Microsoft hat überraschend und mit ungewöhnlich kurzem Vorlauf eine erhebliche Änderung im Umgang mit Konzepten für das Teilen von Daten mit externen Geschäftspartnern/Gästen in den Produkten Teams, OneDrive for Business und SharePoint Online (SPO) angekündigt. Diese befindet sich bereits in der aktiven Umsetzung und Rollout in allen weltweiten M365 Tenants.

Bislang war es recht einfach, Ordner oder Dokumente in den genannten Tools mit externen Gästen zu teilen, wenn die Richtlinien in der Organisation dies zuließen. Über einen Rechtsklick konnte eine Datei nicht nur innerhalb des Tenants geteilt werden, sondern auch mit einer externen Mailadresse. Für den sicheren Zugriff wurde dann eine Mail mit einem Einmalpassword an diesen Gast geschickt.

https://learn.microsoft.com/en-us/entra/external-id/one-time-passcode

Diese gewohnte Methode zum Teilen von Dateien über die O365 Onlineplattform außerhalb der eigenen Mitarbeitenden unterliegt jetzt einem abgewandelten Technologiekonzept. Im Extremfall kann es auch zunächst erst einmal überhaupt nicht funktionieren - insbesondere bei Tenants, deren Basiseinstellungen nach europäischen Datenschutzkonzepten einer gewissen Basishärtung unterworfen wurden. Dies gilt in beiden Fällen selbst für bereits in der Vergangenheit autorisierte Zusammenarbeitsszenarien.

Konkret wurde die Methode der Email-basierten Einmalcodebereitstellung an Personen außerhalb der eigenen Organisationsstruktur abgelöst durch eine Zwangsumrüstung auf Entra ID B2B-Gästekontenrollout.

Aus Managementsicht handelt es sich daher nicht nur um eine technische Produktänderung, sondern um ein Risiko für Zusammenarbeit, Informationssicherheit, Datenschutz und Betriebsstabilität.

Microsoft kommuniziert diese Änderungen und Timelines wie folgt:

·         SPO OTP authentication will retire beginning July 2026.

·         The option to disable Entra B2B integration will be removed.

Impact on external users

·         External users who already have an Entra B2B guest account in your directory:

·         No change in behavior.

·         External users without a B2B guest account:

·         Specific people links shared after changes rolled out to your tenant:

o    A guest account will be automatically created via the Entra B2B Invitation Manager.

o    Authentication will use Entra B2B (email OTP available if enabled).

·         Specific people links shared before changes rolled out to your tenant:

o    SPO OTP authentication continues until July 2026.

o    After July 2026, these users will receive access denied until a matching B2B guest account exists.

Details zur Funktionsänderung

·         https://mc.merill.net/message/MC1243549

·         (https://admin.cloud.microsoft/?#/MessageCenter/:/messages/MC1243549
nur nach Anmeldung mit entsprechenden Rechten im MS Admin Center zur Verwaltung des Tenants)

Betroffene Produkte

·         Microsoft SharePoint Online

·         Microsoft OneDrive for Business

·         Microsoft Teams

Was passiert, wenn wir nichts tun?

Risiko	Beschreibung	Priorität
Produktivitätsverlust	Externe Zusammenarbeit kann kurzfristig blockiert werden.	Hoch
Unkontrollierte Gastkonten	Automatisierte Gastanlage ohne Governance kann Transparenz und Kontrolle reduzieren.	Hoch
Conditional-Access-Lücken	Bestehende Sicherheitsregeln berücksichtigen neue Gastzugriffe ggf. nicht ausreichend.	Hoch
Audit- und Datenschutzfragen	Freigaben, Genehmigungen und Verantwortlichkeiten müssen nachvollziehbar sein.	Mittel bis hoch

Was ist zu tun?

Neben grundsätzlichen Aspekten zur Konfiguration und ggf. Freischaltung bzw. Aufrechterhaltung der Funktionalität wirft das neue Konzept auch Fragen zur Gästeverwaltung und zu Auswirkungen auf vorhandene Conditional Access Regelwerke auf. Selbst wenn in Ihrem Tenant aufgrund von “unglücklichen Defaulteinstellungen” keine direkte praktische Einschränkung auffällt, besteht dann ein gewisses Risiko von ungewollten neuen Lücken in Ihrem Zugriffs- und Sicherheitskonzept. Im offensichtlicheren Fall berichten Ihnen Ihre Mitarbeitenden, dass die Dateifreigaben an Externe mit Fehlermeldungen fehlschlagen und/oder Sharing-Betriebsabläufe mit Externen aus dem Nichts heraus auf einmal nicht mehr funktionieren.

Mit ausschließlichem Einsatz von Bordmitteln in Entra ID lässt sich nach unserer Meinung keine akzeptable Konfiguration erzielen.

Obwohl es sich nicht um ein “traditionelles CVE-Ereignis” handelt, sind die Konsequenzen der Funktionsänderung und dem Umgang mit vorhandenen Sicherheitskonzepten, welche diesen Anwendungsfall naturgemäß vorab nicht berücksichtigen konnten, weitreichend und bedeutsam.

Die gute Nachricht: Wir als braincon sind von dieser Maßnahme natürlich ebenfalls betroffen.
Daher haben wir haben unsere Prozesse und Werkzeuge angepasst, neu verprobt und haben daraus ein mehrstufiges Lösungskonzept für Sie erarbeitet, welches wir Ihnen gerne anbieten möchten:

• Beratung zur Entra-ID-Tenantkonfiguration und zu sicheren Grundeinstellungen
  Analyse von sinnvollen Grundeinstellungen Ihres Tenants mit Blick auf die europäische Datenschutznorm.
• Governance-Konzept für externe Benutzer und Gastkonten
  Beratungspaket zum Umgang mit Externen-/Gastkonten in dem Umfang, wie es nunmehr für Teams, OneDrive for Business und SharePoint Online geboten ist (EntraID Tenantkonfiguration)
• Self-Service-Workflows mit Genehmigungsstufen für SharePoint Online und OneDrive for Business
  Workflow- und Automationslösung zum professionellen Umgang mit Externenkonzepten für OneDrive for Business und SharePoint Online im SelfService-Verfahren mit integrierten Genehmigungsstufen (Office 365 Automation und Workflows).
• Self-Service-Workflows für Microsoft Teams und teamübergreifende Zusammenarbeit
  Workflow- und Automationslösung zum professionellen Umgang mit Zusammenarbeitskonzepten in Microsoft Teams im SelfService-Verfahren mit integrierten Genehmigungsstufen (Office 365 Automation und Workflows). Dieses Modul stützt insbesondere den Umgang mit OneDrive for Business und SharePoint Online (Nutzung einer gemeinsamen Informations- und Konfigurationsbasis).
• Prüfung und Anpassung von Conditional-Access-Regeln
  Beratungs- und Konfigurationsmaßnahmen zur notwendigen Ertüchtigung Ihres Conditional Access Regelwerkes und der resultierenden Schutzmaßnahmen zur Verhinderung von Datenabfluss an externe Geschäftspartner außerhalb der autorisierten Office 365 Sharingprodukte.
• Security-Review des Entra-ID-Tenants inklusive teilautomatisierter Analyse der Regelwerke
  Erstellung eines Security-Reports, einmalig oder regelmäßig als Managed Service.

Bei den beschriebenen Maßnahmen handelt es sich natürlich um zeitintensive Vorgänge, die trotz der Dringlichkeit ausreichend Planungsvorlauf benötigen. Wenden Sie sich bitte an Ihre Vertriebsansprechpartner (alternativ via vertrieb@braincon.de) bei uns im Haus, um ein entsprechendes Maßnahmenpaket zu vereinbaren. Aufgrund der technischen Komplexität können unsere Experten keine AdHoc-Hilfestellung anbieten, damit wir anschließende Funktionsprobleme ausschließen können.