Microsoft 365 / SharePoint-Websiteberechtigungen festlegen und externe Freigaben verwalten

SharePoint-Websiteberechtigungen bestimmen, wer auf eine Website zugreifen kann. Einstellungen für die externe Freigabe begrenzen, welche Inhalte mit Personen außerhalb der Organisation geteilt werden dürfen. Prüfen Sie bei einer Teams-verbundenen Website auch die Microsoft 365-Gruppe und die Teammitgliedschaft; Websiteberechtigungen und Freigabelinks sind getrennte Zugriffsmöglichkeiten.

Struktur zum Überprüfen vor der Änderung von Berechtigungen

• Überprüfen Sie, ob die Website eine eigenständige Website oder eine mit einer Microsoft 365-Gruppe / Teams verbundene Website ist.
• Überprüfen Sie die aktuellen Zugriffsgruppen und direkt gewährten Berechtigungen, wie z. B. Besitzer, Mitglieder und Besucher.
• Überprüfen Sie, ob separat erstellte Freigabelinks für Dateien oder Ordner vorhanden sind.
• Überprüfen Sie den organisationsweiten SharePoint- und OneDrive-Externe-Freigabebereich sowie die Microsoft Entra-Gast-Einladungseinstellungen.

Microsofts Anleitung zu SharePoint-Freigaben und Berechtigungen empfiehlt, die Mitgliedschaft in gruppenverbundenen Websites über die zugehörige Microsoft 365-Gruppe oder über Teams zu verwalten, wenn die Website mit einem Team verbunden ist. Jemandem nur die Berechtigung für die Website zu geben, macht ihn nicht automatisch zu einem Mitglied des Teams.

Besitzer, Mitglieder, Besucher und Berechtigungsvererbung

Auf einer typischen Website übernehmen die Besitzer die Verwaltung, die Mitglieder die Bearbeitung und die Besucher die Ansicht. Wenn jedoch auf einer vorhandenen Website benutzerdefinierte Berechtigungen vorhanden sind, sollten die tatsächlichen Berechtigungen nicht nur anhand des Namens bestimmt werden; überprüfen Sie die Einstellungen. An Gruppen angeschlossene Team-Websites sind mit den Besitzern und Mitgliedern von Microsoft 365-Gruppen verknüpft, während Kommunikationswebsites hauptsächlich über die SharePoint-Gruppen der Website verwaltet werden.

Berechtigungsvererbung ist eine Struktur, bei der Bibliotheken, Ordner und Dateien den Berechtigungen ihres übergeordneten Elements folgen. Wenn unterschiedliche Berechtigungen für eine einzelne Datei vergeben werden oder ein separater Freigabelink erstellt wird, wird es schwierig, alle Zugriffe nur anhand der Websiteliste zu erfassen. Beim Erhalt einer Anfrage, 'den Zugriff für einen bestimmten Mitarbeiter zu entfernen', müssen alle drei Pfade zusammen überprüft werden: Team- oder Websitegruppen, direkte Berechtigungen und Freigabelinks.

Private und freigegebene Kanalwebsites in Teams werden über die Kanalmitglieder gemäß der Teams- und SharePoint-Verbindungsstruktur verwaltet. Im Gegensatz zu regulären Websites sollten Sie nicht versuchen, Mitglieder in SharePoint eigenständig zu ändern. Außerdem können Website-Administratoren nicht alle Richtlinien ändern, und die Änderung der Berechtigungsstufe für die externe Freigabe einer Website erfordert SharePoint-Administratorrechte.

Website-Berechtigungen überprüfen und ändern

1. Wechseln Sie zum [Websites] → [Aktive Websites] im SharePoint-Admin-Center und suchen Sie nach der Ziel-Website. Da Kanalwebsites ähnliche Namen haben können, überprüfen Sie sowohl die URL als auch den Website-Typ.

2. Überprüfen Sie die Beziehung zwischen Administratoren, Besitzern und Mitgliedern in den Website-Details. Wenn es sich um eine Teams-verbundene Website handelt, überprüfen Sie zunächst die Liste der Teambesitzer und Mitglieder.
3. Fügen Sie Gruppen oder Benutzer gemäß dem Zweck der Änderung hinzu oder entfernen Sie diese. Wenn Sie nur eine bestimmte Datei freigeben möchten, gewähren Sie keinen Zugriff auf die gesamte Website und ziehen Sie stattdessen die Dateifreigabe in Betracht.
4. Verwenden Sie ein Testkonto, um zu bestätigen, dass nur der erwartete Inhalt sichtbar ist. Wenn die Berechtigungen erweitert wurden, überprüfen Sie auch vorherige Freigabelinks und direkte Berechtigungen.

Beispiel: Einer Person nur Lesezugriff auf die Website geben

Nehmen wir an, es gibt einen Fall, in dem eine andere Abteilung nur die Dokumentenwebsite lesen muss. Wenn es nicht notwendig ist, an Teams-Konversationen oder Kalendern teilzunehmen, überlegen Sie, ob eine Leseberechtigung für die Website anstelle der Hinzufügung als allgemeines Mitglied der Gruppe angemessen ist. Microsoft 365-Gruppen bieten keine Mitgliedsrolle nur zum Lesen an, daher kann eine separate Lese-Berechtigung auf Website-Ebene für diese Anforderung angemessen sein.

1. Öffnen Sie die Zielwebsite und überprüfen Sie die aktuellen Gruppen und Berechtigungen unter Einstellungen → Websiteberechtigungen.
2. Wenn es sich um eine Kommunikationswebsite handelt, wählen Sie Website freigeben, und wenn es sich um eine gruppenverbundene Website handelt, wählen Sie den entsprechenden Pfad, wie Mitglieder hinzufügen → Nur Website freigeben, entsprechend dem Zweck. Verwenden Sie den Teams-Mitgliederpfad, wenn eine vollständige Teamteilnahme beabsichtigt ist.
3. Wählen Sie die genauen Benutzer/Sicherheitsgruppen aus und vergeben Sie die Leseberechtigung. Überprüfen Sie die Ziel- und Benachrichtigungseinstellungen, bevor Sie hinzufügen. Leitfaden zur Microsoft-Websitefreigabe unterscheidet zwischen dem Teilen mit Gruppenressourcen und dem Freigeben der Website allein.
4. Lassen Sie den vorgesehenen Benutzer oder einen genehmigten Testbenutzer prüfen, ob er das Testdokument lesen, aber nicht bearbeiten kann. Leiten Sie seine Rechte nicht allein aus der Ansicht des Administrators ab.

Wenn Sie nur eine Datei anzeigen möchten, teilen Sie nicht die gesamte Website. Stattdessen legen Sie die Ziel- und Anzeige-/Bearbeitungsberechtigungen für diese spezifische Datei fest. Der Link „Personen mit bestehendem Zugriff“ wird verwendet, um den Zugriffspfad zu senden, den sie bereits haben, und unterscheidet sich von dem Link, der verwendet wird, um neue Berechtigungen zu gewähren.

Externe Freigaberichtlinie festlegen

Eine Website kann keine weitergehende externe Freigabe zulassen als die Organisation. Prüfen Sie zuerst die organisationsweiten Freigabeeinstellungen. Wählen Sie dann im SharePoint Admin Center die betreffende Website und öffnen Sie die Registerkarte Einstellungen → Weitere Freigabeeinstellungen. Microsofts Anleitung zur externen Freigabe einer Website erläutert das Zusammenspiel der beiden Ebenen.

Die Zulassung der Anyone-Ebene macht die Website selbst nicht anonym öffentlich. Es erlaubt Personen mit den erforderlichen Freigabeberechtigungen, nicht authentifizierte Links zu berechtigten Dateien und Ordnern zu erstellen; es gibt jedoch nicht jeder Person die Berechtigung, Links zu erstellen. Ein Inhaber kann einen solchen Link an jemand anderen weiterleiten. Wenn die Arbeit auf namentlich genannte Partner beschränkt ist, ziehen Sie stattdessen einen authentifizierten Spezifische Personen-Link in Betracht. Einige Orte, einschließlich Dateien in freigegebenen Kanälen, unterstützen keine Jeder-Links (Anyone).

1. Überprüfen Sie im SharePoint-Administratorcenter die maximale Reichweite der Organisation unter Richtlinien → Freigabe . Wenn für diese Aufgabe nur eine Website erforderlich ist, prüfen Sie zunächst, ob es notwendig ist, die Einstellung auf die gesamte Organisation auszuweiten.
2. Websites → Aktive Websites, wählen Sie die Website über ihre tatsächliche URL aus und gehen Sie zu Einstellungen → Weitere Freigabeeinstellungen.
3. Überprüfen Sie die Berechtigungsstufe, Domänenbeschränkungen, Ablauf von Gastzugängen und den Standardlinktyp. Die verfügbaren Optionen werden durch die Organisationseinstellungen und andere Richtlinien zur externen Zusammenarbeit beeinflusst.
4. Notieren Sie die bisherigen Werte, speichern Sie nur die benötigten Änderungen und lesen Sie die Einstellungen erneut. Verwenden Sie eine Testdatei ohne vertrauliche Inhalte und genehmigte Testkonten. Prüfen Sie einen vorgesehenen externen Empfänger sowie ein ausgeschlossenes Konto ohne andere Zugriffsrechte. Ein Link für bestimmte Personen darf einem Empfänger des weitergeleiteten Links keine neuen Rechte geben. Ein Jeder-Link kann dagegen auch von einem anderen Linkinhaber ohne Anmeldung genutzt werden. Vergleichen Sie die Ergebnisse mit dem gewählten Linktyp und den geltenden Richtlinien.

Die Freigabe stoppen und Zugriffsfehler untersuchen

Wenn keine externen Freigabeoptionen verfügbar sind, überprüfen Sie nacheinander die Organisationsbeschränkungen, den Typ der Website, die Entra-Gast-Einladung sowie die Domain-Einschränkungen und Gruppenrichtlinien. Wenn die Einladung erfolgreich war, die Datei jedoch nicht geöffnet werden kann, überprüfen Sie, ob der Empfänger sich mit der eingeladenen Adresse authentifiziert hat, und prüfen Sie den tatsächlichen Dateispeicher. Das Aktivieren einer erlaubten Einstellung auf einer Website überschreibt nicht alle anderen Richtlinien.

Beim Widerrufen des Zugriffs sollten unnötige Links und direkte Berechtigungen im Zugriff verwalten-Panel der Datei bereinigt werden. Wenn der Zugriff über eine Gruppe erfolgt, müssen auch die Gruppenmitglieder angepasst werden. Selbst wenn ein Link gelöscht wird, können Mitglieder mit Websiteberechtigung weiterhin darauf zugreifen. Das Entfernen dieser SharePoint-Berechtigungen löscht keine bereits heruntergeladenen Kopien.

Wenn Sie die Einstellungen einschränken, funktionieren möglicherweise vorhandene externe Links nicht mehr. Wenn Sie jedoch das Teilen auf Organisationsebene wieder aktivieren, können frühere Standorteinstellungen und freigegebene Links wieder funktionieren. Verwechseln Sie also eine vorübergehende Sperrung nicht mit der endgültigen Löschung von Links. Wenn Sie versehentlich den Umfang erweitert haben, sollten Sie zusätzlich zur Wiederherstellung der vorherigen Richtlinie auch die Links und Einladungen überprüfen, die in dieser Zeit erstellt wurden. Microsoft weist darauf hin, dass Gäste normalerweise innerhalb einer Stunde den Zugriff verlieren, nachdem das externe Teilen eingeschränkt oder deaktiviert wurde; gehen Sie nicht davon aus, dass jede Änderung sofort wirksam ist. Die Richtlinien zum Teilen auf Organisationsebene erläutern auch den wiederhergestellten Gastzugang, nachdem das Teilen wieder aktiviert wurde. Schließen Sie die Überprüfung ab, indem Sie die tatsächlichen Ergebnisse sowohl mit zugelassenen als auch ausgeschlossenen Testkonten bestätigen.