In SharePoint Online lassen sich Dateien mit internen sowie externen Personen teilen. Die Konfigurationsmöglichkeiten sind sehr umfassend und können auf verschiedenen Ebenen (Tenant, Site, Dokument) vorgenommen werden. Dieser Blogbeitrag geht auf diese Möglichkeiten ein.
Externe Freigabe auf Organisationsebene (Tenant) konfigurieren
Um die externe Freigabe auf Organisationsebene zu konfigurieren, muss im SharePoint Admin Center zu den Richtlinien für das Teilen navigiert werden. Wichtig hierbei zu verstehen ist, dass grösstenteils Standardeinstellungen festgelegt werden, welche für alle Sites gelten, jedoch auf den einzelnen Sites wieder verändert werden können.
Da OneDrive for Business auf SharePoint basiert, gibt der nachfolgend abgebildete SharePoint Toggle den Level vor. Das bedeutet, OneDrive kann nicht «höher», kann nicht lockerer und weniger restriktiv als SharePoint eingestellt sein.
Jeder: Wenn die Einstellungen auf Jeder gesetzt ist, so können Inhalte mit jeder beliebigen E-Mail-Adresse geteilt werden. Die Links können zudem von aussenstehenden Personen weitergesendet werden, damit weitere Personen Zugriff auf die Dateien oder Ordner erhalten.
Neue und vorhandene Gäste: Über diese Option können die Dateien mit vorhandenen oder neuen Gästen geteilt werden. Der Zugriff funktioniert nur über die angegebene E-Mail-Adresse, welche beim Teilen angegeben wird. Der Gast erhält hierbei eine E-Mail, mit welcher er oder sie sich auf dem Tenant verifizieren kann und somit Zugriff auf die Dateien oder Ordner erhält.
Vorhandene Gäste: Hierbei lassen sich Ordner und Dateien nur mit bestehenden Gästen Teilen. Mit dieser Option kann verhindert werden, dass Mitarbeitende Gästen Zugriff auf gewisse Daten auf dem Tenant gewähren. Damit der Gastaccount ausgewählt werden kann, muss der Administrator diesen zuerst auf dem Azure Active Directory (AAD) hinzufügen. Hat der Administrator den Gast hinzugefügt, muss sich der Gast-User zuerst ebenfalls verifizieren. Erst danach steht er zur Auswahl für das externe Teilen von Dateien.
Nur Personen in Ihrer Organisation: Mit dieser Option wird verhindert, dass Dateien mit externen Gästen geteilt werden können. Dateien und Ordner können nur mit internen Personen in der Organisation geteilt werden.
Über das erweiterbare Menu Weitere externe Freigabeeinstellungen können die oben beschriebenen Einstellungen noch weiter eingeschränkt werden.
Externes Teilen nach Domänen begrenzen: Mit dieser Option kann das Teilen auf einzelne Domänen eingeschränkt werden, so können beispielsweise Dokumente nur mit Gästen der Domäne ioz.ch geteilt werden.
Nur Benutzern in bestimmten Sicherheitsgruppen das externe Teilen gestatten: Damit kann einschränkt werden, dass nur Personen in gewissen Sicherheitsgruppen Dateien mit externen teilen können. Dies können Sicherheitsgruppen in der Cloud oder gesynchte Gruppen aus dem On Premise Active Directory (AD) sein.
Gäste müssen sich mit demselben Konto anmelden, mit dem Einladungen zum Teilen gesendet werden: Einladungen an Gäste können standardmässig mit einem anderen Konto ebenfalls bestätigt werden. Wird die Einladung mit einem anderen Konto bestätigt, so funktioniert die ursprünglich eingeladene E-Mail-Adresse nicht mehr. Mit dieser Einstellung muss die eingeladene Person sich mit der in der Einladung verwendeten E-Mail-Adresse verifizieren. Damit dies verständlich ist, hierzu ein kurzes Beispiel:
Von einem beliebigen Tenant wird eine Datei mit dem User marcel.kurmann[at]ioz.ch geteilt. Ich erhalte hierbei eine Einladung per E-Mail. Klicke ich nun auf den Link zur Verifizierung in der E-Mail, so kann ich eine beliebige, mir zur Verfügung stehende E-Mail-Adresse verwenden, um einen Gastaccount auf dem einladenden Tenant zu eröffnen. Mach ich das, beispielsweise mit max.power[at]ioz.ch, so wird ein Gastaccount mit max.power[at]ioz.ch auf dem einladenden Tenant eröffnet. Die E-Mail-Adresse marcel.kurmann[at]ioz.ch erhält demnach keinen Gastaccount und ist auch nicht berechtigt die Datei zu öffnen.
Gästen das Teilen von Elementen gestatten, die sie nicht besitzen: Diese Option ermöglicht Gästen das Teilen von Dokumenten an weitere Gäste.
Gastzugriff auf eine Site oder auf OneDrive läuft nach dieser Anzahl von Tagen automatisch ab: Der Administrator kann hier eine bestimmte Anzahl Tage definieren. Danach funktioniert der Zugriff für den Gast auf die geteilte Site, Ordner oder Datei nicht mehr.
Personen, die einen Prüfcode verwenden, müssen sich nach dieser Anzahl von Tagen erneut authentifizieren: Gäste, die einen Prüfcode für den Zugriff verwenden und im Browser «Angemeldet bleiben» gewählt haben, müssen nach Ablauf der gesetzten Frist den Prüfcode neu eingeben.
Standardeinstellungen für Datei- und Ordnerlinks
In den nachfolgenden Optionen kann der Standard-Freigabelink und die Standardberechtigung für Freigabelinks auf Tenant Ebene definiert werden.
Andere globale Einstellungen
Besitzern die Namen der Personen anzeigen, die ihre Dateien auf OneDrive angezeigt haben: Mit dieser Option kann festgelegt werden, ob der Besitzer einer freigegebenen Datei in OneDrive die Personen anzeigen kann, von welchen die Datei angeschaut (und nicht bearbeitet) wurde. Hierbei werden die Anzahl Aufrufe der Datei sowie die Anzahl Personen, welche die Datei angeschaut haben, angezeigt.
Sitebesitzer sollen entscheiden, ob die Namen von Personen angezeigt werden, die Dateien oder Seiten in SharePoint angezeigt haben: Diese Einstellung bewirkt das selbe wie die oben beschriebene Funktion. Nur betrifft diese Einstellung Dateien in einer SharePoint Bibliothek. Standardmässig ist diese Option auf Organisationsebene aktiviert und auf Websiteebene für bestehende Websites deaktiviert. Die Informationen werden dem User nur angezeigt, wenn die Einstellung auf Organisationsebene sowie auf Websiteebene aktiviert ist.
Verwenden Sie kurze Links zum Teilen von Dateien und Ordnern: Mit dieser Option ist es dem User erlaubt, verkürzte Links auf geteilte Dateien zu erstellen.
- Beispiel mit deaktivierter Option: https://<Tenant>.sharepoint.com/sites/abcd/_layouts/15/guestaccess.aspx?guestaccesstoken=YsfBiE7hMvqQX%2BWgGSSHknj%2BCEAcHaBU4WhkcuxXpbs%3D&docid=2_107ba8ab866f94b70b5aa0dcc3b294712&rev=1&e=xkVsh0
- Beispiel mit aktivierter Option: https://<Tenant>.sharepoint.com/:b:/s/abcd/EbiKugf5ZnBLtaoNzDspRxIB7MvtFlF5O6aO5u4BOZbHow?e=fDwSF0
Richtlinien externes Teilen auf Site-Ebene einstellen
Die Einstellungen auf Site-Ebene werden unter Websites > aktive Websites vorgenommen. Dabei ist die gewünschte Site zu selektieren und unter Richtlinien die Optionen für das externe Teilen bearbeiten. Einige der zuvor erwähnten Tenant-weiten Einstellungen können nun für einzelne Sites geändert werden. Wichtig hierbei nochmals zu erwähnen ist, dass diese Einstellungen nur für die selektierte Site gilt. Als Standard werden die Einstellungen übernommen, welche auf Tenant-Ebene vorgenommen wurden.
Falls beispielsweise die Konfiguration Inhalte können mit neuen und vorhandenen Gästen geteilt vorgenommen wurde, so ist dies ebenfalls maximal auf Site-Ebene möglich. Die Option Jeder steht somit nicht zur Verfügung.
Auf Site-Ebene kann für den Standardtyp für Freigabelink zusätzlich die Option Personen mit bestehendem Zugriff aktiviert werden, diese steht auf Tenant-Level nicht zur Verfügung.
Eine Datei in SharePoint Online kann direkt aus der Bibliothek heraus oder der Datei selbst geteilt werden. Aus der Bibliothek wird der Teilen-Dialog über die Command Bar oder das Kontextmenü geöffnet:
Es öffnet sich der Teilen-Dialog. Die Einstellungen, welche auf Site-Ebene vorgenommen wurden, gelten hier als Standardeinstellung. Auch hier können einige Einstellungen «übersteuert» werden:
Unter den Linkeinstellungen können Sie wieder explizit für eine Datei das Verhalten des Links ändern. Folgende Auswahlmöglichkeiten stehen Ihnen hierbei zur Verfügung:
Jeder mit dem Link: Diese Option ist im Beispiel grau hinterlegt. Dies ist der Fall, weil auf auf Tenant-Ebene die Einstellung für das Teilen mit jeder beliebigen Person deaktiviert wurde. Wäre diese Option aktiviert, so könnte man folglich einen Link generieren, welcher von jeder Person ohne Authentifizierung geöffnet werden könnte.
Personen in <Organisation> mit dem Link: Ein solcher Link ist nur für Personen in der Organisation gültig. Gäste oder Personen, welche nicht angemeldet sind, können diesen Link nicht verwenden. Dieser Link wird erstellt, falls das Element innerhalb der Organisation freigegeben wird, der Zugriff von Gästen darauf aber nicht erlaubt wird. Der Link kann funktionsfähig in der Organisation weitergesendet werden.
Personen mit bestehendem Zugriff: Dieser Link funktioniert nur für Personen, welche bereits Zugriff auf die Datei haben. Die Berechtigungen auf dem Element werden hierbei nicht, wie bei den anderen Optionen, verändert. Diese Einstellung kann nur auf Site-Ebene im SharePoint Admin Center als Standard-Einstellung gesetzt werden.
Bestimmte Personen: Diese Option erstellt einen Link für spezifische Personen oder E-Mail-Adressen (externe Personen). Zusätzliche kann die Berechtigungen direkt eingestellt werden (Lesen oder Bearbeiten). Der Link kann jedoch nicht an beliebige Personen weitergeleitet werden.
Je nach Einstellungen auf Tenant- oder Site-Ebene können noch weitere Einstellungen, wie die Dauer der Linkgültigkeit, eingestellt werden.
Aufgebrochene Berechtigungen nach der Linkegenerierung
Sobald ein Link über die Teilen-Funktion generiert wird, werden die Berechtigungen auf dem jeweiligen Element aufgebrochen. Dies geschieht bei allen Link-Arten ausser bei Personen mit bestehendem Zugriff. In der Berechtigungsverwaltung wird dies folgendermassen dargestellt:
Übersicht über geteilte Inhalte behalten
Fazit der IOZ
Das Verwenden der richtigen Einstellungen ist essenziell, um Dateien vor dem Zugriff durch Unbefugte zu schützen. Die Einstellungen sollten auf einem möglichst hohen Level definiert werden. Seien Sie lieber restriktiv und ändern Sie die Einstellungen auf Site-Ebene, falls nötig. So kann bei internen Sites das Teilen mit externen Gästen ganz unterbunden werden, bei Projekte oder der Zusammenarbeit mit Gästen macht es Sinn, die Einstellung entsprechend vorzunehmen.
Beitrag teilen