Externe auf eigenen Laptops: Download, Druck und Synchronisierung in SharePoint unterbinden

Eine Situation, die viele Unternehmen kennen: Neben den eigenen Angestellten arbeiten auch externe Mitarbeitende mit. Die Angestellten nutzen Firmenrechner, die das Unternehmen verwaltet, die Externen arbeiten auf ihren eigenen Laptops. Alle brauchen dieselben Dokumente in SharePoint und OneDrive: lesen, ergänzen, kommentieren. Die Geschäftsleitung möchte aber nicht, dass die Externen Dateien herunterladen, drucken oder auf ihren Rechner synchronisieren. Wenn die Zusammenarbeit endet, soll nichts aus der Firma auf einer fremden Festplatte zurückbleiben.

Danach werden wir öfter gefragt, als man denken würde. Externe sollen mit Ihren Dokumenten arbeiten, sie aber nicht mit nach Hause nehmen. Microsoft 365 hat dafür eine Funktion, die weder die Verwaltung eines fremden Laptops noch Fernlöschung oder eine Installation bei den Externen erfordert. Sie hat aber zwei Fallen, in die man leicht tritt. Wir gehen beides durch.

Stand: 11. 11. 2026. Die Beschreibung beruht auf der Dokumentation von Microsoft zu diesem Datum. Microsoft passt die Einstellungen für bedingten Zugriff laufend an, deshalb verlinken wir bei jedem Schritt die Quelle.

Warum nicht den Laptop verwalten

Die erste Idee lautet meist: „Wir nehmen die Laptops der Externen in Intune auf.“ Beim eigenen Computer einer externen Person ergibt das selten Sinn: Sie möchte nicht, dass eine fremde Firma ein Gerät verwaltet, auf dem sie auch für andere Kunden arbeitet, und Sie möchten nicht für ihren Computer verantwortlich sein. Außerdem löst es das falsche Problem. Intune kümmert sich um Geräte – Sie wollen die Dateien schützen.

Besser ist es, die Logik umzudrehen. Die Geräte Ihres Unternehmens (in Intune registriert und konform oder Ihrer Domäne beigetreten) erhalten vollen Zugriff. Alles andere ist ein nicht verwaltetes Gerät und erhält nur eingeschränkten Zugriff über den Browser.

Was der eingeschränkte Webzugriff bewirkt

Im SharePoint Admin Center gibt es unter Policies → Access control → Unmanaged devices die Option Allow limited, web-only access (eingeschränkter, reiner Webzugriff). Laut der Dokumentation von Microsoft gilt dann für eine Person auf einem nicht verwalteten Gerät:

• Dateien öffnen sich nur im Browser,
• sie kann sie nicht herunterladen, drucken oder mit OneDrive synchronisieren,
• sie erreicht sie auch nicht über Apps, einschließlich Word oder Excel auf dem Desktop,
• oben auf der Website erscheint ein Hinweis, dass der Zugriff eingeschränkt ist.

Bearbeiten im Browser ist standardmäßig erlaubt – Externe können ein Dokument also in Word für das Web ganz normal bearbeiten und kommentieren. Wer weiter gehen will, hat in PowerShell zwei strengere Optionen: -AllowEditing $false verhindert das Bearbeiten von Office-Dateien im Browser, -ReadOnlyForUnmanagedDevices $true macht die ganze Website schreibgeschützt. Die Einschränkung lässt sich für die gesamte Organisation oder nur für ausgewählte Websites bzw. OneDrive-Konten einschalten (Set-SPOSite … -ConditionalAccessPolicy AllowLimitedAccess).

Der Vollständigkeit halber das andere Extrem: Block access lässt ein nicht verwaltetes Gerät nur bis zu einer Fehlermeldung. Das passt für sensible Websites, nicht für Personen, die mit den Dokumenten arbeiten sollen.

Was Sie brauchen: Lizenzen

Die Einschränkung beruht auf dem bedingten Zugriff von Microsoft Entra (Conditional Access). Dieser erfordert eine Lizenz Microsoft Entra ID P1.

Lizenz	Entra ID P1	Hinweis
Microsoft 365 Business Basic	nein	P1 separat zukaufen
Microsoft 365 Business Standard	nein	P1 separat zukaufen
Microsoft 365 Business Premium	ja	zusätzlich Intune für die eigenen Firmengeräte
Microsoft 365 E3 / E5	ja	E5 hat P2, das P1 umfasst

Quellen: Sicherheitsübersicht Microsoft 365 for Business und Lizenzierung Microsoft Entra.

Tipp für Externe, die kein Desktop-Office brauchen. Eine Lizenz Entra ID P1 allein reicht nicht – sie hat kein Postfach, kein Teams und kein SharePoint, sie ist nur eine Ergänzung der Identität. Das Minimum ist Business Basic + Entra ID P1: E-Mail, Teams, SharePoint, OneDrive und Office im Web und auf dem Smartphone (Planübersicht). Business Premium fügt gegenüber Basic die Office-Desktop-Apps, Intune und Defender for Office 365 hinzu. Für jemanden, der von einem nicht verwalteten Laptop nur über den Browser auf Ihre Dateien zugreifen darf, nützt Desktop-Office bei Ihren Dokumenten nichts – Word auf dem Computer kommt ohnehin nicht an sie heran. Die eigenen Firmengeräte mit vollem Zugriff müssen dagegen in Intune registriert sein, und das ist in Business Premium (oder E3/E5) enthalten.

Falle 1: Die Einstellung gilt für alle

Hier passieren die meisten Fehler. Wenn Sie die Option im SharePoint Admin Center speichern, entstehen in Entra neue Richtlinien für bedingten Zugriff, die für alle Benutzer gelten. Microsoft sagt das in der Dokumentation ausdrücklich. Zudem werden bei jedem weiteren Speichern auf dieser Seite die vorherigen Richtlinien deaktiviert und neu angelegt – Ihre Anpassungen werden nicht übernommen.

Was das praktisch bedeutet: Solange Ihre eigenen Laptops nicht in Intune registriert und konform sind, trifft die Einschränkung auch Ihre internen Leute – und die Administratoren. Bei der vergleichbaren Sperr-Einstellung warnt Microsoft ausdrücklich, dass sie Sie sogar vom SharePoint Admin Center aussperren kann, und empfiehlt, Administratoren auszunehmen.

Empfohlenes Vorgehen:

1. Legen Sie eine Gruppe an „Externe“ (Sicherheitsgruppe in Entra) und nehmen Sie nur die externen Mitarbeitenden auf.
2. Schalten Sie die Option im SharePoint Admin Center ein und suchen Sie gleich danach im Entra Admin Center → Conditional Access die neu angelegten Richtlinien. Sie erkennen sie zum Beispiel am Namen „Use app-enforced Restrictions for browser access“.
3. Beschränken Sie sie auf die Gruppe Externe (Users → Include → ausgewählte Gruppen) und nehmen Sie das Notfall-Administratorkonto aus. Microsoft unterstützt die Ausrichtung auf ausgewählte Benutzer oder Gruppen – die Einschränkung lässt sich für alle oder nur für einige Benutzer bzw. Sicherheitsgruppen einschalten.
4. Wenn Sie zuerst nur beobachten möchten, stellen Sie die Richtlinien auf Report-only. In den Anmeldeprotokollen von Entra sehen Sie dann, wen die Richtlinie träfe, ohne jemanden einzuschränken. Erst danach schalten Sie sie scharf.
5. Klicken Sie auf der Seite Unmanaged devices nicht noch einmal auf Save. Jedes weitere Speichern legt die Richtlinien wieder für alle an, und die Beschränkung ist weg. Änderungen nehmen Sie in Entra vor.

Das ist unser empfohlenes Vorgehen, nicht das einzig mögliche – und testen Sie es immer zuerst mit einer externen Person, bevor Sie es für alle einschalten. Wer die Richtlinie von Anfang an selbst im Griff haben möchte, kann sie in Entra manuell anlegen (Ziel-App Office 365 SharePoint Online, Sitzungssteuerung „Use app enforced restrictions“) und die Einschränkung auf der SharePoint-Seite per PowerShell einschalten.

Falle 2: Umgehungen, die vergessen werden

Die Einschränkung greift bei Anmeldungen über SharePoint und OneDrive. Es gibt aber Wege daran vorbei, die Sie separat schließen müssen:

• Links „Jeder mit dem Link“. Anonyme Links sind von den Richtlinien für bedingten Zugriff nicht betroffen – wer einen solchen Link hat, lädt die Datei herunter. Microsoft empfiehlt, sie auf Websites mit Einschränkung zu deaktivieren.
• Apps ohne moderne Authentifizierung. Alte Clients (Office vor 2013, manche Apps von Drittanbietern) können die Einschränkung nicht durchsetzen. Microsoft empfiehlt, im selben Bereich Access control auch Apps that don’t use modern authentication zu blockieren.
• E-Mail-Anhänge. Die Einschränkung betrifft nur SharePoint und OneDrive. Schickt jemand einer externen Person ein Dokument als Anhang, kann sie es ganz normal herunterladen. Wer auch E-Mail und Teams abdecken will, braucht eine Richtlinie für bedingten Zugriff für ganz Office 365 – und vor allem die Gewohnheit im Unternehmen, Links statt Anhänge zu versenden.
• Dateien in Teams. Die Registerkarte Dateien in Teams ist SharePoint, die Einschränkung gilt also auch dort. Der Chat in Teams dagegen nicht.

Worauf Sie sich beim Einschalten einstellen sollten

• Wirksam innerhalb von 24 Stunden. Microsoft weist darauf hin, dass die Richtlinie niemanden betrifft, der von einem nicht verwalteten Gerät bereits angemeldet ist – bitten Sie die Externen nach dem Einschalten, sich ab- und wieder anzumelden.
• PDFs und Bilder. Im Standardmodus (WebPreviewableFiles) warnt Microsoft, dass PDFs und Bilder unerwartet „Access Denied“ melden können, weil der Browser sie zur Anzeige herunterladen muss. Testen Sie mit den Dateitypen, die Ihre Externen tatsächlich nutzen.
• Ihre eigenen Leute brauchen einen unterstützten Browser. Auch auf einem verwalteten Gerät müssen Benutzer eine unterstützte Kombination aus Betriebssystem und Browser verwenden, sonst erhalten auch sie eingeschränkten Zugriff.
• Bilder auf Websiteseiten. Wer eine Website von einem nicht verwalteten Gerät aus bearbeitet, sieht in Webparts hochgeladene Bilder womöglich nicht – Microsoft beschreibt dafür eine Umgehung.

Was Sie damit nicht lösen

Seien wir ehrlich: Der eingeschränkte Webzugriff verhindert Herunterladen, Drucken und Synchronisieren. Er verhindert nicht, dass jemand Inhalte abschreibt oder den Bildschirm fotografiert. Für die meisten kleinen Unternehmen ist das genau das richtige Maß – Ziel ist, dass nach dem Ende der Zusammenarbeit keine ganzen Ordner auf einer fremden Festplatte bleiben, nicht ein Tresor.

Wer mehr braucht, etwa das Kopieren von Text blockieren oder Downloads nach Vertraulichkeit des Dokuments steuern, greift zu Microsoft Defender for Cloud Apps und dessen Sitzungssteuerung. Dieser Dienst wird allerdings separat lizenziert (oder ist in Microsoft 365 E5 enthalten) und ist deutlich aufwendiger einzurichten.

So machen wir das bei EasyPortal 365

Die Einrichtung des bedingten Zugriffs ist einmalige Arbeit, geht aber leicht kaputt: Jemand erstellt einen anonymen Link, jemand klickt auf der falschen Seite auf Save. Deshalb lohnt es sich, das im Blick zu behalten.

• Atlas zeigt Freigaben und Gäste, findet Links „Jeder mit dem Link“ und kann sie mit einem einzigen Plan entfernen – zuerst wird nur lesend vorbereitet, was sich ändert, eingegriffen wird erst nach Ihrer Bestätigung. Atlas zeigt auch Geräte aus Intune und Entra ID einschließlich der nicht konformen – also die Computer Ihrer eigenen Leute, die ebenfalls eingeschränkten Zugriff bekämen.
• Die Einrichtung gehen wir gern im Rahmen unserer Leistungen mit Ihnen durch – von der Gruppe der Externen über einen Test im Modus Report-only bis zur Kontrolle, dass nichts umgangen wird.

Was Sie mitnehmen sollten

• Eingeschränkter, reiner Webzugriff ist für Externe auf eigenen Laptops die richtige Wahl: Sie arbeiten mit den Dokumenten, nehmen sie aber nicht mit.
• Sie brauchen Entra ID P1 – in Business Premium, E3 und E5 enthalten, zu Basic und Standard zuzukaufen.
• Standardmäßig zielt die Einstellung auf alle Benutzer. Beschränken Sie sie auf eine Gruppe der Externen, nehmen Sie den Notfall-Administrator aus und beginnen Sie im Modus Report-only.
• Schließen Sie die Umgehungen: anonyme Links, alte Apps und E-Mail-Anhänge.
• Rechnen Sie mit bis zu 24 Stunden und testen Sie PDFs und Bilder.

Quellen

• IT Admins – SharePoint and OneDrive unmanaged device access controls (Microsoft Learn)
• Use app-enforced restrictions (Microsoft Learn)
• Block access to SharePoint for specific users (Microsoft Learn)
• What is Conditional Access? – License requirements (Microsoft Learn)
• Microsoft 365 for business security overview (Microsoft Learn)
• Microsoft Entra licensing (Microsoft Learn)
• Microsoft 365 and Office 365 plan options (Microsoft Learn)
• Conditional Access app control in Microsoft Defender for Cloud Apps (Microsoft Learn)