Microsoft 365 Copilot und Oversharing – Berechtigungen vor dem Rollout prüfen

Microsoft 365 Copilot schafft keine neuen Zugriffsrechte. Es kann aber Inhalte auffindbar machen, die Beschäftigte lesen dürfen, ohne ihren Speicherort oder ihre Freigabe zu kennen. Deshalb gehört die Prüfung bestehender Berechtigungen vor den Rollout, nicht erst die Feinabstimmung von DLP-⁠Regeln danach.

Copilot macht vorhandene Freigaben leichter auffindbar

Bei einer Anfrage prüft Copilot über Microsoft Graph, auf welche Datenobjekte die jeweilige Person zugreifen darf. Relevante Textfragmente aus dem Semantic Index können dann als Kontext in die Antwort einfließen. Die Zugriffssteuerung bleibt also maßgeblich; die Hürde, ein Dokument selbst zu finden, wird jedoch kleiner.

Das ändert den praktischen Blick auf alte Freigaben. Eine Datei muss nicht aktiv gesucht werden, damit ihr Inhalt in einem passenden Antwortkontext auftaucht. Wer sich vor allem darauf verlassen hat, dass kaum jemand den genauen Pfad kennt, sollte diese Annahme nicht als Schutzmaßnahme behandeln. Die entscheidende Frage lautet: Wer kann den Inhalt tatsächlich lesen?

Drei Freigabemuster verdienen besondere Aufmerksamkeit

Oversharing entsteht häufig schleichend, während Teams und SharePoint-⁠Sites für die Zusammenarbeit genutzt werden. Besonders relevant sind drei Muster:

• Unternehmensweite Gruppen: Freigaben an „Everyone“ oder „Everyone except external users“ können Inhalte für die gesamte interne Organisation lesbar machen. Eine Freigabe, die eine einzelne Berechtigungsanfrage vermeiden sollte, kann damit einen viel größeren Empfängerkreis erreichen.
• Organisationsweite Links: Ein Link für Personen in der Organisation erlaubt jedem Zugriff, der ihn besitzt. Wird er in einem breiten Teams-⁠Kanal oder einer Yammer-⁠Gruppe geteilt, ist die ursprüngliche gezielte Freigabe praktisch nicht mehr auf den vorgesehenen Kreis begrenzt.
• Unterbrochene Berechtigungsvererbung: Individuelle Abweichungen auf Datei-⁠ oder Ordnerebene machen die effektiven Zugriffsrechte schwerer überschaubar, besonders wenn sie über lange Zeit entstanden sind.

Diese Muster sind keine Belege dafür, dass Copilot Kontrollen umgeht. Sie zeigen, wo die Berechtigungsstruktur selbst möglicherweise mehr Personen Zugriff gibt als beabsichtigt. Die Oversharing Reports in Microsoft Purview können dabei helfen, solche Bereiche im Tenant sichtbar zu machen.

Erst den Bestand prüfen, dann Schutzregeln ergänzen

DLP-⁠Richtlinien und Sensitivity Labels können Teil eines Schutzkonzepts sein. Sie beseitigen aber nicht automatisch die bereits vorhandenen Leserechte. Wer zuerst Richtlinien für die künftige Nutzung ausarbeitet und die bestehenden Freigaben ungeprüft lässt, behandelt damit nicht die Ursache des Oversharings.

Vor einer Copilot-⁠Einführung sollten Sie deshalb die gemeldeten Freigaben anhand ihrer tatsächlichen Reichweite prüfen: Welche Inhalte sind für breite Gruppen zugänglich, wo können Organisationslinks weitergegeben worden sein und an welchen Stellen weicht die Berechtigungsvererbung ab? Beginnen Sie bei Sites mit vertraulichen oder geschäftskritischen Inhalten. Entscheidend ist dabei nicht, ob ein Dokument alt oder schwer auffindbar ist, sondern ob der aktuelle Leserkreis zur beabsichtigten Nutzung passt.

Zwei Funktionen können Zeit verschaffen oder Zugriff begrenzen

Wenn eine umfassende Bereinigung nicht rechtzeitig gelingt, beschreibt der Beitrag zwei Möglichkeiten in SharePoint Advanced Management; dafür ist eine separate Lizenz erforderlich. Restricted Content Discovery kann bestimmte SharePoint-⁠Websites vorübergehend aus der Indizierung und Suche für Copilot ausschließen. Beschäftigte können die Site weiterhin über den Browser nutzen. Die Funktion kann also Zeit für die Bereinigung schaffen, ersetzt sie aber nicht.

Restricted Access Control setzt an einer anderen Stelle an: Eine Richtlinie kann den Zugriff auf eine ganze SharePoint-⁠Site oder ein Team auf Mitglieder einer festgelegten Microsoft-⁠365-⁠ oder Sicherheitsgruppe begrenzen. Laut Beschreibung kann diese Einschränkung auch Freigaben an „Everyone except external users“ und Abweichungen von der Vererbung übersteuern. Das ist eine Begrenzung auf Site-⁠ oder Teamebene, keine allgemeine Reparatur jeder einzelnen Berechtigung.

Die Bereinigung braucht Fachverantwortung

Die IT kann technische Freigaben untersuchen und Maßnahmen umsetzen. Sie kann aber nicht allein entscheiden, wer fachlich Zugriff auf jedes Dokument haben soll. Bei der Bereinigung müssen daher auch die Verantwortlichen für die jeweiligen Inhalte klären, welcher Personenkreis tatsächlich benötigt wird. Ohne diese Entscheidung droht eine technische Korrektur, die Zusammenarbeit unnötig einschränkt oder die überbreite Freigabe bestehen lässt.

Takeaway: Prüfen Sie die effektiven Leserechte vor dem Copilot-⁠Rollout und nutzen Sie Ausschluss oder Zugriffsbeschränkung nur als gezielte Überbrückung, nicht als Ersatz für die Bereinigung.

Quellen: WindowsPro – „Vor Copilot-⁠Einsatz: Warum die Berechtigungen in M365 aufgeräumt werden müssen“ (https://www.windowspro.de/thomas-drilling/vor-copilot-einsatz-warum-berechtigungen-m365-aufgeraeumt-werden-muessen)