Identity Lifecycle · Gäste
Gastkonten: Wer eingeladen wird, muss auch wieder gehen
Partner, Dienstleister, Beraterinnen: Externe arbeiten in Teams, SharePoint und Ihren Anwendungen mit – über Gastkonten in Microsoft Entra ID. Für Mitarbeitende endet der Zugang mit dem Austritt. Für Gäste gibt es keinen Austritt. Wir helfen Ihnen, Regeln einzurichten, nach denen jedes Gastkonto einen Zweck, eine verantwortliche Person und ein Ende hat.
Das Problem
Ein Gastkonto hat keinen Austrittstermin.
Bei Mitarbeitenden löst das Personalsystem den Austritt aus. Bei Gästen meldet niemand, dass ein Projekt vorbei ist. Microsoft beschreibt genau das: Die Zusammenarbeit ist oft nicht klar befristet, deshalb ist nicht offensichtlich, wann ein Gast keinen Zugriff mehr braucht. Das Ende muss deshalb schon bei der Einladung angelegt werden.
Wege ins Verzeichnis
Wie Gäste in Ihr Verzeichnis kommen
Gastkonten entstehen auf mehreren Wegen – und nicht immer durch die IT:
- Einladung: über Teams, eine Microsoft-365-Gruppe oder das Entra Admin Center. Standardmäßig darf jede Person im Unternehmen Gäste einladen – auch Gäste selbst.
- Freigabe: Wer eine SharePoint-Website oder – bei aktivierter B2B-Integration – eine Datei für eine externe Person freigibt, legt laut Microsoft ein Gastkonto an.
- Zugriffspaket: Externe beantragen über einen Link ein Paket aus Gruppen, Teams und Websites; nach Genehmigung legt die Berechtigungsverwaltung das Gastkonto an – mit Ablaufdatum.
Von diesen drei Wegen hat nur der letzte ein eingebautes Ende. Für die beiden anderen braucht es Regeln: wer einladen darf, wer verantwortlich ist und wann geprüft wird. Mit Microsoft Entra ID Governance (oder Microsoft Entra Suite) lassen sich Gäste ohne Sponsor zusätzlich über einen Lifecycle-Workflow entfernen – laut Microsoft derzeit als Vorschau.
Microsoft 365, Microsoft Entra ID, Active Directory, Microsoft Teams und SharePoint sind Marken der Microsoft Corporation.
Durchspielen
Endet der Gastzugang von selbst?
Wählen Sie, wie ein Gast ins Verzeichnis gekommen ist, ob die Zusammenarbeit noch läuft und welche Mechanismen eingerichtet sind. Das Modell zeigt, was mit dem Gastkonto geschieht – nach den Einstellungen, die Microsoft für Zugriffspakete und Zugriffsüberprüfungen externer Benutzer beschreibt.
Was passiert
Gastkonto ohne Bedarf und ohne Verantwortliche
Die Zusammenarbeit ist vorbei, das Konto und seine Zugriffe bestehen weiter – und niemand ist zuständig.
- Kein Ablaufdatum, keine wirksame Überprüfung, kein Sponsor: Nichts beendet diesen Zugang.
Vereinfachtes Lernmodell für ein Gastkonto nach Microsoft Learn – keine Nachbildung von Microsoft Entra ID. Nicht abgebildet: Freigaben ohne Gastkonto (externe SharePoint-Authentifizierung ohne B2B-Integration), Jeder-Links, der Gastzugriffsablauf von SharePoint-Websites, mehrstufige Überprüfungen, abweichende Einstellungen der Berechtigungsverwaltung (etwa Löschen ohne Sperre), Lifecycle-Workflows für Gäste ohne Sponsor (Vorschau). Zugriffspakete und Überprüfungen setzen Microsoft Entra ID P2 voraus; nur Funktionen, die ausschließlich zu Microsoft Entra ID Governance gehören, rechnet Microsoft für Gäste nach monatlich aktiven Nutzern ab.
Modellregeln als Text
Alle Regeln werden geprüft; es gilt die strengste zutreffende Folge (Zugang besteht – und wird gebraucht → Zugang endet geregelt → Zugriff weg, Gastkonto bleibt → Endet nur, wenn jemand daran denkt → Zugang endet, obwohl er gebraucht wird → Gastkonto ohne Bedarf und ohne Verantwortliche).
- Zugang besteht – und wird gebraucht, wenn Zusammenarbeit: Läuft noch und Zugriffsüberprüfung: Keine oder Gruppe: nur Mitgliedschaft entfernen – Die Zusammenarbeit läuft; keine Einstellung beendet den Zugang.
- Zugang besteht – und wird gebraucht, wenn Zusammenarbeit: Läuft noch und Zugriffsüberprüfung: Nur Gäste: sperren, dann löschen und Sponsor: Kennt den Bedarf und antwortet – Die Überprüfung läuft, der Sponsor bestätigt den Bedarf.
- Zugang endet, obwohl er gebraucht wird, wenn Zusammenarbeit: Läuft noch und Zugriffsüberprüfung: Nur Gäste: sperren, dann löschen und Sponsor: Keiner oder ausgeschieden – Niemand antwortet; mit „Zugriff entfernen“ bei fehlender Antwort wird auch ein aktiver Gast gesperrt und nach 30 Tagen gelöscht. Microsoft warnt ausdrücklich vor diesem Effekt.
- Zugang endet geregelt, wenn Ablaufdatum: Zuweisung endet mit der Zusammenarbeit und Zusammenarbeit: Ist beendet und Weg ins Verzeichnis: Zugriffspaket – Die letzte Zuweisung ist abgelaufen. Laut Microsoft wird die Anmeldung eines über die Berechtigungsverwaltung eingeladenen Gastes dann standardmäßig gesperrt und das Konto nach 30 Tagen entfernt.
- Zugang endet geregelt, wenn Zusammenarbeit: Ist beendet und Zugriffsüberprüfung: Nur Gäste: sperren, dann löschen – Der Sponsor lehnt ab oder antwortet nicht; beides führt mit dieser Einstellung zur Sperre und nach 30 Tagen zur Löschung – unabhängig von Gruppenmitgliedschaften.
- Zugriff weg, Gastkonto bleibt, wenn Zusammenarbeit: Ist beendet und Zugriffsüberprüfung: Gruppe: nur Mitgliedschaft entfernen und Sponsor: Kennt den Bedarf und antwortet und Weg ins Verzeichnis: Einladung (Teams, Admin Center) oder Freigabe in SharePoint oder OneDrive – Der Sponsor lehnt ab; entfernt wird nur die Mitgliedschaft in der geprüften Gruppe. Das Gastkonto bleibt im Verzeichnis.
- Zugriff weg, Gastkonto bleibt, wenn Ablaufdatum: Kein Ablaufdatum und Zusammenarbeit: Ist beendet und Zugriffsüberprüfung: Gruppe: nur Mitgliedschaft entfernen und Sponsor: Kennt den Bedarf und antwortet und Weg ins Verzeichnis: Zugriffspaket – Der Sponsor lehnt ab; entfernt wird nur die Mitgliedschaft in der geprüften Gruppe. Das Gastkonto bleibt im Verzeichnis.
- Endet nur, wenn jemand daran denkt, wenn Zusammenarbeit: Ist beendet und Zugriffsüberprüfung: Keine und Sponsor: Kennt den Bedarf und antwortet und Weg ins Verzeichnis: Einladung (Teams, Admin Center) oder Freigabe in SharePoint oder OneDrive – Es gibt einen Sponsor, aber keinen Anlass: Ohne Ablaufdatum oder Überprüfung wird niemand an das Ende erinnert.
- Endet nur, wenn jemand daran denkt, wenn Ablaufdatum: Kein Ablaufdatum und Zusammenarbeit: Ist beendet und Zugriffsüberprüfung: Keine und Sponsor: Kennt den Bedarf und antwortet und Weg ins Verzeichnis: Zugriffspaket – Es gibt einen Sponsor, aber keinen Anlass: Ohne Ablaufdatum oder Überprüfung wird niemand an das Ende erinnert.
- Gastkonto ohne Bedarf und ohne Verantwortliche, wenn Zusammenarbeit: Ist beendet und Zugriffsüberprüfung: Keine oder Gruppe: nur Mitgliedschaft entfernen und Sponsor: Keiner oder ausgeschieden und Weg ins Verzeichnis: Einladung (Teams, Admin Center) oder Freigabe in SharePoint oder OneDrive – Kein Ablaufdatum, keine wirksame Überprüfung, kein Sponsor: Nichts beendet diesen Zugang.
- Gastkonto ohne Bedarf und ohne Verantwortliche, wenn Ablaufdatum: Kein Ablaufdatum und Zusammenarbeit: Ist beendet und Zugriffsüberprüfung: Keine oder Gruppe: nur Mitgliedschaft entfernen und Sponsor: Keiner oder ausgeschieden und Weg ins Verzeichnis: Zugriffspaket – Kein Ablaufdatum, keine wirksame Überprüfung, kein Sponsor: Nichts beendet diesen Zugang.
Vereinfachtes Lernmodell für ein Gastkonto nach Microsoft Learn – keine Nachbildung von Microsoft Entra ID. Nicht abgebildet: Freigaben ohne Gastkonto (externe SharePoint-Authentifizierung ohne B2B-Integration), Jeder-Links, der Gastzugriffsablauf von SharePoint-Websites, mehrstufige Überprüfungen, abweichende Einstellungen der Berechtigungsverwaltung (etwa Löschen ohne Sperre), Lifecycle-Workflows für Gäste ohne Sponsor (Vorschau). Zugriffspakete und Überprüfungen setzen Microsoft Entra ID P2 voraus; nur Funktionen, die ausschließlich zu Microsoft Entra ID Governance gehören, rechnet Microsoft für Gäste nach monatlich aktiven Nutzern ab.
Bausteine
Was ein Gastkonto ordentlich enden lässt
Lizenzangaben nach Microsoft Learn, Stand 2. November 2026 – maßgeblich ist Ihr Vertrag.
Einladungsrechte festlegen
Wer darf Gäste einladen: alle, nur Mitglieder oder nur bestimmte Rollen wie „Gasteinladender“? Microsoft empfiehlt im Zusammenhang mit der Berechtigungsverwaltung, Gästen das Einladen weiterer Gäste nicht zu erlauben. Ohne Zusatzlizenz.
Sponsor je Gast
Eine Person oder Gruppe ist für jeden Gast verantwortlich – bis zu fünf sind möglich. Scheidet der Sponsor aus, gehört die Übergabe ins Offboarding. Ohne Zusatzlizenz.
Zugriffspakete mit Ablaufdatum
Partnerorganisationen beantragen Zugriff selbst, Sponsoren genehmigen, die Zuweisung endet zum festgelegten Datum. Ab Microsoft Entra ID P2.
Überprüfung nur für Gäste
Ressourcenbesitzer oder Gäste selbst bestätigen den Bedarf; abgelehnte Gäste werden 30 Tage gesperrt und dann aus dem Mandanten entfernt. Ab Microsoft Entra ID P2; Überprüfung nur inaktiver Gäste mit Microsoft Entra ID Governance.
Inaktive Gäste erkennen
Ein Bericht zeigt Gäste ohne Anmeldung – standardmäßig nach 90 Tagen, die Schwelle ist anpassbar. Microsoft Entra ID Governance oder Microsoft Entra Suite.
Ablauf in SharePoint
Der Gastzugriff auf Websites und OneDrive kann nach einer festgelegten Zahl von Tagen automatisch ablaufen – für Inhalte, nicht für das Gastkonto selbst.
Ablauf
Ein Gastkonto in fünf Schritten
Einladen mit Zweck
Wer, wofür, bis wann – und wer ist Sponsor? Am besten über ein Zugriffspaket oder eine Gruppe, nicht über Einzelfreigaben.
Zugriff über Gruppen
Gäste erhalten Zugriff über Gruppen oder Teams, die ohnehin geprüft werden – so bleibt sichtbar, wer was sieht.
Regelmäßig bestätigen
Der Sponsor oder Ressourcenbesitzer bestätigt den Bedarf. Für Gäste ohne Anmeldung seit längerer Zeit gilt eine eigene Überprüfung.
Geordnet beenden
Anmeldung sperren, nach einer Frist löschen. Microsoft lässt gelöschte Gäste 30 Tage wiederherstellen; danach braucht es eine neue Einladung. Mit dem Konto verschwindet die Anmeldung, nicht jede Spur. Protokolleinträge bleiben bis zum Ende ihrer Aufbewahrung. Unsere Einordnung, ohne eigenen Hinweis von Microsoft zu Gästen: Dateien und Nachrichten, die der Gast in Teams oder SharePoint hinterlassen hat, liegen in den Ablagen des Teams und bleiben deshalb dort. Was davon gelöscht werden muss, regelt Ihr Löschkonzept – mehr unter Aufbewahrung und Löschung.
Nachweisen
Einladung, Bestätigungen und Löschung festhalten. Microsoft Entra bewahrt Überwachungs- und Anmeldeprotokolle je nach Lizenz nur 7 bzw. 30 Tage auf; soll eine Löschung länger belegbar sein, braucht es einen Export mit eigener Frist.
Häufige Fragen zu Gastkonten
Kosten Gastkonten Lizenzen?
Das Gastkonto selbst nicht, solange Sie unter 50.000 aktiven Gästen im Monat bleiben. Zugriffspakete und Überprüfungen setzen Microsoft Entra ID P2 oder Microsoft Entra ID Governance voraus; Funktionen aus P2 rechnet Microsoft für Gäste laut eigener Dokumentation nicht gesondert ab. Nur Funktionen, die ausschließlich zu Microsoft Entra ID Governance gehören – etwa die Überprüfung inaktiver Gäste, Sponsoren als Genehmigende oder Lifecycle-Workflows –, werden je Gast mit Governance-Aktion im Monat über ein Azure-Abonnement abgerechnet – ohne Freibetrag, auch innerhalb der 50.000 aktiven Gäste. Voraussetzung ist mindestens eine Lizenz für Microsoft Entra ID Governance oder Microsoft Entra Suite für eine Administratorin oder einen Administrator im Mandanten. Preise nennen wir nicht – sie hängen von Ihrem Vertrag ab.
Reicht es, die externe Freigabe in SharePoint abzuschalten?
Für Inhalte wirkt das schnell: Laut Microsoft verlieren Gäste den Zugriff in der Regel innerhalb einer Stunde. Die Gastkonten bleiben aber im Verzeichnis – und erhalten den Zugriff zurück, wenn die Freigabe wieder eingeschaltet wird. Deshalb gehören Konten und Freigaben zusammen betrachtet.
Was ist, wenn ein Gast versehentlich gesperrt wurde?
Bei Sperre und Löschung über Überprüfungen oder Zugriffspakete vergehen standardmäßig 30 Tage bis zur Löschung; in dieser Zeit lässt sich die Anmeldung wieder freigeben. Ein gelöschter Gast kann laut Microsoft weitere 30 Tage wiederhergestellt werden.
Wer sollte Gäste prüfen – IT oder Fachbereich?
Der Fachbereich. Ressourcenbesitzer oder Sponsoren eignen sich als Prüfende, weil sie wissen, wer mit ihnen arbeitet. Die IT richtet die Überprüfung ein und kümmert sich um Gäste ohne Sponsor.
Weiterlesen
Verwandte Themen
Identity Governance
Zugriffsüberprüfungen und Zugriffspakete – und was die Einstellungen am Ende bewirken.
Microsoft 365 Sicherheit & Governance
Freigabe- und Gastzugriffseinstellungen im Zusammenhang.
IT-Offboarding
Wenn ein Sponsor das Unternehmen verlässt, brauchen seine Gäste eine neue verantwortliche Person.
Gastkonten aufräumen und regeln
Wie viele Gäste hat Ihr Verzeichnis, und wer ist für sie verantwortlich? Wir verschaffen Ihnen den Überblick und richten mit Ihnen einen Lebenszyklus ein, der zu Ihren Lizenzen passt; welche Bausteine dazugehören, legen wir gemeinsam fest. Telefon 07131-618726-0.