Drei Zugriffswege brauchen eigene Nachweise.
„Extern“ bezeichnet in Teams unterschiedliche Formen der Zusammenarbeit. Beginnen Sie mit einer Liste der genutzten Wege und ihrer fachlichen Eigentümer. So verhindert die Prüfung, dass ein einzelner Schalter als Aussage über sämtliche externen Zugriffe verstanden wird.
Externer Zugriff und Föderation
Föderation ermöglicht Kommunikation mit Personen anderer Organisationen, etwa per Chat. Sie gewährt allein keine Mitgliedschaft in Ihren Teams oder Zugriff auf deren Ressourcen. Organisationsweite Einstellungen und die wirksamen Benutzerrichtlinien sind gemeinsam zu betrachten.
Gastzugriff
Ein Gast kann in einem Team zusammenarbeiten und dort auf freigegebene Inhalte zugreifen. Dafür wird ein Gastkonto in Microsoft Entra ID verwendet. Die Microsoft-Dokumentation zum Gastzugriff beschreibt diesen Weg. Prüfen Sie neben dem Konto die tatsächlichen Mitgliedschaften und den weiterhin benötigten Zugriff.
Freigegebene Kanäle
Externe Teilnehmer können über Microsoft Entra B2B Direct Connect an freigegebenen Kanälen teilnehmen, ohne dafür ein Gastkonto in Ihrem Verzeichnis zu benötigen. Beide Organisationen müssen die erforderlichen mandantenübergreifenden Zugriffseinstellungen konfigurieren. Eine Liste der Gastkonten erfasst diesen Weg deshalb nicht vollständig. Details erläutert Microsoft unter Freigegebene Kanäle in Teams.
Fünf Schritte für einen nachvollziehbaren Teams-Check.
1. Geschäftsbedarf und Soll-Zustand festhalten
Erfassen Sie Partner, betroffene Teams, Zweck, verantwortliche Stelle und geplantes Ende der Zusammenarbeit. Vereinbaren Sie, welche Kommunikation und welche Inhalte dafür erforderlich sind. Eine offene Einstellung ist zunächst ein Prüfhinweis; ihre Bewertung braucht den konkreten Bedarf und die vorgesehenen Schutzmaßnahmen.
2. Föderation und wirksame Richtlinien vergleichen
Dokumentieren Sie den Organisationsschalter, erlaubte beziehungsweise blockierte Domänen sowie benutzer- oder gruppenbezogene Richtlinien und deren Zuordnung. Eigene Domänenlisten in zugewiesenen Richtlinien können von der Organisationsliste abweichen. Beziehen Sie die Einstellungen für nicht durch eine Organisation verwaltete Teams-Konten separat ein.
Microsoft erläutert die Voraussetzungen und Richtlinien unter Externe Besprechungen und Chats verwalten. Prüfen Sie für ausgewählte Benutzer, welche Regel tatsächlich greift. Stimmen Sie bei unklaren Ergebnissen auch die Gegenseite mit dem Partner ab.
3. Gäste und Mitgliedschaften prüfen
Ordnen Sie Gastkonten den betroffenen Teams und verantwortlichen Eigentümern zu. Lassen Sie Zweck, benötigte Inhalte und Überprüfungstermin bestätigen. Berücksichtigen Sie die für Gäste geltenden Anmeldebedingungen, einschließlich der vorgesehenen MFA- und Conditional-Access-Regeln.
Das Verlassen eines Teams entfernt das Gastkonto nicht automatisch aus dem Verzeichnis. Klären Sie deshalb verbleibende Berechtigungen, bevor Sie einen Vorgang abschließen. Unsere Leitfäden zum Gastzugriff-Audit und zu inaktiven Gastbenutzern vertiefen die Bestandsaufnahme.
4. Freigegebene Kanäle gesondert erfassen
Halten Sie Kanal, Eigentümer, externe Teilnehmer und Partnerorganisation fest. Prüfen Sie die Einstellungen für B2B Direct Connect auf beiden Seiten sowie die relevanten Teams-Richtlinien. Dokumentieren Sie auch den vorgesehenen Dateizugriff: Freigegebene Kanäle besitzen eine eigene SharePoint-Website.
Ergänzen Sie eine vereinbarte Stichprobe mit einem benannten Teilnehmer. Beschreiben Sie, welche Inhalte erreichbar sein sollen und welches Ergebnis tatsächlich beobachtet wurde. Legen Sie fest, wer Änderungen an Mitgliedschaften nach Projektende kontrolliert.
5. Besprechungen und Dateien ergänzend betrachten
Eine blockierte Föderationsdomäne schließt anonyme Besprechungsteilnahme nicht automatisch aus, wenn diese zugelassen ist. Prüfen Sie Besprechungszugriff und Lobby deshalb als eigenes Prüffeld. Für Dateien ergänzen Sie die betreffenden SharePoint- und OneDrive-Freigaben.
Planen Sie positive und negative Testfälle: Ein genehmigter Partner soll den vereinbarten Weg nutzen können; ein nicht berechtigter Testteilnehmer soll die ausgewählten Inhalte nicht erreichen. Testen Sie ausschließlich im abgestimmten Umfang und bewahren Sie die Ergebnisse intern auf.
Aus einer Einstellung wird erst mit Kontext ein belastbarer Befund.
Fiktives Beispiel: Die Organisation begrenzt externe Domänen, doch für eine Projektgruppe besteht eine abweichende Richtlinie. Der Befund lautet zunächst „Ausnahme ohne bestätigten Eigentümer“. Das Projektteam bestätigt Bedarf und Laufzeit oder beauftragt eine kontrollierte Anpassung. Eine pauschale Sperre ohne Prüfung könnte benötigte Zusammenarbeit unterbrechen.
Tenant / Prüfdatum / Datenquelle:
Zugriffsweg: Föderation, Gast oder freigegebener Kanal
Partner / Team oder Kanal / betroffene Benutzer:
Ist-Zustand / wirksame Richtlinie / erwarteter Zustand:
Geschäftszweck / Eigentümer / Ausnahmelaufzeit:
Nachweis / Datenlücke / vereinbarter Testfall:
Maßnahme / Freigabe / Termin / erneute Prüfung:Kennzeichnen Sie fehlende Rechte, ausgelassene Bereiche und unvollständige Daten ausdrücklich. „Nicht geprüft“ ist kein unauffälliges Ergebnis. Die Audit-Report-Vorlage unterstützt die Übergabe an Verantwortliche; die Conditional-Access-Checkliste ergänzt die Prüfung der Anmeldebedingungen.
Föderationsdaten erheben, fachliche Prüfung ergänzen.
Bei aktivierter und zugänglicher Teams-Erhebung liest M365 Audit die mandantenweite Föderationskonfiguration über Get-CsTenantFederationConfiguration. Kontrolle COL-03 im Prüfkatalog ordnet diese Erhebung als teilautomatisch ein. Dafür wird eine eigene Teams-Verbindung benötigt.
Diese Abfrage belegt weder vollständige Richtlinienzuordnungen noch Gastmitgliedschaften, B2B-Direct-Connect-Beziehungen oder den tatsächlichen Inhaltszugriff. Ergänzen Sie diese Nachweise für die hier beschriebene Prüfung. Die erhobenen Teams-Daten benötigen eine fachliche Bewertung.
Ein Konfigurationscheck ist eine Momentaufnahme. Er liefert keine Garantie für Angriffsschutz oder die Erfüllung rechtlicher Anforderungen. Prüfen Sie vor dem Einsatz Methodik, benötigte Daten und vereinbarten Umfang.
Was sollten Sie vor der Prüfung klären?
Reicht es, externe Domänen zu beschränken?
Für den gesamten Prüfauftrag brauchen Sie separate Nachweise zu Gästen, freigegebenen Kanälen, Besprechungen und Dateien. Erfassen Sie die tatsächlich genutzten Wege und schließen Sie jeden Prüfschritt mit einem Ergebnis oder einer benannten Datenlücke ab.
Sollten alle externen Zugriffe deaktiviert werden?
Leiten Sie Maßnahmen aus genehmigtem Geschäftsbedarf, betroffenen Daten und festgestellten Abweichungen ab. Vereinbaren Sie mit den Verantwortlichen Umfang, Test und Abschlusskriterium einer Änderung.
Ändert die Checkliste Einstellungen?
Die Checkliste dient der Bestandsaufnahme und Bewertung. Änderungen werden separat beauftragt und geprüft. Nutzen Sie zunächst die bestehenden Leserechte und klären Sie fehlende Nachweise mit dem zuständigen Team.
Stand: 1. Oktober 2026. Technische Referenzen: die oben verlinkte Microsoft-Learn-Dokumentation.