Microsoft Entra Gastzugriff absichern: Mandantenübergreifende Zugriffseinstellungen und MFA-Vertrauensstellung

Microsoft Entra Gastzugriff absichern bedeutet, externe Benutzer kontrolliert zu authentifizieren und den Zugriff auf die eigenen Ressourcen klar zu regeln. Microsoft 365 unterstützt dafür unterschiedliche Zusammenarbeitsmodelle. Im Mittelpunkt dieses Beitrags steht Microsoft Entra B2B Zusammenarbeit. Dabei repräsentiert ein Benutzerobjekt im Ressourcenmandanten die externe Identität und ermöglicht den Zugriff auf Microsoft Teams, SharePoint Online oder weitere Anwendungen.

Bei der B2B Zusammenarbeit sind Authentifizierung und Ressourcenzugriff auf zwei Mandanten verteilt. Der externe Benutzer authentifiziert sich im Heimmandanten, der auch seine Anmeldeinformationen verwaltet. Der Ressourcenmandant stellt die Anwendung bereit und entscheidet, unter welchen Bedingungen er den Zugriff erlaubt. Er verwaltet somit keine separaten Anmeldeinformationen für den externen Benutzer, sondern die Zugriffsbedingungen und Berechtigungen für seine Ressourcen.

Standardmässig erlauben die mandantenübergreifenden Zugriffseinstellungen die B2B-Zusammenarbeit mit Benutzern aus anderen Microsoft Entra-Organisationen. Der Ressourcenmandant akzeptiert MFA-Nachweise und Gerätestatus aus fremden Mandanten hingegen nicht automatisch. Diese Standardwerte erleichtern die Zusammenarbeit, erfordern in produktiven Mandanten jedoch eine bewusste Prüfung.

Dieser Beitrag zeigt, wie mandantenübergreifende Zugriffseinstellungen, MFA-Vertrauenseinstellungen, Authentifizierungsstärken und bedingter Zugriff den Microsoft Entra Gastzugriff absichern.

Voraussetzungen und Lizenzierung

Microsoft Entra External ID

Mandantenübergreifende Zugriffseinstellungen sind Bestandteil von Microsoft Entra External ID. Für Vertrauenseinstellungen und Einschränkungen auf bestimmte Benutzer, Gruppen oder Anwendungen benötigt der Ressourcenmandant mindestens:

• Microsoft Entra ID P1 oder höher

Bedingter Zugriff

Für die beschriebenen Richtlinien für bedingten Zugriff ist mindestens folgende Lizenz erforderlich:

• Microsoft Entra ID P1 oder höher

Mandantenübergreifende Zugriffsaktivitäten analysieren

Die Analyse bestehender mandantenübergreifender Anmeldeaktivitäten mit der Arbeitsmappe Mandantenübergreifende Zugriffsaktivität setzt Folgendes voraus:

• Microsoft Entra ID P1 oder höher
• Log Analytics-Arbeitsbereich
• konfigurierte Diagnoseeinstellungen zur Übertragung der Microsoft Entra-Anmeldeprotokolle an den Log Analytics-Arbeitsbereich

Die Konfiguration ist im Microsoft Learn-Artikel Integration von Microsoft Entra ID-Protokollen in Azure Monitor-Protokolle beschrieben.

Eine Übersicht der Lizenzpakete von Microsoft mit ihren Funktionen kann unter https://m365maps.com/ abgerufen werden.

Rollen

Für die Konfiguration und Funktionskontrolle sind folgende Rollen nach dem Prinzip der geringsten Berechtigungen geeignet.

Rolle	Berechtigung
Sicherheitsadministrator	Mandantenübergreifende Zugriffseinstellungen verwalten, Richtlinien für bedingten Microsoft Entra-Zugriff erstellen und verwalten, Anmeldeprotokolle anzeigen, Arbeitsmappen anzeigen
Log Analytics-Leser	Protokolldaten im Log Analytics-Arbeitsbereich lesen

Zusammenspiel von Heim- und Ressourcenmandant

Bei Microsoft Entra B2B-Zusammenarbeit übernimmt der Heimmandant die Authentifizierung des externen Benutzers. Der Heimmandant verwaltet auch die Anmeldeinformationen des externen Benutzers.

Der Ressourcenmandant stellt die Microsoft 365-Dienste oder weitere Anwendungen bereit. Er enthält ein B2B-Benutzerobjekt, das die externe Identität im eigenen Verzeichnis repräsentiert. Dieses Objekt besitzt im Ressourcenmandanten kein separat verwaltetes Kennwort.

Der Ressourcenmandant legt mit Richtlinien für bedingten Zugriff fest, unter welchen Bedingungen externe Benutzer auf seine Ressourcen zugreifen dürfen. Eine Basisrichtlinie erzwingt in der Regel MFA für alle externen Benutzer. Für besonders schützenswerte Anwendungen kann eine separate Richtlinie eine phishingresistente Authentifizierungsstärke verlangen.

Anschliessend bestimmen die Berechtigungen, auf welche Ressourcen der Benutzer zugreifen und welche Aktionen er ausführen darf. Massgebend sind beispielsweise die Mitgliedschaft in einem Team, die Berechtigungen auf einer SharePoint-Website oder die Zuweisung zu einer Unternehmensanwendung.

Der Ressourcenmandant kontrolliert somit nicht die Anmeldeinformationen des externen Benutzers. Er kontrolliert die Zugriffsbedingungen sowie die Berechtigungen auf die Ressourcen.

Mandantenübergreifende Zugriffseinstellungen vorbereiten

Bestehende mandantenübergreifende Zugriffe ermitteln

Vor einer Einschränkung der Standardeinstellungen sollten die tatsächlich verwendeten Partnerorganisationen und Anwendungen ermittelt werden. Andernfalls können bestehende Geschäftsprozesse unterbrochen werden. Dafür steht die Arbeitsmappe Mandantenübergreifende Zugriffsaktivität zur Verfügung. Die notwendige Log Analytics-Integration ist im Abschnitt Voraussetzungen und Lizenzierung beschrieben.

Die Arbeitsmappe befindet sich unter:

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Überwachung und Integrität > Arbeitsmappen > Mandantenübergreifende Zugriffsaktivität

Die Arbeitsmappe zeigt die im ausgewählten Zeitraum protokollierten eingehenden und ausgehenden Anmeldeaktivitäten nach Mandanten-ID, Anwendung, Benutzer und weiteren Kriterien. Der auswählbare Zeitraum beträgt bis zu 90 Tage. Angezeigt werden jedoch nur Daten, die an den Log Analytics-Arbeitsbereich übertragen wurden und dort noch vorhanden sind.

Standardwerte der mandantenübergreifenden Zugriffseinstellungen prüfen

Die mandantenübergreifenden Zugriffseinstellungen befinden sich im Microsoft Entra Admin Center unter:

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Mandantenübergreifende Zugriffseinstellungen

Unter Standardeinstellungen werden die Richtlinien für alle externen Microsoft Entra-Organisationen angezeigt, für die keine organisationsspezifische Konfiguration besteht.

Die anfänglichen Standardwerte sind:

• Eingehende B2B-Zusammenarbeit: Für alle externen Benutzer und Gruppen sowie alle internen Anwendungen zugelassen
• Ausgehende B2B-Zusammenarbeit: Für alle internen Benutzer und Gruppen sowie alle externen Anwendungen zugelassen
• MFA und Gerätevertrauen: Der Ressourcenmandant vertraut standardmässig weder MFA-Nachweisen noch Informationen zu konformen und Microsoft Entra hybrid eingebundenen Geräten aus externen Mandanten
• Direkte B2B-Verbindung: Beim eingehenden und ausgehenden Zugriff für alle Benutzer, Gruppen und Anwendungen blockiert
• Mandanteneinschränkungen: Steuern auf verwalteten Geräten und innerhalb des Unternehmensnetzwerks den Zugriff mit externen Identitäten auf Anwendungen in fremden Mandanten. Standardmässig ist «Alle blockiert» konfiguriert. Die Einstellung wird erst nach der Einrichtung von Mandanteneinschränkungen v2 wirksam, siehe dazu Einrichten von Mandanteneinschränkungen v2 – Microsoft Entra External ID | Microsoft Learn

Die Standardwerte erleichtern die Zusammenarbeit, entsprechen aber nicht automatisch den eigenen Sicherheits- und Compliance-Anforderungen. Sie sollten deshalb in jedem produktiven Mandanten geprüft werden.

Partnerorganisation konfigurieren

Partnerorganisation hinzufügen

Für bekannte Partner empfiehlt sich eine organisationsspezifische Konfiguration. Diese überschreibt die Standardwerte ausschliesslich für die ausgewählte Partnerorganisation.

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Mandantenübergreifende Zugriffseinstellungen > Organisationseinstellungen

Organisation hinzufügen auswählen und die Mandanten-ID oder den vollständigen Domänennamen der Partnerorganisation eingeben.

Nach dem Hinzufügen erbt die Organisation zunächst alle Standardeinstellungen. Über die Links in den Spalten Eingehender Zugriff, Ausgehender Zugriff oder Mandanteneinschränkungen wird eine abweichende Konfiguration erstellt.

Dieser Beitrag konzentriert sich auf den eingehenden Zugriff der B2B-Zusammenarbeit und die zugehörigen Vertrauenseinstellungen. Damit wird der Zugriff externer Benutzer auf die eigenen Ressourcen abgesichert. Der ausgehende Zugriff und die Mandanteneinschränkungen bleiben unverändert und übernehmen die Standardeinstellungen.

Eingehenden Zugriff für B2B-Zusammenarbeit konfigurieren

Der eingehende Zugriff für B2B-Zusammenarbeit bestimmt, welche Benutzer der Partnerorganisation auf welche Anwendungen im eigenen Mandanten zugreifen dürfen.

Bei der hinzugefügten Organisation unter Zugriff auf eingehenden Datenverkehr > B2B-Zusammenarbeit die Option Einstellungen anpassen auswählen.

Im Register Externe Benutzer und Gruppen auswählen, ob alle externen Benutzer oder nur bestimmte Benutzer und Gruppen Zugriff erhalten. Für einzelne Objekte sind deren Objekt-IDs aus dem Partnermandanten erforderlich. Anschliessend im Register Anwendungen festlegen, ob alle internen Anwendungen oder nur bestimmte Anwendungen erreichbar sind.

Vertrauenseinstellungen konfigurieren

Unter Zugriff auf eingehenden Datenverkehr > Vertrauenseinstellungen wird festgelegt, welchen Nachweisen des Partnermandanten vertraut wird:

• Multi-Faktor-Authentifizierung von Microsoft Entra-Mandanten vertrauen
• konformen Geräten vertrauen
• Microsoft Entra hybrid eingebundenen Geräten vertrauen

Alle drei Einstellungen sind standardmässig deaktiviert.

Wird das Vertrauen in MFA aktiviert, kann der MFA-Nachweis des Heimmandanten die MFA-Anforderung einer Richtlinie für bedingten Zugriff im Ressourcenmandanten erfüllen. Wurde im Heimmandanten noch keine MFA durchgeführt, wird sie dort ausgelöst. Der Ressourcenmandant verlangt weiterhin MFA, akzeptiert jedoch den Nachweis des Partners. Die Unterschiede zwischen den MFA Varianten sind im Abschnitt MFA für Gäste: zwei unterschiedliche Modelle beschrieben.

Wird konformen Geräten vertraut, übernimmt der Ressourcenmandant den Gerätestatus aus dem Partnermandanten. Massgebend sind damit die vom Partner definierten Konformitätsrichtlinien in Microsoft Intune. Dasselbe gilt für Microsoft Entra hybrid eingebundene Geräte.

Vertrauenseinstellungen sollten nur für bekannte Partner aktiviert werden, deren Sicherheitsniveau geprüft und dokumentiert ist.

MFA für Gäste: zwei unterschiedliche Modelle

MFA ohne Vertrauen

Der Ressourcenmandant verlangt MFA, akzeptiert jedoch keinen Nachweis einer bereits im Heimmandanten durchgeführten MFA. Der Gast muss MFA im Ressourcenmandanten erfüllen und dafür gegebenenfalls eine zusätzliche Methode registrieren.

Vorteile:

• Kontrolle über die im Ressourcenmandanten zugelassenen Methoden
• keine Abhängigkeit von der MFA-Konfiguration des Partners
• geeigneter Sicherheitsstandard für unbekannte oder selten verwendete Partner

Nachteile:

• zusätzliche Registrierung und Pflege einer MFA-Methode im Ressourcenmandanten
• separate MFA-Durchführung beim Zugriff
• höherer Supportaufwand

MFA mit Vertrauen

Der Ressourcenmandant verlangt MFA und akzeptiert den Nachweis des Heimmandanten. Der Gast verwendet die MFA seiner eigenen Organisation und muss im Ressourcenmandanten weder eine zusätzliche Methode registrieren noch eine separate MFA durchführen. Falls im Heimmandanten noch keine MFA erfolgt ist, löst Microsoft Entra ID sie dort aus.

Vorteile:

• keine zusätzliche MFA-Registrierung im Ressourcenmandanten
• keine separate MFA-Durchführung im Ressourcenmandanten
• geringerer Supportaufwand
• geeignet für bekannte Partner mit geprüftem MFA-Sicherheitsniveau

Nachteile:

• Abhängigkeit von der MFA-Konfiguration des Partners
• Änderungen am MFA-Sicherheitsniveau des Partners sind im Ressourcenmandanten nicht automatisch ersichtlich

MFA ohne Vertrauen ist der sichere Standard. MFA-Vertrauen sollte nur für bekannte Partner aktiviert werden, deren MFA-Sicherheitsniveau geprüft und regelmässig kontrolliert wird.

Richtlinien für bedingten Zugriff auf externe Benutzer

Bedingten Zugriff konfigurieren

In Richtlinien für bedingten Zugriff lassen sich externe Identitäten nach sechs Typen auswählen:

• B2B Collaboration-Gastbenutzer
• B2B Collaboration-Mitgliederbenutzer
• B2B Direct Connect-Benutzer
• Lokale Gastbenutzer
• Benutzer von Dienstanbietern
• Andere externe Benutzer

Damit lassen sich verwendete externe Benutzertypen absichern und nicht benötigte Typen blockieren. Eine MFA-Basisrichtlinie für B2B Collaboration-Gastbenutzer wird unter folgendem Pfad erstellt:

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Bedingter Zugriff > Richtlinien > Neue Richtlinie erstellen

Einen Namen für die Richtlinie vergeben.
Die Benennungskonventionen sind hier beschrieben: Planen einer Microsoft Entra-Bereitstellung für bedingten Zugriff – Microsoft Entra ID | Microsoft Learn

Unter Benutzer oder Agents > Benutzer und Gruppen > Gastbenutzer oder externe Benutzer den Typ B2B Collaboration-Gastbenutzer auswählen. Je nach Umgebung zusätzlich verwendete Identitätstypen auswählen.

Unter Zielressourcen > Ressourcen die benötigten Anwendungen auswählen.

Unter Gewähren > Zugriff gewähren die Option Authentifizierungsstärke erfordern und anschliessend die benötigte Authentifizierungsstärke auswählen.

Neue Richtlinien vor der Aktivierung im Modus Nur Bericht, mit dem What-If-Tool für bedingten Zugriff und einem Testbenutzer prüfen.

Ein geeigneter Richtliniensatz für externe Benutzer besteht aus mehreren Richtlinien:

• MFA-Basisrichtlinie für alle verwendeten externen Benutzertypen
• stärkere Authentifizierung für sensible Anwendungen
• Sitzungssteuerungen wie Anmeldehäufigkeit für ausgewählte Szenarien
• Blockierung nicht verwendeter externer Benutzertypen

Authentifizierungsstärken für sensible Ressourcen

Mit einer Authentifizierungsstärke wird festgelegt, welche Authentifizierungsmethoden eine MFA-Anforderung erfüllen dürfen.

Für Standardzugriffe kann eine beliebige MFA genügen. Für sensible oder privilegierte Anwendungen kann eine phishingresistente Authentifizierungsstärke mit FIDO2-Sicherheitsschlüssel, Passkey, Windows Hello for Business oder zertifikatbasierter Authentifizierung eingesetzt werden.

Bei externen Microsoft Entra-Benutzern hängt die Auswertung der Authentifizierungsstärke davon ab, ob dem MFA-Nachweis des Heimmandanten vertraut wird.

• Mit MFA-Vertrauen wird geprüft, ob die im Heimmandanten verwendete Methode die verlangte Authentifizierungsstärke erfüllt
• Ohne MFA-Vertrauen muss der Gast die verlangte Authentifizierungsstärke mit einer im Ressourcenmandanten registrierten Methode erfüllen

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Authentifizierungsmethoden > Authentifizierungsstärken

Authentifizierungsstärken lassen sich aktuell nur auf externe Benutzer anwenden, die sich mit Microsoft Entra ID authentifizieren.

Gut zu wissen

Einstellungen für externe Zusammenarbeit bleiben relevant

Mandantenübergreifende Zugriffseinstellungen ersetzen die Einstellungen für externe Zusammenarbeit nicht. Dort wird weiterhin gesteuert, welche Rollen Gäste einladen dürfen, welche Domänen für Einladungen erlaubt oder blockiert sind und vieles mehr.

Microsoft Entra Admin Center (https://entra.microsoft.com) > Entra ID > Externe Identitäten > Einstellungen für externe Zusammenarbeit

Die direkte B2B-Verbindung ist ein eigener Zugriffstyp

Die direkte B2B-Verbindung wird für freigegebene Kanäle in Microsoft Teams verwendet und erstellt kein Gastobjekt im Ressourcenmandanten. Sie ist standardmässig blockiert und muss von beiden Organisationen freigegeben werden. Eine ausführliche Konfiguration ist im Beitrag Azure AD B2B Direct Connect für freigegebene Kanäle in Microsoft Teams – cloudkaffee.ch beschrieben.

Ausgehenden Zugriff ebenfalls prüfen

Der eingehende Zugriff schützt die eigenen Ressourcen. Der ausgehende Zugriff steuert, welche internen Benutzer auf Anwendungen in fremden Mandanten zugreifen dürfen. Eine zu breite Freigabe kann unkontrollierte Zusammenarbeit und Datenabfluss ermöglichen. Der ausgehende Zugriff sollte deshalb ebenfalls regelmässig geprüft werden.

Fazit

Microsoft Entra Gastzugriff lässt sich nicht mit einer einzelnen Richtlinie für bedingten Zugriff absichern. Die mandantenübergreifenden Zugriffseinstellungen steuern, welche Partnerorganisationen, Benutzer und Anwendungen zugelassen sind. Die Vertrauenseinstellungen bestimmen, ob MFA und Gerätestatus aus dem Heimmandanten akzeptiert werden. Richtlinien für bedingten Zugriff erzwingen zusätzliche Anforderungen wie MFA für die Basisrichtlinie oder phishingresistente Authentifizierungsstärke bei besonders schützenswerten Daten.

Als sicherer Standard empfiehlt sich MFA ohne Vertrauen. Für bekannte Partner kann MFA-Vertrauen gezielt aktiviert werden, sofern deren MFA-Sicherheitsniveau geprüft und die Vertrauensstellung regelmässig kontrolliert wird. Nicht benötigte externe Benutzertypen sollten blockiert werden.