Microsoft 365 Copilot Datenzugriffe absichern: SharePoint-Berechtigungen und Oversharing prüfen

Kurz vor dem Start eines Copilot-Piloten fragt eine Mitarbeiterin: „Fasse mir bitte alles zusammen, was wir zu der geplanten Übernahme wissen.“ Wenn sie bisher bereits auf verstreute Projektseiten, alte Teams-Dateien und OneDrive-Freigaben zugreifen konnte, kann Microsoft 365 Copilot diese Inhalte deutlich schneller finden, zusammenfassen und miteinander verknüpfen. Das ist kein Fehler von Copilot. Es zeigt jedoch ein Berechtigungsproblem, das vorher oft unbemerkt geblieben ist.

Microsoft 365 Copilot arbeitet grundsätzlich innerhalb der Berechtigungen der angemeldeten Person. Der Dienst öffnet also nicht automatisch Inhalte, die für diese Person gesperrt sind. Die entscheidende Frage lautet deshalb nicht: „Hat Copilot zu viele Rechte?“ Sondern: „Welche Inhalte sind für unsere Mitarbeitenden bereits heute erreichbar, obwohl sie dort nicht hingehören?“

Gerade in gewachsenen Microsoft-365-Umgebungen ist die Antwort oft unbequem. Alte Projektteams bestehen fort, SharePoint-Seiten wurden breit geteilt, OneDrive-Links laufen ohne Ablaufdatum und Gastkonten haben weiterhin Zugriff. Ohne KI-Unterstützung waren diese Informationen zwar technisch auffindbar, aber schwer zu überblicken. Copilot reduziert diesen Aufwand erheblich. Damit steigt das Risiko, dass vertrauliche Informationen unbeabsichtigt in Antworten, Zusammenfassungen oder Besprechungsvorbereitungen erscheinen.

Infografik zu Microsoft 365 Copilot Datenzugriffe absichern: SharePoint-Berechtigungen und Oversharing prüfen (KI-generiert).

Warum Copilot Oversharing sichtbar macht

Oversharing bedeutet, dass Personen Zugriff auf Inhalte erhalten, obwohl sie diese für ihre Aufgabe nicht benötigen. Das betrifft nicht nur die Einstellung „Jeder mit dem Link“, sondern auch sehr breite Gruppen, falsch gepflegte Teammitgliedschaften und unkontrollierte Gastzugriffe.

Besonders kritisch sind drei typische Konstellationen:

• Eine SharePoint-Kommunikationsseite enthält interne Strategieunterlagen und ist für „Alle außer externen Benutzern“ lesbar.
• In einem Teams-Kanal liegen vertrauliche Dateien, während die zugrunde liegende Microsoft-365-Gruppe deutlich mehr Mitglieder enthält als das eigentliche Projektteam.
• Ein OneDrive-Ordner wurde für die Zusammenarbeit geteilt, später aber an immer mehr Personen weitergegeben und nie bereinigt.

Copilot kann solche Inhalte im passenden Arbeitskontext aufgreifen. Eine Person muss nicht wissen, auf welcher Website ein Dokument liegt oder wie die Datei genau heißt. Eine natürlich formulierte Frage genügt häufig, um relevante Informationen aus zugänglichen Quellen zu bündeln.

Das betrifft auch Inhalte, die nicht als geheim wahrgenommen werden, in der Summe aber sensibel sind. Einzelne Projektprotokolle, Organigramme, Vertragsentwürfe oder Personalplanungen ergeben zusammen ein deutlich detaillierteres Bild als jedes Dokument für sich.

Zuerst Transparenz schaffen: Welche Datenquellen sind relevant?

Bevor du Copilot breit ausrollst, solltest du nicht mit einzelnen Testprompts beginnen, sondern mit einem Daten- und Berechtigungsinventar. Ziel ist eine belastbare Übersicht über die Orte, an denen geschäftliche Informationen liegen, und über die Personen, die darauf zugreifen können.

Betrachte mindestens diese Bereiche:

• SharePoint-Teamwebsites und Kommunikationswebsites
• SharePoint-Hubs und zugehörige Websites
• Microsoft Teams einschließlich Standard-, privater und freigegebener Kanäle
• OneDrive-Konten, insbesondere von Führungskräften, Projektleitungen und ausgeschiedenen Mitarbeitenden
• Microsoft-365-Gruppen und deren Eigentümer, Mitglieder sowie Gäste
• Sensible Dokumentbibliotheken, etwa für Personal, Finanzen, Recht, Mergers & Acquisitions oder Forschung
• Freigabelinks mit Bearbeitungsrechten, anonymen Zugriffen oder fehlendem Ablaufdatum

Beginne bei den Bereichen mit hohem Schadenpotenzial. Personalakten, Vertragsdaten, Zugangsdaten, Sicherheitskonzepte, Kundenlisten und interne Vorstandsunterlagen verdienen Vorrang. Es ist weder realistisch noch erforderlich, am ersten Tag jede Datei im Tenant manuell zu prüfen.

Hilfreich ist eine einfache Priorisierung nach drei Fragen:

• Wie sensibel ist der Inhalt?
• Wie breit ist der aktuelle Zugriff?
• Wie wahrscheinlich ist es, dass Copilot-Nutzende nach diesen Informationen fragen?

Eine öffentlich lesbare interne Veranstaltungsseite ist anders zu bewerten als ein Projektbereich mit Restrukturierungsunterlagen. Entscheidend ist immer die Kombination aus Schutzbedarf und Reichweite.

SharePoint-Berechtigungen systematisch prüfen

In SharePoint entstehen Berechtigungsprobleme häufig durch Vererbungsausnahmen. Eine Website kann sinnvoll abgesichert sein, während einzelne Bibliotheken, Ordner oder Dateien separat geteilt wurden. Umgekehrt kann eine großzügig berechtigte Website nicht durch eine einzige vertrauliche Datei wirklich kompensiert werden.

Prüfe bei wichtigen Websites daher nacheinander:

• Wer ist Eigentümer der Website und gibt es mindestens zwei verantwortliche Personen?
• Welche Microsoft-365-Gruppen, Sicherheitsgruppen und Einzelpersonen haben Zugriff?
• Gibt es Gruppen wie „Alle“, „Jeder außer externen Benutzern“ oder sehr große Abteilungsgruppen?
• Wurden Berechtigungen auf Bibliotheks-, Ordner- oder Dateiebene individuell vergeben?
• Welche externen Gäste sind berechtigt und ist ihr geschäftlicher Zweck noch nachvollziehbar?
• Existieren Freigabelinks, die mehr Personen erreichen als beabsichtigt?
• Sind alte Projektbereiche noch aktiv, obwohl das Projekt beendet wurde?

Eine gute Grundregel lautet: Berechtigungen möglichst auf Website- oder Gruppenebene verwalten, nicht einzeln für Dateien. Einzelberechtigungen wirken zunächst bequem, erschweren aber Transparenz, Audit und späteren Entzug von Zugriffen erheblich.

Achte auch auf die Rolle der Websitebesitzer. Wer Besitzerrechte besitzt, kann in vielen Fällen Mitglieder und Berechtigungen verwalten. Ein Bereich mit zu vielen Besitzern ist deshalb genauso problematisch wie ein Bereich mit zu vielen Lesenden.

Für externe Zusammenarbeit solltest du feste Prozesse definieren. Der Beitrag Microsoft Entra ID Gastzugriffe absichern: Externe Zusammenarbeit ohne offene Türen zeigt, worauf du bei Gastkonten, Reviews und klaren Verantwortlichkeiten achten solltest.

OneDrive und Teams nicht als Nebenschauplatz behandeln

Viele Unternehmen konzentrieren sich bei Copilot zunächst auf SharePoint-Websites. Dabei liegen gerade in OneDrive-Dateien oft besonders vertrauliche Arbeitsstände: Entwürfe, Gesprächsnotizen, Kalkulationen, Personalunterlagen oder noch nicht veröffentlichte Präsentationen.

OneDrive ist für persönliche Arbeitsdateien gedacht, nicht als dauerhafte Ablage für Teamwissen. Sobald mehrere Personen regelmäßig an Inhalten arbeiten, gehört die Zusammenarbeit in einen klar verantworteten Teams- oder SharePoint-Bereich. Dort lassen sich Mitgliedschaft, Eigentümerschaft und Lebenszyklus besser steuern.

Prüfe in OneDrive besonders:

• Ordner, die an große Gruppen oder Verteiler geteilt wurden
• Freigabelinks ohne Ablaufdatum
• Bearbeitungsrechte, obwohl Leserechte genügen würden
• Dateien ehemaliger Mitarbeitender
• Inhalte mit personenbezogenen Daten, Vertragsinformationen oder Zugangsdaten
• private Arbeitsbereiche, die faktisch zu Projektablagen geworden sind

In Microsoft Teams ist die Zuordnung wichtig: Dateien aus Standardkanälen liegen in der SharePoint-Website des Teams. Private und freigegebene Kanäle können eigene SharePoint-Speicherorte verwenden. Wer nur die Hauptwebsite prüft, übersieht daher möglicherweise relevante Dateien und abweichende Mitgliedschaften.

Auch Gastzugriffe in Teams verdienen besondere Aufmerksamkeit. Gäste benötigen häufig Zugriff auf einen konkreten Projektbereich, aber nicht auf die gesamte Organisation oder auf weitere Teams mit ähnlicher Bezeichnung.

Sensible Inhalte klassifizieren und gezielt schützen

Berechtigungen sind die erste Schutzschicht, aber nicht die einzige. Sensible Informationen sollten erkennbar klassifiziert sein. Das hilft Mitarbeitenden bei der richtigen Ablage und ermöglicht technische Schutzmaßnahmen, etwa Vorgaben für Verschlüsselung, Freigabe oder Kennzeichnung.

Wichtig ist jedoch: Eine Vertraulichkeitsbezeichnung ersetzt keine sauberen Berechtigungen. Eine Datei, die zu breit geteilt wurde, bleibt ein Problem, auch wenn sie als „Vertraulich“ markiert ist. Umgekehrt können Schutzrichtlinien die Folgen eines Fehlers begrenzen, wenn sie passend konfiguriert und im Alltag verstanden werden.

Lege für deine Organisation nachvollziehbare Kategorien fest, zum Beispiel:

• Öffentlich
• Intern
• Vertraulich
• Streng vertraulich

Für jede Kategorie sollte klar geregelt sein, wo Inhalte abgelegt werden dürfen, wer sie teilen darf und welche Freigaben nach außen zulässig sind. Vermeide dabei ein überkomplexes Regelwerk. Wenn Mitarbeitende zwischen zehn ähnlichen Labels wählen müssen, wird die Klassifizierung unzuverlässig.

Datenverlustschutz sollte zudem auf typische Risikosignale ausgerichtet sein, etwa besonders schützenswerte personenbezogene Daten, Finanzdaten oder Zugangsinformationen. Für technische Geheimnisse und Quellcode sind eigene Regeln erforderlich. Wie du Abhängigkeiten und Tokens in Entwicklungsumgebungen absicherst, erläutern wir im Beitrag npm-Pakete gegen Supply-Chain-Angriffe absichern: Typosquatting, gestohlene Tokens und kompromittierte Abhängigkeiten erkennen.

Copilot mit realistischen Tests kontrolliert einführen

Ein Pilot ist nicht nur ein Akzeptanztest für neue Funktionen. Nutze ihn ausdrücklich als Berechtigungs- und Datenschutztest. Wähle dafür eine überschaubare Nutzergruppe aus verschiedenen Fachbereichen und vereinbare klare Testfälle.

Sinnvolle Fragen sind etwa:

• Werden vertrauliche Informationen in Antworten genannt, die für die testende Person nicht erforderlich sind?
• Welche Quellen verwendet Copilot in seinen Antworten?
• Sind alte Projekte, frühere Teams oder nicht mehr benötigte Dokumente auffällig präsent?
• Werden Inhalte aus breit geteilten Kommunikationsseiten in unerwarteten Zusammenhängen aufgegriffen?
• Können Nutzende nachvollziehen, woher eine Information stammt und ob sie aktuell ist?

Dokumentiere jeden Fund als Berechtigungs-, Datenqualitäts- oder Governance-Thema. Die richtige Reaktion lautet nicht, Copilot wegen eines sichtbaren Problems pauschal zu blockieren. Prüfe vielmehr, ob die betreffende Person den Zugriff fachlich benötigt. Falls nicht, korrigiere Gruppe, Freigabe oder Ablagestruktur an der Quelle.

Als zeitlich begrenzte Übergangsmaßnahme kann es sinnvoll sein, die Durchsuchbarkeit bestimmter SharePoint-Inhalte restriktiver zu behandeln. Solche Einstellungen ersetzen aber keine Bereinigungsarbeit. Direkte Zugriffe, individuelle Freigaben und bereits bestehende Rechte müssen weiterhin geprüft werden.

Ein wiederholbarer Prozess statt einer einmaligen Aufräumaktion

Berechtigungen verändern sich laufend. Neue Teams entstehen, Projekte enden, Mitarbeitende wechseln Rollen und externe Partner kommen hinzu. Deshalb ist Oversharing kein einmaliges Migrationsproblem, sondern eine Betriebsaufgabe.

Etabliere feste Kontrollen:

• Website- und Team-Besitzer bestätigen regelmäßig Mitglieder und Gäste.
• Alte Projektbereiche erhalten ein definiertes Archivierungs- oder Löschverfahren.
• Freigabelinks werden zeitlich begrenzt, sofern kein dauerhafter Zugriff erforderlich ist.
• Besonders sensible Bereiche werden in kürzeren Abständen geprüft.
• Neue Teams und SharePoint-Websites erhalten standardisierte Vorlagen für Eigentümer, Mitglieder und externe Freigaben.
• Auffällige Copilot-Ergebnisse werden an IT, Datenschutz und die fachlich verantwortliche Stelle gemeldet.

Technik allein genügt nicht. Mitarbeitende müssen verstehen, dass „intern“ nicht automatisch „für alle Mitarbeitenden bestimmt“ bedeutet. Konkrete Übungen zu Freigaben, Dokumentklassifizierung und verdächtigen Anfragen machen Regeln greifbar. Für den organisatorischen Teil findest du praktische Ansätze in unserem Beitrag Security Awareness im Team aufbauen.

Wenn du Berechtigungen bereinigst, sensible Daten sauber klassifizierst und Verantwortlichkeiten festlegst, wird Microsoft 365 Copilot nicht zum Datenleck-Beschleuniger, sondern zu einem kontrollierbaren Werkzeug für produktivere Zusammenarbeit. Passende Seminare und Termine findest du bei uns auf cmt.de.