Copilot macht jahrelang gewachsene SharePoint-Überberechtigungen sichtbar. So bereiten Sie den Rollout mit SAM und RCD sauber vor.
Kaum ist Microsoft 365 Copilot ausgerollt, häufen sich in vielen IT-Abteilungen dieselben Rückmeldungen: Mitarbeitende finden über die KI plötzlich Dokumente, von denen sie vorher nichts wussten, etwa Gehaltslisten, Vertragsentwürfe oder interne Strategiepapiere.
Das liegt nicht an einem Fehler von Copilot, sondern an SharePoint-Berechtigungen, die über Jahre gewachsen und nie aufgeräumt wurden. Copilot macht dieses Problem nur sichtbar, es hat es nicht geschaffen.
Copilot greift ausschließlich auf Inhalte zu, für die ein Nutzer bereits eine Berechtigung besitzt, bestehende Zugriffsrechte werden respektiert und nicht umgangen (Quelle: Microsoft, Copilot Search FAQ).
Das eigentliche Problem liegt darin, dass viele SharePoint-Sites über Jahre Freigaben an „Jeder außer externen Benutzern“ (EEEU), offene Freigabelinks oder unterbrochene Berechtigungsvererbung angesammelt haben, die vorher niemand durchsuchte, weil kein Mensch so effizient danach suchen konnte wie eine KI (Quelle: Microsoft, Zero Trust für Copilot). Copilot durchsucht in Sekunden, wofür ein Mitarbeitender früher Stunden gebraucht hätte, und macht jede vergessene Freigabe sofort auffindbar.
Für Unternehmen mit strengen Dokumentationspflichten, etwa im Personalwesen oder in der öffentlichen Verwaltung, ist das mehr als ein Compliance-Detail: Wenn ein internes KI-Werkzeug unbeabsichtigt personenbezogene Daten offenlegt, für die es gar keine Zugriffsberechtigung geben sollte, steht die Kontrolle über die eigenen Daten auf dem Spiel, genau der Punkt, an dem Automatisierung ohne Governance zum Risiko statt zur Entlastung wird.
SharePoint Advanced Management (SAM) bündelt die Werkzeuge, mit denen Administratoren Überberechtigungen vor einem Copilot-Rollout erkennen und beheben, darunter Data-Access-Governance-Berichte, das Content Management Assessment und der Site Access Review (Quelle: Microsoft, Get ready for Copilot with SharePoint Advanced Management).
Der Site Access Review delegiert die Prüfung überberechtigter Sites direkt an die jeweiligen Site-Owner, das entlastet die IT und verankert Verantwortung dort, wo die fachliche Kenntnis über die Inhalte liegt. Change-History-Berichte zeigen zusätzlich alle Website-Aktionen und Einstellungsänderungen der letzten 180 Tage, ein Beleg dafür, wie viel Raum zwischen zwei Reviews für unbemerktes Wachstum an Berechtigungen entsteht (Quelle: Microsoft, Change History Report).
Restricted Content Discovery (RCD) verhindert, dass Inhalte einer Site in der organisationsweiten Suche und in Copilot auftauchen, ohne die zugrunde liegenden Berechtigungen zu verändern (Quelle: Microsoft, Restrict discovery of SharePoint sites and content).
Nutzer, die bereits Zugriff auf eine Site haben, behalten diesen Zugriff vollständig, nur die Auffindbarkeit über Suche und Copilot wird eingeschränkt, ein sauberer Zwischenschritt für Sites, die gerade geprüft werden. Bei sehr großen Sites mit mehr als 500.000 Elementen kann die Aktualisierung allerdings mehr als eine Woche dauern, weil die Einstellung erst durch die Such-Indizes propagieren muss (Quelle: Microsoft, Restricted Content Discovery).
Wer stattdessen noch auf die ältere Restricted SharePoint Search gesetzt hat, sollte umsteigen: Microsoft blockiert deren Neueinrichtung ab dem 31. Juli 2026 und verweist ausdrücklich auf RCD als Nachfolgelösung (Quelle: Microsoft, Restricted SharePoint Search).
Microsofts eigener Deployment-Leitfaden beschreibt Oversharing-Prävention als vierstufigen Prozess: Risiko-Sites über Purview-Datenrisikobewertungen und das SAM Content Management Assessment identifizieren, mit RCD und Data-Loss-Prevention-Regeln für Copilot temporär absichern, Zugriffsrechte und Berechtigungsvererbung korrigieren, und abschließend über Restricted Access Control dauerhaft auf berechtigte Gruppen begrenzen (Quelle: Microsoft, Configure a secure and governed foundation for Microsoft 365 Copilot).
In NordFlux-Projekten läuft dieser erste Schritt regelmäßig vor jeder Copilot-Lizenzierung, nicht danach: Bei einem Kunden aus der Verwaltung sollte Copilot zunächst tenant-weit aktiviert werden, bis das Content Management Assessment zeigte, dass ein spürbarer Teil der aktiven Sites noch die EEEU-Freigabe aus einer älteren SharePoint-Migration trug. Erst nach der Bereinigung ging der Rollout live, mit einer deutlich kleineren, aber sauberen Angriffsfläche.
Mehr zu unserer Vorgehensweise bei der Microsoft-365-Umgebung lesen Sie in unserer Leistung Microsoft-365-Automatisierung, für die begleitende Governance-Beratung rund um Copilot-Rollouts in unserer KI-Beratung.
Copilot zeigt nur, was Nutzer ohnehin sehen dürfen, deckt aber jahrelang gewachsene SharePoint-Überberechtigungen schlagartig auf. SharePoint Advanced Management und Restricted Content Discovery liefern die Werkzeuge, um das vor dem Rollout zu bereinigen, statt es hinterher erklären zu müssen.
Nein. RCD wirkt nur auf die Auffindbarkeit über die organisationsweite Suche und Copilot, nicht auf Zugriffsrechte. Nutzer mit bestehendem Zugriff können weiterhin direkt auf die Inhalte zugreifen.
Nein, nicht dauerhaft. Die Überberechtigungen bestehen unabhängig von Copilot und werden spätestens beim nächsten Rollout oder einer erweiterten Suchfunktion genauso sichtbar. Eine Bereinigung vor dem Rollout ist günstiger als eine Reaktion danach.
Das hängt von Anzahl und Größe der Sites ab. Für einzelne sehr große Sites kann allein die technische Propagierung von Restricted Content Discovery über eine Woche dauern, hinzu kommt die Zeit für Access Reviews und die Korrektur der Berechtigungsvererbung.
Wir prüfen vor der Lizenzierung mit den SharePoint-Advanced-Management-Berichten, welche Sites überberechtigt sind, setzen Restricted Content Discovery als Sofortmaßnahme für Risiko-Sites und begleiten die Site-Owner beim Access Review, bevor Copilot produktiv geht.
NordFlux baut Organisationen digitale Mitarbeiter: Automatisierungen und KI-Agenten, die wiederkehrende Arbeit abnehmen. Sie behalten die Kontrolle.
Fünf SharePoint-Prozesse, die sich im Mittelstand zuerst automatisieren lassen, und womit Sie sie umsetzen.
In einer kostenlosen Erstanalyse prüfen wir mit den SharePoint-Advanced-Management-Berichten, welche Sites überberechtigt sind, und zeigen Ihnen, wie Sie das vor der Copilot-Lizenzierung sauber bereinigen.
