Power BI-Apps und -Berichte für externe Benutzer freigeben: Bewährte Verfahren, Fallstricke und Tipps aus der Praxis

Einführung

Die Freigabe von Power BI-Inhalten für externe Benutzer klingt einfach, doch sobald Gäste, Lizenzen, Arbeitsbereichsrollen, Zeilenebenensicherheit und Mandanteneinstellungen ins Spiel kommen, wird der Prozess komplexer. Dieser Leitfaden erläutert die praktischen Optionen, die häufigsten Fallstricke und die sichersten Methoden zur Freigabe von Power BI-Apps und -Berichten für Kunden, Partner, Berater und Tochtergesellschaften.

Kurz gesagt: Für die meisten Geschäftsszenarien ist der Gastzugriff über Microsoft Entra B2B die empfohlene Methode. Er gewährleistet die Einhaltung von Authentifizierung, Berechtigungen und Governance. Die Veröffentlichung im Web hingegen ist eine öffentliche Internetfreigabe und sollte niemals für vertrauliche oder interne Berichte verwendet werden.

Warum externes Teilen wichtig ist

Sharing is "caring" in Power BI or rather not?

Viele Organisationen müssen Dashboards über ihren eigenen Tenant hinaus teilen. Ein Finanzteam muss möglicherweise Unterlagen für den Vorstand an eine externe Holdinggesellschaft verteilen. Ein Beratungsteam muss eventuell KPI-Berichte an einen Kunden liefern. Ein Lieferantenportal benötigt möglicherweise Dashboards für Lagerbestände oder Servicelevel. In all diesen Fällen ist das Ziel dasselbe: den richtigen Personen Zugriff zu gewähren, ohne zu viele Informationen preiszugeben.

Deshalb ist die externe Freigabe in Power BI nicht nur eine technische Aufgabe, sondern auch eine Governance-Aufgabe. Sie müssen festlegen, wer Gäste einladen darf, welche Inhalte diese öffnen dürfen, wie sie sich authentifizieren, ob sie eine Lizenz benötigen, ob Zeilenebenensicherheit gelten soll und ob die Inhalte direkt, über eine App oder auf andere Weise bereitgestellt werden sollen.

Die wichtigsten externen Freigabeoptionen

Option 1: Microsoft Entra B2B-Gastfreigabe

Dies ist das Standardverfahren und in der Regel die sicherste Vorgehensweise. Die externe Person wird als Gastbenutzer eingeladen. Anschließend teilen Sie den Bericht, das Dashboard, die App oder die Workspace-Inhalte mit diesem Gast. Der Gast meldet sich an und greift gemäß den von Ihnen festgelegten Berechtigungen und Mandanteneinstellungen auf die Inhalte zu.

Dieses Modell erhält die Power BI-Sicherheit aufrecht. Authentifizierung und Arbeitsbereichsrollen bleiben weiterhin wichtig. RLS kann weiterhin relevant sein. Administratoreinstellungen können die Freigabe weiterhin blockieren, wenn diese nicht aktiviert ist. Für die meisten Excel-Nutzer ist dies die bevorzugte Methode.

In Azure Invite external user (user has to accept the invitation from the tenant)

Option 2: Eine App für externe Gäste veröffentlichen

Wenn viele externe Benutzer eine stabile, standardisierte Lösung benötigen, ist eine Power BI-App oft übersichtlicher als die separate Freigabe einzelner Berichte. Sie verwalten die Inhalte in einem Arbeitsbereich und veröffentlichen die App anschließend für einen definierten Nutzerkreis. Dies ist besonders vorteilhaft, wenn Sie eine intuitive Navigation und weniger Supportanfragen wünschen.

Apps verringern zudem das Risiko, dass Nutzer das falsche Element öffnen oder die neueste Berichtsversion verpassen. Bei regelmäßiger externer Nutzung sind Apps oft einfacher zu verwalten als die spontane Freigabe.

Option 3: Im Web veröffentlichen

Diese Option ist grundlegend anders. „Im Web veröffentlichen“ macht einen Bericht im Internet öffentlich zugänglich. Der Betrachter muss sich nicht anmelden. Daher ist dies keine sichere Methode zum externen Teilen von Kunden-, Partner- oder Managementberichten. Sie eignet sich nur für Inhalte, die bewusst öffentlich zugänglich sein sollen, wie beispielsweise Marketing-Dashboards oder Transparenzseiten.

Wenn Ihre Daten nicht für das gesamte Internet bestimmt sind, sollten Sie die Funktion „Im Web veröffentlichen“ nicht verwenden. Dies ist einer der größten Fehler in der Praxis, da die Funktion zwar praktisch erscheint, das Sicherheitsmodell aber völlig anders ist.

In Power BI Service Audience and users edit

Schritt für Schritt: das empfohlene Muster

Schritt 1: Mandanteneinstellungen bestätigen

Prüfen Sie zunächst, ob die externe Freigabe in Ihrem Power BI-Mandanten zulässig ist. In der Praxis sind sowohl die Power BI-Administratoreinstellungen als auch die Microsoft Entra B2B-Einstellungen relevant. Selbst wenn der Berichtsinhaber genau weiß, mit wem er die Freigabe teilen soll, kann der Vorgang fehlschlagen, wenn Gasteinladungen oder die externe Freigabe auf Administratorebene eingeschränkt sind.

Dies ist der erste Prüfpunkt, wenn die Freigabe fehlschlägt. Kann ein Gast nicht eingeladen werden, die App nicht öffnen oder erhält er eine unerwartete Zugriffsfehlermeldung, liegt die Ursache häufig in einer Administrator- oder Mandantenrichtlinie und nicht im Bericht selbst.

Schritt 2: Laden Sie den externen Benutzer als Gast ein

Fügen Sie den externen Empfänger als Gastbenutzer über den B2B-Prozess Ihres Unternehmens hinzu. In vielen Unternehmen wird dies zentral von der IT- oder Identitätsabteilung verwaltet. Sobald der Gastbenutzer im Verzeichnis vorhanden ist, kann Power BI ihn für Freigaben und Berechtigungen als externen Benutzer behandeln.

Ein hilfreicher Tipp: Überprüfen Sie die E-Mail-Adresse vor der Einladung. Viele Zugriffsprobleme entstehen dadurch, dass die Einladung an ein privates Microsoft-Konto oder an eine leicht abweichende Firmenadresse gesendet wird, die der Partner tatsächlich für die Anmeldung verwendet.

Schritt 3: Entscheiden Sie sich zwischen direktem Teilen und einer App.

Wenn nur ein oder zwei Elemente veröffentlicht werden müssen, reicht die direkte Freigabe oft aus. Wenn Sie jedoch eine sorgfältig zusammengestellte Sammlung von Berichten mit regelmäßigen Aktualisierungen verteilen, ist eine Power BI-App in der Regel die bessere Wahl. Apps wirken professioneller, reduzieren die Verwirrung und bieten eine wiederverwendbare Bereitstellungsschicht.

Eine gute Regel lautet: Teilen Sie einen Bericht, wenn der Anwendungsfall klein und taktisch ist; veröffentlichen Sie eine App, wenn der Anwendungsfall fortlaufend, wiederholbar oder zielgruppenbezogen ist.

Schritt 4: Überprüfung der Arbeitsbereichsrolle und des Zugriffs auf das semantische Modell

Der Bericht ist nur ein Teil der Zugriffskette. Auch das zugrundeliegende semantische Modell ist wichtig. Befinden sich Bericht und semantisches Modell in unterschiedlichen Arbeitsbereichen oder ist die Berechtigung „Erstellen“ erforderlich, kann es vorkommen, dass externe Benutzer trotz der Freigabe des Berichts selbst keinen Zugriff erhalten. Daher sind viele Probleme bei der externen Freigabe in Wirklichkeit Probleme in der Berechtigungskette.

Wenn Inhalte mehrere Arbeitsbereiche umfassen, dokumentieren Sie die Abhängigkeit explizit. Andernfalls beginnen Supportanfragen häufig mit Aussagen wie „Der Bericht lässt sich öffnen, aber die Visualisierungen sind leer“ oder „Ich hatte gestern Zugriff, und heute funktioniert er nicht mehr“.

Schritt 5: Testen Sie das Szenario mit einem echten Gast.

Hören Sie nicht auf, sobald der Teilen-Dialog Erfolg meldet. Testen Sie den tatsächlichen Ablauf für den Gast. Bitten Sie den Empfänger, die Einladung anzunehmen, sich anzumelden und das Element über den Link oder die App zu öffnen. Validieren Sie dies nach Möglichkeit sowohl im Browser als auch auf mobilen Geräten. Reale Tests decken Probleme auf, die Betreibern oft entgehen, wie z. B. falscher Mandantenkontext, Schwierigkeiten beim bedingten Zugriff, fehlende Lizenzen oder Navigationsprobleme in der App.

Lizenzierungs- und Kapazitätsbeschränkungen

Die Lizenzierung ist einer der am häufigsten missverstandenen Aspekte der externen Freigabe. Im Allgemeinen ist für die Freigabe von Power BI eine Pro- oder Premium-Lizenz pro Benutzer erforderlich, es sei denn, die Inhalte befinden sich in einer entsprechenden Premium- oder Fabric-Kapazität. Empfänger benötigen in der Regel ebenfalls die passende Lizenz, es sei denn, die Hosting-Kapazität erlaubt die kostenlose Nutzung durch mehrere Benutzer im Rahmen des unterstützten Modells.

Anders ausgedrückt: Gehen Sie niemals davon aus, dass ein eingeladener Gast automatisch alle Inhalte nutzen kann. Überprüfen Sie stets den Hosting-Workspace, den Speicherort des semantischen Modells und den Lizenzierungspfad des Empfängers.

Beachten Sie auch Konfigurationen mit gemischten Arbeitsbereichen. Wenn der Bericht zwar in der Premium-Version vorliegt, das zugrunde liegende semantische Modell jedoch nicht, kann der Zugriff für kostenlose Benutzer weiterhin beeinträchtigt sein. Dieses Detail wird in größeren Installationen leicht übersehen.

RLS, Sicherheit und Berechtigungen

Die Sicherheit auf Zeilenebene (Row-Level Security, RLS) ist auch in externen Szenarien von großer Bedeutung. Wenn Sie einen Bericht an mehrere Kunden weitergeben, kann RLS den entscheidenden Unterschied zwischen einem skalierbaren Design und einem ernsthaften Risiko der Datenoffenlegung ausmachen. Externe Benutzer sollten nur die für sie oder ihre Organisation bestimmten Zeilen sehen.

Ein einfaches Verfahren besteht darin, externe Benutzeridentitäten einer Sicherheitstabelle zuzuordnen und Daten anhand einer Rolle zu filtern. In der Praxis sollte das Design mit der exakten Gastidentität validiert werden, die den Bericht abrufen wird.

Beispiel eines DAX-Musters, das in vielen Modellen verwendet wird:

Filtern Sie CustomerAccess[UserEmail] = USERPRINCIPALNAME() und verknüpfen Sie diese Tabelle mit der gesicherten Dimension. Wichtig ist nicht nur die Syntax, sondern vor allem die Überprüfung des Werts, den USERPRINCIPALNAME für das Gastszenario in Ihrem Mandanten zurückgibt.

Häufige Fehler, die es zu vermeiden gilt

Verwechseln Sie zunächst nicht die externe Gastfreigabe mit der Veröffentlichung im Web. Bei der einen handelt es sich um eine authentifizierte Freigabe, bei der anderen um eine öffentliche Internetveröffentlichung.

Zweitens sollten Sie nicht nur mit internen Administratorkonten testen. Administratoren haben oft einen umfassenderen Überblick als normale Benutzer, wodurch fehlerhafte Berechtigungen verborgen bleiben.

Drittens sollten Sie die Berechtigungen des semantischen Modells nicht ignorieren. Ein freigegebener Bericht ohne die erforderlichen Zugriffsrechte führt häufig zu verwirrenden Fehlermeldungen.

Viertens: Verlassen Sie sich bei wachsender Zielgruppe nicht länger auf die manuelle Einzelfreigabe. Nutzen Sie stattdessen Apps, Sicherheitsgruppen und ein wiederholbares Governance-Muster.

Fünftens: Dokumentieren Sie alles sorgfältig. Erstellen Sie eine einfache Matrix mit Arbeitsbereich, Anwendung, semantischem Modell, externen Zielgruppen und Verantwortlichen. Das allein kann Ihnen später viele Stunden Arbeit ersparen.

Bewährte Verfahren, die gut funktionieren

Nutzen Sie Entra B2B-Gäste für die kontrollierte Freigabe. Verwenden Sie Apps bevorzugt für die wiederholbare externe Verteilung. Halten Sie Berichts- und semantische Modellabhängigkeiten so einfach wie möglich. Wenden Sie RLS an, wenn mehrere externe Parteien denselben Inhalt verwenden. Testen Sie mit einer echten Gastidentität. Dokumentieren Sie Eigentums- und Zugriffsrechte in einem kurzen Übergabeprotokoll.

Aus Support-Sicht ist es hilfreich, eine kurze Empfängeranleitung bereitzustellen. Eine einseitige Notiz mit Hinweisen wie „Einladung annehmen“, „Mit dieser E-Mail-Adresse anmelden“ und „App über diesen Link öffnen“ kann die Anzahl externer Supportanfragen deutlich reduzieren.

Praktisches Beispiel

Stellen Sie sich ein Beratungsunternehmen vor, das monatlich Dashboards an fünf Kundenorganisationen liefert. Anstatt fünf separate Berichte manuell zu erstellen, verwendet das Unternehmen ein einheitliches semantisches Modell, wendet kundenbasiertes RLS an, lädt jeden Kundenkontakt als B2B-Gast ein und veröffentlicht eine einzige App-Zielgruppe für externe Nutzer. Jeder Gast meldet sich an und sieht nur die Daten seiner eigenen Organisation.

Dieser Ansatz ist deutlich besser skalierbar als das Versenden von Screenshots per E-Mail oder die Pflege separater PBIX-Dateien pro Kunde. Er ist einfacher zu aktualisieren, einfacher zu sichern und einfacher zu prüfen.

Schlussgedanken

Externes Teilen in Power BI ist grundsätzlich möglich, funktioniert aber am besten, wenn Sie es als kontrolliertes Bereitstellungsmodell und nicht als schnelle Freigabefunktion betrachten. Beginnen Sie mit Entra B2B, prüfen Sie die Lizenzierung, halten Sie die Berechtigungen einfach und testen Sie mit einem echten Gastsystem. Bei wiederkehrenden Inhalten veröffentlichen Sie eine App. Nur wenn es sich um öffentliche Internetinhalte handelt, sollten Sie die Veröffentlichung im Web in Betracht ziehen.

Wenn Sie Hilfe bei der Überprüfung Ihrer externen Freigabekonfiguration, Ihres Power BI-Sicherheitsmodells oder Ihres App-Verteilungsansatzes benötigen, kann Excelized Ihnen bei der Entwicklung einer saubereren und sichereren Lösung helfen.