SharePoint · Governance im Betrieb
Viele Unternehmen räumen SharePoint vor dem Copilot-Start einmal auf. Monate später sind die Freigaben wieder da. SharePoint Governance heißt, dass diese Prüfung zur Routine wird und nicht an der IT hängen bleibt. Die Werkzeuge dafür hat Microsoft weitgehend geliefert, die meisten stecken im SharePoint Admin Center unter Data access governance.
Die Bereinigung vor dem Copilot-Pilot ist ein Projekt mit Anfang und Ende. Die Ursachen laufen danach weiter. Mitarbeitende teilen jeden Tag Dateien, Projekte enden, und Site-Besitzer wechseln die Abteilung oder das Unternehmen.
Dazu kommt ein Rollenproblem. Die IT sieht, dass eine Site breit geteilt ist, kann aber nicht beurteilen, ob das fachlich stimmt. Der Fachbereich könnte es beurteilen, sieht aber den Bericht nie. Genau diese Lücke muss SharePoint Governance schließen.
Die meisten Funktionen in diesem Artikel gehören zu SharePoint Advanced Management (SAM). Vor dem Plan lohnt sich deshalb der Blick auf die Lizenzen, denn hier wird es oft falsch eingeschätzt.
Nur Microsoft 365 E5. Laut Microsoft können Admins mit E5 die Data access governance Berichte öffnen, aber keine Snapshot-Berichte und keine Maßnahmen nutzen. Activity-Berichte liefern höchstens 10.000 Sites. Die übrigen SAM-Funktionen bleiben gesperrt.
Mindestens eine Copilot-Lizenz. Sobald ein Nutzer im Tenant eine Copilot-Lizenz hat, schaltet Microsoft die SAM-Funktionen frei, die den Copilot-Einsatz unterstützen. Dieser Nutzer muss kein SharePoint-Admin sein. Microsoft 365 E7 ist ebenfalls ein eigener Weg zu SAM.
Add-on SharePoint Advanced Management Plan 1. Das ist die Alternative ohne Copilot. Für Restricted site creation brauchen Sie es auch mit Copilot-Lizenz.
Baustein 1
Im SharePoint Admin Center liegen die Berichte unter Reports, Data access governance. Die Activity-Berichte "Sharing links" und "Shared with 'Everyone except external users'" zeigen die letzten 28 Tage. Microsoft empfiehlt, sie monatlich auszuführen, und das passt zum Zeitraum. Achten Sie vor allem auf neue Links vom Typ "Anyone" und auf Freigaben an die ganze Organisation.
Aus meinen Checks: Die Standardeinstellungen für Freigaben sind selten bewusst gewählt. Wenn die Berichte jeden Monat dasselbe Muster zeigen, liegt die Ursache meist dort und nicht bei den Mitarbeitenden. Wie Sie das einstellen, steht in meinem Beitrag zum SharePoint-Sharing in regulierten Unternehmen.
Baustein 2
Der Snapshot-Bericht "Site permissions across your organization" analysiert jede Site und zeigt den Stand am Tag der Erstellung. Microsoft empfiehlt hier den Quartalsrhythmus. Darauf baut "Sites and files shared via special SharePoint groups" auf: Dieser Bericht listet jedes einzelne Element, das an "Everyone" oder "Everyone except external users" geht, und liefert das Ergebnis als CSV-Dateien in einem ZIP-Archiv.
Haben Sie neben SAM auch E5 und nutzen Vertraulichkeitsbezeichnungen, kommt zusätzlich "Sensitivity label applied to files" infrage. Damit sehen Sie, wo gekennzeichnete Dateien liegen und ob die Berechtigungen dazu passen.
Prüferblick: Gespeicherte Berichte mit Datum belegen eine wiederkehrende Kontrolle. Einstellungen allein belegen nur den heutigen Stand.
Baustein 3
Aus dem Bericht heraus wählen Sie die auffälligen Sites aus und starten "Initiate site access review". Die Site-Owner bekommen eine Mail mit Ihrer Bitte und einem Link zur Prüfseite. Dort sehen sie je nach Bericht die betroffenen Dateien, Links oder Gruppen, entfernen Zugriffe über "Manage access" oder "Remove access" und schließen mit "Complete review" ab. Sie verfolgen den Stand unter "My review requests".
Microsoft begründet das Vorgehen damit, dass IT-Admins aus Compliance-Gründen oft keinen Einblick in Datei-Details haben. Für regulierte Unternehmen ist das ein Vorteil: Die IT sieht nicht in die Inhalte, und die Entscheidung liegt bei der Person, die den Inhalt verantwortet. Über die Oberfläche gehen bis zu 100 Sites auf einmal.
Aus meinen Checks: Der Engpass ist selten die Technik. Die Mail kommt an, aber niemand hat den Ownern gesagt, dass diese Prüfung zu ihrer Rolle gehört. Klären Sie das vor dem ersten Lauf.
Baustein 4
Ein Review braucht einen Owner, und inaktive Sites sollten gar nicht erst geprüft werden müssen. Dafür gibt es unter Site lifecycle management drei Richtlinien, die Sie jeweils erst im Modus Simulation laufen lassen:
Site ownership policy. Sie verlangt eine Mindestzahl an Ownern, Microsoft nennt zwei als Beispiel, und schreibt betroffene Personen an, bei Bedarf auch Vorgesetzte früherer Owner oder aktive Mitglieder.
Inactive site policy. Nach drei monatlichen Benachrichtigungen wählen Sie "Do nothing", "Read-only access" oder "Archive sites after mandatory read-only period". Mit "Certify site" bestätigen Owner, dass die Site gebraucht wird, und die Prüfung ruht für ein Jahr.
Site attestation policy. Owner bestätigen alle 3, 6 oder 12 Monate, dass die Site noch gebraucht wird und Mitglieder, Berechtigungen und Freigaben passen. Das ist die Richtlinie, die dem Prinzip dieses Artikels am nächsten kommt.
Baustein 5
Manche Sites können nicht bis zum nächsten Review warten. Dann helfen zwei Werkzeuge, die unterschiedlich wirken.
Restricted access control beschränkt eine Site auf bis zu 10 Gruppen. Wer nicht darin ist, kommt nicht hinein, auch nicht mit bestehender Berechtigung oder einem geteilten Link. Das passt für dauerhaft sensible Sites, zum Beispiel aus Personal oder Geschäftsführung.
Restricted content discovery nimmt eine Site aus der organisationsweiten Suche und aus Copilot-Antworten, ändert aber keine Berechtigungen. Microsoft beschreibt es als vorübergehende Maßnahme, um Zeit für die Prüfung zu gewinnen. Wer direkt Zugriff hat, behält ihn.
Neue Sites steuern Sie mit Restricted site creation, dafür brauchen Sie das Add-on. Die Regeln für Teams und Gruppen beschreibe ich im Beitrag zur Gruppen Governance.
Maskierte Namen in Berichten. Funktionieren die Berichte nicht, prüfen Sie im Microsoft 365 Admin Center die Einstellung "Display concealed user, group, and site names in all reports". Sie muss laut Microsoft von einem Global Admin deaktiviert werden.
OneDrive fehlt im Review. Site Access Reviews gelten nur für SharePoint. OneDrive braucht einen eigenen Blick.
Sites mit nur einem Owner. Die Site ownership policy greift hart nur bei Sites ganz ohne Owner, etwa mit einer Sperre oder Read-only. Sites mit einem Owner bekommen nur Benachrichtigungen.
Ein Klick reicht nicht. Der bloße Aufruf der Site-URL gilt nicht als Aktivität. Wird eine Site gebraucht, bestätigen die Owner das mit "Certify site". Die Simulation zeigt vorher, welche Sites betroffen wären.
Keine Löschung. Die Lifecycle-Richtlinien löschen Sites nicht direkt. Das Archiv läuft über Microsoft 365 Archive und muss dafür eingerichtet sein.
SharePoint Governance braucht keinen großen Wurf. Sie braucht einen festen Termin im Monat, einen im Quartal und Owner, die wissen, was von ihnen erwartet wird. Legen Sie die Berichte mit Datum ab, dann haben Sie nebenbei den Nachweis für die nächste Prüfung.
Bei den Identitäten funktioniert das nach demselben Prinzip, das zeigt mein Artikel zu Entra ID Governance. Für Gruppen und Rollen ergänzen die Zugriffsüberprüfungen in Entra ID den Rhythmus. Wenn Sie eine Stelle für den Anfang suchen: Starten Sie mit dem Bericht "Shared with 'Everyone except external users'" und den fünf auffälligsten Sites.
SharePoint Governance regelt, wer Sites anlegen darf, wer sie verantwortet, wie geteilt wird und wie Berechtigungen regelmäßig geprüft werden. Im Betrieb besteht sie vor allem aus wiederkehrenden Berichten, Prüfungen durch Site-Owner und Richtlinien für den Lebenszyklus.
Für den vollen Umfang brauchen Sie mindestens eine Copilot-Lizenz im Tenant, das Add-on SharePoint Advanced Management Plan 1 oder E7. Mit E5 allein können Admins die Berichte zwar öffnen, bekommen aber keine Snapshot-Berichte und keine Maßnahmen, und Activity-Berichte liefern höchstens 10.000 Sites.
Nein. Sie benachrichtigt zunächst dreimal monatlich und setzt die Site danach je nach Einstellung auf Read-only oder archiviert sie nach einer Read-only-Phase. Laut Microsoft löschen die Lifecycle-Richtlinien Sites nicht direkt.
Nein. Es versteckt Inhalte aus organisationsweiter Suche und Copilot, ändert aber keine Berechtigungen. Microsoft beschreibt es als vorübergehende Maßnahme, bis die Zugriffe geprüft und angepasst sind.