Die meisten Unternehmen wissen nicht, wie viele externe Nutzer aktuell Zugriff auf ihr Microsoft 365 haben. Gastkonten für frühere Partner, Dienstleister oder Projektbeteiligte werden bei der Zusammenarbeit angelegt und danach selten wieder entfernt — sie bleiben aktiv, auch wenn die Zusammenarbeit längst beendet ist.
Wer außer Ihren eigenen Mitarbeitenden hat gerade Zugriff auf Ihre Daten?
Externe Zusammenarbeit gehört heute zum Alltag: ein Steuerberater mit Zugriff auf einen freigegebenen Ordner, eine Agentur, die kurzfristig an einer Präsentation mitarbeitet, ein früherer Dienstleister mit Zugriff auf ein Projekt. Jede dieser Situationen erzeugt ein Gastkonto in Microsoft 365 — und jedes davon bleibt bestehen, bis es aktiv entfernt wird. Da das Anlegen meist beiläufig passiert, oft direkt aus einer Freigabe heraus, fehlt in vielen Unternehmen eine zentrale Liste, wer aktuell als externer Nutzer eingetragen ist.
Das Risiko entsteht weniger beim einzelnen Gastkonto als in der Summe: Ein Unternehmen mit fünfzig Mitarbeitenden hat häufig mehrere Dutzend externe Konten angesammelt, von denen ein erheblicher Teil zu abgeschlossenen Projekten oder beendeten Geschäftsbeziehungen gehört. Bei der eigenen Sicherheitsprüfung werden sie selten mitgedacht, weil der Fokus meist auf den eigenen Mitarbeitenden liegt.
Warum eine einmalige Bereinigung nicht reicht
Viele Unternehmen räumen externe Konten einmalig auf, wenn ihnen das Thema bewusst wird — und lassen es danach wieder laufen, weil im Tagesgeschäft ständig neue Gastkonten entstehen, ohne dass jemand explizit dafür zuständig ist. Ohne eine feste, wiederkehrende Prüfung wächst die Liste einfach nach. Hinzu kommt eine praktische Unschärfe: Nicht jeder als extern markierte Eintrag ist tatsächlich eine externe Person; teils werden auch interne Sonderfälle so geführt, was eine Bereinigung ohne klare Systematik fehleranfällig macht.
Dazu kommt die wachsende Zahl an Werkzeugen, über die neue Gastkonten entstehen können — geteilte Kalender, gemeinsame Dokumente, projektbezogene Arbeitsbereiche. Jedes davon kann eigenständig neue externe Zugänge erzeugen, ohne dass die zentrale Benutzerverwaltung davon zwingend als Erstes erfährt.
Was es kostet, wenn Sie nichts tun
Jedes vergessene Gastkonto ist ein Zugang zu Ihrem Unternehmen, der außerhalb Ihrer Kontrolle liegt — das Passwort dieses Kontos wird von einer anderen Organisation verwaltet, mit Sicherheitsstandards, die Sie nicht beeinflussen können. Bei einer Sicherheitsprüfung oder einem Audit löst eine unklare Liste externer Zugriffe Nachfragen und Nacharbeit aus. Und im Alltag bedeutet es: Sie können nicht mit Sicherheit sagen, wer außerhalb Ihres Unternehmens gerade auf welche Dateien zugreifen kann.
Was sich ändert, wenn externe Zugriffe regelmäßig geprüft werden
Mit einer festen, wiederkehrenden Prüfung wird sichtbar, welche Gastzugänge noch gebraucht werden und welche zu abgeschlossenen Projekten gehören. Nicht mehr benötigte Konten werden entfernt, aktive Zugänge bleiben dokumentiert — mit einer verantwortlichen Person, die jeden Zugang bestätigt. Das Ergebnis ist eine Liste externer Nutzer, die jederzeit aktuell ist, statt einmal im Jahr mühsam rekonstruiert zu werden.
Der Nexus.365 Security Scan erstellt zunächst eine vollständige Bestandsaufnahme aller externen Konten — häufig die erste vollständige Übersicht, die ein Unternehmen davon überhaupt hat. Darauf aufbauend lässt sich die wiederkehrende Prüfung als Modul in Nexus.365 Basics einrichten.
Häufige Fragen zum Thema
Wie finde ich heraus, wie viele externe Benutzer Zugriff auf meinen Tenant haben?+
Über eine strukturierte Auswertung aller als extern geführten Konten in der Benutzerverwaltung. Der Security Scan liefert diese Übersicht innerhalb von sieben Werktagen.
Brauchen externe Nutzer den gleichen zweiten Sicherheitsschritt wie eigene Mitarbeitende?+
Ja, das sollte für externe Konten genauso gelten. Die Umsetzung hängt davon ab, wie die externe Organisation ihre eigenen Konten absichert.
Wie oft sollte ich externe Zugänge bereinigen?+
Regelmäßig, mindestens vierteljährlich, gekoppelt an eine kurze Bestätigung durch die verantwortliche Person, ob der Zugang noch gebraucht wird.
Was ist der Unterschied zwischen einem Gastkonto und einem eigenen Mitarbeiterkonto?+
Ein Gastkonto gehört technisch zu einer anderen Organisation und wird von deren Benutzerverwaltung kontrolliert. Ihr Unternehmen kann Zugriffsrechte vergeben, aber nicht die Sicherheit des externen Kontos selbst beeinflussen.
Wer hat außerhalb Ihres Hauses gerade Zugriff?
Der Nexus.365 Security Scan liefert die vollständige Liste aller externen Konten — read-only und zum Festpreis, mit Enddatum vor Beginn.
Security Scan starten