SharePoint-OTP-Abschaffung: Warum externe Freigaben zum Governance- und Kostenproblem werden

Jede externe Dateiübertragung, die Ihr Unternehmen über SharePoint oder OneDrive durchführt, hinterlässt künftig einen dauerhaften Eintrag im Unternehmensverzeichnis. Das ist kein hypothetisches Risikoszenario, sondern die direkte Folge einer Lizenz- und Identitätsänderung, die Microsoft bereits einführt und die bis Oktober 2026 vollständig umgesetzt wird.

Jahrelang bedeutete das Senden einer Datei an einen Lieferanten, Prüfer oder externen Rechtsbeistand über SharePoint Online, dass ein Einmal-Passcode-Link (OTP) generiert wurde: Der Empfänger gab einen Code ein, der per E-Mail oder SMS zugestellt wurde, öffnete die Datei und berührte nie Ihre Identitätsinfrastruktur. Diese Option verschwindet. Microsoft stellt das OTP-basierte externe Teilen ein und leitet jede externe Freigabe über Entra B2B, wodurch jeder externe Empfänger zu einem Gastobjekt im Entra-Unternehmensverzeichnis wird – nachverfolgbar, in manchen Fällen lizenziert und, falls gewünscht, kostenpflichtig verwaltet.

Microsoft präsentiert dies nicht als Rückschritt in puncto Sicherheit – und das ist es auch nicht. Conditional Access, Multi-Faktor-Authentifizierung und zentrales Audit-Logging für Gäste sind echte Verbesserungen in Sachen Governance gegenüber anonymen Passcode-Links. Doch für IT-, Security- und Compliance-Teams bedeutet es operativ, dass ein Prozess, der bisher keine Spuren im Verzeichnis hinterließ, nun für jeden Empfänger einen Eintrag erzeugt. Multiplizieren Sie das mit der Anzahl an Dienstleistern, Prüfern, Patienten, Anspruchstellern oder Partnern, mit denen Ihr Unternehmen jährlich Dateien austauscht – das Ausmaß der Veränderung wird deutlich.

Dieser Beitrag zeigt im Detail, was sich ändert, warum die meisten Unternehmen unterschätzen, wie viele Gastidentitäten sie bereits führen, was das neue Governance-Modell tatsächlich kostet und wie eine speziell entwickelte externe Datenübertragungsebene das Problem der Gastverzeichnisse vollständig vermeidet – und dennoch die Audit- und Compliance-Anforderungen regulierter Unternehmen erfüllt.

Wichtige Erkenntnisse

1. OTP-basiertes externes Teilen in SharePoint und OneDrive wird eingestellt.

Phase 2 startet für die meisten Produktivmandanten vom 1. bis 31. Oktober 2026 (GCC, GCC High und DoD-Umgebungen folgen später). Danach erzeugt jede externe Freigabe zwangsläufig ein Entra B2B-Gastkonto – ein Opt-out ist nicht mehr möglich.

2. Gast-Governance wird pro Gast abgerechnet – ohne Freikontingent.

Für Zugriffsüberprüfungen, Lebenszyklus-Workflows oder Berechtigungsmanagement bei Gästen fallen rund 0,75 $ pro verwaltetem Gast und Monat an – auch innerhalb des kostenlosen 50.000-MAU-Kollaborationskontingents.

3. Die Zahl der Identitäten wächst schneller als gedacht.

Jahrelanges Ad-hoc-Filesharing führt dazu, dass viele Mandanten bereits zwei- bis viermal mehr Gastkonten als Mitarbeitende haben – die meisten dieser „Schatten-Gäste“ wurden nie einem Team, einer Gruppe oder einem Review zugeordnet.

4. Die Lizenzen zur Absicherung dieser Gäste sind teurer geworden.

Entra ID P1 und P2, die für Conditional Access und Identity Protection bei externen Identitäten benötigt werden, wurden am 1. Juli 2026 teurer.

5. Eine verwaltete externe Datenübertragungsebene vermeidet den Zielkonflikt.

Kiteworks ermöglicht externen Partnern die Zusammenarbeit mit ihrer eigenen geschäftlichen E-Mail – ohne dass ein Gast im Verzeichnis angelegt wird – und liefert dennoch Audit-Trail und Compliance-Nachweise für regulierte Datenaustausche.

Was ändert sich konkret beim externen Teilen in SharePoint?

Drei separate Microsoft-Änderungen treten nahezu gleichzeitig in Kraft und verstärken sich gegenseitig. Keine klingt für sich genommen dramatisch, zusammen verändern sie jedoch die Kosten – sowohl finanziell als auch administrativ – für das Teilen von Dateien mit externen Partnern erheblich.

Beginnen wir mit der Einstellung des OTP, wie in der Message Center-Benachrichtigung MC1243549 beschrieben. Die Einmal-Passcode-Authentifizierung für externes Teilen in SharePoint Online wird abgeschafft. Phase 1 ist bereits umgesetzt: Neue externe Freigaben laufen jetzt über Entra B2B statt über Passcode-Links. Phase 2, neu angesetzt für den Zeitraum 1.–31. Oktober 2026 für Standard-Mandanten, entfernt das Opt-out vollständig – die Mandanteneinstellung, mit der Unternehmen B2B-Integration bislang abschalten konnten, ist dann wirkungslos. Government-Cloud-Umgebungen (GCC, GCC High und DoD) folgen später. Nach Phase 2 funktionieren vorhandene OTP-Links für Empfänger ohne passendes Gastkonto stillschweigend nicht mehr – ohne Benachrichtigung.

Hinzu kommt der Gast-Governance-Zähler, siehe MC1225192. Seit dem 30. Januar 2026 kostet die Anwendung von Premium-Governance auf ein Gastkonto – etwa Zugriffsüberprüfungen, Lebenszyklus-Workflows, Berechtigungsmanagement oder einfach die Markierung als „verwaltet“ – rund 0,75 $ pro verwaltetem Gast und Monat, vorausgesetzt, es besteht ein verknüpftes Azure-Abonnement. Es gibt kein Freikontingent, auch nicht für Mandanten unterhalb der 50.000 monatlich aktiven Nutzer, bei denen grundlegende Gastkollaboration weiterhin kostenlos bleibt. Führen Sie vierteljährliche Zugriffsüberprüfungen durch, fällt diese Gebühr pro Gast jedes Quartal erneut an.

Schließlich sind die Lizenzen zur Absicherung dieser Gäste zeitgleich teurer geworden. Seit dem 1. Juli 2026 kostet Entra ID P1 etwa 7 $ statt 6 $ pro Nutzer und Monat, P2 etwa 10 $ statt 9 $, ebenso steigen die Preise für Microsoft 365 E3/E5-Suiten, die diese Lizenzen enthalten. Genau diese Lizenzen bieten die Conditional Access-Richtlinien, Identity Protection-Signale und Zugriffsüberprüfungsfunktionen, die Unternehmen zur Governance der Gastpopulation benötigen, die durch den Wegfall von OTP entsteht.

Dies ist kein Verbot, externe Nutzer einzuladen – das sollte klar sein. Grundlegende Gastkollaboration innerhalb des 50.000-MAU-Kontingents bleibt kostenlos, und Microsoft hat keine Obergrenze für die Anzahl der Gäste pro Mandant eingeführt. Die Änderung ist spezifischer und für die meisten Unternehmen gravierender: Der Standardweg für externes Teilen erzeugt nun immer eine Verzeichnisidentität, und jede weitergehende Verwaltung dieser Identität ist kostenpflichtig.

Das Schatten-Gast-Problem: Warum viele Mandanten bereits mehr Gäste als Mitarbeitende haben

Die Einstellung von OTP schafft das Problem der Gastverzeichnisse nicht aus dem Nichts – sie macht ein bestehendes Problem sichtbar und zwingt Unternehmen, es bis zu einem festen Termin zu lösen. Branchenanalysten, die Entra B2B beobachten, berichten regelmäßig, dass Mandanten mit jahrelanger Ad-hoc-Teilhistorie oft zwei- bis viermal mehr Gastkonten als Mitarbeitende führen. Diese Konten entstehen wie in jedem unverwalteten System: still und leise, bei jeder einzelnen Dateiübertragung, ohne dass jemand sie aufräumt.

Nennen wir sie „Schatten-Gäste“. Sie wurden nie einem Team zugeordnet, nie in eine gruppenbasierte Zugriffsüberprüfung einbezogen und oft nur für einen einmaligen Dateiaustausch vor Jahren angelegt – und dann vergessen. Standard-Zugriffssteuerungen und Governance-Tools basieren auf Gästen, die in einem administrativen Workflow sichtbar sind, etwa einem Projekt, Team oder Review-Zyklus. Ein Schatten-Gast ist per Definition unsichtbar, bis jemand gezielt danach sucht.

Phase 1 der OTP-Abschaffung verschärft das Schatten-Gast-Problem bereits im Hintergrund, denn jede neue externe Freigabe seitdem erzeugt ein Gastobjekt – unabhängig davon, ob jemand eine verwaltete Gastpopulation aufbauen wollte. Wenn Phase 2 im Oktober 2026 das Opt-out entfernt, verwalten – oder eben nicht verwalten – Mandanten eine deutlich größere Gastpopulation als angenommen, was in jedem Fall Kosten verursacht.

Das ist relevant, weil Data-Governance-Programme typischerweise auf bekannten, katalogisierten Assets und Identitäten basieren. Ein Verzeichnis mit Tausenden unverwalteten Gastkonten – jedes ein potenzieller Zugangspunkt zu einer freigegebenen Datei oder einem Ordner – ist eine Governance-Lücke, die schon vor der OTP-Änderung bestand und nun nicht mehr ignoriert werden kann.

Die versteckten Kosten der Verwaltung von Gastverzeichnissen

Rechnen Sie nach: Ein mittelgroßes Unternehmen mit 5.000 aktiven externen Gastkonten zahlt für vierteljährliche Zugriffsüberprüfungen – ein sinnvoller Rhythmus für Unternehmen mit Compliance-Pflichten beim externen Zugriff – vier Prüfzyklen à 0,75 $ pro Gast, also 3 $ pro Gast und Jahr. Bei 5.000 Gästen sind das 15.000 $ jährlich allein für Governance, ohne das erforderliche Azure-Abonnement, die Entra P1/P2-Lizenzen für Conditional Access oder den administrativen Aufwand für die Prüfungen.

Wer die kostenpflichtige Governance-Stufe meidet, spart nicht wirklich – die Arbeit bleibt. Ablauf, Zugriffsüberprüfungen und Offboarding liegen dann bei Administratoren, die Konten manuell oder per PowerShell-Skripten verwalten. Das ist für kostenbewusste Unternehmen eine Option, ersetzt aber die Lizenzkosten durch einen dauerhaften Engineering-Aufwand, der mit jeder Änderung an Microsofts APIs und Lizenzmodell angepasst werden muss.

Beide Wege – bezahlen oder selbst verwalten – verursachen Kosten, die mit dem Umfang der externen Zusammenarbeit wachsen. Das ist das Grundproblem: Ein pro Gast bepreistes und verwaltetes Governance-Modell lässt die Kosten für externe Geschäftsbeziehungen mit jedem neuen Partner, Kunden, Auftragnehmer oder Lieferanten steigen. Unternehmen mit Third-Party-Risk-Management-Programmen in großen Partnernetzwerken sollten diese Kostenkurve vor dem Oktober-Stichtag modellieren – nicht erst danach.

Warum das auch ein Compliance-Problem ist – nicht nur ein Lizenzthema

Für regulierte Unternehmen ist der Wandel in der Gast-Governance nicht nur eine Budgetfrage, sondern auch ein Audit-Risiko. Finanzdienstleister, Gesundheitswesen, Life Sciences, Zulieferer der Verteidigungsindustrie und Regierungsauftragnehmer teilen routinemäßig sensible Daten extern – meist unter Vorgaben, wie dieser Zugriff zu authentifizieren, zu begrenzen und zu protokollieren ist.

Das externe Teilen in SharePoint Online erzeugt zwar Protokolle, aber diese liegen im Microsoft 365-Audit-Subsystem, das nicht speziell als Audit-Trail für CMMC-Prüfungen, HIPAA-Vorfälle oder FedRAMP-Sicherheitspläne konzipiert wurde. SharePoint Online selbst kann keine FedRAMP-Zertifizierung tragen – das ändert sich durch keine Freigabemethode. Wer vollständige, aufbewahrte und standardisierte Nachweise darüber benötigt, wer wann auf welche externen Daten zugegriffen hat, findet in einem Verzeichnis voller unverwalteter Schatten-Gäste genau den Audit-Befund, den Prüfer beanstanden.

Hier treffen OTP-Abschaffung und Governance-Zähler auf Anforderungen aus HIPAA-Compliance, DSGVO, ISO 27001 und CMMC 2.0-Compliance. Alle diese Frameworks verlangen minimal privilegierten externen Zugriff, definierte Datenaufbewahrung und Ablauf, sowie einen Audit-Trail, der als Nachweis taugt – nicht verteilte Protokolle aus verschiedenen Subsystemen mit unterschiedlicher Aufbewahrung. Eine Gastpopulation, die schneller wächst als sie verwaltet wird, ist in Audits nur schwer zu erklären.

Ein anderes Modell: Verwaltete externe Zusammenarbeit ohne Gastkonten

Die Alternative zu Gastverzeichnis-Wildwuchs oder pro-Gast-Governance-Kosten ist, für routinemäßiges externes Teilen gar keine Gastidentität mehr zu erzeugen. Genau das ist das Konzept von Kiteworks Secure Data Exchange: Externe Empfänger authentifizieren sich und arbeiten mit ihrer eigenen geschäftlichen E-Mail, verwaltet im eigenen Kiteworks-Verzeichnis statt im Entra-Verzeichnis des Kunden. So entstehen bei gewöhnlichem Filesharing keine verwalteten Identitäten, die lizenziert, überprüft und am Ende entfernt werden müssen.

Einmalige oder seltene Empfänger authentifizieren sich weiterhin per SMS- oder E-Mail-Passcode, sodass passcode-basierte Prozesse auch nach dem Wegfall der SharePoint-OTP-Option weiter funktionieren. Jede Freigabe enthält Ablauf, Least-Privilege-Standards und automatische Bereinigung – zentral gesteuert, nicht pro Gast abgerechnet. Diese Policy-Schicht kombiniert ABAC mit bekannten RBAC-Ordnerkontrollen, sodass Zugriffsentscheidungen auf Basis von Datensensitivität und Empfängerattributen getroffen werden – nicht nur über statische Ordnerberechtigungen.

Jede externe Interaktion – Filesharing, Secure Email, Managed File Transfer, API-basierter Austausch – landet in einem einzigen, unveränderlichen Audit-Log statt in separaten Protokollen je Subsystem. Genau diese vollständigen, aufbewahrten Nachweise verlangen CMMC-, HIPAA-, DSGVO- und ISO 27001-Prüfungen. Wer die Kontrolle über die zugrunde liegenden Daten behalten muss, kann dies mit kundengesteuerten Verschlüsselungsschlüsseln und Bereitstellung auf einer gehärteten virtuellen Appliance On-Premises, in einer Single-Tenant-Cloud-Instanz oder Air-Gap-Umgebung kombinieren – mit Wartungsfenstern, die das Unternehmen selbst bestimmt, statt einem vom Anbieter vorgegebenen Rollout.

All das erfordert keinen Abschied von Microsoft 365. Ein nativer Microsoft Office 365-Plugin und ein Repository-Gateway zu SharePoint und OneDrive sorgen dafür, dass interne Arbeit wie gewohnt in den bekannten Tools weiterläuft, während der externe Austausch von Anfang an in eine speziell dafür entwickelte Schicht verlagert wird. Unternehmen, die auch besonders große Dateien, CAD-Dateien, Bilddaten oder Forschungsdaten austauschen, profitieren davon, dass diese Schicht Größenbeschränkungen beseitigt, die sonst zu Schatten-IT und unsicheren Filesharing-Tools führen. Und wenn eine Datei überprüfbar bleiben, aber nie tatsächlich übergeben werden soll, ermöglicht possessionless editing externen Partnern das Bearbeiten eines Dokuments, ohne je eine Kopie zu besitzen.

Die entscheidenden Nachweise für eine Compliance-orientierte Bewertung sind klar: FedRAMP High Authorization ist in Arbeit, aufbauend auf kontinuierlicher FedRAMP Moderate Authorization seit 2017, dazu FIPS 140-3-validierte Verschlüsselung, SOC 2 Typ II und Unterstützung für 90 % der CMMC Level 2-Anforderungen ab Werk. Branchenspezifische Programme für Finanzdienstleister, Gesundheitswesen und Behörden bauen auf derselben zero trust architecture auf – das Governance-Modell muss nicht für jede Branche neu entwickelt werden.

Was vor der Frist im Oktober 2026 zu tun ist

Unternehmen, die noch auf OTP-basierte SharePoint-Links setzen, haben nur noch begrenzt Zeit zu handeln.

Beginnen Sie mit einer Bestandsaufnahme. Die meisten Mandanten haben nie eine vollständige Inventur der durch jahrelanges Ad-hoc-Teilen entstandenen Schatten-Gäste durchgeführt. Nur so lässt sich das tatsächliche Risiko – sowohl die Governance-Kosten durch den 0,75-$-Zähler als auch das Compliance-Risiko unüberprüfter Konten – realistisch einschätzen. Ermitteln Sie anschließend, welche externen Empfänger noch auf OTP-Links angewiesen sind, die nach Phase 2 stillschweigend nicht mehr funktionieren, und migrieren oder informieren Sie diese proaktiv, bevor ein Support-Ticket eines externen Partners eintrifft. Die schwierigste Entscheidung ist, bewusst festzulegen, welche externen Freigaben weiterhin als Entra B2B-Gastbeziehung in Microsoft 365 bleiben sollen – sinnvoll für laufende, wiederkehrende Zusammenarbeit mit bekannten Partnerunternehmen – und welche Freigaben besser auf eine verwaltete sichere Filesharing-Schicht gehören, die für einmalige oder umfangreiche externe Übertragungen keinen Verzeichniseintrag erzeugt.

Gerade diese dritte Entscheidung ist entscheidend, denn sie bestimmt, ob die Kosten für Gast-Governance mit dem Geschäft weiter steigen oder jetzt eingedämmt werden. Unternehmen, deren Microsoft 365-Verlängerung kurz nach dem 1. Juli 2026 ansteht, haben einen natürlichen Zeitpunkt, diese Weichenstellung im Rahmen der Vertragsverlängerung zu treffen und die Kosten einer verwalteten externen Schicht gegen die wachsenden Kosten einer unkontrollierten Gastpopulation zu modellieren.

Erfahren Sie mehr darüber, wie Sie externe Zusammenarbeit vor dem OTP-Aus im Oktober 2026 kontrolliert und planbar gestalten – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag
  5 beste sichere Filesharing-Lösungen für Unternehmen
• Blogbeitrag
  So teilen Sie Dateien sicher
• Video
  Kiteworks Snackable Bytes: Sicheres Filesharing
• Blogbeitrag
  12 wesentliche Anforderungen an sichere Filesharing-Software
• Blogbeitrag
  Die sichersten Filesharing-Optionen für Unternehmen & Compliance