So richten Sie SharePoint-Berechtigungsgruppen ein und verwalten sie

Verständnis von SharePoint-Gruppen

Microsoft SharePoint-Gruppen ermöglichen es Ihnen, Benutzersätze anstelle von einzelnen Benutzern zu verwalten. Eine Gruppe kann einzelne SharePoint-Benutzer sowie Benutzer oder Gruppen aus jedem Identity Management- oder Domain Services-System umfassen, wie zum Beispiel Active Directory Domain Services (AD DS), LDAPv3-basierte Verzeichnisse, anwendungsspezifische Datenbanken und Identitätsmodelle wie Windows Live ID.

Sie können Ihre Benutzer je nach Größe und Komplexität Ihrer Organisation oder Website in beliebig viele Gruppen einteilen. SharePoint-Gruppen können jedoch keine anderen SharePoint-Gruppen enthalten (das heißt, sie können nicht verschachtelt werden).

Es gibt zwei Möglichkeiten, Berechtigungen für eine SharePoint-Website über Gruppen zuzuweisen: Die erste besteht darin, einen Benutzer zu einer SharePoint-Gruppe hinzuzufügen, und die zweite, einer AD-Sicherheitsgruppe direkt Zugriff auf die Website zu geben oder sie in eine SharePoint-Gruppe zu setzen, die Berechtigungen für die Website hat.

Integrierte SharePoint-Gruppen

SharePoint enthält mehrere integrierte Gruppen. Sie existieren auf der Website-Ebene in SharePoint und können innerhalb der Site-Sammlung, zu der sie gehören, Berechtigungen zugewiesen bekommen. Die Menge der vordefinierten Gruppen hängt von der verwendeten Website-Vorlage ab. Zum Beispiel, hier sind die vordefinierten Gruppen für eine Teamwebsite und ihre Standardberechtigungen für die SharePoint-Website:

• Besucher — Haben Leseberechtigungen
• Mitglieder — Haben Bearbeitungsberechtigungen
• Eigentümer — haben Vollzugriff-Berechtigungen
• Betrachter — Haben nur Berechtigungen zum Anzeigen

Und hier sind die vordefinierten Gruppen für die Newsfeed-Sitevorlage und ihre Standardberechtigungen:

• Enterprise Readers — Haben Leseberechtigungen und können Seiten und Dokumente ansehen sowie Dokumente herunterladen
• Enterprise-Mitglieder — Haben Berechtigungen zum Mitwirken und können Listenelemente und Dokumente anzeigen, öffnen, hinzufügen, aktualisieren und löschen
• Designer — Können das Layout von Seiten mithilfe eines Browsers oder SharePoint Designer anzeigen, hinzufügen, aktualisieren, löschen, genehmigen und anpassen
• Editoren — Können Listen hinzufügen, bearbeiten und löschen sowie SharePoint-Listenelemente und Dokumente anzeigen, hinzufügen, aktualisieren und löschen
• Unternehmenseigentümer — Haben Vollzugriff-Berechtigung auf der Website

Beachten Sie, dass alle diese integrierten Gruppen durch die Zuweisung verschiedener Berechtigungsstufen geändert werden können.

Best Practices

Eine bewährte Methode zur Verwaltung von Berechtigungen besteht darin, reguläre Benutzer, die nur Informationen lesen müssen, der Besuchergruppe hinzuzufügen und Benutzer, die Dokumente erstellen oder bearbeiten müssen, der Mitgliedergruppe hinzuzufügen. Dies liegt daran, dass Benutzer in der Mitgliedergruppe Elemente oder Dokumente hinzufügen, ändern oder entfernen können, jedoch nicht die Struktur, Einstellungen oder das Erscheinungsbild der Website ändern können. Ebenso können Benutzer in der Besuchergruppe Seiten, Dokumente und Elemente sehen, aber keine Hinzufüge- oder Entfernungsoperationen durchführen.

Erstellen einer SharePoint-Gruppe

Um eine SharePoint-Gruppe zu erstellen, gehen Sie zu den Websiteberechtigungen in den Websiteeinstellungen und klicken Sie auf die Schaltfläche „Gruppe erstellen“. Geben Sie einen Namen und eine Beschreibung für die Gruppe ein. Bestimmen Sie dann den Gruppenbesitzer; die Benutzer, die die Mitgliedschaft der Gruppe einsehen und bearbeiten können; ob Benutzern erlaubt werden soll, die Mitgliedschaft zu beantragen oder den Austritt aus der Gruppe zu beantragen; und die Berechtigungen der Gruppe für die Website. Klicken Sie dann auf „Erstellen“, um die Gruppe zu erstellen.

Löschen einer SharePoint-Gruppe

Um eine Gruppe zu löschen, verwenden Sie das Menü „People and Groups“ in den Site Settings. Wählen Sie die Gruppe aus, klicken Sie auf die Schaltfläche „Bearbeiten“ und dann auf die Schaltfläche „Löschen“.

Ändern der Gruppenmitgliedschaft

Um Mitglieder zu einer SharePoint-Gruppe hinzuzufügen, klicken Sie im Menü „Personen und Gruppen“ auf den Namen der Gruppe im linken Bereich und dann auf „Neu“ und „Benutzer hinzufügen“, wie unten gezeigt. Geben Sie einen oder mehrere Benutzernamen ein, die Sie der Gruppe hinzufügen möchten, und klicken Sie dann auf „Teilen“.

Um einen Benutzer aus einer Gruppe zu entfernen, wählen Sie den zu löschenden Benutzer aus, klicken Sie auf „Aktionen“ und dann auf „Benutzer aus Gruppe entfernen“.

Fazit

Die Verwendung von SharePoint-Gruppen ist eine viel einfachere und sicherere Methode zur Kontrolle des Zugriffs als die Zuweisung einzigartiger, elementebenen Berechtigungen an Benutzerkonten. Durch das ordnungsgemäße Einrichten Ihrer Gruppen und das Nachverfolgen aller Änderungen an Berechtigungen und Gruppenmitgliedschaften können Sie dazu beitragen, Ihre Daten sicher zu halten.

FAQ

Wie behebt man Zugriff verweigert-Fehler bei SharePoint?

Zugriffsfehler bei SharePoint resultieren typischerweise aus Problemen mit der Vererbung von Berechtigungen, Gruppenmitgliedschaften oder Authentifizierungsfehlern. Beginnen Sie die Fehlersuche mit der Verwendung der Funktion 'Berechtigungen überprüfen' in den Websiteeinstellungen, um zu verifizieren, welche Berechtigungen der Benutzer tatsächlich hat im Vergleich zu denen, die er haben sollte. Häufige Ursachen sind unterbrochene Berechtigungsvererbungen (wo einzigartige Berechtigungen den Zugriff blockieren) oder Benutzer, die ohne Wissen des Administrators aus Sicherheitsgruppen entfernt wurden. Leeren Sie den Browser-Cache und versuchen Sie den Zugriff über ein Inkognito-Fenster, um Probleme mit Authentifizierungstokens auszuschließen. Überprüfen Sie, ob der Benutzer im Abschnitt 'Personen und Gruppen' der Website vorhanden ist und ob seine Gruppenmitgliedschaften korrekt sind. Bei anhaltenden Problemen untersuchen Sie die SharePoint-Protokolle für detaillierte Fehlerinformationen und überprüfen Sie den Lizenzstatus des Benutzers in Microsoft 365. Denken Sie daran, dass Änderungen an Berechtigungen, besonders in großen Umgebungen, Zeit zur Verbreitung benötigen. Wenn Sie Zugriffsprobleme beheben, beginnen Sie immer mit der Überprüfung der Identität, bevor Sie Gruppenberechtigungen und Vererbungseinstellungen untersuchen.

Wie kann man SharePoint-Gruppen effektiv erstellen und verwalten?

Die Erstellung von SharePoint-Gruppen erfordert sorgfältige Planung, um unkontrollierte Berechtigungsausweitungen und Sicherheitslücken zu vermeiden. Gehen Sie zu den Websiteeinstellungen und klicken Sie auf Personen und Gruppen, um neue Gruppen zu erstellen, und definieren Sie klare Namenskonventionen, die Geschäftsfunktionen widerspiegeln, anstatt individuelle Namen. Weisen Sie angemessene Berechtigungsstufen (Vollzugriff, Mitwirken, Lesen) basierend auf dem Prinzip der geringsten Berechtigungen zu, um sicherzustellen, dass Benutzer nur den minimalen Zugriff haben, der für ihre Rollen erforderlich ist. Vermeiden Sie die Erstellung zu vieler Gruppen, da dies zu Verwaltungskomplexität und Sicherheitsrisiken führt. Verwenden Sie stattdessen, wenn möglich, Active Directory security groups synchronisiert mit SharePoint für eine zentralisierte Verwaltung. Dokumentieren Sie Gruppenzwecke und Besitzverantwortlichkeiten, um Rechenschaftspflicht zu gewährleisten. Überprüfen Sie regelmäßig die Gruppenmitgliedschaften, um ungenutzte Konten oder übermäßige Berechtigungen zu identifizieren. Für große Umgebungen implementieren Sie automatisierte Bereitstellungs- und Entzugsprozesse, um sicherzustellen, dass Gruppenmitgliedschaften aktuell bleiben. Denken Sie daran, dass effektives SharePoint-Gruppenmanagement damit beginnt zu verstehen, wer Zugang zu welchen Daten benötigt und warum.

Wie ändert man SharePoint-Berechtigungen sicher?

Das Ändern von SharePoint-Berechtigungen erfordert einen systematischen Ansatz, um den Zugriff nicht zu unterbrechen oder Sicherheitslücken zu schaffen. Dokumentieren Sie vor Änderungen die aktuellen Berechtigungen mithilfe von Tools wie dem Berechtigungsbericht oder PowerShell-Skripten. Testen Sie Berechtigungsänderungen immer zuerst in einer Entwicklungsumgebung, insbesondere beim Aufheben der Vererbung oder Ändern von Berechtigungsstufen. Prüfen Sie beim Aufheben der Vererbung sorgfältig, welche Berechtigungen verloren gehen, und planen Sie, wie der erforderliche Zugriff wiederhergestellt werden kann. Verwenden Sie nach Möglichkeit SharePoint-Gruppen anstelle einzelner Benutzerberechtigungen, um die Verwaltung zu erleichtern und die Sicherheit zu erhöhen. Nehmen Sie Änderungen während der Nebenzeiten vor, um die Auswirkungen auf Benutzer zu minimieren, und informieren Sie betroffene Benutzer im Voraus über die Änderungen. Überprüfen Sie nach der Änderung der Berechtigungen, ob Benutzer weiterhin auf die benötigten Ressourcen zugreifen können und ob die Sicherheitsanforderungen erfüllt sind. Überwachen Sie die SharePoint-Protokolle auf „Zugriff verweigert“-Fehler, die auf Berechtigungsprobleme hinweisen könnten. Implementieren Sie einen Genehmigungsprozess für Berechtigungsänderungen, um die Sicherheitsgovernance und Compliance-Anforderungen aufrechtzuerhalten.

Wie kann man SharePoint-Berechtigungen für die Compliance auditieren?

Die Überprüfung von SharePoint-Berechtigungen erfordert sowohl integrierte Tools als auch Drittanbieterlösungen, um eine umfassende Sichtbarkeit der Zugriffsrechte zu erreichen. Nutzen Sie die nativen Berechtigungsberichte von SharePoint über die Websiteeinstellungen, um grundlegende Berechtigungsberichte für einzelne Websites zu erstellen. Für Unternehmensumgebungen implementieren Sie PowerShell-Skripte oder spezialisierte Tools, die Berechtigungen gleichzeitig über mehrere Website-Sammlungen hinweg überprüfen können. Konzentrieren Sie sich darauf, Benutzer mit übermäßigen Berechtigungen, verwaiste Konten und Websites mit unterbrochener Vererbung zu identifizieren, die unbeabsichtigte Zugriffsrechte haben könnten. Dokumentieren Sie, wer Zugang zu sensiblen Daten hat, und überprüfen Sie, ob der Zugang mit den Geschäftsanforderungen und Compliance-Vorgaben übereinstimmt. Richten Sie regelmäßige Überprüfungspläne ein, typischerweise vierteljährlich für Umgebungen mit hohem Risiko und jährlich für Standardgeschäftsseiten. Suchen Sie nach Berechtigungsanomalien wie individuellen Benutzerberechtigungen, die Gruppenkontrollen umgehen, oder externen Benutzern mit unangemessenen Zugangsebenen. Erstellen Sie Verfahren zur Behebung von Berechtigungsverstößen und halten Sie Überwachungsprotokolle für die Compliance-Berichterstattung bereit. Denken Sie daran, dass effektives SharePoint-Auditing über die bloße Überprüfung von Berechtigungen hinausgeht, um Datenzugriffsmuster und potenzielle Sicherheitsrisiken zu verstehen.

Was sind die besten Praktiken für die SharePoint-Berechtigungsvererbung?

Die Vererbung von SharePoint-Berechtigungen sollte wann immer möglich beibehalten werden, um die Verwaltung zu vereinfachen und Sicherheitsrisiken zu reduzieren. Unterbrechen Sie die Vererbung nur, wenn geschäftliche Anforderungen eindeutig einzigartige Berechtigungen erfordern, da dies zusätzlichen Verwaltungsaufwand und potenzielle Sicherheitslücken schafft. Wenn Sie die Vererbung unterbrechen müssen, dokumentieren Sie die geschäftliche Rechtfertigung und etablieren Sie eine klare Verantwortlichkeit für die fortlaufende Berechtigungsverwaltung. Vermeiden Sie kaskadierende Berechtigungsunterbrechungen in der gesamten Standorthierarchie, da dies komplexe Berechtigungsstrukturen schafft, die schwer zu prüfen und zu warten sind. Verwenden Sie konsistent SharePoint-Gruppen anstelle der Zuweisung individueller Berechtigungen, selbst auf Seiten mit unterbrochener Vererbung. Führen Sie regelmäßige Überprüfungen von Seiten mit einzigartigen Berechtigungen durch, um sicherzustellen, dass sie weiterhin geschäftliche Anforderungen und Sicherheitsstandards erfüllen. Erwägen Sie die Verwendung von Unterseiten oder Bibliotheken mit unterschiedlichen Berechtigungsanforderungen anstelle der Unterbrechung der Vererbung auf höheren Ebenen. Schulen Sie Seitenbesitzer über die Sicherheitsimplikationen der Unterbrechung der Vererbung und fordern Sie Genehmigungsprozesse für Berechtigungsänderungen. Denken Sie daran, dass einfachere Berechtigungsstrukturen sicherer und einfacher zu verwalten sind als komplexe Hierarchien mit mehreren Vererbungsunterbrechungen.

Bei SharePoint-Gruppenberechtigungen wird diese Lücke besonders schwer zu schließen, wenn Umgebungen von einer einzelnen Teamwebsite auf Hunderte von Websites, Bibliotheken, Unterwebsites und freigegebenen Ordnern wachsen.

Die meisten Organisationen entfernen den Zugriff auf sensible Daten nicht automatisch und sofort, sobald dieser nicht mehr benötigt wird. Der Netwrix 2026 Data and Identity Security Report gibt die Zahl mit 76 % an.

Gruppen sind der Haupthebel zur Steuerung dieses Wachstums. SharePoint-Teamwebsites, die aus der Team-Website-Vorlage erstellt werden, enthalten automatisch drei Standardgruppen: Owners, Members und Visitors.

Diese Struktur reduziert einzelne Berechtigungseinträge, driftet aber dennoch ab, wenn Eigentümer Personen hinzufügen, ohne den Grund zu dokumentieren, oder vorübergehend erhöhte Zugriffsrechte gewähren. Eine nicht überprüfte Owners-Gruppe ist der Grund, warum ein ausgeschiedener Auftragnehmer noch Monate nach Projektende Administratorrechte behält.

Wie SharePoint-Berechtigungsgruppen funktionieren

Administratoren können auch benutzerdefinierte Gruppen erstellen, um den Least-Privilege Anforderungen gerecht zu werden, indem sie diese über das Zahnrad-Symbol → Website-Berechtigungen verwalten und die vollständige Berechtigungseinstellungsseite für benutzerdefinierte Gruppen und Berechtigungsstufen verwenden.

Eine Gruppe verwandelt eine Berechtigungsstufe in gemeinsamen Zugriff

Eine SharePoint-Gruppe weist allen Mitgliedern ein Berechtigungsniveau zu. Weisen Sie das Niveau einmal zu, und jedes aktuelle und zukünftige Mitglied erhält genau diesen Zugriff, bis jemand es entfernt oder das Niveau ändert.

Dieser Zugriff ist nur so gut wie die Mitglieder der Gruppe

Diese Vererbung trennt auch zwei verwandte, aber unterschiedliche Dinge: das Berechtigungsset der Website, das jede Gruppe und einzelne Berechtigungen auflistet, und das eigene Berechtigungsset jeder Gruppe, das sich aus den dieser Gruppe zugewiesenen Ebenen ergibt.

Eine strukturelle Einschränkung bestimmt, wie diese Mitgliedschaft organisiert wird: SharePoint-Gruppen können keine anderen SharePoint-Gruppen enthalten, daher müssen Administratoren jegliche Verschachtelung vorgelagert in Active Directory (AD) oder Entra ID-Sicherheitsgruppen konfigurieren, bevor sie diese Gruppen zu SharePoint hinzufügen.

Diese Grenze erzeugt zwei Möglichkeiten, Zugriff zu gewähren

Eine SharePoint-Gruppe ist eine Gruppe von Benutzern, die alle zugewiesene permission level auf einer Website teilen. Jeder permission level fasst verwandte Berechtigungen zusammen, und die Zuweisung dieses Levels zu einer Gruppe erweitert es auf jedes Mitglied. Wenn Administratoren Benutzer zur Gruppe hinzufügen, erben diese Benutzer alle Rechte der Gruppe, und das Entfernen entzieht den Zugriff in einem Schritt.

Die Gruppenmitgliedschaft kann aus mehreren Identitätsquellen stammen: einzelnen SharePoint-Benutzern sowie Benutzern oder Sicherheitsgruppen von Active Directory Domain Services (AD DS), Microsoft Entra ID, Verzeichnissen basierend auf Lightweight Directory Access Protocol Version 3 (LDAPv3), anwendungsspezifischen Datenbanken und Identitätsmodellen wie Microsoft account. Sie können Benutzer je nach Größe und Komplexität Ihrer Organisation oder Website in beliebig viele Gruppen organisieren.

Standard-Gruppentypen

• Besucher: Lesen

Der zweite Ansatz zentralisiert die Mitgliedschaftsverwaltung im Verzeichnis, was sich auszahlt, wenn dieselben Personen Zugang zu mehr als einer Website benötigen.

Diese Verschachtelungsgrenze lässt Administratoren zwei Möglichkeiten, Berechtigungen für eine Website über Gruppen zu vergeben. Die erste besteht darin, einen Benutzer direkt zu einer SharePoint-Gruppe hinzuzufügen. Die zweite besteht darin, einer Active Directory security-Gruppe Zugriff auf die Website zu gewähren, entweder indem man ihr direkt eine Berechtigungsstufe zuweist oder sie in eine SharePoint-Gruppe einfügt, die bereits eine besitzt.

Websitevorlagen können vordefinierte Gruppen auf Websiteebene enthalten, und Administratoren können ihnen innerhalb ihrer Website-Sammlung Berechtigungen zuweisen. Je nach Vorlage und Konfiguration der modernen Teamwebsite können die Gruppen und ihre Berechtigungsstufen Folgendes umfassen:

• Mitglieder: Bearbeiten
• Eigentümer: Volle Kontrolle
• Betrachter: Nur Ansicht

Wie Berechtigungsstufen Gruppen zugeordnet werden

Die Gruppe Owners kann die Website-Einstellungen ändern, Mitglieder verwalten und Berechtigungen anpassen. Mitglieder können Listeneinträge und Dokumente ansehen, hinzufügen, aktualisieren und löschen. Besucher können Seiten öffnen und Dokumente herunterladen, ohne etwas zu ändern.

• Nur Ansicht: Seiten, Elemente und Dokumente ansehen, aber Download ist eingeschränkt. Standardgruppe: Viewers.

Ältere SharePoint Server-Vorlagen können Legacy-Gruppen wie Enterprise Readers, Enterprise Members, Designers, Editors und Enterprise Owners enthalten, mit den Berechtigungen Read, Contribute, Page Design, List Editing und Full Control. Administratoren klassischer lokaler Farmen können auf diese Gruppen stoßen und können jede integrierte Gruppe ändern, indem sie ihr eine andere Berechtigungsstufe zuweisen.

• Lesen: Seiten und Elemente anzeigen sowie Dokumente öffnen und herunterladen. Standardgruppe: Besucher.
• Beitragen: Listen- und Dokumentenelemente anzeigen, hinzufügen, aktualisieren und löschen. Standardgruppe: Mitglieder (bei einigen Vorlagen).

Berechtigungsebenen sind die Bausteine hinter jeder Gruppe. Jede Ebene ist ein benanntes Bündel einzelner Berechtigungen, und Administratoren können einer Gruppe auf Site-, Listen- oder Bibliotheksebene eine oder mehrere Ebenen zuweisen. Die Standardebenen in Microsofts Referenz sind:

• Bearbeiten: Alles, was Contribute erlaubt, plus Listen hinzufügen, bearbeiten und löschen. Standardgruppe: Members.
• Design: Seiten der Website anzeigen, hinzufügen, aktualisieren, löschen, genehmigen und anpassen. Standardgruppe: Designers, bei Legacy-Vorlagen.

SharePoint-Gruppen vs. Microsoft 365-Gruppen

• Volle Kontrolle: Verwalten Sie alle Berechtigungen, einschließlich Site-Einstellungen, Benutzer und Berechtigungen. Standardgruppe: Owners.

Team-Websites, die mit Microsoft Teams oder Outlook verbunden sind, haben zwei Mitgliedschaftssysteme nebeneinander. Die Website verfügt weiterhin über die klassischen SharePoint-Gruppen (Owners, Members, Visitors) und zusätzlich über eine Microsoft 365-Gruppe, die den Zugriff über mehrere Apps steuert.

Moderne (Microsoft 365) Gruppen und SharePoint-Gruppen gewähren unterschiedliche Zugriffsrechte auf die Website. Fügt man jemanden im Team in Teams hinzu, wird diese Person der Microsoft 365-Gruppe hinzugefügt, die sie wiederum in die Mitgliedergruppe der Website aufnimmt. Fügt man jemanden nur einer SharePoint-Gruppe hinzu, erhält diese Person Zugriff auf die Website ohne Teams-Mitgliedschaft.

Wo SharePoint-Gruppen angezeigt werden

Diese Unterscheidung steuert den Zugriff auf Dateien oder Ordner, die von Teams hochgeladen wurden. Teams speichert Standard-Kanaldateien auf der verbundenen SharePoint-Website, wo Teammitglieder über die Gruppe Members darauf zugreifen.

Arbeiten Sie nach Möglichkeit mit den Standardstufen und planen Sie eine Berechtigungsstrategie, bevor Sie benutzerdefinierte erstellen, und berücksichtigen Sie abhängige Berechtigungen sowie den Sperrmodus, wenn die Strategie viele Sites umfasst. Die Berechtigungsvererbung bestimmt, wie untergeordnete Sites, Listen und Elemente Berechtigungen von ihrem übergeordneten Element erhalten, bis ein Administrator diese Vererbung aufhebt.

Website-Gruppen befinden sich an einem Ort. Klicken Sie auf jeder Seite der Website oben rechts auf das Zahnradsymbol und wählen Sie Site permissions. Das sich öffnende Panel zeigt die Gruppen Owners, Members und Visitors sowie deren aktuelle Mitglieder an.

So erstellen Sie eine SharePoint-Gruppe

Erstellen Sie eine benutzerdefinierte Gruppe, wenn die drei Standardgruppen keine echte Zugriffsgrenze abbilden können, zum Beispiel ein Prüferteam mit nur Contribute-Zugriff auf eine Bibliothek.

Um einen Ordner auf einen Teil des Teams zu beschränken, arbeiten Sie direkt auf der SharePoint-Website. Öffnen Sie die Berechtigungseinstellungen der Bibliothek oder des Ordners, beenden Sie die Vererbung von Berechtigungen vom übergeordneten Element und gewähren Sie einer benutzerdefinierten SharePoint-Gruppe das gewünschte Niveau. Wenden Sie eindeutige Berechtigungen im engsten Umfang an, der die dokumentierte Zugriffsanforderung erfüllt, und notieren Sie, welche Ordner eindeutige Berechtigungen haben.

1. Öffnen Sie die Seite zur Gruppenerstellung

An derselben Stelle wird dein aktuelles Level angezeigt. Mit Read kannst du Inhalte sehen, aber nichts bearbeiten; mit Contribute kannst du Elemente hinzufügen und ändern, aber Site settings sind nicht verfügbar. Mit Full Control siehst du das vollständige Menü von Site settings. Wenn sich die Site überhaupt nicht öffnen lässt, hast du keine Berechtigungsstufe, und die access-denied page ermöglicht dir, Zugriff vom Site-Eigentümer anzufordern.

Klicken Sie auf das Zahnradsymbol, wählen Sie Websiteberechtigungen aus und öffnen Sie dann die vollständige Seite mit den Berechtigungseinstellungen. Wählen Sie im Menüband Gruppe erstellen.

Für den vollständigen Überblick, einschließlich benutzerdefinierter Gruppen und aller Active Directory-Sicherheitsgruppen mit direkten Berechtigungen, öffnen Sie die vollständige Berechtigungseinstellungsseite. Die Seite Personen und Gruppen zeigt in dieser Ansicht alle Gruppen der Website im linken Bereich an, und durch Auswahl einer Gruppe werden deren Mitglieder und Einstellungen angezeigt. Ein SharePoint Online-Berechtigungsbericht verwandelt diese Live-Ansicht stattdessen in einen vollständigen, exportierbaren Datensatz.

2. Benennen Sie die Gruppe und legen Sie ihren Besitzer fest

3. Entscheiden Sie, wer die Mitgliedschaft sehen und bearbeiten kann

4. Weisen Sie eine Berechtigungsstufe zu und erstellen Sie die Gruppe

Geben Sie einen Namen und eine Beschreibung ein. Verwenden Sie einen Namen, der die Geschäfts­funktion widerspiegelt ("Finance-Contracts-Reviewers") statt einer Person oder einem Projektcode, der in einem Jahr keine Bedeutung mehr hat. Legen Sie den Gruppenbesitzer fest. Dieses Konto kann später die Mitgliedschaft verwalten, weisen Sie daher die Eigentümerschaft einem Rollenkonto oder einem benannten Datenbesitzer zu.

So ändern Sie die Mitgliedschaft in einer SharePoint-Gruppe

Wählen Sie, ob nur der Besitzer oder alle Gruppenmitglieder die Gruppenmitgliedschaft ansehen und bearbeiten können. Entscheiden Sie dann, ob Benutzer eine Beitritts- oder Austrittsanfrage stellen können und ob der Besitzer diese Anfragen genehmigen muss. Lassen Sie die automatische Annahme für alles über Leseberechtigung ausgeschaltet.

Wählen Sie im Abschnitt Website-Berechtigungen die Berechtigungsstufe aus, die die Gruppe haben soll. Klicken Sie auf Erstellen. Die neue Gruppe erscheint sofort in People and Groups, und jeder Benutzer, den der Besitzer hinzufügt, erhält die zugewiesene Stufe auf der Website.

1. Fügen Sie Benutzer zu einer Gruppe hinzu

Mitgliedschaftsänderungen sind die häufigste Gruppenaufgabe und auch der Ausgangspunkt für Abweichungen. Das Hinzufügen und Entfernen von Benutzern, das Gewähren des Zugriffs auf eine Website für eine Gruppe, das Zuweisen einer neuen Berechtigungsstufe und die Verwaltung von Website-Administratoren werden jeweils als separate Aktionen unten behandelt.

2. Benutzer aus einer Gruppe entfernen

Klicken Sie in Personen und Gruppen im linken Bereich auf den Gruppennamen, dann auf Neu und Benutzer hinzufügen. Geben Sie einen oder mehrere Benutzernamen oder AD-Sicherheitsgruppennamen ein und klicken Sie auf Share. SharePoint sendet standardmäßig eine Einladung per E-Mail; deaktivieren Sie dies, wenn die Hinzufügung routinemäßig ist.

3. Ändern Sie die einem Gruppe zugewiesene Berechtigungsstufe

Öffnen Sie die Gruppe, aktivieren Sie das Kontrollkästchen neben jedem Benutzer, den Sie entfernen möchten, klicken Sie auf Aktionen und dann auf Benutzer aus Gruppe entfernen. Die Entfernung widerruft den über diese Gruppe gewährten Zugriff.

4. Gewähren Sie einer bestehenden Gruppe Zugriff auf eine Website

6. Eine Gruppe verlassen

5. Einen Website-Administrator hinzufügen, ändern oder entfernen

Auf der Seite mit den vollständigen Berechtigungseinstellungen aktivieren Sie das Kontrollkästchen neben der Gruppe und klicken auf Benutzerberechtigungen bearbeiten. Wählen Sie die neue Berechtigungsstufe aus und klicken Sie auf OK. Jedes Mitglied der Gruppe hat nun die neue Stufe. Da dies den Zugriff für alle Gruppenmitglieder gleichzeitig ändert, behandeln Sie dies als eine geregelte Änderung und erstellen Sie lieber eine zweite Gruppe, anstatt eine bestehende zu befördern, wenn nur einige Mitglieder mehr Zugriff benötigen.

Administratoren können einer bestehenden SharePoint-Gruppe Zugriff auf die Listen und Bibliotheken dieser Website gewähren. Sie können auch einer AD- oder Entra ID-Sicherheitsgruppe Zugriff auf jede Website gewähren. Klicken Sie auf der vollständigen Berechtigungseinstellungsseite auf Berechtigungen erteilen, geben Sie den Gruppennamen ein, erweitern Sie Optionen anzeigen und wählen Sie die Berechtigungsstufe aus. Deaktivieren Sie die Einladungsoption für Sicherheitsgruppen.

Site Collection Administrators haben Vollzugriff auf jede Website in der Sammlung, über den Zugriff hinaus, den die Gruppe Owners bietet. Klicken Sie auf der Seite mit den Vollzugriffsberechtigungen auf Site Collection Administrators, fügen Sie Konten hinzu oder entfernen Sie diese und klicken Sie dann auf OK. Halten Sie diese Liste auf zwei oder drei benannte Konten beschränkt und überprüfen Sie sie, wenn ein Administrator die Organisation verlässt.

So löschen Sie eine SharePoint-Gruppe

Best Practices für die Verwaltung von SharePoint-Berechtigungsgruppen

Gruppenbasierter Zugriff bleibt nur dann verteidigungsfähig, wenn Administratoren diese Praktiken konsequent anwenden und nicht nur bei der erstmaligen Erstellung einer Gruppe:

Wenn der Gruppenbesitzer beim Erstellen der Gruppe Austrittsanfragen aktiviert hat, kann ein Benutzer Personen und Gruppen öffnen, die Gruppe auswählen und im Einstellungsmenü Gruppe verlassen wählen. Andernfalls entfernt der Besitzer sie mit den oben genannten Schritten. Das Verlassen einer Gruppe entfernt nur den Zugriff, den die Gruppe gewährt; direkte Zugriffsrechte des Benutzers auf der Website oder einzelnen Elementen bleiben bestehen.

Bevor Sie bestätigen, prüfen Sie zwei Dinge. Erstens, stellen Sie sicher, dass die Gruppe nicht der einzige Weg ist, den ein aktueller Mitarbeiter nutzt, um auf benötigte Inhalte zuzugreifen. Zweitens, exportieren oder machen Sie einen Screenshot der Mitgliederliste, um einen Nachweis darüber zu behalten, wer vor der Entfernung Mitglied war.

Löschen Sie eine Gruppe, wenn ihr Zweck erfüllt ist, zum Beispiel eine Projektgruppe, deren Website archiviert wurde. Öffnen Sie unter Websiteberechtigungen die vollständige Berechtigungsseite und dann Personen und Gruppen. Wählen Sie die Gruppe aus, öffnen Sie Einstellungen, wählen Sie Gruppeneinstellungen und klicken Sie auf Löschen.

• Vertrauen Sie den Standardeinstellungen: Visitors sind für Leser, Members für Benutzer, die Inhalte erstellen oder bearbeiten, und Owners sind die zwei oder drei Personen, die für die Website verantwortlich sind. Dieses Modell begrenzt benutzerdefinierte Berechtigungspfade und behält die Verantwortung für Website-Einstellungen, Benutzer und Berechtigungen bei der Owners-Gruppe.
• Planen Sie das Zurückziehen vor dem Teilen: Ad-hoc-Freigaben können Folgeaufwand für Owners verursachen. Legen Sie daher fest, wer für das Zurückziehen des Zugriffs verantwortlich ist. Begrenzen Sie, wer teilen darf, über die Site-Berechtigungseinstellungen, und schulen Sie Members, Zugriffsanfragen über den group owner zu leiten.
• Zugriff über Gruppen gewähren, nicht über einzelne Elemente: Eine Gruppe gibt Mitarbeitern einen Satz von Berechtigungen auf der Website, anstatt Berechtigungen einzeln für Inhalte zu vergeben, gemäß der SharePoint group management guidance; die Verwendung einzelner Berechtigungen erschwert auch die Mitgliedschaftsüberprüfungen.
• Benennen Sie Gruppen nach Geschäftsbereichen und überprüfen Sie die Mitgliedschaft nach festem Zeitplan: Überprüfen Sie häufiger Standorte mit regulierten Daten. Findet eine Überprüfung ein unerwartetes Mitglied in Owners, fragen Sie, wer es wann hinzugefügt hat. Die Änderungsprüfung liefert diese Antwort; die aktuelle Mitgliedschaftsseite zeigt nur, wer jetzt da ist.
• Mitgliedschaftsquelle aus AD- oder Entra ID-Sicherheitsgruppen, wo Sie: Eine synchronisierte Sicherheitsgruppe, die in einer SharePoint-Gruppe platziert ist, bedeutet joiner, mover, and leaver Änderungen fließen aus dem Verzeichnis, und eine Mitgliedschaftsüberprüfung deckt jede von der Gruppe berührte Website ab.

Wie Netwrix bei der Verwaltung von SharePoint-Berechtigungsgruppen hilft

• Vererbung auf Site-Ebene intakt lassen: Das Aufbrechen der Vererbung auf einer Site oder Unterseite erzeugt einen zweiten Berechtigungsbaum, den Administratoren getrennt vom übergeordneten Baum prüfen müssen und der keine Änderungen mehr erhält, die darüber vorgenommen wurden. Wenn ein Teilinhalt andere Zugriffsrechte benötigt, brechen Sie die Vererbung in der spezifischen Bibliothek oder im Ordner auf, dokumentieren Sie den Grund und legen Sie diese Struktur im Voraus fest, statt erst nachdem der Inhalt bereits vorhanden ist.

Verfolgung, wer die Gruppenmitgliedschaft wann geändert hat

Warnungen bei Änderungen an Hochrisikogruppen

Dies ergänzt die Ansicht des aktuellen Zustands auf der Seite Personen und Gruppen. Ein Website-Besitzer, der ein unbekanntes Konto bei Mitgliedern findet, kann die aufgezeichneten Änderungen durchsuchen, anstatt herumzufragen.

Netwrix Auditor protokolliert Hinzufügungen und Entfernungen in SharePoint-Gruppen, einschließlich des betroffenen Benutzers, der Gruppe, des Zeitstempels und des Kontos, das die Änderung vorgenommen hat. Es überwacht auch Berechtigungsstufen-Neuzuweisungen und Vererbungsunterbrechungen.

Alles oben regelt die Gruppenmitgliedschaft zu einem bestimmten Zeitpunkt; es zeigt nicht, wer was wann geändert hat.Netwrix Auditor ist eine lokale Change-Audit-Plattform, die diese Lücke schließt und eine kontinuierliche Prüfung der SharePoint-Gruppenmitgliedschaft und Berechtigungen sowie interaktive Suche und Compliance-Berichte bietet. Die Bereitstellung erfolgt in 30 Minuten, erste Berichte liegen innerhalb von Stunden vor.

Überprüfung der Gruppenmitgliedschaftshistorie über längere Zeiträume

Konfigurierte Warnungen können Teams über geprüfte Änderungen mit hohem Risiko informieren, wie das Hinzufügen eines Benutzers zu einer privilegierten Gruppe, das Erhöhen der Berechtigungsstufe einer Gruppe oder das Hinzufügen eines Website-Sammlungsadministrators. Diese Sichtbarkeit hilft dem Sicherheitsteam, eine potenzielle Eskalation vor der nächsten geplanten Mitgliedschaftsüberprüfung zu prüfen. Administratoren können ihre Überprüfung auf Websites mit regulierten Daten konzentrieren, wodurch die Aufmerksamkeit auf die wichtigen Änderungen gerichtet bleibt.

Nachverfolgung, wie ein Konto nach einem Vorfall unbefugten Zugriff erhielt

Wenn native Aufbewahrungs- oder Suchbeschränkungen den Zugriff auf eine frühere Gruppenänderung einschränken, kann die aufgezeichnete Änderungsverlauf von Netwrix Auditor die Untersuchung unterstützen. Ein Auditor kann verfügbare aufbewahrte Aufzeichnungen durchsuchen, um zu sehen, wer vor achtzehn Monaten Owner-Rechte auf einer Website hatte.

Historische Mitgliedschaftsberichte beschleunigen auch die access reviews vierteljährlichen Überprüfungen, da Prüfer die aktuelle Mitgliedschaft mit den seit der letzten Überprüfung aufgezeichneten Änderungen vergleichen können.

Nach einer Kompromittierung oder einem vermuteten Insider-Vorfall müssen Ermittler feststellen, wie das Konto auf die Daten zugegriffen hat. Die Mitgliedschaftsänderungsprotokolle von Netwrix Auditor erfassen Mitgliedschaftsaktualisierungen, z. B. wann jemand das Konto zu einer Gruppe hinzugefügt hat, welche Gruppe beteiligt war und wer die Änderung vorgenommen hat.

CoastHills Credit Union, dessen vollständige Netwrix Auditor-Implementierung SharePoint einschloss, sparte monatlich 10 Stunden bei Audit-Prozessen. Diese Zeit zurückzugewinnen senkt die Audit-Arbeitskosten und entlastet das IT-Team für sicherheitsrelevantere Aufgaben.

Das Wesentliche zur Verwaltung von SharePoint-Berechtigungsgruppen

Netwrix prüft auch Änderungen der SharePoint-Berechtigungsebenen separat. Die geprüfte Aktivität kann auch zeigen, was nach der Zugriffsänderung passiert ist. Ermittler können die aufgezeichneten SharePoint-Aktivitäten und relevante Änderungen in Active Directory oder Entra ID durchsuchen, anstatt jedes Protokoll einzeln zu prüfen.

Ein nachhaltiges SharePoint-Berechtigungsmodell benötigt klare Eigentümerschaft, gruppenbasierten Zugriff, begrenzte Vererbungsunterbrechungen, geplante Überprüfungen und durchsuchbare Änderungsprotokolle. Beginnen Sie mit der Inventarisierung benutzerdefinierter Gruppen und einzigartiger Berechtigungen, weisen Sie jeder Ausnahme einen Eigentümer zu und entscheiden Sie, wie lange die Organisation Nachweise über Zugriffsänderungen aufbewahren muss.

Fordern Sie eine Demo an und sehen Sie, wie Netwrix Ihre aktuellen SharePoint-Berechtigungen mit dem gespeicherten Änderungsverlauf verbindet und Ihnen hilft, Abweichungen zu korrigieren, bevor sie zu einem Prüfungsergebnis werden.