Copilot-Oversharing in SharePoint verhindern

Microsoft 365 Copilot bricht Ihre SharePoint-Berechtigungen nicht. Es legt sie offen. In dem Moment, in dem Sie es einschalten, kann Copilot jede Datei lesen, die der angemeldete Nutzer öffnen darf, und sie dann in Sekunden zusammenfassen. Wenn eine Gehaltstabelle, ein Entwurf für eine Umstrukturierung oder ein noch nicht freigegebener Vertrag jemals zu breit geteilt wurde, wird Copilot es finden und zitieren.

Das ist der Kern des Copilot-Oversharings. Es ist kein Sicherheitsleck in der KI. Es sind Jahre des Berechtigungs-Wildwuchses, die plötzlich in einfacher Sprache durchsuchbar werden. Dieser Leitfaden führt SharePoint-Administratoren durch die Governance-Arbeit, die vor dem Rollout zu erledigen ist, mit den echten Microsoft-Steuerungen, die das Risiko eindämmen.

Das erwartet Sie in diesem Artikel

• Warum Copilot-Oversharing geschieht und warum es ein Berechtigungsproblem ist
• Die konkreten Risiken, Copilot vor einer etablierten Governance zu aktivieren
• Eine praktische Governance-Checkliste, Steuerung für Steuerung
• Eine Schritt-für-Schritt-Vorbereitungssequenz vor Copilot
• Wie Sie Inhalte nach dem Go-live gesteuert halten

Warum geschieht Copilot-Oversharing?

Copilot-Oversharing geschieht, weil Microsoft 365 Copilot bestehende Zugriffsrechte respektiert und Inhalte über Microsoft Graph und Microsoft Search abruft. Laut Microsoft Learn gibt Copilot nur Inhalte zurück, auf die der Nutzer bereits zugreifen kann. Das Problem ist nicht, was Copilot erreichen kann. Es ist, was Nutzer bereits erreichen konnten, aber nie bemerkt haben.

Über Jahre hinweg machten SharePoint und OneDrive das Teilen einfach. Menschen nutzten „Jeder mit dem Link“, gewährten breiten Microsoft-365-Gruppen Zugriff oder kopierten sensible Dateien in Teamsites. Niemand las diese Dateien manuell, sodass die Exposition unsichtbar blieb. Copilot beseitigt diese Reibung.

Fragen Sie es „Wie ist unsere Bonusstruktur für 2026?“, und es durchsucht alles, was Sie öffnen können, und antwortet dann in einem Absatz. Ein Dokument, das technisch zugänglich, aber praktisch vergraben war, ist nun nur noch eine Anfrage von einem Satz entfernt.

Die wichtigsten Erkenntnisse

• Copilot fördert Inhalte zutage, für die Nutzer bereits eine Öffnungsberechtigung hatten, sodass Oversharing ein Berechtigungsproblem ist, kein KI-Fehler.
• Restricted Content Discovery (RCD) verbirgt eine Site vor Copilot und der organisationsweiten Suche, während der direkte Zugriff erhalten bleibt.
• Data-Access-Governance-Berichte markieren überteilte Sites vor dem Rollout. Microsoft dokumentiert diese in SharePoint Advanced Management.
• Führen Sie Berechtigungsbereinigung, RCD, DAG-Überprüfungen und Vertraulichkeitsbezeichnungen durch, bevor Sie Copilot-Lizenzen zuweisen.

Bei unserer Arbeit mit Microsoft-365-Kunden ist die häufigste Überraschung keine gehackte Datei. Es ist eine HR-Site, die vor drei tenant-Administratoren mit „Alle außer externen Nutzern“ geteilt wurde und an die sich niemand erinnerte, bis Copilot ein Kündigungsschreiben zitierte.

Microsoft 365 Copilot ruft Ergebnisse über Microsoft Graph ab und respektiert bestehende Berechtigungen, indem es nur Inhalte zurückgibt, die der angemeldete Nutzer bereits öffnen kann (Microsoft Learn). Oversharing spiegelt daher einen bereits vorhandenen Zugriffs-Wildwuchs in SharePoint und OneDrive wider, keine Lücke im Design oder im Grounding-Modell von Copilot.

Lesen Sie unseren Überblick zu Microsoft 365 Copilot, um zu erfahren, wie der Assistent lizenziert wird und was er kann.

Was ist das Risiko, Copilot vor der Governance auszurollen?

Das größte Risiko vor dem Rollout ist die Geschwindigkeit der Auffindbarkeit. Copilot kann in einer Anfrage ein sensibles Dokument zurückgeben, das ein neugieriger Mitarbeiter durch Stöbern womöglich nie gefunden hätte. Microsoft selbst empfiehlt in seinem Leitfaden zur Copilot-Bereitstellung eine „standardmäßig sichere“ Datengrundlage vor einer breiten Bereitstellung.

Denken Sie daran, was sich am ersten Tag ändert. Berechtigungen, die „in Ordnung waren, weil niemand hinschaute“, werden zu einem aktiven Suchindex in natürlicher Sprache. Ein Praktikant kann nach Entlassungen fragen. Ein externer Mitarbeiter kann nach Preisen fragen. Nichts wurde verletzt, und dennoch sind sensible Inhalte plötzlich dialogfähig.

Es gibt drei geschichtete Risiken, die es wert sind, benannt zu werden. Erstens internes Oversharing: Menschen sehen Inhalte von Kolleginnen und Kollegen, die sie nicht sehen sollten. Zweitens unbeabsichtigte Offenlegung: Copilot bezieht eine sensible Zahl in eine umfassendere Antwort ein. Drittens Compliance-Exposition: regulierte Daten wie HR- oder Finanzdaten werden trivial abrufbar, ohne dass irgendjemand eine Prüfspur überprüft hat.

Hier der konträre Punkt. Copilot vergrößert Ihre Risikofläche nicht. Es misst sie. Die Anzahl der Dateien, die Copilot zitieren kann, ist genau die Anzahl der Dateien, die Ihr schwächstes Berechtigungsmodell bereits exponiert hat. Behandeln Sie Ihren ersten Copilot-Piloten als kostenlosen Penetrationstest Ihrer eigenen Freigabe-Hygiene.

Microsoft rät, eine sichere Datengrundlage einschließlich Berechtigungsüberprüfung und Oversharing-Steuerungen zu etablieren, bevor Microsoft 365 Copilot breit bereitgestellt wird (Microsoft Learn). Diesen Schritt zu überspringen schafft keinen neuen Zugriff. Es macht bestehende, überberechtigte Inhalte über Anfragen in natürlicher Sprache augenblicklich auffindbar.

Welche SharePoint-Governance-Steuerungen verhindern Oversharing?

Die Governance-Checkliste ruht auf fünf Steuerungen, von denen die meisten innerhalb von SharePoint Advanced Management liegen, das Microsoft laut seiner Lizenzierungsdokumentation mit einer Microsoft-365-Copilot-Lizenz bündelt. Gemeinsam eingesetzt, lassen diese Steuerungen Sie überteilte Inhalte finden, sie von Copilot ausschließen und sie über die Zeit gesteuert halten.

Berechtigungs-Hygiene

Beginnen Sie mit den Grundlagen, denn keine erweiterte Steuerung repariert ein kaputtes Berechtigungsmodell. Entfernen Sie „Alle außer externen Nutzern“ von Sites, die sensible Inhalte enthalten. Ersetzen Sie das Teilen über „Jeder mit dem Link“ durch Links für bestimmte Personen, wo Daten vertraulich sind. Prüfen Sie, welche Microsoft-365-Gruppen Zugriff auf welche Sites gewähren, und entfernen Sie Mitgliedschaften, die keinen Sinn mehr ergeben.

Unterbrochene Vererbung ist der stille Übeltäter. Wenn ein Ordner oder eine Datei eindeutige Berechtigungen hat, die von der übergeordneten Site abweichen, wird die Exposition manuell fast unmöglich nachzuverfolgen. Reduzieren Sie eindeutige Berechtigungen, wo immer Sie können, und standardisieren Sie den Zugriff auf Site-Ebene.

Restricted Content Discovery (RCD)

Restricted Content Discovery ist Ihr schnellstes Eindämmungswerkzeug. Wenn Sie RCD auf einer Site aktivieren, werden ihre Inhalte aus der organisationsweiten Suche und aus den Copilot-Ergebnissen von Microsoft 365 ausgeschlossen, während Nutzer mit direktem Zugriff normal weiterarbeiten. Microsoft dokumentiert dieses Verhalten in seinem RCD-Leitfaden.

Administratoren wenden es typischerweise mit PowerShell an. Das Cmdlet lautet Set-SPOSite -Identity <site URL> -RestrictContentOrgWideSearch $true. Das ist ideal für sensible Sites, die Sie vor dem Start nicht vollständig neu berechtigen können, etwa eine HR- oder eine Geschäftsleitungs-Site. RCD verschafft Ihnen Zeit, ohne die Menschen zu blockieren, die die Inhalte berechtigterweise benötigen.

Ein Wort der Vorsicht. RCD verringert die Auffindbarkeit, es entfernt nicht den Zugriff. Wenn ein Nutzer eine direkte Berechtigung für eine eingeschränkte Site hat, kann er ein bestimmtes Dokument, zu dem er navigiert, weiterhin öffnen und Copilot sogar dazu befragen. Nutzen Sie es als Leitplanke, nicht als Ersatz für das Korrigieren von Berechtigungen.

Data-Access-Governance-Berichte

Bevor Sie Oversharing beheben können, müssen Sie es sehen. Die Data-Access-Governance-(DAG-)Berichte im SharePoint-Admin-Center fördern Ihre riskantesten Sites automatisch zutage. Laut Microsoft Learn heben diese Berichte Sites hervor, die mit allen geteilt sind, Sites mit vielen Freigabelinks und Sites, die als sensibel gekennzeichnete Inhalte enthalten.

Führen Sie diese zuerst aus. Sie verwandeln die unmögliche Aufgabe „den gesamten tenant prüfen“ in eine geordnete Shortlist von Sites, die jetzt Aufmerksamkeit benötigen. Priorisieren Sie den oberen Teil dieser Liste, bevor irgendwelche Copilot-Lizenzen ausgegeben werden.

Site-Zugriffsüberprüfungen

Überteilte Sites zu finden ist Schritt eins. Site-Besitzer dazu zu bewegen, sie zu korrigieren, ist Schritt zwei. Site-Zugriffsüberprüfungen, verfügbar über SharePoint Advanced Management, lassen Administratoren eine Überprüfung an die Menschen delegieren, die die Inhalte tatsächlich kennen. Sie markieren eine Site aus einem DAG-Bericht, und der Besitzer bestätigt oder entfernt den Zugriff.

Das ist wichtig, weil die zentrale IT selten weiß, ob das Finanzteam eine bestimmte Site sehen sollte. Die Besitzer wissen es. Delegation skaliert die Governance, ohne einen einzelnen Administrator zum Engpass für Tausende von Sites zu machen.

Vertraulichkeitsbezeichnungen

Vertraulichkeitsbezeichnungen aus Microsoft Purview ergänzen Schutz, der mit der Datei mitreist. Eine Bezeichnung mit Verschlüsselung kann einschränken, wer ein Dokument öffnet und welche Aktionen er durchführt. Laut der Microsoft-Purview-Dokumentation respektiert Copilot diese Nutzungsrechte, sodass Copilot, wenn eine Bezeichnung einem Nutzer das Recht verweigert, Inhalte anzuzeigen oder zu extrahieren, diese für ihn nicht zutage fördert.

Bezeichnungen ermöglichen es Ihnen außerdem, geschützte Inhalte von der Copilot-Verarbeitung und -Zusammenfassung auszuschließen. In Kombination mit der automatischen Vergabe von Bezeichnungen schützen sie sensible Dateien selbst dann, wenn Berechtigungen unvollkommen sind, was sie zur dauerhaftesten Ebene in dieser Liste macht.

SharePoint Advanced Management stellt Data-Access-Governance-Berichte, Site-Zugriffsüberprüfungen und Restricted Content Discovery bereit, um überteilte Inhalte zu identifizieren und einzudämmen, und ist in einer Microsoft-365-Copilot-Lizenz enthalten (Microsoft Learn). Vertraulichkeitsbezeichnungen ergänzen einen Schutz auf Dateiebene, den Copilot beim Abruf und bei der Zusammenfassung respektiert.

Für Hintergründe zu der Plattform, auf der diese Steuerungen aufsitzen, lesen Sie unseren Leitfaden zu SharePoint Online. Berechtigungsgesteuerte Zugriffsgruppen passen außerdem gut zu dynamischen Azure-AD-Gruppen.

Wie bereite ich SharePoint Schritt für Schritt auf Copilot vor?

Eine saubere Sequenz vor Copilot dauert Wochen, nicht Tage, und Microsofts eigener Leitfaden zur Copilot-Einrichtung rahmt sie als phasenweisen Rollout statt als Schalter. Das Ziel ist einfach: zu wissen, was exponiert ist, das Schlimmste einzudämmen und dann Copilot in kontrollierten Wellen zu aktivieren.

Hier eine praktische Reihenfolge der Schritte.

Schritt 1: Führen Sie die Data-Access-Governance-Berichte aus

Öffnen Sie das SharePoint-Admin-Center und erzeugen Sie die DAG-Berichte. Exportieren Sie die Liste der Sites, die mit „Alle außer externen Nutzern“ geteilt sind, und die Sites mit den meisten Freigabelinks. Das ist Ihre Arbeitsliste.

Schritt 2: Wenden Sie Restricted Content Discovery auf risikoreiche Sites an

Aktivieren Sie für sensible Sites, die Sie nicht sofort neu berechtigen können, RCD mit Set-SPOSite -RestrictContentOrgWideSearch $true. Das entzieht sie sofort der Reichweite von Copilot, während Sie die langsamere Bereinigung durchführen.

Schritt 3: Korrigieren Sie die Berechtigungen auf priorisierten Sites

Arbeiten Sie die DAG-Liste ab. Entfernen Sie breiten Gruppenzugriff, wandeln Sie riskante Freigabelinks um und setzen Sie unterbrochene Vererbung zurück. Lösen Sie Site-Zugriffsüberprüfungen aus, damit Besitzer bestätigen, wer jede Site wirklich benötigt.

Schritt 4: Stellen Sie Vertraulichkeitsbezeichnungen bereit und wenden Sie sie automatisch an

Rollen Sie eine klare Taxonomie von Bezeichnungen aus und konfigurieren Sie die automatische Vergabe von Bezeichnungen für bekannte sensible Daten wie Finanz- oder HR-Inhalte. Bezeichnungen mit Verschlüsselung werden Ihr Sicherheitsnetz für alles, was die Bereinigung übersieht.

Schritt 5: Pilotieren Sie Copilot mit einer kleinen, überwachten Gruppe

Aktivieren Sie Copilot für eine kleine Pilotgruppe und beobachten Sie, was es zutage fördert. Nutzen Sie den Piloten als gezielten Belastungstest. Wenn Copilot etwas zitiert, was es nicht sollte, haben Sie eine Berechtigungslücke gefunden, bevor ein vollständiger Rollout sie offengelegt hätte.

Wir haben festgestellt, dass ein eng abgegrenzter Pilot, zehn bis zwanzig Personen aus HR, Finanzen und IT, in zwei Wochen mehr reales Oversharing aufdeckt als monatelange theoretische Berechtigungsprüfungen. Lassen Sie das Tool Ihnen sagen, wo die Löcher sind.

Microsoft empfiehlt einen phasenweisen Microsoft-365-Copilot-Rollout, der mit einer gesicherten Datengrundlage und einem kontrollierten Piloten beginnt, bevor breit bereitgestellt wird (Microsoft Learn). Eine überwachte Pilotgruppe deckt reale Oversharing-Lücken schneller auf als isoliert durchgeführte tenant-weite Berechtigungsprüfungen.

Copilot stützt seine Antworten auf denselben Index wie die Unternehmenssuche, sodass unsere Notizen zu SharePoint Online erklären helfen, wie Inhalte zutage gefördert werden.

Wie halte ich SharePoint nach dem Copilot-Go-live gesteuert?

Governance ist keine Startaufgabe, sie ist ein Betriebsmodell. Microsofts Leitfaden zur Datensicherheit für Copilot behandelt die Oversharing-Prävention als fortlaufend, weil jede neue Site und jeder neue Freigabelink das Risiko wieder eröffnen kann. Behandeln Sie Governance als wiederkehrenden Zyklus, nicht als einmalige Bereinigung.

Planen Sie DAG-Berichte in einem regelmäßigen Takt, monatlich oder quartalsweise, und handeln Sie bei neuen risikoreichen Sites schnell. Halten Sie Site-Zugriffsüberprüfungen am Laufen, damit Besitzer den Zugriff regelmäßig erneut bestätigen statt nur einmal. Überwachen Sie Audit-Protokolle, um zu sehen, wie Inhalte über die Zeit tatsächlich aufgerufen und geteilt werden.

Setzen Sie auch Leitplanken für neue Inhalte. Stellen Sie neue Teamsites standardmäßig auf privat, schränken Sie „Jeder“-Links auf tenant-Ebene ein und wenden Sie standardmäßige Vertraulichkeitsbezeichnungen an, damit frische Dokumente von Anfang an geschützt sind. Das Ziel ist, den sicheren Weg zum einfachen Weg zu machen.

Ein gut gesteuertes SharePoint-Intranet macht dies weit einfacher. Wenn Zugriffsgruppen, Dokumentbibliotheken und Bezeichnungen von Anfang an strukturiert sind, wird Governance zur Wartung statt zur Brandbekämpfung. Das ist ein Bereich, in dem eine verwaltete Intranet-Plattform wie intranet.ai hilft, denn einheitliche Site-Vorlagen und Berechtigungsmuster verhindern, dass sich Oversharing wieder einschleicht.

Microsoft rahmt die Prävention von Copilot-Oversharing als kontinuierlich, da neue Sites, Dateien und Freigabelinks die Exposition nach dem Rollout erneut einführen können (Microsoft Learn). Wiederkehrende Data-Access-Governance-Berichte, periodische Site-Zugriffsüberprüfungen und die Überwachung von Audit-Protokollen halten einen tenant lange nach dem Go-live gesteuert.

Häufig gestellte Fragen

Was ist Copilot-Oversharing in SharePoint?

Copilot-Oversharing tritt auf, wenn Microsoft 365 Copilot in seinen Antworten SharePoint- oder OneDrive-Inhalte zutage fördert, die ein Nutzer technisch öffnen kann, aber nie sehen sollte. Copilot respektiert bestehende Berechtigungen, sodass Oversharing einen bereits vorhandenen Zugriffs-Wildwuchs widerspiegelt und keinen Fehler von Copilot.

Was ist Restricted Content Discovery in SharePoint?

Restricted Content Discovery (RCD) ist eine Einstellung in SharePoint Advanced Management, die die Inhalte einer Site aus der organisationsweiten Suche und aus den Antworten von Microsoft 365 Copilot ausschließt, während Nutzer mit direktem Zugriff Dateien weiterhin öffnen können. Sie wird pro Site angewendet, häufig über das Cmdlet Set-SPOSite -RestrictContentOrgWideSearch.

Respektiert Microsoft 365 Copilot die SharePoint-Berechtigungen?

Ja. Copilot gibt nur Inhalte zurück, für die der angemeldete Nutzer über Microsoft Graph bereits eine Öffnungsberechtigung hat. Es umgeht weder Berechtigungen noch Vertraulichkeitsbezeichnungen. Das Risiko besteht darin, dass breite oder vergessene Berechtigungen Copilot Inhalte schneller abrufen lassen, als es eine Person je manuell könnte.

Brauche ich SharePoint Advanced Management für die Copilot-Governance?

SharePoint Advanced Management schaltet die stärksten Oversharing-Steuerungen frei, darunter Data-Access-Governance-Berichte, Site-Zugriffsüberprüfungen und Restricted Content Discovery. Eine Microsoft-365-Copilot-Lizenz enthält SharePoint Advanced Management, sodass die meisten Organisationen, die Copilot ausrollen, bereits Zugang zu diesen Werkzeugen haben.

Wie finde ich überteilte SharePoint-Sites vor einem Copilot-Rollout?

Nutzen Sie die Data-Access-Governance-Berichte im SharePoint-Admin-Center. Sie markieren Sites, die mit „Alle außer externen Nutzern“ geteilt sind, Sites mit vielen Freigabelinks und als sensibel gekennzeichnete Inhalte und helfen Ihnen, zu priorisieren, welche Sites zu überprüfen sind, bevor Sie Copilot für Nutzer aktivieren.

Können Vertraulichkeitsbezeichnungen verhindern, dass Copilot sensible Inhalte zeigt?

Vertraulichkeitsbezeichnungen mit Verschlüsselung schränken ein, was Copilot verarbeiten und referenzieren kann. Wenn eine Bezeichnung einem Nutzer die Rechte EXTRACT oder VIEW verweigert, wird Copilot den Inhalt dieser Datei für ihn nicht zutage fördern. Bezeichnungen ermöglichen es Ihnen außerdem, geschützte Dateien von der Copilot-Zusammenfassung auszuschließen.

Fazit

Copilot-Oversharing ist ein lösbares Problem, aber nur, wenn Sie es als Berechtigungsherausforderung behandeln statt als KI-Problem. Die Werkzeuge existieren bereits innerhalb von Microsoft 365. Data-Access-Governance-Berichte zeigen Ihnen, was exponiert ist. Restricted Content Discovery dämmt die schlimmsten Sites schnell ein. Berechtigungsbereinigung, Site-Zugriffsüberprüfungen und Vertraulichkeitsbezeichnungen machen die Korrektur dauerhaft.

Erledigen Sie die Arbeit, bevor Sie Copilot-Lizenzen zuweisen, nicht erst, nachdem eine sensible Datei im Chat von jemandem aufgetaucht ist. Beginnen Sie mit den DAG-Berichten, schränken Sie Ihre risikoreichsten Sites ein und pilotieren Sie dann Copilot mit einer kleinen Gruppe, die markieren kann, was durchrutscht.

Ein gut strukturiertes Intranet hält dies langfristig handhabbar, denn saubere Vorlagen und einheitliche Berechtigungen verhindern, dass Oversharing zurückkehrt. Wenn Sie einen Copilot-Rollout auf SharePoint planen, ist Governance die Grundlagenarbeit, die den Rest sicher macht.

Bereit für den Rollout selbst? Fahren Sie mit unserem Leitfaden zu Microsoft 365 Copilot fort.