Der Anruf kommt voraussichtlich vom Steuerberater, nicht aus der eigenen IT

Sie haben Ihrem Steuerberater einen Ordner mit Belegen freigegeben. Ein Link per E-Mail, er klickt darauf, bekommt einen Einmalcode an seine Adresse geschickt, gibt ihn ein und sieht die Dateien. So läuft das in vielen kleinen Betrieben: Angebotsordner für den Kunden, Planordner für den Handwerkspartner, Bildmaterial für die Agentur. Der Link wurde einmal verschickt und liegt seither in irgendeiner Mail.

Dieser Weg ändert sich. Microsoft übergibt die Verwaltung externer Gäste in SharePoint und OneDrive an die zentrale Benutzerverwaltung von Microsoft 365, an Microsoft Entra. Für Empfänger, die dort kein Gastkonto haben, endet der Zugriff auf früher verschickte Freigabelinks. Auf ihrem Bildschirm steht dann „Zugriff verweigert" oder, im englischsprachigen Original, der Satz „This organization updated its guest access settings". Genau diesen Satz zitiert der Steuerberater, wenn er sich meldet.

Was Microsoft umstellt, und was ausdrücklich bleibt

Bisher verwaltet SharePoint seine externen Gäste selbst: Wer einen Freigabelink bekommt, bestätigt seine Adresse mit einem Einmalcode, den SharePoint verschickt. Diese eigene Gästeverwaltung endet. Die Anmeldung läuft künftig über Microsoft Entra B2B, also über die zentrale Benutzerverwaltung, die in Microsoft 365 ohnehin schon alle Konten hält.

Wichtig ist, was dabei nicht passiert: Der Einmalcode per E-Mail wird nicht abgeschafft. Microsoft widerspricht dieser Lesart in seinen Fragen und Antworten ausdrücklich. Der Code bleibt das Standardverfahren für Gäste, er kommt künftig nur aus einer anderen Stelle. Was fehlt, ist also nicht der Code. Es fehlt das Gastkonto im Verzeichnis Ihres Betriebs, auf das sich die Anmeldung stützt.

Die Umstellung ist nicht abwählbar. Microsoft schaltet die Verbindung zwischen SharePoint, OneDrive und Entra B2B seit Mai 2026 für alle Mandanten frei, unabhängig davon, wie die zugehörige Einstellung im einzelnen Mandanten steht; die Möglichkeit, die Integration abzuschalten, wird entfernt. Ein Opt-out gibt es nicht, einen Wunschtermin ebenso wenig, und auf einzelne Websites begrenzen lässt sich die Änderung auch nicht. Das steht so in Microsofts eigenen Fragen und Antworten.

Der Termin: für Oktober 2026 angekündigt, aber nicht in der öffentlichen Dokumentation

Im Nachrichtencenter von Microsoft 365, also in dem Bereich, in dem Microsoft Administratoren über anstehende Änderungen informiert, ist die zweite Phase dieser Umstellung für Oktober 2026 angekündigt: Beginn Anfang Oktober 2026, Abschluss bis Monatsende. In dieser Phase endet die alte SharePoint-Anmeldung. Externe ohne passendes Gastkonto erhalten dann auf früher verschickte Links, die an sie persönlich adressiert waren, eine Zugriffsverweigerung.

An dieser Stelle ist Genauigkeit angebracht, denn die Quellenlage ist unsauber. Die frei zugängliche Microsoft-Dokumentation nennt diesen Termin nicht. Sie steht weiterhin auf Juli 2026 und wurde offenbar nicht nachgeführt, nachdem die Mitteilung im Nachrichtencenter im Juli 2026 aktualisiert wurde. Wer also nachliest, findet auf den öffentlichen Seiten ein anderes Datum als in der eigenen Verwaltungsoberfläche. Maßgeblich ist die Mitteilung im Nachrichtencenter Ihres eigenen Mandanten. Sichtbar ist sie nur dort, und genau deshalb lohnt es sich, jemanden hineinsehen zu lassen, der Zugang hat.

Dazu kommt ein zweiter Vorbehalt. Es handelt sich um eine Ankündigung, und der Termin wurde bereits einmal verschoben. Eine weitere Verschiebung ist nicht ausgeschlossen. Ein Grund zum Abwarten ist das trotzdem nicht: Die Gegenmaßnahme kostet nichts, dauert wenige Minuten und wirkt in jedem Szenario. Der Handlungsdruck kommt hier nicht aus dem Kalender, sondern daraus, dass die Sache ohnehin erledigt gehört.

Wen es trifft, und wen nicht

Betroffen sind Freigaben an namentlich benannte Empfänger, also Links, die Sie gezielt an eine E-Mail-Adresse geschickt haben. Genau davon spricht die Ankündigung.

Nicht betroffen sind anonyme Links, in der Oberfläche meist als „Jeder mit dem Link" bezeichnet. Microsoft stellt das ausdrücklich klar: Weder das Ende der alten SharePoint-Anmeldung noch die Umstellung auf Entra B2B wirken sich auf diese Links aus.

Ein Stichdatum, ab dem eine Freigabe als „alt" gilt, nennt Microsoft nicht. Die Frage lautet deshalb nicht, wie alt ein Link ist, sondern ob der Empfänger ein Gastkonto im Verzeichnis Ihres Betriebs hat.

Der Handgriff, der in jedem Fall wirkt

Ein Gastkonto im Verzeichnis Ihres Betriebs stellt den Zugriff wieder her. Ein solches Konto entsteht laut Microsoft auf drei Wegen: wenn mindestens eine Datei, ein Ordner oder eine Website mit der Person geteilt oder erneut geteilt wird; wenn eine Website in der Vergangenheit schon einmal mit ihr geteilt wurde; oder wenn jemand das Konto von Hand anlegt.

An einer Stelle widerspricht sich Microsofts eigene Dokumentation, und das sollte man wissen, bevor man plant. Eine Seite sagt, bereits verschickte Links funktionierten wieder, sobald ein Gastkonto vorhanden ist. Eine andere Seite desselben Anbieters sagt, die Inhalte müssten erneut geteilt werden, und zwar auch dann, wenn das Gastkonto vorab angelegt wurde. Wir lösen diesen Widerspruch hier nicht auf, weil er sich mit den öffentlich verfügbaren Quellen nicht auflösen lässt.

Der Weg, der unter beiden Lesarten wirkt, ist derselbe und wenig spektakulär: Teilen Sie die betroffene Datei, den Ordner oder die Website einmal erneut mit dem Externen. Existiert bereits ein Gastkonto, ändert sich nichts, und ein zweites entsteht nicht; doppelte Gastkonten schließt Microsoft ausdrücklich aus. Existiert keines, entsteht es genau dadurch. Damit sind beide Lesarten abgedeckt, und viel mehr als ein paar Klicks je Empfänger kostet es nicht.

Herausfinden, wen es betrifft: ein nützliches Werkzeug mit einer Lücke

Bleibt die Frage, wen Sie überhaupt anschreiben müssen. Microsoft verweist dafür auf den Bericht über externe Freigaben, den man auf Ebene einer Website ziehen kann. In der Spalte mit den E-Mail-Adressen stehen die Gäste, die über das alte SharePoint-Verfahren eingeladen wurden und noch kein Gastkonto in Entra haben.

Dieser Bericht ist nützlich, aber er ist kein vollständiges Inventar, und die Einschränkungen stehen in Microsofts eigener Beschreibung. Er läuft je Website beziehungsweise je OneDrive, nicht für die gesamte Umgebung; ein Betrieb mit fünf Teamwebsites und zwölf OneDrives hat also siebzehn Einzelläufe vor sich. Er setzt Administratorrechte auf der jeweiligen Website voraus. Und er enthält für Freigabelinks nur Zeilen für angemeldete Personen, die den Link tatsächlich benutzt oder über den Freigabedialog erhalten haben. Links, die per E-Mail verschickt, aber nie angeklickt wurden, tauchen darin nicht auf.

Das ist ausgerechnet der Fall, um den es hier geht: die Freigabe, die einmal verschickt wurde und seither in einem Postfach beim Steuerberater liegt. Wer sich allein auf den Bericht verlässt, hält eine Liste in der Hand, die vollständig aussieht und es nicht ist.

Als Ergänzung nennt Microsoft die Auditprotokolle der eigenen Umgebung und Websiteberichte über eine Datenschnittstelle namens Microsoft Graph Data Connect. Beides ist für einen Kleinbetrieb keine Selbsthilfe, sondern Arbeit für den Dienstleister. In kleinen Betrieben führt oft der schlichtere Weg schneller zum Ziel: aufschreiben, mit wem regelmäßig geteilt wird, also Steuerberater, Bank, Agentur, Subunternehmer, und mit diesen Personen einmal bewusst erneut teilen. Eine unvollständige Bestandsaufnahme ist besser als keine.

Zwei Einstellungen, die Ihr Dienstleister prüfen kann

Ob die neue Verbindung im eigenen Mandanten bereits aktiv ist, beantwortet eine einzelne Abfrage in der Verwaltungs-Shell von SharePoint Online. Die zugehörige Eigenschaft heißt EnableAzureADB2BIntegration und steht entweder auf True oder auf False. Das ist eine Frage von zwei Minuten und gehört auf die Liste Ihres Dienstleisters, nicht auf Ihre.

Die zweite Einstellung betrifft den Einmalcode per E-Mail in Microsoft Entra. Er ist bei neuen Mandanten und bei allen bestehenden aktiv, sofern ihn niemand ausdrücklich abgeschaltet hat. Wird er abgeschaltet, können sich auch Gäste nicht mehr anmelden, die einen Einmalcode bereits eingelöst haben. Diese Einstellung sollte also eingeschaltet bleiben; wurde sie irgendwann einmal deaktiviert, ist das der erste Punkt, den man prüft.

Ein Weg, der nicht mehr offensteht

In älteren Beiträgen zu diesem Thema taucht noch eine Möglichkeit auf, die es nicht mehr gibt: Die Integration ließ sich vorab von Hand einschalten, allerdings nur bis Ende April 2026. Wer darauf plant, sucht nach einer geschlossenen Tür. Und eine Möglichkeit, den Termin zu verschieben oder sich von der Umstellung ausnehmen zu lassen, nennt Microsoft an keiner Stelle.

Was offen bleibt

Dieser Beitrag beschreibt eine angekündigte Änderung, keine abgeschlossene. Vier Punkte bleiben offen, und wir schreiben sie hin, statt sie zu glätten.

  • Der Termin. Er ist über das Nachrichtencenter belegt, nicht über die frei zugängliche Dokumentation, die weiterhin einen früheren Termin nennt. Wer Klarheit braucht, lässt im eigenen Mandanten nachsehen.
  • Das erneute Teilen. Ob es nach dem Anlegen eines Gastkontos noch nötig ist, beantworten Microsofts Seiten unterschiedlich. Deshalb steht oben die Empfehlung, die unter beiden Lesarten trägt.
  • Was im eigenen Betrieb sichtbar wird. Belegt ist nur, was der Externe sieht. Ob im Mandanten eine Meldung, ein Protokolleintrag oder eine Benachrichtigung entsteht, beschreiben die geprüften Quellen nicht. Naheliegend ist, dass sich der Empfänger meldet, bevor im Betrieb jemand etwas bemerkt; damit sollte man rechnen, behaupten lässt es sich nicht.
  • Vorwarnung und Verlängerung. Ob betroffene Externe vorab gewarnt werden, ist in den geprüften Quellen nicht geregelt. Eine Verlängerung ist weder belegt noch ausgeschlossen.

Wie verbreitet dieses Fehlerbild in deutschen Kleinbetrieben ist, lässt sich nicht seriös beziffern; belastbare Zahlen dazu gibt es nicht. Ob es Sie betrifft, beantwortet ohnehin keine Statistik, sondern ein Blick in die eigenen Freigaben.

Der Aufwand ist überschaubar, und der Zeitpunkt lässt sich frei wählen, solange er vor der Umstellung liegt. Wer die Bestandsaufnahme und das erneute Teilen nicht selbst erledigen möchte, gibt beides an den Dienstleister ab, der ohnehin Zugang zur Umgebung hat. Bei unseren Kunden läuft das über die laufende Betreuung mit.