SharePoint-Berechtigungen in Microsoft 365: Wer sieht eigentlich welche Daten?

SharePoint-Berechtigungen verständlich erklärt: wie Vererbung, Gruppen, Teams und Freigabelinks zusammenspielen, wie Sie prüfen, wer worauf zugreift – und wo Sie in einer gewachsenen Microsoft-365-Umgebung anfangen sollten.

Eine Steuerberatungskanzlei mit 35 Beschäftigten prüft, wer auf den Ordner mit den Mandantenunterlagen zugreifen kann. Erwartet werden acht Personen: das zuständige Team.

Gefunden werden 26. Darunter zwei ehemalige Mitarbeitende, deren Konten deaktiviert, aber nicht aus den Gruppen entfernt wurden. Ein externer Berater, der vor zwei Jahren für ein Projekt eingeladen wurde. Und ein Team, das jemand für eine Abstimmung angelegt hat und das seither niemand geöffnet hat – mit einer SharePoint-Website, auf die dieselben Unterlagen kopiert wurden.

Niemand hat hier etwas falsch gemacht. Jeder Zugriff wurde irgendwann bewusst erteilt, aus einem nachvollziehbaren Grund. Was fehlt, ist der Gegenvorgang: die Stelle, an der ein Zugriff wieder verschwindet, wenn sein Anlass entfallen ist. SharePoint-Berechtigungen sind deshalb weniger eine technische als eine organisatorische Frage.

Das Wichtigste in Kürze

• In der Standardeinstellung von Microsoft 365 darf jede Person im Unternehmen neue Gruppen anlegen – und damit Teams, SharePoint-Websites und Postfächer.
• Zugriff auf SharePoint entsteht an drei Stellen: über die Gruppe eines Teams, über die Gruppen der Website und über jede einzelne Freigabe.
• Die kritischsten Zugriffe stammen selten von aktiven Mitarbeitenden, sondern von Gastkonten, verwaisten Gruppen und offenen Freigabelinks.
• Eine wirksame Prüfung braucht kein teures Werkzeug, sondern eine Reihenfolge: Wo liegen die sensibelsten Daten, und wer erreicht sie?
• Der wirksamste Einzelschritt bleibt ein vollständiges Offboarding.

So funktionieren SharePoint-Berechtigungen

SharePoint arbeitet mit Vererbung: Rechte fließen von der Website über Bibliotheken und Ordner bis zur einzelnen Datei nach unten, solange niemand die Vererbung unterbricht. Auf jeder Website gibt es nach Microsofts Übersicht zu Freigaben und Berechtigungen in SharePoint drei Standardgruppen:

Gehört die Website zu einem Team in Microsoft Teams, steuert die Mitgliederliste des Teams diese Gruppen automatisch: Teambesitzer werden Websitebesitzer, Teammitglieder werden Mitglieder.

Ein Berechtigungskonzept ist die schriftliche Festlegung, welche Rolle im Unternehmen auf welche Ablagen in welcher Stufe zugreifen darf – und wer das genehmigt und überprüft. Ohne ein solches Konzept entstehen Berechtigungen nicht nach Plan, sondern nach Bedarf.

Der Ausgangspunkt dafür ist eine Voreinstellung, die die meisten Unternehmen nie bewusst getroffen haben: Jede Person mit Lizenz darf eine neue Gruppe anlegen. Eine Gruppe ist aber kein einzelnes Objekt. Sie bringt mit, was die Dienste dafür brauchen: ein Team mit Kanälen, eine SharePoint-Website mit Dokumentbibliothek, ein gemeinsames Postfach, einen Kalender und einen Planner.

Wer ein Team für ein Projekt anlegt, erzeugt also fünf Orte, an denen Daten liegen können – und eine Mitgliederliste, die für alle fünf gleichzeitig gilt. Das ist kein Fehler im Produkt. Es ist der Grund, warum Berechtigungen ohne einen eigenen Prozess nur in eine Richtung wachsen.

Objekt für Objekt: Wo Zugriffe tatsächlich entstehen

Freigabelinks sind der häufigste Weg, auf dem Daten ihr beabsichtigtes Publikum verlassen. Ein Link „für jeden mit dem Link“ funktioniert ohne Anmeldung, lässt sich weiterleiten und verfällt nur, wenn beim Erstellen ein Ablaufdatum gesetzt wurde. Ob diese Option überhaupt angeboten wird, lässt sich zentral festlegen.

Gastkonten sind der blinde Fleck fast jeder Umgebung. Laut Verizon Data Breach Investigations Report 2025 hat sich der Anteil der Sicherheitsvorfälle mit Beteiligung von Dritten von 15 auf 30 Prozent verdoppelt. Ein Gastzugang nach Projektende ist ein Zugang, dessen Sicherheit von einem fremden Unternehmen abhängt. Ähnliches gilt für Konten eigener Mitarbeitender, deren Zugangsdaten über eine Phishing-Mail abgegriffen wurden: Ein übernommenes Konto sieht genau das, was die Berechtigungen hergeben.

Aus der Praxis

„Wir fragen bei der Bestandsaufnahme nicht, wie viele Teams es gibt, sondern wie viele davon in den letzten sechs Monaten benutzt wurden. Die Differenz ist meistens der eigentliche Befund – und sie überrascht die Geschäftsführung regelmäßig.“

Martin Osterhof, Geschäftsführender Gesellschafter, novotec GmbH

Teams-Gastzugang und Freigaben: drei zentrale Einstellungen

Viele Probleme lassen sich nicht Website für Website lösen, sondern nur an zentraler Stelle. Drei Einstellungen im Microsoft 365 Admin Center und im SharePoint Admin Center bestimmen einen großen Teil der Reichweite:

• Wer Gruppen anlegen darf. Die Einschränkung auf eine Sicherheitsgruppe – etwa die Teamleitungen – verhindert keine Zusammenarbeit. Sie sorgt dafür, dass jedes neue Team einen Besitzer hat, der sich verantwortlich fühlt.
• Welche Freigabelinks angeboten werden. Die organisationsweite Freigabestufe legt fest, ob „Jeder mit dem Link“ überhaupt möglich ist und welcher Linktyp voreingestellt ist. Schon die Voreinstellung „nur Personen im Unternehmen“ verändert das Verhalten deutlich, weil die meisten Menschen den vorgeschlagenen Link übernehmen.
• Wie der Teams-Gastzugang geregelt ist. In der Grundeinstellung können Teambesitzer Gäste ohne weitere Freigabe hinzufügen. Für SharePoint lässt sich festlegen, dass Gastzugänge nach einer bestimmten Anzahl von Tagen automatisch ablaufen; ergänzend sollten Teambesitzer ihre Gäste in festen Abständen bestätigen.

Keine dieser Einstellungen ist kompliziert. Sie werden nur selten getroffen, weil sie bei der Einführung von Microsoft 365 niemandem fehlen – sondern erst Jahre später, wenn jemand die Frage aus dem Titel stellt. Wer sie festlegt, sollte das schriftlich tun: Die drei Entscheidungen bilden den Kern eines schlanken Berechtigungskonzepts, das auch eine Vertretung oder ein neuer Dienstleister nachvollziehen kann.

SharePoint-Berechtigungen überprüfen: so gehen Sie vor

Für eine einzelne Website oder Datei lässt sich die Frage „Wer hat Zugriff?“ direkt in SharePoint beantworten:

• Website: Zahnrad-Symbol → Websiteberechtigungen. Dort stehen Besitzer, Mitglieder und Besucher. Über „Erweiterte Berechtigungseinstellungen“ zeigt die Funktion „Berechtigungen überprüfen“, was eine bestimmte Person tatsächlich darf.
• Bibliothek oder Ordner: In den Bibliothekseinstellungen ist sichtbar, ob die Vererbung unterbrochen wurde. Jede Unterbrechung ist eine Stelle, die bei einer Prüfung gesondert angesehen werden muss.
• Datei: Drei-Punkte-Menü → „Zugriff verwalten“. Hier erscheinen auch Freigabelinks und Personen, die einzeln berechtigt wurden.

Für die gesamte Umgebung reicht das nicht – dafür braucht es eine Reihenfolge. Entscheidend sind zwei Größen: wie sensibel die Daten sind und wie weit der Zugriff reicht.

1. Zuerst sensible Daten mit weiter Reichweite: Mandanten-, Personal-, Lohn- oder Gesundheitsdaten, auf die organisationsweite Gruppen, Gäste oder offene Links zugreifen. Hier liegt das Risiko, und hier ist der Aufwand am kleinsten.
2. Danach sensible Daten mit enger Reichweite: Mitgliederlisten prüfen, Wiederholungsdatum setzen.
3. Parallel unkritische Daten mit weiter Reichweite: keine Eile, aber ein Hinweis auf fehlende Freigaberegeln.
4. Zuletzt alles Übrige: Aufräumen ist hier Ordnung, nicht Sicherheit.

Vier Fragen führen dabei am schnellsten zum Ergebnis: Welche Gruppen wurden seit sechs Monaten nicht benutzt? Welche Gastkonten existieren, und wer hat sie eingeladen? Welche Links gelten für „jeden mit dem Link“ und haben kein Ablaufdatum? Welche deaktivierten Konten stehen noch in Gruppen? Für ein Unternehmen dieser Größe ist der erste Durchgang ein Tag Arbeit, nicht ein Quartal.

Eintritt, Rollenwechsel, Austritt

Berechtigungen laufen an drei Ereignissen auseinander. Eintritte werden meist gut organisiert, weil jemand wartet. Austritte werden technisch vollzogen, weil das Konto gesperrt werden muss. Der Rollenwechsel wird oft gar nicht bearbeitet: Die neue Zuständigkeit kommt hinzu, die alte bleibt bestehen.

Beim Austritt ist das Deaktivieren des Kontos der sichtbare und der kleinere Teil. Ein deaktiviertes Konto steht weiterhin in jeder Gruppe, in der es war, und verfälscht jede Aussage darüber, wer Zugriff hat. Was zu einem vollständigen Austritt gehört – Gruppen, geteilte Postfächer, OneDrive, Freigabelinks –, steht als Checkliste im Beitrag zum IT-Onboarding und Offboarding. Gleiches gilt für Mitarbeitende, die viel unterwegs arbeiten und dafür Freigaben an private Geräte oder Konten einrichten; mehr dazu unter Homeoffice und IT-Sicherheit.

Die Datenschutz-Grundverordnung verlangt in Artikel 32 angemessene technische und organisatorische Maßnahmen, ausdrücklich einschließlich der Zugriffskontrolle. Wie relevant das ist, zeigt die Bitkom-Studie Wirtschaftsschutz 2025: 66 Prozent der befragten Unternehmen berichteten von Datendiebstahl. Nicht jeder Fall geht auf eine zu weite Berechtigung zurück – aber jede zu weite Berechtigung vergrößert, was erreichbar ist.

Ein Grund mehr: Wer KI-Assistenten in Microsoft 365 einsetzen will, sollte die Berechtigungen vorher klären. Solche Assistenten durchsuchen genau das, worauf die anfragende Person zugreifen darf. Eine zu weit geteilte Datei, die heute niemand findet, findet ein Assistent auf Zuruf.

Wie novotec bei SharePoint-Berechtigungen unterstützt

Als Microsoft-Partner betreuen wir Microsoft-365-Umgebungen für Unternehmen in Hamburg und der Region, die keine eigene IT-Abteilung haben. In einer Bestandsaufnahme erfassen wir Gruppen, Teams, Websites und Gastkonten, prüfen, welche davon genutzt werden, und markieren, wo sensible Ablagen weiter reichen als beabsichtigt.

Daraus entsteht ein Rollenmodell, das festhält, welche Zugänge zu welcher Rolle gehören, und Eintritt, Wechsel und Austritt als feste Abläufe. Im laufenden Betrieb mit Workplace 365 bleibt die Struktur gepflegt, statt einmalig aufgeräumt zu werden.

Fazit

Berechtigungen wachsen, weil Zusammenarbeit sie braucht – und sie schrumpfen nur, wenn jemand dafür sorgt. Wer die sensibelsten Ablagen zuerst prüft und Eintritt, Wechsel und Austritt als gleichwertige Vorgänge behandelt, löst den größten Teil des Problems an einem Tag. Die Frage im Titel lässt sich danach in wenigen Minuten beantworten.

FAQ

Wissen Sie, wer in Ihrem Unternehmen auf die sensibelsten Daten zugreifen kann? Sprechen Sie mit novotec über eine Bestandsaufnahme Ihrer Microsoft-365-Berechtigungen – in einem Tag, nicht in einem Quartal.

Quellen

• Microsoft: Manage who can create Microsoft 365 Groups, laufend aktualisiert
• Microsoft: Freigaben und Berechtigungen in der modernen SharePoint-Benutzeroberfläche, laufend aktualisiert
• Verizon: 2025 Data Breach Investigations Report – SMB Snapshot, 2025
• Bitkom: Studie Wirtschaftsschutz 2025, Meldung des Bundesamts für Verfassungsschutz, 2025

Martin Osterhof

> Martin Osterhof ist Gründer und Geschäftsführer der novotec GmbH und begleitet mittelständische Unternehmen bei der Entwicklung einer verlässlichen, sicheren und zukunftsfähigen IT. Mit langjähriger Erfahrung verbindet er strategischen Blick mit pragmatischer Umsetzung — damit IT im Hintergrund geräuschlos funktioniert und Unternehmen ihre Ziele verfolgen können.