Dateifreigabe in Microsoft Teams: Der komplette Setup-Guide

Dateifreigabe in Microsoft Teams läuft im Hintergrund über SharePoint: Jedes Team hat eine verknüpfte SharePoint-Website, jeder Kanal eine dedizierte Dokumentbibliothek. Dateien, die in einen Kanal hochgeladen werden, landen in dieser Bibliothek; Dateien in Chats landen im OneDrive des Absenders. Das Setup läuft über das Teams-Admin-Center und das SharePoint-Admin-Center gemeinsam, mit externen Freigaben, Vertraulichkeitsbezeichnungen, DLP und Aufbewahrungsrichtlinien als weitere Schichten. Für Dateien über SharePoints 250-GB-Limit pro Datei oder für externe Lieferungen unter NDA schließt ein Transfer-Tool mit clientseitiger Verschlüsselung die Lücke. Der BSI-Grundschutz empfiehlt für Unternehmen der Kritischen Infrastruktur explizit den Einsatz von Ende-zu-Ende-Verschlüsselung bei externen Dateiübertragungen – Teams allein reicht dafür nicht aus.

Das SharePoint-Fundament

Jedes Team = eine Microsoft 365-Gruppe + eine SharePoint-Teamwebsite + ein Postfach + einen Planner. Kanäle innerhalb des Teams entsprechen Ordnern in der Dokumentbibliothek der SharePoint-Website. Private Kanäle erhalten eine eigene separate SharePoint-Website (keinen Ordner), was Berechtigungs- und Compliance-Implikationen hat.

Was das in der Praxis bedeutet:

Dateien, die in einen Kanal-Tab hochgeladen werden, sind SharePoint-Dateien, vollständig indiziert, versionskontrolliert, unterliegen SharePoint-DLP und -Aufbewahrung.
Dateien, die in einen Einzelchat oder Gruppenchat hochgeladen werden, sind OneDrive-Dateien im Eigentum des Absenders. Verlässt der Absender das Unternehmen, müssen diese Dateien migriert werden, oder sie verschwinden.
Link-Freigabe innerhalb von Teams erzeugt SharePoint-Freigabelinks mit den Berechtigungen aus der Freigaberichtlinie Ihres Mandanten.

Teams als Benutzeroberfläche, SharePoint als Speicher behandeln. Ihre Dateistrategie ist eine SharePoint-Strategie.

Das Berechtigungsmodell

Vier Berechtigungsebenen gelten:

Team-Besitzer: vollständige Kontrolle über das Team und seine SharePoint-Website. Können Mitglieder hinzufügen/entfernen, Einstellungen ändern.
Team-Mitglieder: können Kanäle erstellen (wenn von Team-Einstellungen erlaubt), Dateien hochladen, bearbeiten, löschen.
Gäste: externe Benutzer, die über Azure AD B2B hinzugefügt werden. Können vollen oder eingeschränkten Zugang erhalten.
Geteilte Kanal-Teilnehmer: Geteilte Kanäle erlauben externen Benutzern die Zusammenarbeit, ohne vollständige Gäste zu sein.

Die Basis auf Mandantenebene im Teams-Admin-Center setzen und pro Team überschreiben, wenn spezifische Fälle es erfordern. Einzelne Team-Besitzer sollten keine beliebigen Richtlinien setzen können; Abweichungen werden unmöglich zu prüfen.

Externe Freigabe konfigurieren

Externe Freigabe ist der Bereich, in dem Mandanten Probleme bekommen. SharePoint Admin Center → Richtlinien → Freigabe steuert die mandantenweite Obergrenze:

Jeder: Link funktioniert für jeden, ohne Anmeldung. Maximaler Komfort, maximales Risiko. Für DSGVO-konforme Umgebungen nicht geeignet.
Neue und bestehende Gäste: Empfänger muss sich authentifizieren, entweder als bestehender Gast oder durch einen neuen Gäste-Erstellungsfluss.
Bestehende Gäste: Nur aktuelle Gäste in Ihrem Verzeichnis können zugreifen.
Nur Personen in Ihrer Organisation: Keine externe Freigabe.

Die meisten Unternehmen setzen „Bestehende Gäste" oder „Neue und bestehende Gäste" als Mandantenobergrenze. Für einmalige externe Lieferungen, die keine Gastkontoerstellung rechtfertigen, ist ein Transfer-Tool mit kurzlebigem passwortgeschütztem Link oft sauberer als jemanden als Gast in Ihren Mandanten einzuladen.

Vertraulichkeitsbezeichnungen und DLP

Microsoft Purview ist der Ort, an dem Vertraulichkeitsbezeichnungen und DLP-Richtlinien konfiguriert werden.

Vertraulichkeitsbezeichnungen gelten für Dokumente: Öffentlich, Intern, Vertraulich, Streng vertraulich. Bezeichnungen tragen Einstellungen – Verschlüsselung, Wasserzeichen, Zugriffsbeschränkungen – die mit der Datei überall hingehen.

Beispiel: Ein mit „Vertraulich – Externe Partner" bezeichnetes Dokument verschlüsselt automatisch, erlaubt das Anzeigen/Bearbeiten durch die genannte Partnerdomäne, verhindert das Herunterladen durch andere und lässt den Zugang nach 90 Tagen ablaufen.

DLP-Richtlinien scannen Dateiinhalte auf Muster (Kreditkartennummern, Sozialversicherungsnummern, Gesundheitsdaten) und setzen Aktionen durch: warnen, blockieren oder Vorgesetztenbegründung erfordern. Vorgefertigte Vorlagen decken DSGVO, BDSG, HIPAA, PCI DSS 4.0 ab.

Bezeichnungen in drei Phasen einführen: mit Training veröffentlichen, 30–60 Tage im Audit-Modus beobachten, dann durchsetzen.

Aufbewahrung und Legal Hold

SharePoint-Aufbewahrungsrichtlinien (Purview → Datenlebenszyklusverwaltung) legen fest, wie lange Dateien nach dem Löschen oder Ändern aufbewahrt werden. Gängige Einstellungen:

Alle Versionen 365 Tage aufbewahren.
Dateien 7 Jahre ab Erstellung aufbewahren (für DSGVO-relevante Verarbeitungen, Handelsgesetzbuch-Anforderungen in Deutschland).
Automatisches Löschen nach 3 Jahren seit letzter Änderung (DSGVO-Datensparsamkeit nach Artikel 5).

Legal Hold bewahrt spezifische Dateien oder Websites vor dem Löschen, wenn Rechtsstreitigkeiten erwartet werden. Eingestellt über Purview eDiscovery.

Dateiversionshistorie

SharePoint bewahrt standardmäßig bis zu 500 Versionen. Haupt- und Nebenversionen können pro Bibliothek für detailliertere Kontrolle aktiviert werden. Für jede Bibliothek mit Verträgen, Richtlinien oder regulierten Dokumenten explizit Versioning aktivieren und Aufbewahrung entsprechend dem Compliance-Fenster des Dokuments einstellen.

Benutzer stellen frühere Versionen über die Versionshistorie der Datei in Teams oder SharePoint wieder her. Admins können gelöschte Dateien aus dem Papierkorb wiederherstellen (standardmäßig 93 Tage).

Größenlimits und was dahinter liegt

SharePoints Limit pro Datei liegt bei 250 GB. Die praktischen Probleme treten anderswo auf:

Upload-Geschwindigkeiten bei Consumer-Verbindungen bedeuten, dass 250 GB viele Stunden dauern.
Sync-Konflikte bei großen Dateien mit aktiven Editoren.
Suchindizierungslimits für sehr große Dateien.

Für Dateien nahe oder über dem Limit – oder für einmalige externe Lieferungen, bei denen die Datei gar nicht in SharePoint leben soll – ist ein Transfer-Tool das richtige Werkzeug. HexaTransfers clientseitiges AES-256-GCM-Verschlüsselungsmodell hält den Inhalt für jeden Zwischendienst undurchsichtig, was für Dateien geeignet ist, die nicht in SharePoints aufbewahrtem Verlauf stehen sollen.

Geteilte Kanäle vs. Gastzugang

Geteilte Kanäle ermöglichen die Zusammenarbeit mit externen Organisationen, ohne sie zu Gästen in Ihrem Mandanten zu machen. Die Benutzer der externen Org erscheinen im Kanal mit ihrer eigenen Mandantenidentität.

Vorteile:

Weniger Lizenz- und Provisionierungsaufwand.
Externe Benutzer bleiben in ihrem eigenen MFA-, Passwortrichtlinien- und Compliance-Regime.
Sauberer Exit, wenn das Engagement endet.

Nachteile:

Noch nicht für alle Features verfügbar; einige Teams-Apps unterstützen geteilte Kanäle noch nicht.
Berechtigungsmodelle können verwirrend sein – Dateien in einem geteilten Kanal leben in einer SharePoint-Website mit Zugang beider Organisationen.

Für stabile Multi-Org-Zusammenarbeit sind geteilte Kanäle besser als Gastzugang. Für einmalige externe Sendungen weder noch – Transfer-Link verwenden.

Nicht-Microsoft-Tools integrieren

Teams' App-Katalog umfasst Integrationen für Dropbox, Box, Google Drive, Adobe Acrobat, Figma und mehr. Diese auf Mandantenebene installieren, damit Benutzer Dateien aus diesen Diensten anhängen können, statt Uploads zu duplizieren.

Für Transfer-Dienste: Die meisten haben keine dedizierten Teams-Apps, aber URL-Paste funktioniert. Ein eingefügter HexaTransfer-Link wird im Kanal angezeigt; Empfänger klicken zum Herunterladen durch. Mit einem Power Automate-Flow kombinieren, der bei Dateien in einem bestimmten Ordner ausgelöst wird – automatisch einen Transfer-Link für mit „extern senden" getaggte Dateien generieren.

Audit-Logs und Compliance-Berichte

Audit-Logs für Dateiaktivitäten (Ansichten, Bearbeitungen, Löschungen, Freigaben) sind in Purview Audit gespeichert. Aufbewahrung für Logs hängt von der Lizenzstufe ab:

Microsoft 365 Business: 90 Tage.
E3: 180 Tage.
E5: 1 Jahr Standard, bis zu 10 Jahre mit Add-ons.

Für Compliance-Regime, die längere Aufbewahrung erfordern, Logs über die Microsoft Graph API in ein SIEM (Sentinel, Splunk, Datadog) exportieren.

Häufige Fallstricke

Chat-Dateien von ausscheidenden Mitarbeitern: Sie verschwinden, wenn die Aufbewahrung sie nicht erfasst. OneDrive-Aufbewahrung für Abgänge einstellen.
„Jeder"-Links, die versehentlich freigegeben werden: Freigabeberichte monatlich prüfen und nicht beabsichtigte „Jeder"-Links deaktivieren.
Verwirrung durch Berechtigungs-Vererbung: Das Aufbrechen der Vererbung auf Unterordnerebene erzeugt Inseln, die Team-Besitzer vergessen.
Private Kanal-Websites, die sich aufblähen: Jeder private Kanal ist eine separate Website; sie tauchen nicht in der normalen Team-Verwaltung auf.

Teams-Dateifreigabe ist leistungsfähig, aber sie belohnt Setup-Disziplin. Die Steuerelemente konfigurieren, die Benutzer trainieren, die Ergebnisse prüfen.

Testen Sie es auf hexatransfer.com – kostenlos, kein Konto erforderlich, bis zu 10 GB.