Wat is een gastaccount?

Een gastaccount is een account waarmee iemand van buiten je organisatie beperkte toegang krijgt tot je omgeving — bijvoorbeeld een externe boekhouder die in één Teams-kanaal moet, of een leverancier die bij één projectmap moet kunnen.

Zonder gastaccount gebeurt het alternatief: bestanden per mail heen en weer sturen, of een wachtwoord delen. Met een gastaccount blijft het werk binnen je eigen omgeving, zie je wie wat opent, en trek je de toegang met één klik weer in. Verwar het niet met een gastnetwerk: dat geeft bezoekers alleen internet, geen toegang tot je bestanden.

Waar je op let: geef gasten alleen toegang tot wat ze echt nodig hebben, zet ook voor hen tweestapsverificatie aan, en hang een vervaldatum of periodieke controle aan elk gastaccount. Vergeten gastaccounts uit projecten van twee jaar geleden zijn een klassiek gat in de beveiliging.

Hoe werkt een gastaccount in Microsoft 365?

In Microsoft 365 is een gastaccount geen tweede werkplek, maar een verwijzing. Je nodigt iemand uit op zijn eigen e-mailadres, en Entra ID (het vroegere Azure AD) maakt daar een gastgebruiker van in jouw directory. Die externe logt in met zijn eigen account en komt daarmee jouw omgeving binnen — alleen op de plekken waar je hem toevoegt. Een eigen Microsoft 365-licentie van jou heeft hij daar niet voor nodig.

Praktisch zie je gastaccounts vooral terug in Teams en SharePoint. Voeg je een gast toe aan een team, dan krijgt hij toegang tot de kanalen en tot de bestanden in de bijbehorende SharePoint-site. Deel je alleen één map of document via een deellink, dan blijft de toegang tot dat ene item beperkt. Voor de beheerder staan alle gastgebruikers op één plek bij elkaar: in het Microsoft 365-beheercentrum onder Gastgebruikers, en volledig in Entra ID.

Gasttoegang, externe toegang of een gedeeld kanaal?

Deze drie worden in de praktijk het vaakst door elkaar gehaald, terwijl ze iets heel anders doen.

• Gasttoegang voegt iemand als gastgebruiker toe aan jouw organisatie. Hij ziet de teams en bestanden waar je hem aan toevoegt, en werkt mee alsof hij erbij hoort — met de rechten die jij bepaalt.
• Externe toegang (federatie) laat alleen chatten en bellen met mensen bij een andere organisatie. Er komt geen account bij jou, en er is geen toegang tot bestanden of kanalen.
• Een gedeeld kanaal zet één kanaal open voor externen, zonder dat ze de rest van het team zien. Handig als de samenwerking zich tot één project beperkt.

Vuistregel: moet iemand structureel meewerken in jullie omgeving, dan is een gastaccount de juiste keuze. Gaat het om overleg, dan volstaat externe toegang. Gaat het om één afgebakend project, kijk dan eerst naar een gedeeld kanaal.

Zo nodig je een gast uit en stel je de rechten af

Uitnodigen zelf is een kwestie van een e-mailadres invullen. De winst zit in wat je eromheen regelt.

• Zet gasttoegang bewust aan. De instellingen stapelen: in Entra ID bepaal je of externe gebruikers überhaupt uitgenodigd mogen worden, in het Teams-beheercentrum wat gasten in Teams mogen, en per Microsoft 365-groep of er gasten aan die groep toegevoegd mogen worden. Staat er één laag dicht, dan werkt de uitnodiging niet.
• Controleer het e-mailadres. Nodig uit op het zakelijke adres van de persoon, niet op een privéadres, en check de spelling. Een typefout in het domein stuurt een uitnodiging naar een wildvreemde.
• Geef alleen toegang tot wat nodig is. Voeg de gast toe aan één team of één map, niet aan de hele afdelingsomgeving. Wie alleen hoeft te lezen, krijgt leesrechten.
• Eis tweestapsverificatie, ook van gasten. Via voorwaardelijke toegang stel je in dat gastgebruikers MFA gebruiken. Wil je geen bedrijfsdata op een onbeheerd apparaat, dan kun je gasten beperken tot de webversie.
• Wijs een eigenaar aan. Eén collega is verantwoordelijk voor deze gast: hij heeft hem uitgenodigd en hij haalt hem er straks weer uit.
• Test het even. Vraag de gast na het accepteren of hij ziet wat hij moet zien — en vooral: of hij niets ziet wat niet voor hem bedoeld is.

Gastaccounts opruimen: wie heeft er nog toegang?

Het aanmaken gaat vanzelf, het opruimen niet. Bij de meeste organisaties die we onder de motorkap zien, staat een flinke lijst gastgebruikers open van projecten die allang zijn afgerond. Elk vergeten gastaccount is een deur die niemand meer in de gaten houdt — en bij een datalek moet je kunnen uitleggen wie er bij welke informatie kon.

Wat helpt: zet een vaste controle in de agenda, bijvoorbeeld elk kwartaal. Loop de lijst met gastgebruikers in het beheercentrum langs en vraag per gast of de samenwerking nog loopt. Zo niet: verwijder de gast uit het team én uit Entra ID, want alleen uit het team halen laat het account bestaan. Vergeet daarbij de losse deellinks niet — die staan los van het gastaccount en blijven werken tot je ze intrekt. Werk je met vervaldatums of toegangsbeoordelingen, dan gebeurt een deel van dat opruimen automatisch.

Veelgestelde vragen

Heeft een gast een Microsoft 365-licentie van ons nodig?

Nee. Een gastgebruiker logt in met zijn eigen account en gebruikt daarvoor geen licentie uit jouw abonnement. Voor uitgebreidere beveiligingsfuncties op gastaccounts kunnen wel aanvullende licentievoorwaarden gelden; je IT-partner kan dat voor jouw situatie nakijken.

Kan een gast al onze teams en bestanden zien?

Nee. Een gast ziet uitsluitend de teams, kanalen en mappen waar hij expliciet aan is toegevoegd. De rest van je omgeving blijft onzichtbaar. Wel geldt: binnen een team waar hij lid van is, ziet hij standaard alle kanalen en bestanden van dat team.

Kan ik iemand met een privé-e-mailadres uitnodigen?

Technisch kan dat meestal wel, maar het is zelden verstandig. Bij een zakelijk adres weet je bij wie het account hoort en wordt het geblokkeerd zodra die persoon daar vertrekt. Bij een privéadres blijft de toegang hangen aan een individu, buiten elk beheer om.

Wat is het verschil tussen een gastaccount en een gastnetwerk?

Een gastnetwerk geeft bezoekers alleen internet op je wifi, gescheiden van je bedrijfsnetwerk. Een gastaccount geeft toegang tot je Microsoft 365-omgeving. Ze lossen dus twee heel verschillende vragen op, en de een vervangt de ander niet.

Meer lezen: Wat is een gastnetwerk? · Wat is Entra ID (Azure AD)?