Entra ID · Governance in der Praxis
Die meisten Tenants sammeln über Jahre Gäste, Geräte und Gruppen an, die niemand mehr braucht. Entra ID Governance heißt hier nicht, ein weiteres Produkt zu kaufen. Mit Microsoft 365 E5 lässt sich das fast vollständig automatisieren, weil Entra ID P2 enthalten ist. Das Prinzip passt in einen Satz: ein Weg rein, ein Ablaufdatum, automatische Bereinigung, kritische Schritte mit manueller Prüfung.
Ein Gast wird für ein Projekt eingeladen. Das Projekt endet, das Konto bleibt. Ein Notebook wird ersetzt, das alte Geräteobjekt bleibt. Ein Team wird für drei Wochen gebraucht und existiert nach drei Jahren immer noch.
Jeder einzelne Fall ist harmlos. In der Summe kann niemand mehr sagen, wer von außen worauf zugreift. In einer Kanzlei mit Mandantendaten oder einem Mittelständler mit Kundenverträgen ist das kein Schönheitsfehler.
Einmal aufräumen löst das nicht. Nach zwei Jahren sieht der Tenant wieder genauso aus, weil sich am Zugang nichts geändert hat.
Gäste kommen künftig nur noch über ein Access Package aus dem Entitlement Management in den Tenant. So sieht das Grundgerüst aus:
Schritt 1
Im Katalog steht "Enabled for external users" auf Yes. Das Access Package bündelt, was der Gast braucht: das Team, die SharePoint-Site oder die Gruppe. Die Policy nutzt "For users not in your directory", wahlweise für bestimmte Connected Organizations oder für alle externen Benutzer. Für Letzteres muss der Email one-time passcode aktiv sein.
Schritt 2
Der Mitarbeiter schickt dem Gast den My Access portal link. Der Gast stellt den Antrag, ein Genehmiger entscheidet. Erst danach legt Entra das Gastkonto an und vergibt den Zugriff. Niemand muss mehr einzeln einladen, und jeder Zugang hat einen Antrag und eine Entscheidung.
Schritt 3
Unter "Access package assignments expire" wählen Sie "Number of days" und setzen 90 oder 180 Tage. Mit "Allow users to extend access" auf Yes bekommt der Gast laut Microsoft 14 Tage und einen Tag vor Ablauf eine Mail mit der Aufforderung zur Verlängerung. "Require approval to grant extension" sorgt dafür, dass auch die Verlängerung jemand prüft. Spielen Sie das einmal mit einem Testgast durch, denn die Dokumentation führt diese Mail an anderer Stelle als standardmäßig deaktiviert.
Schritt 4
Unter ID Governance, Entitlement management, Control Configurations liegt die Karte "Lifecycle of external users". Standardmäßig wird ein Gast ohne Zuweisung gesperrt ("Block external user from signing in to this directory") und nach 30 Tagen entfernt ("Remove external user"). Die Frist steht unter "Number of days before removing external user from this directory". Das Entfernen selbst kündigt Entra dem Gast nicht an, nur das Ende des Access Packages.
Der neue Weg hilft nur, wenn die alten Wege zu sind.
Einladungen nur noch über den Prozess. Stellen Sie unter External collaboration settings die Guest invite settings auf "Only users assigned to specific admin roles can invite guest users". Damit laden Mitarbeitende nicht mehr direkt ein. Die strengste Stufe "No one in the organization can invite guest users including admins" habe ich hier bewusst nicht gewählt, denn Microsoft dokumentiert das Zusammenspiel mit Entitlement Management dafür nicht. Testen Sie die gewählte Stufe mit einem echten Antrag.
SharePoint nur an bestehende Gäste. Stellen Sie die externe Freigabe auf "Existing guests". Neue Gäste entstehen dann nicht mehr über einen Freigabelink, sondern über das Access Package. Die Einstellung der einzelnen Site muss dazu passen. Enthält ein Access Package Gruppen oder Teams, müssen "Let users add new guests to the organization" und "Allow guest access in Microsoft Teams" aktiv bleiben.
Conditional Access mit MFA für Gäste. Eine eigene Richtlinie für Guest and external users mit dem Grant Control "Require multifactor authentication". Für Einmalcode-Gäste greift Authentication Strength nicht, nehmen Sie das normale MFA-Grant.
MFA-Trust für Partner-Tenants. Ohne Vertrauen richtet jeder Gast MFA ein zweites Mal in Ihrem Tenant ein. In den Cross-tenant access settings lässt sich für einzelne Organisationen unter den Inbound Trust Settings "Trust multifactor authentication from Microsoft Entra tenants" setzen. Die MFA aus dem Heimat-Tenant zählt dann auch bei Ihnen. Das machen Sie für Partner, deren MFA-Niveau Sie kennen, nicht pauschal für alle.
Stolperfalle 1
Eine Richtlinie mit "Require device to be marked as compliant" für alle Benutzer trifft auch Gäste. Deren Geräte können Sie nicht verwalten, das kann nur der Heimat-Tenant. Ohne Trust der Geräte-Claims wird der Zugriff blockiert. Nehmen Sie Gäste aus diesen Richtlinien heraus und sichern Sie sie über die eigene MFA-Richtlinie ab.
Auch das Antragsportal selbst kann betroffen sein. Microsoft empfiehlt, die App Entitlement Management aus Richtlinien auszunehmen, die Gäste am Antrag hindern würden. Sie haben dort noch kein registriertes Gerät und meist auch noch keine MFA bei Ihnen.
Aus meinen Checks: Die Fehlermeldung kommt beim Gast an, der Anruf bei der IT. Gehen Sie vor dem ersten echten Antrag alle Richtlinien durch, die für alle Benutzer gelten.
Stolperfalle 2
Wer kein Entra-Konto, kein Microsoft-Konto und keine Anbindung über Google oder einen anderen Anbieter hat, meldet sich per Email one-time passcode an. Der Code gilt 30 Minuten, die Sitzung 24 Stunden. Greift Ihre MFA-Richtlinie, kommt die MFA-Einrichtung bei Ihnen obendrauf.
Aus meinen Checks: Für Mandanten oder Sachverständige ohne Firmenkonto ist das ungewohnt. Eine kurze Anleitung im Anschreiben spart Rückfragen.
Stolperfalle 3
Ein Gast, der über "Block external user from signing in to this directory" gesperrt wurde, kann das Access Package nicht erneut anfordern und auch sonst keinen Zugriff beantragen. Bei wiederkehrenden Partnern ist das unpraktisch. Microsoft rät, die Sperre nicht zu setzen, wenn der Gast später wieder Zugriff braucht. Sonst muss ein Admin die Sperre aufheben.
E5 enthält Entra ID P2. Die Grundfunktionen von Access Packages und Access Reviews laufen damit, laut Microsoft werden P2-Funktionen nicht berechnet und brauchen kein Azure-Abonnement. Das gilt aber nicht für alles, was in den Assistenten angeboten wird.
Einige Funktionen brauchen ID Governance plus das Add-on Microsoft Entra ID Governance for guests. Microsoft hat die Durchsetzung ab Januar 2026 angekündigt. Betroffen sind vor allem:
Das Add-on wird nach Monthly Active Users abgerechnet: pro Gast und Monat einmal, sobald er eine abrechenbare Aktion auslöst, ohne Freikontingent. Dazu kommen eine verknüpfte Azure-Subscription und mindestens eine ID-Governance- oder Entra-Suite-Lizenz für einen Administrator. Die Lizenzdokumentation ist bei der direkten Zuweisung nicht einheitlich, prüfen Sie deshalb den Einzelfall in Ihrem Tenant.
Mit E5 lösbar: Statt des Sponsors nehmen Sie eine feste Genehmigergruppe ("Specific approvers"), am besten mit zwei oder drei Personen, damit Urlaub nichts blockiert. Statt des Inaktivitäts-Reviews läuft ein Skript über Microsoft Graph, das inaktive Gäste anhand von signInActivity findet. Nehmen Sie dafür lastSuccessfulSignInDateTime, denn lastSignInDateTime zählt auch fehlgeschlagene Versuche. Das Feld gibt es erst seit Dezember 2023. Die Liste geht an einen Menschen, bevor etwas gesperrt wird. Statt der direkten Zuweisung stellt der Gast selbst den Antrag über den Link.
Prüfen Sie außerdem bestehende Policies. Laut Microsoft lassen sich Add-on-Funktionen ohne Lizenz nicht neu anlegen oder nachträglich ergänzen.
Geräte-Cleanup per Skript. Get-MgDevice liefert ApproximateLastSignInDateTime. Microsofts Beispiele arbeiten mit 90 Tagen für die Abfrage und 120 Tagen für das Löschen. Erst deaktivieren (Update-MgDevice), nach einer Karenzzeit löschen (Remove-MgDevice), denn das Löschen lässt sich nicht rückgängig machen. Der Zeitstempel ist nur grob, unter 21 Tagen sagt er nichts aus, und bei aktiven Geräten kann er leer sein.
Achtung bei BitLocker und LAPS. Mit dem Geräteobjekt verschwinden die dort gespeicherten BitLocker-Schlüssel und das LAPS-Passwort. Microsoft bietet für beides keinen Weg zur Wiederherstellung. Bevor das Skript löscht, sichern Sie die Schlüssel oder stellen fest, dass sie nicht mehr gebraucht werden. Gerade dieser Schritt bleibt manuell geprüft.
Group Reviews durch Besitzer. Gruppenbesitzer bestätigen regelmäßig die Mitglieder. Wie das aufgesetzt wird, steht in Zugriffsüberprüfungen in Entra ID einrichten.
Group Expiration. Gruppen laufen ab, wenn sie niemand mehr nutzt, aktive verlängern sich selbst. Die Einstellungen dazu stehen in Microsoft 365 Gruppen Governance.
PIM. Adminrollen sind der riskanteste Altbestand. Sie werden nur bei Bedarf aktiviert statt dauerhaft vergeben. Das Modell dazu steht in PIM einführen mit dem Enterprise Access Model.
App-Secrets überwachen. Abgelaufene Secrets legen Schnittstellen lahm, alte Secrets ohne Besitzer sind ein Einfallstor. Ein Skript listet alle App-Registrierungen mit Ablaufdatum und Besitzer auf und meldet, was in den nächsten 30 Tagen fällig wird.
Entra ID Governance ist kein Projekt, sondern ein monatlicher Rhythmus. Die Technik läuft weitgehend automatisch. Einmal im Monat schaut ein Mensch auf drei Listen: inaktive Gäste, Geräte vor der Löschung, ablaufende App-Secrets.
Fangen Sie mit den Gästen an, denn dort ist das Risiko am größten und der Nutzen am schnellsten sichtbar. Ein Access Package für einen echten Partner, einmal von Antrag bis Ablauf durchgespielt, zeigt Ihnen alle Stolperfallen Ihres Tenants.
Teilweise. E5 enthält Entra ID P2, und damit laufen unter anderem Access Packages mit Antrag über My Access, Genehmigungen, Ablauf und der Lebenszyklus externer Benutzer. Funktionen wie Auto Assignment Policies und Custom Extensions brauchen ID Governance.
Nur für bestimmte Funktionen wie Sponsor-Genehmigung aus dem Benutzerprofil, Inaktivitäts-Reviews für Gäste oder direkte Zuweisung. Abgerechnet wird pro aktivem Gast und Monat. Mit einer Genehmigergruppe, Selbstantrag und einem Skript kommen Sie unter E5 meist ohne aus.
Ein häufiger Grund ist eine Conditional-Access-Richtlinie mit "Require device to be marked as compliant", die auch für Gäste gilt. Prüfen Sie außerdem, ob der Gast gesperrt wurde und ob das Sign-in-Log eine fehlende MFA zeigt.
Die im Geräteobjekt gespeicherten Schlüssel werden mitgelöscht und lassen sich nicht wiederherstellen. Dasselbe gilt für das Windows-LAPS-Passwort in Entra ID. Sichern Sie beides vorher oder stellen Sie fest, dass es nicht mehr gebraucht wird.