Gastkonten mit Ablaufdatum: warum externe Identitäten im Audit der blinde Fleck sind

Was ein Gastkonto ist und warum es sich anders verhält

Ein Gast in Entra ID ist ein Konto mit dem Benutzertyp Gast, das über die B2B-Zusammenarbeit eingeladen wurde. Die Person meldet sich mit der Identität ihrer eigenen Organisation oder einem privaten Microsoft-Konto an, taucht aber in Ihrem Verzeichnis auf, kann Mitglied Ihrer Gruppen sein und Zugriff auf Ihre Daten haben. Zwei Dinge sind dabei anders als bei Mitarbeitenden: Es gibt keinen Vorgesetzten, der den Austritt meldet, und die Kontrolle über Passwort und Multi-Faktor-Authentifizierung liegt beim Heimat-Tenant, sofern Sie das in den mandantenübergreifenden Zugriffseinstellungen nicht anders regeln.

Einladungen entstehen nebenbei. Wer in Teams eine externe Adresse hinzufügt oder in SharePoint einen Ordner teilt, legt ein Gastkonto an, ohne es zu merken. Deshalb wächst die Zahl der Gäste in vielen Organisationen schneller als die der Mitarbeitenden, und niemand hat sie je beantragt.

Was NIS2 und ISO 27001 dazu verlangen

NIS2 nennt in Artikel 21 Absatz 2 die Konzepte für Zugriffskontrolle und die Sicherheit der Lieferkette ausdrücklich als Mindestmaßnahmen. ISO/IEC 27001:2022 verlangt in Anhang A unter Identitätsmanagement, dass Identitäten entfernt werden, wenn sie nicht mehr benötigt werden, und unter Zugriffsrechten, dass Rechte bei Änderung oder Ende der Zusammenarbeit entzogen werden. Die Lieferantenkontrollen ergänzen, dass der Zugriff externer Parteien geregelt sein muss.

Keine dieser Vorgaben verlangt, dass es keine Gäste gibt. Sie verlangen, dass Sie wissen, welche es gibt, warum, und wann sie wieder gehen. Ein Gastkonto ohne Sponsor und ohne Ablaufdatum verstößt gegen alle drei Punkte gleichzeitig.

Fünf Fragen, die der Prüfer stellt

1. Wer hat eingeladen? Für jeden Gast sollte eine interne Person als Sponsor hinterlegt sein. Entra ID bietet dafür seit 2024 ein eigenes Feld.
2. Wofür? Der Zweck gehört in ein Ticket oder in die Beschreibung, nicht in die Erinnerung des Einladenden.
3. Seit wann? Das Erstellungsdatum steht im Verzeichnis. Ein Gast aus dem Jahr 2022 ohne Projektbezug ist eine Frage, die Sie besser vorher beantworten.
4. Wann zuletzt aktiv? Die letzte Anmeldung zeigt, ob das Konto überhaupt noch benutzt wird. Eine Einladung, die nie angenommen wurde, ist ein Sonderfall: sie ist offen, aber unbenutzt.
5. Wann endet es? Die Frage, an der die meisten Organisationen scheitern. Ohne definiertes Ende bleibt jeder Gast, bis jemand zufällig aufräumt.

Ablaufdatum: drei Wege, die in der Praxis funktionieren

Zugriffsüberprüfungen. Mit Entra ID Governance oder einer P2-Lizenz lassen sich wiederkehrende Überprüfungen für alle Gäste einrichten. Der Sponsor oder der Gruppenbesitzer bestätigt alle 90 Tage, ob der Zugriff noch nötig ist. Wer nicht antwortet, verliert ihn automatisch. Das ist der sauberste Weg, weil die Entscheidung dokumentiert wird.

Regel für inaktive Gäste. Wer keine Governance-Lizenz hat, kann eine feste Regel setzen: Gäste ohne Anmeldung in den letzten 60 Tagen werden gesperrt, nach weiteren 30 Tagen gelöscht. Die Prüfung läuft als monatliches Skript oder als Aufgabe im Betrieb. Wichtig ist, dass die Regel aufgeschrieben ist und die Ausführung nachweisbar.

Einladung mit Ende. Der günstigste Weg beginnt vor der Einladung: Wer einen Gast beantragt, nennt Zweck, Sponsor und Enddatum. Am Enddatum wird das Konto entfernt oder verlängert. Dazu gehört, das Einladen auf bestimmte Rollen zu beschränken, damit nicht jeder Teams-Nutzer nebenbei Gäste anlegt.

So prüfen Sie das mit Bordmitteln

• Liste aller Gäste: Im Entra Admin Center unter Benutzer nach Benutzertyp Gast filtern. Die Spalten Erstellungsdatum und Einladungsstatus lassen sich einblenden.
• Per Graph API: /users?$filter=userType eq 'Guest'&$select=displayName,mail,createdDateTime,externalUserState,signInActivity. Die Anmeldeaktivität setzt eine P1-Lizenz und die Berechtigung zum Lesen der Audit-Protokolle voraus.
• Gäste in privilegierten Gruppen: Jede Gruppe, die Zugriff auf sensible Daten oder Rollen vergibt, sollte auf Gastmitglieder geprüft werden. Ein externer Mitarbeiter in der Gruppe der Domänen-Administratoren ist kein Einzelfall.
• Einladungseinstellungen: Unter Externe Identitäten prüfen, wer einladen darf. Der Standard erlaubt es allen Mitgliedern und Gästen.

Wo Bordmittel an ihre Grenzen stoßen

Die letzte Anmeldung reicht im Tenant nur dreißig Tage zurück, ältere Werte sind nur noch als Datum sichtbar, nicht als Verlauf. Wer belegen muss, dass die Gästezahl über ein Jahr gesunken ist, braucht eigene Momentaufnahmen mit Datum. Gäste tauchen außerdem nicht nur in Entra auf: Externe Konten im lokalen Active Directory, Partner in Okta oder in einem Keycloak-Realm folgen jeweils eigenen Regeln. Der Prüfer stellt seine fünf Fragen trotzdem für alle.

Dieser Beitrag ist derzeit nur auf Deutsch verfügbar. This article is currently available in German only.