SharePoint Oversharing vor Copilot beheben: In 5 Schritten zum kontrollierten Pilot
SharePoint Oversharing ist kein Copilot-Problem, sondern ein Berechtigungsproblem, das seit Jahren im Tenant liegt und mit Copilot nur sichtbar wird. Wer die erste Lizenzwelle verteilt, ohne die offenen Sites zu kennen, bekommt die Rückmeldung vom Betriebsrat statt vom Admin. Diese fünf Schritte führen von der ersten Auswertung zu einem Pilot, den Sie verantworten können.
Warum SharePoint Oversharing erst mit Copilot auffällt
Copilot vergibt keine neuen Rechte. Es zeigt einem Nutzer nur, was er ohnehin öffnen dürfte. Der Unterschied liegt in der Zugriffsart: Bisher musste jemand die richtige Site kennen, den richtigen Ordner öffnen und die richtige Datei finden. Jetzt genügt eine Frage in natürlicher Sprache, und die Antwort zieht Inhalte aus Bibliotheken zusammen, an die seit Jahren niemand gedacht hat.
Die typischen Fundstellen sind in fast jedem Tenant dieselben: eine Projektablage aus der Netzsparte, die während einer Umstrukturierung für alle geöffnet wurde, ein Teams-Kanal mit Vertragsentwürfen, dessen Site mit der Berechtigung Jeder außer externen Benutzern versehen ist, und ein Ordner aus dem Personalbereich, der über einen alten Freigabelink erreichbar ist. Diese drei Muster erzeugen den größten Teil der unangenehmen Copilot-Treffer.
Gute Nachricht für die Vorbereitung: SharePoint Advanced Management steht bereit, sobald im Tenant mindestens eine Copilot-Lizenz zugewiesen ist. Die Werkzeuge für die Bereinigung sind also da, bevor der Pilot startet.
Sichtbarkeit über die Berichte zur Datenzugriffsgovernance herstellen
Im SharePoint Admin Center finden Sie unter den Berichten die Datenzugriffsgovernance. Drei Auswertungen sind relevant: Sites mit Freigabelinks vom Typ Jeder, Inhalte, die mit Jeder außer externen Benutzern geteilt wurden, und Sites mit potenziell sensiblen Inhalten. Die Berichte liefern keine Bereinigung, sondern eine Rangfolge. Genau darum geht es im ersten Schritt, denn niemand prüft mehrere tausend Sites von Hand. Ergänzen Sie jede Zeile um zwei Angaben, die kein Bericht kennt: den fachlichen Eigentümer und die Frage, ob die Site überhaupt noch aktiv genutzt wird.
Aktion: Die drei Berichte exportieren und die zwanzig auffälligsten Sites in eine Liste mit Websitebesitzer, Fachbereich und letztem Aktivitätsdatum übertragen.
Notbremse setzen, ohne Berechtigungen anzufassen
Für Sites mit hohem Risiko gibt es Restricted Content Discovery. Die Einstellung nimmt eine Site aus der unternehmensweiten Suche und aus den Copilot-Antworten heraus, lässt die Berechtigungen aber unverändert. Wer die Site kennt, arbeitet weiter wie bisher. Sie setzen die Einstellung im Admin Center oder per SharePoint Online Management Shell, was für nachvollziehbare Änderungen die bessere Wahl ist. Zwei Einschränkungen gehören ins Protokoll: Für OneDrive greift die Einstellung nicht, und ein großflächiger Einsatz verschlechtert die Antwortqualität, weil Copilot dann auf zu wenig Material aufsetzt. Behandeln Sie die Liste deshalb als Übergang mit Enddatum, nicht als Dauerlösung. Wenn ohnehin fast alles unklar ist, ist die eingeschränkte SharePoint-Suche mit einer Positivliste erlaubter Sites der ehrlichere Zwischenschritt.
Aktion: Restricted Content Discovery für die kritischen Sites aus Schritt 1 aktivieren und je Site ein Datum eintragen, bis zu dem die Berechtigungen bereinigt sein müssen.
Berechtigungen bereinigen statt verstecken
Die eigentliche Arbeit gehört nicht in die IT, sondern zu den Websitebesitzern. Aus dem Bericht heraus starten Sie Site-Zugriffsüberprüfungen, die den Besitzer auffordern, die Freigaben seiner Site zu bestätigen oder zu entfernen. Parallel entfernen Sie die Berechtigung Jeder außer externen Benutzern aus den Sites der Liste, setzen ein Ablaufdatum für Freigabelinks und prüfen Bibliotheken mit unterbrochener Vererbung. Wo eine Site wirklich nur einem festen Kreis gehört, ist die eingeschränkte Zugriffssteuerung über eine Entra-Sicherheitsgruppe der sauberere Weg als eine lange Einzelrechteliste. Rechnen Sie mit Rückfragen aus den Fachbereichen und geben Sie eine Frist vor, sonst bleibt die Überprüfung liegen.
Aktion: Für jede Site der Liste eine Zugriffsüberprüfung an den Websitebesitzer starten, mit 14 Tagen Frist und einer festen Eskalation an den Fachbereichsleiter.
Pilotgruppe schneiden und Regeln vorher klären
Ein Pilot mit 20 bis 50 Lizenzen reicht aus, um belastbare Aussagen zu bekommen. Wählen Sie zwei bis drei Bereiche mit unterschiedlicher Datenlage, etwa Netzbetrieb, Vertrieb und Verwaltung, und vermeiden Sie Bereiche mit besonders schützenswerten Daten in der ersten Welle. Vor der Lizenzzuweisung gehören drei Dinge auf eine Seite Papier: der Umfang des Pilots, die Regeln für die Nutzung und der Meldeweg für den Fall, dass Copilot etwas anzeigt, das ein Nutzer nicht sehen sollte. Dieser Meldeweg ist der wertvollste Teil des Pilots, weil er Ihnen genau die Fundstellen liefert, die kein Bericht findet. Datenschutzbeauftragter und Betriebsrat werden hier eingebunden, nicht erst beim Rollout, denn Leistungs- und Verhaltenskontrolle ist bei Copilot ein Mitbestimmungsthema.
Aktion: Pilotumfang, Nutzungsregeln und Meldepostfach auf einer Seite festhalten und mit Datenschutz und Betriebsrat abstimmen, bevor die erste Lizenz zugewiesen wird.
Auswerten und schriftlich über die nächste Welle entscheiden
Nach vier Wochen liegen drei Quellen vor: der Copilot-Nutzungsbericht im Microsoft 365 Admin Center, die Copilot-Interaktionen im Überwachungsprotokoll von Purview und die Meldungen aus dem Postfach. Ergänzend zeigt die Datensicherheitsverwaltung für KI in Purview, auf welche Inhalte sich Antworten stützen. Interessant sind zwei Muster: Bereiche mit niedriger Nutzung deuten auf fehlende Einführung hin, nicht auf fehlenden Bedarf, und wiederholte Fehlfunde in derselben Site zeigen, dass Schritt 3 dort nicht abgeschlossen ist. Halten Sie die Entscheidung über die Ausweitung schriftlich fest, mit Datum und Kriterien. Dieses Dokument ist später der Nachweis, dass die Einführung kontrolliert erfolgt ist.
Aktion: Nutzungsbericht, Meldungen und die Liste der eingeschränkten Sites nebeneinanderlegen und die Freigabe für die nächste Welle mit Datum und Kriterien dokumentieren.
Faustregel: Nicht fragen, was Copilot darf, sondern was im Tenant schon gestern offen lag.
Die Reihenfolge entscheidet über den Aufwand. Wer zuerst misst, dann die riskanten Sites aus der Suche nimmt, danach bereinigt und erst zum Schluss Lizenzen verteilt, braucht für den Pilot wenige Wochen. Wer mit den Lizenzen beginnt, arbeitet dieselben Schritte später unter Zeitdruck ab, während die ersten Fundstellen bereits im Umlauf sind.
Copilot Ready Sprint
Im Sprint gehen wir Ihren Tenant entlang dieser fünf Schritte durch und übergeben eine priorisierte Liste der Sites, die vor dem Rollout bereinigt werden müssen. Am Ende steht ein Pilot, der einer Prüfung durch Datenschutz und Betriebsrat standhält.
Sprint anfragen