen an Berechtigungen erfolgen erst im abgestimmten Umfang; testen Sie anschließend mit benannten Testkonten sowohl den benötigten als auch den nicht vorgesehenen Zugriff.
Das vorübergehende Abschalten externer Freigaben ist kein Beleg für dauerhaft entfernte Berechtigungen: Nach erneutem Aktivieren können Gäste wieder Zugriff erhalten. Prüfen Sie den Abschluss daher am konkreten Inhalt und Zugriffsweg. Dieses Verhalten ist in der oben verlinkten Dokumentation zu Freigabeeinstellungen beschrieben.
Jeder Befund braucht einen prüfbaren Abschluss.
Fiktives Beispiel: Für einen Projektordner besteht ein externer Bearbeitungszugriff, obwohl das Projekt abgeschlossen ist. Die Eigentümerin bestätigt das Ende des Bedarfs. Als Maßnahme wird die Entfernung der betreffenden Berechtigung vereinbart; eine anschließende Prüfung berücksichtigt auch andere Mitgliedschaften und Links zum selben Inhalt.
Tenant / Prüfdatum / Datenquelle:
Website / Inhalt / Umfang oder Stichprobe:
Eigentümer / Partner / Geschäftszweck:
Organisations- und Websiteeinstellung:
Zugriffsweg / Empfängerkreis / Berechtigungsstufe:
Ablaufdatum / bestätigter Soll-Zustand:
Befund / Nachweis / verbleibende Datenlücke:
Maßnahme / Freigabe / Termin / erneute Prüfung:Referenzieren Sie Nachweise intern mit Datum und Ablageort. Kennzeichnen Sie „nicht geprüft“ und „Nachweis fehlt“ ausdrücklich. Die Audit-Report-Vorlage unterstützt die Übergabe; für Anmeldebedingungen ergänzen Sie die Conditional-Access-Checkliste.
Manuelle Nachweise im Audit einordnen.
M365 Audit führt SharePoint-/OneDrive-Freigaben als Kontrolle COL-01 im Prüfkatalog. Die aktuelle Version verlangt dafür einen manuellen Nachweis und erzeugt kein abschließendes automatisches Ergebnis. Für die hier beschriebene Bewertung müssen SharePoint-Daten und fachliche Bestätigungen zusätzlich erhoben werden.
Planen Sie diesen Aufwand ein, wenn Sie M365 Audit für eine Kundenprüfung einsetzen. Ein abgeschlossener Skriptlauf belegt für COL-01 weder ein vollständiges Inventar aller Freigabelinks noch die Angemessenheit externer Zugriffe. Methodik und Demobericht zeigen, wie Ergebnisse und offene Nachweise eingeordnet werden.
Die Prüfung dokumentiert einen Zustand zu einem bestimmten Zeitpunkt. Daraus folgt keine Garantie für Angriffsschutz oder die Erfüllung rechtlicher Anforderungen.
Was sollten Sie vor der Prüfung klären?
Reicht eine Liste der Gastkonten?
Für die Bewertung brauchen Sie die Zuordnung zu konkreten Inhalten und Berechtigungen. Ein Konto allein erklärt weder den benötigten Umfang noch anonym nutzbare Freigabelinks. Nutzen Sie die Gastliste als ergänzende Quelle.
Müssen alle externen Freigaben entfernt werden?
Bewerten Sie Abweichungen vom vereinbarten Soll-Zustand. Genehmigte Zusammenarbeit kann externe Freigaben benötigen. Maßnahmen richten sich nach Daten, Empfängern und Zweck; Änderungen sollten benötigte Geschäftsprozesse berücksichtigen.
Ist der Audit-Bericht eine vollständige Bestandsliste?
Das hängt vom dokumentierten Umfang und den verwendeten Datenquellen ab. Benennen Sie Stichproben, Berichtsgrenzen und fehlende Nachweise. Der oben beschriebene SharePoint-Freigabebericht deckt nicht alle Linktypen und Gruppenmitgliedschaften ab.
Stand: 4. Oktober 2026. Technische Referenzen: die oben verlinkte Microsoft-Learn-Dokumentation.