Consulting Briefing

21.07.2026 · boddenberg.de

Teams-Integration in Microsoft 365 verbessert

Executive Summary

Microsoft hat in den letzten Monaten still und leise die Schrauben an der Teams-Zusammenarbeit nachgezogen – und zwar genau dort, wo es im Alltag am meisten klemmt: an der Grenze zu deinen Partnern, Kunden und Lieferanten. Die Schlagzeile lautet „nahtlose externe Zusammenarbeit“. Die Wahrheit dahinter ist unspektakulärer und deutlich wichtiger: Das Fundament dafür, nämlich Shared Channels auf Basis von Entra B2B Direct Connect, wird endlich administrierbar. Reporting zu externen Benutzern, ein Anomaliebericht für externe Domänen, die Vererbung von Vertraulichkeitsbezeichnungen auf Besprechungsaufzeichnungen und Kontrolle darüber, welche Bots überhaupt in eine Besprechung kommen – das sind keine Demo-Features für die Keynote, das sind Werkzeuge für Leute, die den Laden danach betreiben müssen.

Die betriebswirtschaftliche Pointe: Externe Zusammenarbeit findet in deinem Unternehmen längst statt. Die Frage ist nur, ob sie in deinem Tenant stattfindet oder in einem Messenger-Gruppenchat, den niemand jemals in eine eDiscovery bekommt. Shared Channels sind das Angebot, diesen Verkehr zurückzuholen – ohne dass du für jeden Praktikanten eines Zulieferers ein Gastkonto anlegst, das dann vier Jahre in deinem Verzeichnis vor sich hin schimmelt.

Der Preis dafür ist Vorarbeit. B2B Direct Connect funktioniert nur, wenn beide Seiten mitspielen, wenn deine Conditional-Access-Richtlinien auf fremde MFA-Claims vorbereitet sind und wenn du vorher entschieden hast, mit wem du eigentlich reden willst. Wer das in der falschen Reihenfolge macht, hat in sechs Wochen vierzig Kanäle und keine Ahnung, wer da drin sitzt.

Worum geht es im Detail?

Fangen wir mit der Mechanik an, denn die wird in gefühlt jedem zweiten Projekt falsch verstanden. Es gibt zwei grundsätzlich verschiedene Wege, jemanden von draußen in deine Teams-Welt zu lassen, und sie haben außer dem Ergebnis nicht viel gemeinsam.

Weg eins ist der klassische Gastzugriff über B2B Collaboration. Du lädst jemanden ein, Entra ID legt ein Gast-Benutzerobjekt in deinem Verzeichnis an, und dieser Gast wird Mitglied in einem Team. Das funktioniert mit praktisch jeder Identität, auch mit privaten Microsoft-Konten oder Social-Logins. Der Nachteil: Der Gast muss den Tenant wechseln, um bei dir mitzuarbeiten, er sieht das gesamte Team, und das Konto überlebt in der Praxis meistens das Projekt – manchmal auch das Arbeitsverhältnis der eingeladenen Person.

Weg zwei ist B2B Direct Connect mit Shared Channels, in der Marketingsprache „Teams Connect“. Hier wird kein Konto angelegt. Stattdessen vereinbaren zwei Entra-Organisationen eine gegenseitige Vertrauensbeziehung über die Cross-Tenant-Access-Einstellungen. Danach kann der Besitzer eines geteilten Kanals jemanden aus der Partnerorganisation über dessen vollständige Mailadresse hinzufügen – und diese Person arbeitet in ihrem eigenen Teams-Client mit, ohne Tenant-Wechsel, mit den eigenen Anmeldedaten. Sie sieht dabei ausschließlich diesen einen Kanal.

Gastkonto gegen Shared Channel: derselbe Zweck, völlig unterschiedliche Nebenwirkungen im Verzeichnis.

Wichtig ist das Wort „gegenseitig“. Du kannst eingehenden Zugriff für die Partnerfirma noch so schön freischalten – solange dort niemand den ausgehenden Zugriff auf dich erlaubt, passiert exakt nichts. Und weil Änderungen an den Cross-Tenant-Einstellungen bis zu sechs Stunden brauchen, bis sie wirken, entsteht dieser wunderbare Moment, in dem beide Administratoren sich gegenseitig versichern, alles richtig gemacht zu haben, während die Suche nach dem Partner weiterhin nichts findet. Plane das ein. Wirklich. Ich habe Eskalationsmeetings gesehen, die überflüssig geworden wären, wenn jemand einmal in Ruhe Kaffee geholt hätte.

Unter der Haube bekommt jeder geteilte Kanal seine eigene SharePoint-Site mit dem Vorlagentyp TEAMCHANNEL#1 – nicht die Site des übergeordneten Teams. Das ist keine Kosmetik, sondern der eigentliche Sicherheitsmechanismus: Wer nicht im Kanal ist, kommt an die Dateien nicht heran. Auch der Teambesitzer nicht. Auch du als Administrator nicht, jedenfalls nicht über den normalen Weg. Die Berechtigungen werden mit der Kanalmitgliedschaft synchronisiert und lassen sich in SharePoint nicht separat verbiegen. Nachrichten landen entsprechend in einem eigenen Systempostfach und nicht im Gruppenpostfach des Teams.

Und was ist nun tatsächlich neu? Vor allem die Betriebsseite. Microsoft hat im Juni 2026 einen Bericht für Anomalien bei externen Domänen ausgerollt, der ungewöhnliche Kollaborationsmuster mit externen Organisationen sichtbar macht – also genau das Frühwarnsystem, das vorher gefehlt hat. Im Juli kam ein erweitertes Reporting zu externen Benutzern dazu. Seit Anfang Juli erben Besprechungsaufzeichnungen die Vertraulichkeitsbezeichnung der Besprechung, womit eine der ärgerlichsten Lücken geschlossen wird: die sauber gelabelte Besprechung, deren Mitschnitt anschließend ungeschützt in OneDrive lag. Dazu kommen Kontrollen darüber, welche Besprechungsbots überhaupt zugelassen werden – relevant für jeden, der schon einmal einen fremden Transkriptionsbot in einer Vertragsverhandlung sitzen hatte.

Was sind Chancen? Was sind Risiken?

Die größte Chance ist banal und wird trotzdem regelmäßig unterschätzt: Du bekommst Schatten-Kollaboration zurück ins Haus. Ein Anlagenbauer, mit dem ich gearbeitet habe, hatte für ein Großprojekt sechzehn Zulieferer im Boot. Der offizielle Weg war ein SharePoint-Extranet mit Gastkonten. Der tatsächlich genutzte Weg war eine private Messenger-Gruppe der Projektleiter plus ein Cloud-Ordner, den ein Werkstudent angelegt hatte. Nach der Umstellung auf geteilte Kanäle sank die Zahl der aktiven Gastkonten deutlich, und die Projektkommunikation war zum ersten Mal in einem System, das eine Aufbewahrungsrichtlinie kennt. Das ist kein Produktivitätsgewinn im Sinne der Hochglanzbroschüre – das ist schlicht die Differenz zwischen auskunftsfähig und nicht auskunftsfähig.

Zweite Chance: der Aufräumeffekt im Verzeichnis. Jedes Gastkonto, das du nicht anlegst, ist ein Konto, das du nicht überwachen, nicht rezertifizieren und nicht irgendwann panisch deaktivieren musst, weil der Partner beim Wettbewerb gelandet ist. Bei B2B Direct Connect entziehst du den Zugang, indem du die Cross-Tenant-Beziehung kappst – und der Zugriff ist weg, spätestens wenn das ausgestellte Token nach einer Stunde abläuft.

Dritte Chance: eine bessere Compliance-Abdeckung, als der Ruf vermuten lässt. Geteilte Kanäle sind in Purview integriert. DLP-Richtlinien, Aufbewahrung, Kommunikationscompliance und eDiscovery greifen – und zwar nach den Regeln deiner Organisation als Gastgeber, nicht nach denen des Partners. Alle Nachrichten im Kanal sind auffindbar, unabhängig davon, wer sie geschrieben hat.

Jetzt die Rechnung. Risiko Nummer eins ist die Vertrauensbeziehung selbst. Wenn du die Trust-Settings so konfigurierst, dass du MFA- und Gerätekonformitäts-Claims aus dem Partner-Tenant akzeptierst – und das musst du praktisch tun, sonst blockiert deine eigene Conditional-Access-Richtlinie den externen Zugriff – dann verlässt du dich darauf, dass der Partner sein MFA ernst nimmt. Du übernimmst fremde Sicherheitshygiene in deine eigene Risikobilanz. Bei einem Konzern mit eigener Security-Abteilung ist das vertretbar. Bei der Dreimannbude mit dem Tenant aus dem Testabo solltest du zweimal hinsehen.

Risiko Nummer zwei sind die Compliance-Lücken an den Rändern. Informationsbarrieren wirken nur für Benutzer in deiner Organisation – sitzen deine Leute als externe Teilnehmer im Kanal einer anderen Firma, greifen deine Barrieren dort nicht. Externe Teilnehmer kannst du nicht unter Legal Hold stellen. Und im Heimat-Tenant des Externen entstehen keine Teams-Auditlogs über seine Aktivität in deinem Kanal. Wer Aufsichtsrecht im Nacken hat, muss das wissen, bevor der Kanal steht – nicht dann, wenn die Prüfung kommt.

Risiko Nummer drei ist hausgemacht: die Dateifreigabe. Innerhalb eines geteilten Kanals kann jemand eine Datei über die normale SharePoint-Freigabe mit Leuten teilen, die nicht im Kanal sind. Und – das ist der unangenehme Teil – wenn du diese Person später aus dem Kanal entfernst, bleibt der einmal gewährte Dateizugriff bestehen. Kanalmitgliedschaft entfernen ist eben nicht dasselbe wie Berechtigungen entfernen. Genau hier stolpern Offboarding-Prozesse, die auf dem Papier hervorragend aussahen.

Was müssen wir jetzt schon vorbereiten?

Die gute Nachricht: Du musst nichts kaufen. Die schlechte: Die Arbeit ist konzeptionell, und konzeptionelle Arbeit lässt sich schlecht an einen Dienstleister werfen, der deine Partnerlandschaft nicht kennt. Fang mit der Inventur an. Wer arbeitet heute mit wem zusammen, über welchen Kanal, mit welchen Daten? Der neue Bericht zu Anomalien bei externen Domänen ist dafür ein guter Einstieg, weil er dir zeigt, wohin die Daten tatsächlich fließen – nicht, wohin sie laut Richtlinie fließen sollten. Die Differenz zwischen diesen beiden Listen ist meistens der interessanteste Teil des Projekts.

Reihenfolge schlägt Tempo: Wer die Technik vor dem Regelwerk freischaltet, räumt hinterher auf.

Dann das Regelwerk. Lege fest, welche Partner überhaupt in Frage kommen, wer die Freigabe erteilt, und wie ein Kanal heißt, damit du in einem Jahr noch erkennst, wozu er gehört. Definiere ein Ablaufdatum pro Partnerbeziehung – nicht pro Kanal, sondern pro Vertrauensbeziehung. Und kläre die unbequeme Frage: Wer fährt die Beziehung wieder herunter, wenn das Projekt endet? Ohne benannten Verantwortlichen passiert das nämlich nie.

Technisch prüfst du drei Dinge, bevor du irgendetwas freischaltest. Erstens deine Conditional-Access-Richtlinien: Unterstützt werden Richtlinien, die auf „Alle Gast- und externen Benutzer“ und die Cloud-App SharePoint Online zielen, mit Gewährungssteuerungen für MFA, konformes Gerät oder hybrid eingebundenes Gerät. IP-basierte Richtlinien greifen nur auf Dateiebene – der Externe kommt also möglicherweise in den Kanal, scheitert aber am Öffnen des Dokuments. Das ist ein Supportticket mit Ansage, wenn du es nicht vorher kommunizierst. Zweitens die Teams-Kanalrichtlinien: Wer darf geteilte Kanäle erstellen, wer darf sie nach außen teilen, wer darf an fremden teilnehmen. Drittens dein Label-Konzept, denn ein mit Verschlüsselung gelabeltes Dokument lässt sich vom externen Teilnehmer nicht öffnen, solange die Berechtigungen nicht ausdrücklich passen. Ein geteilter Kanal erbt dabei die Vertraulichkeitsbezeichnung des übergeordneten Teams – auch dann, wenn er direkt mit einem anderen Team geteilt wird.

Dann pilotiere – aber richtig. Ein Pilot mit deinem eigenen Zweittenant beweist gar nichts, weil auf beiden Seiten dieselbe Person die Einstellungen setzt. Nimm einen echten Partner, ein echtes Projekt und ein echtes Dokument mit einem echten Label. Erst dort merkst du, ob die Vertrauenskette hält. Denk außerdem an eine Kleinigkeit mit großer Wirkung: Externe müssen über ihren UPN hinzugefügt werden, wenn dieser von der Mailadresse abweicht. Und wenn die Person zusätzlich ein Gastkonto bei dir hat, musst du im Admin Center gezielt nach dem Muster mit vorangestelltem „ext:“ suchen, sonst erwischst du das falsche Objekt.

Zum Schluss der Betrieb, und der fängt am Tag eins an, nicht am Tag der ersten Auditfrage. Richte Zugriffsüberprüfungen ein – die erkennen inzwischen auch externe Direct-Connect-Benutzer in geteilten Kanälen. Aber Vorsicht: Sie erkennen nicht die Konstellation, in der ein ganzes fremdes Team einem Kanal hinzugefügt wurde. Diese Mitgliedschaften muss der Kanalbesitzer im Teams-Client selbst prüfen. Das ist genau die Art von Detail, die in einer Zertifizierung unangenehm wird, wenn man sie erst dort entdeckt. Und kläre die Besitzerfrage: Verlässt der letzte Kanalbesitzer die Organisation, rückt automatisch ein Mitglied aus deinem Haus nach – gibt es keines, bleibt der Kanal herrenlos und ein Administrator muss von Hand eingreifen. Zwei Besitzer von Anfang an kosten nichts und ersparen dir diesen Termin.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Gast und einem externen Teilnehmer in einem geteilten Kanal?

Ein Gast bekommt ein Benutzerkonto in deinem Verzeichnis, muss zum Arbeiten in deinen Tenant wechseln und wird Mitglied im gesamten Team. Ein externer Teilnehmer über B2B Direct Connect bleibt in seinem eigenen Tenant, bekommt bei dir kein Konto und sieht ausschließlich den einen geteilten Kanal, zu dem er hinzugefügt wurde.

Warum findet Teams meinen Partner nicht, obwohl ich alles freigeschaltet habe?

In den allermeisten Fällen liegt es daran, dass die Gegenseite den ausgehenden Zugriff noch nicht erlaubt hat – die Vertrauensbeziehung muss von beiden Organisationen konfiguriert werden. Zweithäufigste Ursache ist schlicht Ungeduld, denn Änderungen an den Cross-Tenant-Einstellungen können bis zu sechs Stunden brauchen, bis sie wirksam werden.

Kann ich einen bestehenden Kanal einfach in einen geteilten Kanal umwandeln?

Nein. Ein geteilter Kanal kann nicht in einen Standardkanal umgewandelt werden und umgekehrt genauso wenig, und er lässt sich auch nicht in ein anderes Team verschieben. Du legst ihn einmal richtig an oder migrierst die Inhalte manuell.

Greifen DLP, Aufbewahrung und eDiscovery auch in geteilten Kanälen?

Ja, geteilte Kanäle sind in Microsoft Purview integriert und erben die Richtlinien deiner Organisation als Gastgeber. Zwei Einschränkungen solltest du kennen: Externe Teilnehmer lassen sich nicht unter Legal Hold stellen, und Informationsbarrieren wirken nur für Benutzer aus deiner eigenen Organisation.

Was passiert mit den Dateien, wenn ich jemanden aus dem Kanal entferne?

Der Zugriff über die Kanalmitgliedschaft endet sofort, aber wenn dieser Person zwischenzeitlich über die normale SharePoint-Freigabe direkter Zugriff auf eine Datei oder einen Ordner gewährt wurde, bleibt dieser Zugriff bestehen. Ein sauberes Offboarding muss deshalb immer auch die Freigabeberechtigungen auf der Kanal-Site prüfen.