Cross-Tenant Access und B2B Collaboration ohne Sicherheitslücken

B2B in Entra ID ist erstaunlich schnell eingerichtet – und genau das ist die Gefahr. Die Standardeinstellungen sind bewusst gastfreundlich, nicht sicher. Wer Cross-Tenant Access nicht aktiv konfiguriert, lädt im Zweifel die halbe Welt zu seinen Apps ein. Die gute Nachricht: Mit ein paar gezielten Org-Settings machst du aus dem Scheunentor eine Tür mit Klingel.

Cross-Tenant Access wird auf beiden Seiten geregelt: Outbound beim Partner, Inbound beim Host.

Wer vertraut wem: das Zwei-Seiten-Prinzip

Der häufigste Denkfehler bei B2B: Leute glauben, sie regeln den Zugriff nur in ihrem eigenen Tenant. Tatsächlich gibt es immer zwei Seiten. Der Home-Tenant (wo der Gast herkommt) entscheidet über Outbound-Settings, ob seine Nutzer überhaupt nach draußen dürfen. Der Resource-Tenant (wo die App liegt) entscheidet über Inbound-Settings, wer reinkommen darf.

Beide müssen erlauben, damit Zugriff funktioniert. Das ist kein Bug, sondern die eigentliche Stärke von Cross-Tenant Access: Du kannst pro Partner-Organisation festlegen, was geht und was nicht – granular, nicht pauschal.

Die drei Modelle im direkten Vergleich

Welches Modell du brauchst, hängt fast immer am Anwendungsfall – nicht an der Technik. Hier die Entscheidungshilfe, die in der Praxis am schnellsten Klarheit schafft:

Partner einladen? B2B. Tenant-zu-Tenant in Teams? Direct Connect. Endkunden-Login? B2C/External ID.

Faustregel: Solange es um Geschäftspartner geht, die auf ein paar deiner Apps sollen, ist B2B Collaboration die richtige und einfachste Wahl. B2C/External ID lohnt sich erst, wenn du eine echte Endkunden-Anwendung mit Selbstregistrierung betreibst. Wer B2C für simple Partner-Zugriffe aufsetzt, baut sich unnötig einen zweiten Tenant ans Bein.

Default zumachen, dann gezielt aufmachen

Das wichtigste Prinzip für sichere Cross-Tenant-Konfiguration: Die Default-Settings gelten für alle externen Tenants, für die du keine eigene Regel angelegt hast. Organisationsspezifische Settings überschreiben den Default – immer. Die Reihenfolge ist also: Default restriktiv setzen, dann pro vertrauenswürdigem Partner gezielt öffnen.

Org-spezifische Regeln gewinnen über den Default – erst zumachen, dann partnerweise öffnen.

MFA-Trust: bequem, aber nur mit den Richtigen

Ein praktisches Detail, das oft übersehen wird: Standardmäßig muss ein Gast die MFA-Anforderungen deines Tenants erneut erfüllen, selbst wenn er sich im eigenen Tenant schon stark authentifiziert hat. Das nervt – also gibt es die Option, die MFA des Partner-Tenants zu vertrauen ('Trust multifactor authentication from Entra tenants').

Das spart dem Gast die Doppel-MFA und ist für eng vertraute Partner Gold wert. Aber: Du vertraust damit darauf, dass der Partner-Tenant seine MFA sauber betreibt. Bei einem schlampig konfigurierten Partner importierst du dessen Schwachstelle. Trust MFA also nur für Organisationen aktivieren, deren Sicherheitsniveau du kennst – nie als pauschalen Default.

Umsetzung: Cross-Tenant-Policy per PowerShell prüfen

Bevor du irgendwas änderst, willst du den Ist-Zustand kennen. Microsoft Graph PowerShell zeigt dir die Default-Policy und die partnerspezifischen Settings – ideal für ein schnelles Audit.

Wer lieber im Portal arbeitet: Externe Identitäten → Cross-Tenant-Zugriffseinstellungen. Dort siehst du Default- und Organisationseinstellungen nebeneinander. Für Audits ist PowerShell aber schneller, weil du alle Partner auf einen Blick exportieren kannst.

Beispiel aus der Praxis

Die Musterwerk GmbH (Fertigung, Mittelstand) arbeitet eng mit dem Cloud-Startup Trendforge Digital zusammen, das ihre neue Produktkonfigurator-App entwickelt. Musterwerk lädt die Trendforge-Entwickler als B2B-Gäste ein und ist zunächst froh, dass alles 'einfach funktioniert'.

Bei einem Sicherheits-Review fällt auf: Der Inbound-Default stand auf 'alle Tenants erlaubt', und die Gastberechtigungen waren so offen, dass die Trendforge-Leute sämtliche Musterwerk-Gruppen und -Nutzer aufzählen konnten – inklusive der Geschäftsführung. Die saubere Lösung: Inbound-Default auf 'blockieren' setzen, eine organisationsspezifische Regel nur für den Trendforge-Tenant anlegen (begrenzt auf die Entwicklergruppe und die eine App), Trust MFA für Trendforge aktivieren und die Gastberechtigungen auf die restriktivste Stufe ziehen. Aus 'einfach funktioniert' wurde 'funktioniert genau für die, die es sollen'.

Verwandte Artikel

Häufige Fragen (FAQ)

Frage 1: Was ist der Unterschied zwischen B2B Collaboration und B2B Direct Connect?

Antwort: Bei B2B Collaboration wird der Gast als Gastobjekt in deinem Verzeichnis angelegt und greift auf eingeladene Apps zu. Bei Direct Connect verbinden sich zwei Tenants direkt, ohne Gastobjekt – derzeit vor allem für Teams Shared Channels. Die Identität bleibt dabei komplett im Heim-Tenant des Nutzers.

Frage 2: Brauche ich für Cross-Tenant Access eine bestimmte Lizenz?

Antwort: Die grundlegende B2B Collaboration ist in jedem Entra-Tenant verfügbar, auch Free. Für Conditional Access auf Gäste brauchst du jedoch P1, und für risikobasierte Bedingungen P2. Außerdem gilt seit der Umstellung auf das MAU-Abrechnungsmodell: Die ersten Gastnutzer pro Monat sind frei, darüber hinaus wird nach monatlich aktiven Nutzern abgerechnet.

Frage 3: Überschreibt eine organisationsspezifische Regel die Default-Einstellung?

Antwort: Ja, immer. Die Default-Cross-Tenant-Policy gilt nur für Tenants, für die keine eigene Regel existiert. Sobald du für einen Partner eine organisationsspezifische Konfiguration anlegst, gewinnt diese vollständig. Deshalb lautet die Strategie: Default restriktiv, dann partnerweise öffnen.

Frage 4: Ist es sicher, die MFA eines Partner-Tenants zu vertrauen?

Antwort: Nur so sicher wie der Partner selbst. 'Trust MFA' spart dem Gast die erneute Multifaktor-Authentifizierung, verlässt sich aber darauf, dass der Partner seine MFA sauber betreibt. Aktiviere die Option gezielt für Organisationen, deren Sicherheitsniveau du kennst – niemals pauschal für alle.

Frage 5: Warum können externe Gäste plötzlich mein ganzes Verzeichnis sehen?

Antwort: Fast immer, weil die Gastberechtigungen zu offen stehen. In den Einstellungen für externe Identitäten gibt es Stufen, wie viel Gäste im Verzeichnis aufzählen dürfen. Steht das auf einer offenen Stufe, können Gäste alle Nutzer und Gruppen sehen. Setz es auf die restriktivste Option.

Frage 6: Was passiert mit B2C, jetzt wo Microsoft alles unter External ID bündelt?

Antwort: Azure AD B2C bleibt für bestehende Tenants nutzbar, neue Endkunden-Szenarien sollst du aber über Microsoft Entra External ID aufbauen. Für reine Partner-Zusammenarbeit brauchst du beides nicht – da reicht B2B Collaboration. External ID lohnt erst, wenn echte Endkunden sich selbst registrieren.

Wie geht es weiter?