Microsoft 365 Copilot vorbereiten: Warum Berechtigungen und Dateiablagen zuerst geklärt werden müssen

Berechtigt heißt nicht automatisch fachlich erforderlich

Ein Mitarbeiter kann auf eine Datei zugreifen, weil ein alter Organisationslink, eine große Gruppe, ein übernommener Teamkanal oder eine Einzelberechtigung dies erlaubt. Technisch ist der Zugriff wirksam, obwohl er für die heutige Rolle nicht mehr benötigt wird. Vor Copilot werden deshalb nicht nur offensichtliche Geheimnisse gesucht, sondern die tatsächlichen Empfängerkreise jeder relevanten Ablage geprüft.

Copilot ist auch kein Dokumentenmanagement. Ohne Eigentümer, Status, Gültigkeit und eindeutige Ablage kann die Antwort einen veralteten Prozess mit einer neueren Richtlinie vermischen. Die Vorbereitung umfasst deshalb Zugriff und inhaltliche Verlässlichkeit.

Vier Ebenen getrennt prüfen

• Identität: Wer ist die Person, welches Konto und welche Rolle gelten?
• Berechtigung: Auf welche Site, Bibliothek, Datei, E-Mail oder Besprechung darf sie zugreifen?
• Auffindbarkeit: Welche Inhalte erscheinen in Suche und Copilot-Erfahrungen?
• Verwendung: Welche Regeln gelten für Zusammenfassung, Weitergabe, Speicherung und Entscheidung?

Inventur in vierundzwanzig Schritten

1. Alle aktiven SharePoint-Sites exportieren oder auflisten.
2. Zu jeder Site fachlichen und technischen Eigentümer bestimmen.
3. Teams und zugehörige Sites verbinden.
4. Private und geteilte Kanäle gesondert erfassen.
5. Microsoft-365-Gruppen und ihre Mitgliedschaften prüfen.
6. Externe Gäste und letzte Anmeldung aufnehmen.
7. Freigegebene Postfächer und Delegationen erfassen.
8. Geschäftliche OneDrive-Ablagen identifizieren.
9. Ausscheidende oder inaktive Eigentümer markieren.
10. Anonyme und organisationsweite Freigabelinks suchen.
11. Sites mit breit freigegebenen Inhalten priorisieren.
12. Personal-, Finanz-, Vertrags- und Geschäftsführungsdaten markieren.
13. Aufzeichnungen und Transkripte von Besprechungen einbeziehen.
14. Vorlagen von verbindlichen Richtlinien unterscheiden.
15. Dubletten und widersprüchliche Versionen erfassen.
16. Dokumente ohne Datum oder Verantwortlichen markieren.
17. Veraltete Projektsites und Testbereiche erfassen.
18. Aufbewahrungs- und Löschanforderungen aufnehmen.
19. Aktuelle Sensitivitätskennzeichnungen prüfen.
20. Bestehende DLP- und Freigaberichtlinien dokumentieren.
21. Pilotbenutzer ihren tatsächlichen Gruppen zuordnen.
22. Pro Benutzer Stichproben der auffindbaren Inhalte durchführen.
23. Befunde nach Risiko und Pilotbezug priorisieren.
24. Sanierung mit Eigentümer, Termin und Nachweis planen.

Kein Mandant wird vor dem Pilot vollständig aufgeräumt

Vollständige Datenbereinigung kann Monate dauern. Der Pilot wird daher auf klar beherrschte Arbeitsbereiche und Benutzer begrenzt. Hochriskante Sites werden zuerst bereinigt oder vorübergehend aus der Auffindbarkeit genommen, sofern die verfügbaren Microsoft-Funktionen und Lizenzen dies unterstützen. Die eigentlichen Zugriffsrechte bleiben dennoch zu korrigieren.

Restricted SharePoint Search war als vorübergehende Lösung gedacht und wird laut aktueller Microsoft-Dokumentation ausgemustert; neue Aktivierungen sind seit dem 31. Juli 2026 blockiert. Für aktuelle Projekte werden dauerhafte Berechtigungsbereinigung, SharePoint Advanced Management, Purview und gegebenenfalls Restricted Content Discovery nach geltenden Voraussetzungen bewertet.

Bereinigung in sechzehn Schritten

1. Pilotprozess und benötigte Informationsarten festlegen.
2. Führende Site oder Bibliothek bestimmen.
3. Relevante Dokumente nach Titel und Inhalt suchen.
4. Dubletten und lokale Kopien erfassen.
5. Aktuelle Fassung mit Eigentümer bestätigen.
6. Entwurf und freigegebenen Stand kennzeichnen.
7. Gültigkeitsdatum oder nächsten Prüftermin ergänzen.
8. Abgelöste Fassungen archivieren oder nach Regel löschen.
9. Dateinamen und Titel verständlich vereinheitlichen.
10. Scans bei Bedarf als durchsuchbaren Text bereitstellen.
11. Tabellenüberschriften und Einheiten vervollständigen.
12. Verlinkte Anlagen und Querverweise prüfen.
13. Berechtigung der führenden Ablage kontrollieren.
14. Suchergebnis mit Pilotbenutzer testen.
15. Copilot-Antwort gegen die Quelle prüfen.
16. Pflegeverantwortung und Rhythmus dokumentieren.

Scheinbar gute Antworten benötigen Quellenkontrolle

Ein sprachlich überzeugender Text ist kein Beweis für Vollständigkeit. Der Nutzer öffnet die zugrunde liegenden Dokumente, prüft Version, Datum und Geltungsbereich und trennt belegte Fakten von plausiblen Ergänzungen. Fehlt eine Quelle, wird die Aussage nicht als Unternehmenswissen ausgegeben.

Für verbindliche Informationen – etwa Preise, Vertragsfristen, Personalregeln oder Sicherheitsanweisungen – wird eine freigegebene führende Quelle benannt. Copilot kann einen Entwurf oder Suchhinweis liefern; die fachliche Freigabe bleibt beim zuständigen Menschen.

Pilot in achtundzwanzig Schritten

1. Geschäftliches Ziel und drei bis fünf Arbeitsaufgaben festlegen.
2. Pilotverantwortlichen und fachliche Prüfer benennen.
3. Aktuelle Lizenzvoraussetzungen im Mandanten prüfen.
4. Pilotbenutzer nach repräsentativen Rollen auswählen.
5. Privilegierte Administratorkonten nicht als normale Piloten verwenden.
6. Relevante Sites, Teams, Postfächer und OneDrives inventarisieren.
7. Hochriskante Datenbereiche priorisieren.
8. Eigentümer und Mitgliedschaften korrigieren.
9. Organisationsweite und anonyme Links bereinigen.
10. Einzelberechtigungen und gebrochene Vererbung prüfen.
11. Führende Dokumente und aktuelle Versionen bestätigen.
12. Veraltete Dubletten archivieren oder kennzeichnen.
13. Freigabe- und Bereitstellungsstandards festlegen.
14. Sensitivitäts- und DLP-Bedarf bewerten.
15. Kontrollen mit Testdaten praktisch prüfen.
16. Audit- und Supportzugriff vorbereiten.
17. Benutzerregeln in verständlicher Form erstellen.
18. Ausgangszeit und Fehlerquote der Pilotaufgaben messen.
19. Lizenzen nur der Pilotgruppe zuweisen.
20. Mit einem sicheren, quellennahen Anwendungsfall beginnen.
21. Prompts und Prüfschritte arbeitsbezogen schulen.
22. Ergebnisse und Quellen stichprobenartig kontrollieren.
23. Zeitersparnis, Nacharbeit und Fehler dokumentieren.
24. Unerwartete Datenfunde sofort als Berechtigungsbefund behandeln.
25. Technische und redaktionelle Korrekturen umsetzen.
26. Pilot nach definiertem Zeitraum auswerten.
27. Ausweitung nur für bestandene Anwendungsfälle freigeben.
28. Berechtigungs- und Qualitätsprüfung als laufenden Prozess übergeben.

Benutzerleitlinie auf einer Seite

Die Leitlinie nennt erlaubte Anwendungsfälle, verbotene oder besonders zu prüfende Daten, Pflicht zur Quellenkontrolle, Umgang mit personenbezogenen Informationen, Freigabeverantwortung und Meldeweg für unerwartete Ergebnisse. Sie erklärt außerdem, dass ein Copilot-Entwurf nicht automatisch eine freigegebene Unternehmensauskunft ist.

Nutzer melden eine unerwartet sichtbare Datei mit Link, Zeitpunkt und kurzer Beschreibung an die zuständige Stelle, ohne den Inhalt unnötig weiterzuverbreiten. Die Reaktion prüft Berechtigung und Freigabelink an der Quelle. Ein bloßes Löschen des Chatverlaufs behebt die zugrunde liegende Freigabe nicht.