Graph-Datei-APIs: Links mit eingebetteter Anmeldung entfallen

Worum es geht

Microsoft entfernt in SharePoint Online und OneDrive sogenannte vorab authentifizierte Links (tempauth-URLs). Bisher liefern verschiedene Microsoft-Graph-APIs für Dateien Adressen, in denen eine zeitlich begrenzte Anmeldung bereits enthalten ist, oder leiten per HTTP 302 auf solche Adressen weiter. Ab April 2027 entfällt das. Anwendungen müssen sich dann durchgängig mit einem regulären Zugriffstoken aus Microsoft Entra ID anmelden.

Zeitplan

• Demnächst: neue Mandanteneinstellungen in SharePoint Online PowerShell, mit denen sich das neue Verhalten für einzelne Apps vorab einschalten lässt
• Ab 1. April 2027: Umstellung, Abschluss bis Ende April 2027

Wer betroffen ist

• Organisationen mit Drittanbieter-Apps, Fachanwendungen, eigenen Anwendungen oder Automatisierungen, die über Microsoft Graph Dateien aus SharePoint oder OneDrive laden, hochladen, kopieren oder in der Vorschau anzeigen
• Nicht betroffen sind Apps, die bereits die direkten Graph-Endpunkte mit normaler Entra-ID-Anmeldung nutzen, sowie direkte Aufrufe der SharePoint-APIs ohne Microsoft Graph

Was sich konkret ändert

• Betroffen sind unter anderem Download, Upload-Sitzungen, Kopiervorgänge, Vorschau, Miniaturbilder, Versionen und Formatkonvertierung.
• APIs, die bisher auf einen vorab authentifizierten Link weiterleiten, liefern den Inhalt künftig direkt.
• Zurückgegebene SharePoint-Adressen enthalten keine eingebettete Anmeldung mehr. Wer sie direkt aufruft, braucht ein gültiges Zugriffstoken.
• Apps, die solche Links speichern, auswerten oder später einlösen, können ohne Anpassung ab April 2027 ausfallen.
• Die neue Mandanteneinstellung ist nicht automatisch aktiv; Administratoren wählen selbst, welche Apps vorab umgestellt werden.

So bereiten Sie sich vor

• Erfassen Sie, welche Anwendungen über Microsoft Graph auf Dateien zugreifen, etwa Backup-, Archiv- oder Dokumentenlösungen.
• Fragen Sie bei den Herstellern und internen Entwicklern nach, ob und wann sie die Umstellung unterstützen.
• Schalten Sie das neue Verhalten zunächst für wenige Apps ein und achten Sie auf Fehler und Anmeldeprobleme.
• Weiten Sie die Einstellung nach erfolgreichen Tests schrittweise aus.

Weiterführende Informationen

• Pre-authenticated (tempauth) URLs are retiring (Microsoft 365 Developer Blog)
• Get-SPOTenantPreAuthSettings (Microsoft Learn)
• Erste Schritte mit der SharePoint Online Management Shell (Microsoft Learn)