SharePoint Zugriff verwalten: Warum externe Partner jetzt vor verschlossenen Dateien stehen

• Microsoft schaltet die Anmeldung per SharePoint-Einmalcode (SPO OTP) für externe Freigaben in SharePoint und OneDrive im Oktober 2026 ab, der Vorgang soll bis zum 31. Oktober 2026 abgeschlossen sein.
• Externe Empfänger, die nur über den alten Einmalcode auf Dateien zugegriffen haben und kein Gastkonto in Microsoft Entra ID besitzen, erhalten bei bestehenden Links die Meldung „Zugriff verweigert“.
• Den Zugriff stellen Sie wieder her, indem Sie für die E-Mail-Adresse ein Gastkonto anlegen oder ein einziges Element erneut freigeben, danach gelten alle früheren Freigaben wieder.
• Links für „Jeder“ sowie bestehende Gäste in Microsoft Teams und auf SharePoint-Websites sind von der Umstellung nicht betroffen.
• Für Gäste gelten künftig die Einstellungen für externe Zusammenarbeit und die Conditional Access Richtlinien aus Microsoft Entra ID, deshalb sollten Unternehmen diese jetzt prüfen.

Wer in Microsoft 365 den SharePoint Zugriff verwalten muss, hat in diesen Tagen ein dringendes Thema auf dem Tisch: Microsoft schaltet die Anmeldung per SharePoint-Einmalcode (SharePoint One-Time Passcode, kurz SPO OTP) für externe Freigaben ab. Die Abschaltung hat am 1. Oktober 2026 begonnen und soll laut Microsoft bis zum 31. Oktober 2026 abgeschlossen sein. Ein Opt-out oder einen selbst gewählten Termin gibt es nicht.

Bisher reichte es, eine Datei oder einen Ordner per Link für „Bestimmte Personen“ an eine externe E-Mail-Adresse zu senden. Der Empfänger bekam einen Code per E-Mail, gab ihn ein und hatte Zugriff. Dabei entstand nur eine SharePoint-interne Identität, die in Microsoft Entra ID gar nicht sichtbar war. Seit Mai und Juni 2026 legt jede neue externe Freigabe stattdessen automatisch ein Gastkonto in Microsoft Entra ID an (Microsoft Entra B2B). Mit dem Oktober fällt nun auch der alte Weg für bestehende Links weg.

Betroffen sind externe Empfänger, die ausschließlich über den alten Einmalcode auf Dateien oder Ordner zugegriffen haben und für die es kein Gastkonto mit derselben E-Mail-Adresse gibt. Sie sehen beim Öffnen eines alten Links nur noch „Zugriff verweigert“. Eine automatische Benachrichtigung an Ihre Mitarbeiter oder an die Partner gibt es nicht.

Nicht betroffen sind:

• externe Personen, die bereits ein Gastkonto haben, etwa weil sie in ein Team eingeladen oder auf eine ganze SharePoint-Website eingeladen wurden,
• Links für „Jeder“, weil dabei gar keine Identität geprüft wird,
• Gäste in Microsoft Teams, die schon immer über Microsoft Entra B2B angebunden waren.

Wichtig für die Praxis: Die Meldung kommt oft nicht sofort. Typisch sind Partner, die nur einmal im Jahr auf einen Ordner zugreifen, etwa Wirtschaftsprüfer, Steuerberater oder Lieferanten bei der jährlichen Preisrunde. Sie stehen erst Monate später vor der verschlossenen Datei.

Die Lösung ist einfach, wenn Sie wissen, wen es trifft. Es gibt zwei Wege:

1. Ein Administrator mit der Rolle Gasteinladender oder Benutzeradministrator legt in Microsoft Entra ID ein Gastkonto mit derselben E-Mail-Adresse an.
2. Ein interner Mitarbeiter gibt mindestens eine Datei, einen Ordner oder eine Website erneut für diese E-Mail-Adresse frei. Dabei entsteht das Gastkonto automatisch.

In beiden Fällen gilt das neue Gastkonto für alle früheren Freigaben an diese Adresse, nicht nur für das neu geteilte Element.

Auch der Code per E-Mail verschwindet für Ihre Partner nicht ganz. Microsoft Entra ID bietet weiterhin die Anmeldung per Einmalcode für Gäste an, die weder ein Geschäftskonto noch ein Microsoft-Konto haben. Der Unterschied: Der Code kommt jetzt aus Microsoft Entra ID, er ist an ein Gastkonto in Ihrem Verzeichnis gebunden, und Ihre Sicherheitsrichtlinien greifen.

Mit der Umstellung gelten die Einstellungen für externe Zusammenarbeit aus Microsoft Entra ID für jede Datei- und Ordnerfreigabe. Drei Punkte führen in der Praxis schnell zu Supportanfragen:

• Wer darf Gäste einladen? Ist das Einladen von Gästen auf Administratoren oder die Rolle Gasteinladender beschränkt, können normale Mitarbeiter Dateien nicht mehr mit neuen externen Adressen teilen. Sie erhalten dann nur die Meldung, dass der Link nicht abgerufen werden kann.
• Einmalcode per E-Mail in Microsoft Entra ID: Diese Option sollte aktiv bleiben, wenn Sie mit Partnern ohne Microsoft-Konto arbeiten. Sonst müssen diese erst ein Microsoft-Konto anlegen.
• Zwei Domänenlisten: Die Zulassungs- oder Sperrliste für Domänen in Microsoft Entra ID gilt jetzt zusätzlich zur Domäneneinschränkung in SharePoint. Ist Microsoft Entra ID strenger, gewinnt Microsoft Entra ID.

Dazu kommt ein Sicherheitsgewinn: Gäste fallen jetzt unter Ihre Conditional Access Richtlinien. Verlangen Sie für Gäste eine Multi-Faktor-Authentifizierung, muss ein externer Empfänger ohne eigenes Microsoft-Konto beim ersten Öffnen eine Anmeldemethode in Ihrem Tenant registrieren. Weisen Sie Ihre Mitarbeiter darauf hin, dass der erste Zugriff für Partner etwas länger dauert.

Microsoft nennt zwei Wege, um die betroffenen Personen zu ermitteln:

• Freigabebericht der Website: Für jede SharePoint-Website und jedes OneDrive lässt sich unter der Websitenutzung ein Bericht über externe Freigaben als CSV-Datei erstellen. Darin stehen alle externen Adressen, die Sie mit den Gastkonten in Microsoft Entra ID abgleichen. Bei wenigen Websites funktioniert das gut, bei hunderten Websites wird es mühsam.
• Überwachungsprotokoll in Microsoft Purview: Anmeldungen über den alten SharePoint-Einmalcode werden mit dem Vorgang EmailAuthOTPAuthenticationSucceeded protokolliert. Die Suche über die letzten 180 Tage zeigt, welche externen Empfänger Ihre Dateien noch aktiv nutzen. Das ist die Liste, um die Sie sich zuerst kümmern sollten.

Für alle aktiven Empfänger legen Sie vorab ein Gastkonto an. Wer keinen Zugriff mehr braucht, verliert ihn mit der Abschaltung ohnehin. Das ist oft sogar gewünscht, denn alte Freigaben an ehemalige Partner sind ein typisches Risiko in gewachsenen Tenants.

Die Abschaltung des SharePoint-Einmalcodes ist kein reines Technikthema. Sie zwingt Unternehmen, sich anzusehen, wer von außen auf welche Daten zugreift. Genau das sollte ohnehin regelmäßig passieren, spätestens wenn Microsoft 365 Copilot im Unternehmen eingeführt wird oder NIS2 gilt.

Wir empfehlen deshalb drei Schritte noch im Oktober:

1. Testen Sie eine neue externe Freigabe und prüfen Sie, ob das Gastkonto in Microsoft Entra ID erscheint.
2. Ermitteln Sie über das Purview-Protokoll die aktiven externen Empfänger und legen Sie für sie Gastkonten an.
3. Informieren Sie Ihren Helpdesk und Ihre Mitarbeiter: Bei „Zugriff verweigert“ reicht in der Regel eine erneute Freigabe.

Die InSys AG^® ist Microsoft Solutions Partner für Security und Microsoft Direct CSP, Kunden lizenzieren über die InSys AG^® mehr als 80.000 Microsoft 365 Lizenzen. Im Microsoft Tenant Sicherheitscheck prüfen wir unter anderem die Einstellungen für Gäste und externe Zusammenarbeit in Microsoft Entra ID. Wenn Sie SharePoint grundsätzlich neu strukturieren möchten, unterstützt Sie unsere SharePoint Beratung. Einen Überblick über alle Leistungen finden Sie auf der Seite Microsoft 365 Partner für Security und Lizenzen.