Ihr Partner ist bereits Gast in Ihrem Teams-Mandanten. Beim Hinzufügen zu einem geteilten Kanal wird die Person dennoch nicht gefunden oder die Einladung schlägt fehl. Häufig liegt es am Identitätsmodell: Ein Gastkonto und die externe Mitgliedschaft in einem geteilten Kanal funktionieren unterschiedlich.
Microsoft Teams bietet reguläre, private und geteilte Kanäle. Ihre Namen deuten darauf hin, dass es nur drei Sichtbarkeitsebenen gibt. Allerdings ändern sich bei externer Zusammenarbeit auch die Benutzeridentität, organisationsübergreifende Einstellungen und Dateiberechtigungen. Wenn Sie den falschen Kanaltyp auswählen, hilft das wiederholte Versenden der Einladung nicht.
Zuerst den benötigten Zugriff festlegen
Ein Standardkanal gehört dem gesamten Team. Eine externe Person kann als Gast in das Team eingeladen werden, wenn die Regeln der Organisation dies zulassen. Ein privater Kanal schränkt den Personenkreis innerhalb des Teams ein. Ein geteilter Kanal kann Personen aus verschiedenen Teams und unterstützten externen Organisationen verbinden, ohne dass die externe Person Mitglied des gesamten Teams wird.
Ein geteilter Kanal hat eigene Mitglieder. Andere Mitglieder des übergeordneten Teams sehen seine Inhalte nur, wenn sie auch Mitglied des geteilten Kanals sind. Er ersetzt nicht jeden Gastzugriff. Microsoft stellt in der Dokumentation zu geteilten Kanälen klar, dass sich ein Gastkonto im Gastgeber-Mandanten nicht als Mitglied des geteilten Kanals hinzufügen lässt.
| Anforderung | Möglicher Ansatz | Worauf zu achten ist |
|---|---|---|
| Der Partner sollte mit dem gesamten Team zusammenarbeiten | Gast im Team; Standardkanäle | Sie sehen Inhalte gemäß den Rechten des gesamten Teams |
| Nur eine begrenzte Gruppe von Teammitgliedern sollte Zugriff haben | Privater Kanal | Mitgliedschaft und Dateizugriff prüfen |
| Mitarbeiter aus mehreren unterstützten Organisationen sollten in einem Kanal arbeiten, ohne den Mandanten wechseln zu müssen | geteilter Kanal mit B2B Direct Connect | Beide Organisationen müssen eine gegenseitige Zusammenarbeit aufbauen |
| Der Partner verfügt nicht über ein Microsoft 365-Geschäfts-/Schulkonto | Anderes Modell der externen Zusammenarbeit prüfen | Der geteilte Kanal ist für ihn möglicherweise nicht verfügbar |
Die Tabelle ist eine Gestaltungshilfe, keine automatische Sicherheitsregel. Dokumentensensibilität, Organisationsregeln und Benutzererfahrung können die Entscheidung beeinflussen.
Warum ein bestehender Gast nicht ausreicht
Das externe Mitglied des geteilten Kanals stellt eine Verbindung über Microsoft Entra B2B Direct Connect her. Die Person meldet sich bei seiner Heimatorganisation an und muss beim Zugriff auf den Kanal nicht zum Host-Mandanten wechseln. Im Gegensatz zur normalen B2B-Zusammenarbeit gibt es im Zielmandanten kein Standardgastobjekt. Microsoft beschreibt diesen Unterschied in Übersicht über B2B-Direktverbindungen.
Wenn dieselbe Person bereits ein Gastkonto bei Ihnen hat, kann es sein, dass Teams bei der Suche die falsche Identität anbietet. Dadurch wird die alte Einladung des Gastes nicht automatisch auf eine Direktverbindung umgestellt. Stellen Sie daher bei der Diagnose sicher, dass Sie ein Arbeitskonto der Heimatorganisation des Partners und kein Gastkonto in Ihrem Mandanten auswählen. Microsoft empfiehlt für einige Verfahren die Suche nach einer externen Identität über „ext:user@domain“ in der Verwaltung; Wenn sich der Anmelde-UPN von der E-Mail-Adresse unterscheidet, verwenden Sie den richtigen UPN gemäß dem aktuellen Leitfaden für geteilte Kanäle.
Dies ist ein guter Ort für eine einfache Regel: Die Anwesenheit eines Gastes im Verzeichnis allein bestätigt nicht, dass der geteilte Kanal bereit ist.
Was beide Organisationen zulassen müssen
Die Einrichtung betrifft beide Seiten. In Microsoft Entra legen Sie in den mandantenübergreifenden Zugriffseinstellungen fest, welche Personen des Partners über B2B Direct Connect in Ihre Kanäle gelangen und wer aus Ihrer Organisation die Kanäle des Partners nutzen darf. Auch die Partnerorganisation muss den jeweiligen Zugriff erlauben. B2B Direct Connect ist standardmäßig deaktiviert; eine Teams-Richtlinie allein aktiviert es nicht. Der Microsoft-Leitfaden für externe Teilnehmer beschreibt eingehende und ausgehende Einstellungen.
Überprüfen Sie außerdem die Teams-Richtlinie auf die Möglichkeit, geteilte Kanäle zu erstellen, externe Personen einzuladen und externen geteilten Kanälen beizutreten. Gleichzeitig weist Microsoft auf die entsprechenden Regeln für Gastzugänge, SharePoint und Microsoft 365-Gruppen hin. Wenn externe Teilnehmer an Besprechungen teilnehmen oder deren Anwesenheit funktionieren soll, überprüfen Sie auch die Einstellung für den externen Zugriff. Ein grüner Schalter in der Verwaltung deckt einfach nicht das gesamte Szenario ab.
Legen Sie im Pilotprojekt die Beziehung zunächst auf einen bestimmten Partner fest, je nach Bedarf auch auf bestimmte Gruppen oder Benutzer. Die weitgehende Zulassung aller externen Organisationen sollte eine bewusste Entscheidung sein und kein Hotfix für eine fehlgeschlagene Einladung.
Den Kanal mit beiden Organisationen testen
Verwenden Sie das Kontrollverfahren mit zwei Administratoren und einem Tester auf jeder Seite:
- Notieren Sie den Heimat-Mandanten und den UPN beider Testpersonen.
- Überprüfen Sie die gegenseitige eingehende/ausgehende B2B-Direktverbindungsautorisierung für die richtigen Organisationen und Office 365-Anwendungen.
- Überprüfen Sie die Teams-Richtlinie sowohl für den Kanalbesitzer als auch für den externen Teilnehmer.
- Erstellen Sie einen geteilten Testkanal mit klar benanntem Eigentümer.
- Laden Sie ein externes Arbeitskonto ein. Wählen Sie kein vorhandenes Gastobjekt aus.
- Testen Sie Nachrichten, Dateizugriff und gegebenenfalls Besprechungen. Jede Funktion kann aus einem anderen Grund scheitern.
- Halten Sie fest, wer den Zugriff regelmäßig prüft und wer ihn nach Beendigung der Zusammenarbeit entzieht.
Wenn die Suche nach der externen Person scheitert, ändern Sie nicht sofort alle Mandantenregeln. Prüfen Sie den genauen UPN und die Einstellungen für B2B Direct Connect auf beiden Seiten. Funktioniert der Kanal, aber nicht der Dateizugriff, prüfen Sie SharePoint, Vertraulichkeitsbezeichnungen und Conditional Access. Microsoft dokumentiert Fehler bei geteilten Kanälen gesondert.
Dateiberechtigungen gesondert prüfen
Jeder geteilte Kanal erstellt seine eigene SharePoint-Site. Die Site-Mitgliedschaft ist an die Kanalmitgliedschaft gebunden und Site-Rechte werden nicht separat direkt in SharePoint verwaltet. Aus diesem Grund sollte der Administrator das fehlende Mitglied nicht „reparieren“, indem er es manuell zur Site-Gruppe hinzufügt. Überprüfen Sie die Teams-Mitgliedschaft und die zugehörigen Richtlinien. Microsoft beschreibt die Architektur und Einschränkungen in der Dokumentation.
Es gibt eine weniger offensichtliche Ausnahme. Wenn jemand über SharePoint besonderen Zugriff auf eine einzelne Datei oder einen einzelnen Ordner erhalten hat, wird durch das Entfernen der Person aus dem Kanal dieser spezielle Zugriff möglicherweise nicht entfernt. Daher darf Offboarding nicht bei der Liste der Kanalmitglieder enden. Überprüfen Sie auch Links und direkte Berechtigungen für vertrauliche Elemente.
Eine externe Person kann Nachrichten im Kanal lesen und trotzdem eine verschlüsselte Datei mit Vertraulichkeitsbezeichnung nicht öffnen. Daraus folgt nicht automatisch, dass B2B Direct Connect fehlerhaft ist. Prüfen Sie Dateiberechtigungen und Schutzrichtlinien getrennt.
Lizenzen und Kosten
Für einfaches B2B Direct Connect benötigt nicht jede externe Person eine kostenpflichtige Entra-ID-P1-Lizenz in der Gastgeberorganisation. Umgekehrt beweist eine erfolgreiche Einladung nicht, dass erweiterte Sicherheits- oder Governance-Funktionen kostenlos sind. Microsoft beschreibt das Modell monatlich aktiver Nutzer von External ID. Prüfen Sie Abrechnung und Funktionsrechte für Ihren konkreten Fall sowie die Teams-Lizenz und mögliche Add-ons in der Heimatorganisation der Person.
Verwechseln Sie diese Frage nicht mit Teams Premium oder Teams Rooms. Diese Produkte adressieren andere Funktionen und Geräte, wie im Axeti Standalone-Handbuch erläutert. Durch den Kauf einer höheren Meeting-Organizer-Lizenz wird keine gegenseitige B2B-Direktverbindung für beide Mandanten eingerichtet.
Häufig gestellte Fragen
Kann ein bestehender Gast zu einem geteilten Kanal hinzugefügt werden?
Nicht als Gastidentität. Der Geteilte Kanal verwendet B2B Direct Connect für die externe Person und ihr Arbeitskonto in der Heimatorganisation. Dieselbe Person kann im Mandanten über ein Gastkonto verfügen, Sie müssen jedoch die richtige Identität auswählen.
Reicht es aus, geteilte Kanäle in Teams zu aktivieren?
Für eine externe Zusammenarbeit reicht es nicht. Beide Organisationen müssen einen geeigneten mandantenübergreifenden Zugriff einrichten und dann die Teams-Richtlinien und zugehörigen Regeln überprüfen.
Wird der Externe das gesamte Team sehen?
Ein geteilter Kanal hat eine separate Mitgliedschaft; Durch den Zugriff auf einen Kanal werden nicht automatisch alle anderen übergeordneten Teamkanäle geöffnet. Überprüfen Sie jedoch die Dateifreigabe und die direkten Berechtigungen separat.
Entfernt das Entfernen aus einem Kanal jeglichen Zugriff auf Dateien?
Nicht immer. Direkt über SharePoint gewährte Datei- oder Ordnerberechtigungen können bestehen bleiben. Überprüfen Sie beide Ebenen, wenn Sie die Zusammenarbeit beenden.
Muss die externe Person den Mandanten wechseln?
B2B Direct Connect nutzt das Konto der Heimatorganisation und ermöglicht den Zugriff auf den geteilten Kanal ohne den üblichen Organisationswechsel in Teams. Prüfen Sie das konkrete Verhalten mit dem Partner in einem Pilotprojekt.
Vor der Einladung das passende Modell wählen
Schreiben Sie auf, ob der Partner ein ganzes Team, einen einzelnen Kanal oder nur ein paar Dateien benötigt. Wählen Sie dann ein Identitätsmodell, richten Sie beide Organisationen ein, testen Sie Kommunikation und Dateien und bestimmen Sie den Zugriffseigentümer. Dadurch wird die Ursache des Problems behoben, anstatt dieselbe Einladung zu wiederholen.
