Erstellen einer sichereren Gastfreigabeumgebung
In diesem Artikel werden verschiedene Optionen zum Erstellen einer sichereren Gastfreigabeumgebung in Microsoft 365 erläutert. Dies sind Beispiele zur Veranschaulichung der verfügbaren Optionen. Sie können verschiedene Kombinationen dieser Verfahren verwenden, um die Sicherheits- und Compliance-Anforderungen Ihrer Organisation zu erfüllen.
In diesem Artikel finden Sie z. B. Folgendes:
- Einrichten der mehrstufigen Authentifizierung für Gäste.
- Erstellen von Nutzungsbedingungen für Gäste.
- Einrichten vierteljährlicher Gastzugriff-Überprüfungen, um in regelmäßigen Abständen zu prüfen, ob Gäste weiterhin Berechtigungen für Teams und Websites benötigen.
- Beschränken des Gastzugriffs auf reinen Webzugriff für nicht verwaltete Geräte.
- Konfigurieren einer Richtlinie für Sitzungstimeouts, um sicherzustellen, dass Gäste sich täglich authentifizieren.
- Erstellen eines vertraulichen Informationstyps für ein streng vertrauliches Projekt
- Dokumenten eine Vertraulichkeitsbezeichnung zuweisen, die einen vertraulichen Informationstyp enthalten
- Automatisches Entfernen des Gastzugriffs von Dateien mit einer Vertraulichkeitsbezeichnung
Einige der in diesem Artikel beschriebenen Optionen setzen voraus, dass Gäste über ein Konto in Azure Active Directory verfügen. Verwenden Sie die SharePoint- und OneDrive-Integration in Azure AD B2B (Vorschau), um sicherzustellen, dass Gäste in das Verzeichnis einbezogen werden, wenn Sie Dateien und Ordner für sie freigeben.
Bitte beachten Sie, dass in diesem Artikel die Aktivierung von Gastfreigabeeinstellungen nicht behandelt wird. Details zum Aktivieren der Gastfreigabe für unterschiedliche Szenarien finden Sie unter Zusammenarbeit mit Personen außerhalb Ihrer Organisation.
Einrichten der mehrstufigen Authentifizierung für Gäste
Die mehrstufige Authentifizierung verringert die Wahrscheinlichkeit, dass ein Konto kompromittiert wird, erheblich. Da Gäste möglicherweise private E-Mail-Konten verwenden, die keiner Governancerichtlinie oder bewährten Methoden entsprechen, ist es besonders wichtig, dass für Gäste die mehrstufige Authentifizierung vorgesehen ist. Sollten der Benutzername und das Kennwort eines Gastes gestohlen werden, verringert ein zweiter Authentifizierungsschritt die Wahrscheinlichkeit, dass unbekannte Parteien Zugriff auf Ihre Websites und Dateien erhalten, erheblich.
In diesem Beispiel wird die mehrstufige Authentifizierung für Gäste mithilfe einer Richtlinie für bedingten Zugriff in Azure Active Directory eingerichtet.
So richten Sie die mehrstufige Authentifizierung für Gäste ein
- Wechseln Sie zu Azure-Richtlinien für den bedingten Zugriff.
- Klicken Sie auf dem Blatt Bedingter Zugriff | Richtlinien auf Neue Richtlinie.
- Geben Sie im Feld Name einen Namen ein.
- Wählen Sie den Link Benutzer aus.
- Wählen Sie Benutzer und Gruppen auswählen und dann das Kontrollkästchen Gast oder externe Benutzer aus.
- Wählen Sie in der Dropdownliste Gastbenutzer für B2B-Zusammenarbeit und B2B-Zusammenarbeitsmitgliedsbenutzer aus.
- Wählen Sie den Link Cloud-Apps oder -Aktionen aus.
- Wählen Sie auf der Registerkarte Einschließen die Option Alle Cloud-Apps aus.
- Wählen Sie den Link Gewähren aus.
- Aktivieren Sie auf dem Blatt Gewähren das Kontrollkästchen Mehrstufige Authentifizierung erforderlich, und klicken Sie dann auf Auswählen.
- Klicken Sie unter Richtlinie aktivieren auf Ein und dann auf Erstellen.
Nun müssen sich Gäste über die mehrstufige Authentifizierung anmelden, bevor sie auf freigegebene Inhalte, Websites oder Teams zugreifen können.
Weitere Informationen
Planen einer Azure AD-Bereitstellung mit Multi-Faktor-Authentifizierung
Erstellen von Nutzungsbedingungen für Gäste
In einigen Situationen könnten Gäste keine Geheimhaltungsvereinbarung oder andere rechtliche Vereinbarungen mit Ihrer Organisation unterzeichnet haben. Sie können festlegen, dass Gäste Ihren Nutzungsbedingungen zustimmen müssen, bevor sie auf für sie freigegebene Dateien zugreifen können. Diese Nutzungsbedingungen können angezeigt werden, wenn ein Gast zum ersten Mal versucht, auf eine freigegebene Datei oder Website zuzugreifen.
Wenn Sie Nutzungsbedingungen erstellen möchten, müssen Sie das entsprechende Dokument zuerst in Word oder einem anderen Dokumenterstellungsprogramm erstellen, und es dann als PDF-Datei speichern. Diese Datei kann dann in Azure AD hochgeladen werden.
So richten Sie Azure AD-Nutzungsbedingungen ein
Melden Sie sich bei Azure als globaler Administrator, Sicherheitsadministrator oder Administrator für bedingten Zugriff an.
Navigieren Sie zu Nutzungsbedingungen.
Klicken Sie auf Neue Bedingungen.
Geben Sie einen Namen ein.
Navigieren Sie für das Dokument mit Nutzungsbedingungen zu der PDF-Datei, die Sie zuvor erstellt haben, und wählen Sie sie aus.
Wählen Sie die Sprache für Ihr Dokument mit Nutzungsbedingungen aus.
Geben Sie einen Anzeigenamen ein.
Wählen Sie für Benutzer müssen die Nutzungsbedingungen erweitern die Option Ein aus.
Wählen Sie unter Bedingter Zugriff in der Liste Mit Richtlinienvorlage für bedingten Zugriff erzwingen die Option Richtlinie für bedingten Zugriff später erstellen aus.
Klicken Sie auf Erstellen.
Nachdem Sie die Nutzungsbedingungen erstellt haben, besteht der nächste Schritt darin, eine Richtlinie für den bedingten Zugriff zu erstellen, welche Gäste diese Nutzungsbedingungen anzeigt.
So erstellen Sie eine Richtlinie für bedingten Zugriff
- Wechseln Sie zu Azure-Richtlinien für den bedingten Zugriff.
- Klicken Sie auf dem Blatt Bedingter Zugriff | Richtlinien auf Neue Richtlinie.
- Geben Sie im Feld Name einen Namen ein.
- Wählen Sie den Link Benutzer aus.
- Wählen Sie Benutzer und Gruppen auswählen und dann das Kontrollkästchen Gast oder externe Benutzer aus.
- Wählen Sie in der Dropdownliste Gastbenutzer für B2B-Zusammenarbeit und B2B-Zusammenarbeitsmitgliedsbenutzer aus.
- Wählen Sie den Link Cloud-Apps oder -Aktionen aus.
- Wählen Sie auf der Registerkarte Einschließen die Option Apps auswählen aus, und klicken Sie dann auf den Link Auswählen.
- Wählen Sie auf dem Blatt Auswählen Office 365 aus, und klicken Sie dann auf Auswählen.
- Wählen Sie den Link Gewähren aus.
- Wählen Sie auf dem Blatt Gewähren die Option Gast-Nutzungsbedingungen aus, und klicken Sie dann auf Auswählen.
- Klicken Sie unter Richtlinie aktivieren auf Ein und dann auf Erstellen.
Wenn Gäste nun das erste Mal versuchen, auf Inhalte, ein Team oder eine Website in Ihrer Organisation zuzugreifen, müssen sie zunächst den Nutzungsbedingungen zustimmen.
Hinweis
Die Verwendung des bedingten Zugriffs erfordert eine Azure AD Premium P1-Lizenz. Weitere Informationen finden Sie unter Was bedeutet bedingter Zugriff.
Weitere Informationen
Azure Active Directory Nutzungsbedingungen
Einrichten von Gastzugriff-Überprüfungen
Mithilfe der Zugriffsüberprüfung in Azure AD können Sie eine regelmäßige Überprüfung des Benutzerzugriffs auf verschiedene Teams und Gruppen automatisieren. Durch das Festlegen einer Zugriffsüberprüfung speziell für Gäste können Sie sicherstellen, dass Gäste nicht länger als erforderlich auf vertrauliche Informationen Ihrer Organisation zugreifen können.
So richten Sie eine Gastzugriffüberprüfung ein
Klicken Sie auf der Seite Identity Governance im linken Menü auf Zugriffsüberprüfungen.
Klicken Sie auf Neue Zugriffsüberprüfung.
Wählen Sie die Option Teams + Gruppen aus.
Wählen Sie die Option Alle Microsoft 365-Gruppen mit Gastbenutzern aus. Klicken Sie auf Auszuschließende Gruppe(n) auswählen, wenn Sie bestimmte Gruppen ausschließen möchten.
Wählen Sie die Option Nur Gastbenutzer aus, und klicken Sie dann auf Weiter: Überprüfungen.
Wählen Sie unter Prüfer auswählen die Option Gruppenbesitzer aus.
Klicken Sie auf Fallbackprüfer auswählen, wählen Sie die Fallbackprüfer aus, und klicken Sie dann auf Auswählen.
Wählen Sie eine Dauer (in Tagen) für die Überprüfung aus, die für Kommentare geöffnet ist.
Wählen Sie unter Wiederholung der Überprüfung festlegen die Option Vierteljährlich aus.
Wählen Sie ein Startdatum und die Dauer aus.
Wählen Sie für Ende die Option Nie aus, und klicken Sie dann auf Weiter: Einstellungen.
Überprüfen Sie auf der Registerkarte Einstellungen die Einstellungen auf Übereinstimmung mit Ihren Geschäftsregeln.
Klicken Sie auf Weiter: Überprüfen + erstellen.
Geben Sie einen Überprüfungsnamen ein, und überprüfen Sie die Einstellungen.
Klicken Sie auf Erstellen.
Weitere Informationen
Verwalten des Gastzugriffs mit Azure AD-Zugriffsüberprüfungen
Erstellen einer Zugriffsüberprüfung von Gruppen oder Anwendungen in Azure AD-Zugriffsüberprüfungen
Einrichten des reinen Webzugriffs für Gäste mit nicht verwalteten Geräten
Wenn Ihre Gäste Geräte verwenden, die nicht von Ihrer Organisation oder einer anderen Organisation verwaltet werden, mit der Sie eine Vertrauensstellung haben, können Sie verlangen, dass sie nur über einen Webbrowser auf Ihre Teams, Websites und Dateien zugreifen. Dies verringert die Wahrscheinlichkeit, dass vertrauliche Dateien heruntergeladen und auf einem nicht verwalteten Gerät gespeichert werden. Dies ist auch bei der Freigabe mit Umgebungen hilfreich, die freigegebene Geräte verwenden.
Für Microsoft 365-Gruppen und Microsoft Teams erfolgt dies über eine Azure AD-Richtlinie für bedingten Zugriff. Für SharePoint wird dies im SharePoint Admin Center konfiguriert. (Sie können auch Vertraulichkeitsbezeichnungen verwenden, um den Gastzugriff auf reinen Webzugriff zu beschränken.)
So beschränken Sie den Gastzugriff auf reinen Webzugriff für Gruppen und Teams:
Wechseln Sie zu Azure-Richtlinien für den bedingten Zugriff.
Klicken Sie auf Neue Richtlinie.
Geben Sie im Feld Name einen Namen ein.
Klicken Sie auf den Link Benutzer .
Wählen Sie Benutzer und Gruppen auswählen und dann das Kontrollkästchen Gast oder externe Benutzer aus.
Wählen Sie in der Dropdownliste Gastbenutzer für B2B-Zusammenarbeit und B2B-Zusammenarbeitsmitgliedsbenutzer aus.
Klicken Sie auf den Link Cloud-Apps oder -Aktionen .
Wählen Sie auf der Registerkarte Einschließen die Option Apps auswählen aus, und klicken Sie dann auf den Link Auswählen.
Wählen Sie auf dem Blatt Auswählen die Option Office 365 aus, und klicken Sie dann auf Auswählen.
Klicken Sie auf den Link Bedingungen .
Klicken Sie auf dem Blatt Bedingungen auf den Link Client-Apps .
Klicken Sie auf dem Blatt Client-Apps auf Ja bei Konfigurieren, und wählen Sie dann die Einstellungen Mobile Apps und Desktopclients, Exchange ActiveSync-Clients und Andere Clients aus. Deaktivieren Sie das Kontrollkästchen Browser.
Klicken Sie auf Fertig.
Klicken Sie auf den Link Gewähren .
Wählen Sie auf dem Blatt Gewähren die Optionen Markierung des Geräts als konform erforderlich und In Azure AD Hybrid eingebundenes Gerät erforderlich.
Wählen Sie unter Für mehrere Steuerelemente die Option Eines der ausgewählten Steuerelemente erforderlich, und klicken Sie dann auf Auswählen.
Klicken Sie unter Richtlinie aktivieren auf Ein und dann auf Erstellen.
Weitere Informationen
Zugriffssteuerungen für nicht verwaltete SharePoint- und OneDrive-Geräte für Administratoren
Konfigurieren Sie eine Richtlinie für Sitzungstimeout für Gäste.
Die Bedingung der regelmäßigen Authentifizierung von Gästen kann die Wahrscheinlichkeit verringern, dass unbekannte Benutzer auf die Inhalte Ihrer Organisation zugreifen können, wenn das Gerät eines Gasts nicht sicher verwahrt wird oder geschützt ist. Sie können eine Richtlinie für bedingten Zugriff und Sitzungstimeouts für Gäste in Azure AD konfigurieren.
So konfigurieren Sie eine Sitzungstimeout-Richtlinie für Gäste
- Wechseln Sie zu Azure-Richtlinien für den bedingten Zugriff.
- Klicken Sie auf Neue Richtlinie.
- Geben Sie im Feld Name die Bezeichnung Gast-Sitzungstimeout ein.
- Klicken Sie auf den Link Benutzer .
- Wählen Sie Benutzer und Gruppen auswählen und dann das Kontrollkästchen Gast oder externe Benutzer aus.
- Wählen Sie in der Dropdownliste Gastbenutzer für B2B-Zusammenarbeit und B2B-Zusammenarbeitsmitgliedsbenutzer aus.
- Klicken Sie auf den Link Cloud-Apps oder -Aktionen .
- Wählen Sie auf der Registerkarte Einschließen die Option Apps auswählen aus, und klicken Sie dann auf den Link Auswählen.
- Wählen Sie auf dem Blatt Auswählen die Option Office 365 aus, und klicken Sie dann auf Auswählen.
- Klicken Sie auf den Link Sitzung .
- Wählen Sie auf dem Blatt Sitzung die Option Anmeldehäufigkeit aus.
- Wählen Sie 1 und Tage für den Zeitraum aus, und klicken Sie dann auf Auswählen.
- Klicken Sie unter Richtlinie aktivieren auf Ein und dann auf Erstellen.
Erstellen Sie einen Typ sensibler Informationen für ein streng vertrauliches Projekt
Vertrauliche Informationstypen sind vordefinierte Zeichenfolgen, die in Richtlinienworkflows verwendet werden können, um Compliance-Anforderungen durchzusetzen. Das Microsoft Purview-Complianceportal enthält mehr als hundert vertrauliche Informationstypen, einschließlich Führerscheinnummern, Kreditkartennummern, Bankkontonummern usw.
Sie können benutzerdefinierte vertrauliche Informationstypen erstellen, um für Ihre Organisation spezifische Inhalte zu verwalten. Im folgenden Beispiel erstellen wir einen vertraulichen Informationstyp für ein streng vertrauliches Projekt. Diesen vertraulichen Informationstyp können wir dann verwenden, um automatisch eine Vertraulichkeitsbezeichnung anzuwenden.
So erstellen Sie einen vertraulichen Informationstyp
- Wählen Sie im Microsoft Purview-Complianceportal im linken Navigationsbereich Datenklassifizierung und dann die Registerkarte Typen vertraulicher Informationen aus.
- Klicken Sie auf Vertraulichen Informationstyp erstellen.
- Geben Sie unter Name und Beschreibung den Projektnamen Projekt Saturn ein, und klicken Sie aufWeiter.
- Wählen Sie Muster erstellen aus.
- Wählen Sie im Bereich Neues Muster die Option Primäres Element hinzufügen und dann Schlüsselwortliste aus.
- Geben Sie eine ID ein, z. B. Project Saturn.
- Geben Sie im Feld Groß-/Kleinschreibung nicht den Namen Projekt Saturn, Saturn ein, und wählen Sie dann Fertig aus.
- Wählen Sie Erstellen und dann Weiter aus.
- Wählen Sie eine Zuverlässigkeitsstufe und dann Weiter aus.
- Wählen Sie Erstellen aus.
- Wählen Sie Fertig aus.
Weitere Informationen finden Sie unter Benutzerdefinierte Typen vertraulicher Informationen.
Erstellen einer Richtlinie für die automatische Bezeichnung zum Zuweisen einer Vertraulichkeitsbezeichnung auf der Grundlage eines vertraulichen Informationstyps
Wenn Sie in Ihrer Organisation Vertraulichkeitsbezeichnungen verwenden, können Sie festlegen, dass Dateien, die definierte vertrauliche Informationstypen enthalten, automatisch mit einer Bezeichnung versehen werden.
So erstellen Sie eine neue Richtlinie für die automatische Bezeichnung
- Öffnen Sie das Microsoft Purview Admin Center.
- Klicken Sie im linken Navigationsbereich auf Schutz von Daten.
- Klicken Sie auf der Registerkarte Automatische Bezeichnung auf Richtlinie für die automatischen Bezeichnung erstellen.
- Wählen Sie auf der Seite Informationen auswählen, auf die diese Bezeichnung angewendet werden soll die Option Benutzerdefiniert aus, und klicken Sie dann auf Benutzerdefinierte Richtlinie.
- Klicken Sie auf Weiter.
- Geben Sie einen Namen und eine Beschreibung für die Richtlinie ein, und klicken Sie auf Weiter.
- Aktivieren Sie auf der Seite Speicherorte auswählen, auf die Sie die Bezeichnung angewendet werden soll, aktivieren Sie SharePoint-Websites, und klicken Sie auf Websites auswählen.
- Fügen Sie die URLs der Websites hinzu, für die die automatische Bezeichnung aktiviert werden soll, und klicken Sie dann auf Fertig.
- Klicken Sie auf Weiter.
- Wählen Sie auf der Seite Allgemeine oder erweiterte Regeln einrichten die Option Allgemeine Regeln aus, und klicken Sie auf Weiter.
- Klicken Sie auf der Seite Regeln für Inhalte in allen Speicherorten definieren die Option Neue Regel.
- Geben Sie auf der Seite Neue Regel einen Namen für die Regel, klicken Sie auf Bedingung hinzufügen, und klicken Sie dann auf Inhalt enthält.
- Klicken Sie auf Hinzufügen, klicken Sie auf Typen vertraulicher Informationen, wählen Sie die zu verwendenden vertraulichen Informationstypen aus, klicken Sie auf Hinzufügen und dann auf Speichern.
- Klicken Sie auf Weiter.
- Klicken Sie auf Bezeichnung auswählen, wählen Sie die zu verwendende Bezeichnung aus, und klicken Sie dann auf Hinzufügen.
- Klicken Sie auf Weiter.
- Belassen Sie die Richtlinie im Simulationsmodus, und wählen Sie aus, ob sie automatisch aktiviert werden soll.
- Klicken Sie auf Weiter.
- Klicken Sie auf Richtlinie erstellen und dann auf Fertig.
Wenn ein Benutzer bei aktivierter Richtlinie "Projekt Saturn" in ein Dokument eingibt, wird die Richtlinie beim Überprüfen dieser Datei automatisch die angegebene Bezeichnung darauf anwenden.
Weitere Informationen finden Sie unter Automatische Anwendung einer Vertraulichkeitsbezeichnung auf Inhalte.
Erstellen einer DLP-Richtlinie zum Entfernen des Gastzugriffs auf streng vertrauliche Dateien
Sie können Microsoft Purview Data Loss Prevention (DLP)verwenden, um die unerwünschte Freigabe vertraulicher Inhalte durch Gäste zu verhindern. Eine DLP-Richtlinie kann basierend auf der Vertraulichkeitsbezeichnung einer Datei Maßnahmen ergreifen und den Gastzugriff entfernen.
So erstellen Sie eine DLP-Regel
Wechseln Sie im Microsoft Purview Admin Center zur Seite Verhinderung von Datenverlust.
Klicken Sie auf der Registerkarte Richtlinien auf Richtlinie erstellen.
Wählen Sie Benutzerdefiniert und dann Benutzerdefinierte Richtlinie aus.
Klicken Sie auf Weiter.
Geben Sie einen Namen für die Richtlinie ein, und klicken Sie auf Weiter.
Deaktivieren Sie auf der Seite Speicherorte, an denen die Richtlinie angewendet werden soll alle Einstellungen außer SharePoint-Websites und OneDrive-Konten, und klicken Sie dann auf Weiter.
Klicken Sie auf der Seite Richtlinieneinstellungen definieren auf Weiter.
Klicken Sie auf der Seite Erweiterte DLP-Regeln anpassen auf Regel erstellen, und geben Sie einen Namen für die Regel ein.
Klicken Sie unter Bedingungen auf Bedingung hinzufügen, und wählen Sie Inhalt wird von Microsoft 365 freigegeben aus.
Wählen Sie in der Dropdownliste mit Personen außerhalb meiner Organisation aus.
Klicken Sie unter Bedingungen auf Bedingung hinzufügen, und wählen Sie Inhalt enthält aus.
Klicken Sie auf Hinzufügen, wählen Sie Vertraulichkeitsbezeichnungen und dann die zu verwendenden Bezeichnungen aus, und klicken Sie anschließend auf Hinzufügen.
Klicken Sie unter Aktionen auf Aktion hinzufügen, und wählen Sie Zugriff auf Inhalte in Microsoft 365-Speicherorten einschränken oder diese verschlüsseln.
Aktivieren Sie das Kontrollkästchen Zugriff einschränken oder Inhalte an Microsoft 365-Speicherorten verschlüsseln , und wählen Sie dann die Option Nur Personen außerhalb Ihrer Organisation blockieren aus.
Aktivieren Sie Benutzerbenachrichtigungen, und aktivieren Sie dann das Kontrollkästchen Benutzer in Office 365 Dienst mit einem Richtlinientipp benachrichtigen.
Klicken Sie auf Speichern und dann auf Weiter.
Wählen Sie die gewünschten Testoptionen aus, und klicken Sie auf Weiter.
Klicken Sie auf Absenden und anschließend auf Fertig.
Wichtig: Diese Richtlinie entfernt nicht den Zugriff für Gäste, die Mitglieder der Website oder des Teams als Ganzes sind. Wenn Sie planen, hochsensible Dokumente in einer Website oder einem Team mit Gastmitgliedern zu haben, sollten Sie die folgenden Optionen in Betracht ziehen:
- Verwenden Sie private Kanäle, und lassen Sie nur Mitglieder Ihrer Organisation in den privaten Kanälen zu.
- Verwenden Sie freigegebene Kanäle, um mit Personen außerhalb Ihrer Organisation zusammenzuarbeiten, während nur Personen aus Ihrer Organisation im Team selbst vorhanden sind.
Weitere Optionen
Es gibt einige zusätzliche Optionen in Microsoft 365 und Azure Active Directory, mit denen Sie Ihre Gastfreigabeumgebung sicherer machen können.
- Sie können eine Liste der zulässigen bzw. blockierten Freigabedomänen erstellen, um zu begrenzen, an wen Benutzer Inhalte freigeben können. Weitere Informationen hierzu finden Sie unter Einschränken der Freigabe von SharePoint- und OneDrive-Inhalten nach Domänen und Zulassen oder Blockieren von Einladungen an B2B-Benutzer aus bestimmten Organisationen.
- Sie können einschränken, mit welchen anderen Azure Active Directory-Mandanten sich Ihre Benutzer verbinden können. Weitere Informationen finden Sie unter Verwenden von Mandanteneinschränkungen zur Verwaltung des Zugriffs auf SaaS-Anwendungen.
- Sie können eine verwaltete Umgebung erstellen, in der Partner beim Verwalten von Gastkonten helfen können. Informationen hierzu finden Sie unter Erstellen eines B2B-Extranets mit verwalteten Gästen.
Siehe auch
Einschränken des Risikos der versehentlichen Gefährdung von Dateien bei der Freigabe für Gäste
Bewährte Methoden zum Freigeben von Dateien und Ordnern für nicht authentifizierte Benutzer