Wer Microsoft 365 Copilot im Unternehmen ausrollt, stellt früher oder später dieselbe Frage: Was passiert, wenn jemand Kreditkartennummern oder Personaldaten in einen Prompt tippt? Mit einer Copilot-DLP-Richtlinie in Microsoft Purview lässt sich genau das steuern. Ich zeige Ihnen, welche vier Kontrollen es aktuell gibt, wie Sie die Richtlinie anlegen und wo die Grenzen liegen.

Purview bietet für Copilot vier getrennte Schutzmaßnahmen an

Die Grundlage ist ein eigener Richtlinienspeicherort namens „Microsoft 365 Copilot und Copilot Chat“. Dort greifen Regeln, die ausschließlich Copilot, Copilot Chat und Cowork betreffen. Laut Microsoft Learn zu DLP für Microsoft 365 Copilot stehen derzeit vier Funktionen zur Verfügung.

Erstens lässt sich die externe Websuche sperren, sobald ein Prompt bestimmte Sensitive Information Types (SITs) enthält. Zweitens kann Copilot die Verarbeitung eines Prompts komplett verweigern. Drittens schließen Sie Dateien und E-Mails mit bestimmten Vertraulichkeitsbezeichnungen aus. Viertens, und hier noch als Preview, bleiben E-Mails externer Absender außen vor, wenn Copilot Antworten erzeugt.

Alle Prompts laufen im Sicherheitskontext des jeweiligen Benutzers. Die DLP-Regeln ersetzen also keine saubere Rechtevergabe, sie ergänzen sie. Wer Oversharing im Tenant hat, löst das Problem damit nur teilweise.

Der Ablauf einer Prüfung lässt sich in einem Schaubild nachvollziehen

Bevor Sie klicken, hilft ein Blick auf die Reihenfolge. Die Richtlinie wertet zuerst den getippten Prompt aus, danach die Quellen, auf die Copilot zugreifen möchte. Das folgende Diagramm zeigt den Ablauf vereinfacht.

flowchart TD
    A["Benutzer sendet Prompt"] --> B["SIT im Prompt?"]
    B -->|"Ja, Prompt sperren"| C["Keine Antwort"]
    B -->|"Ja, Websuche sperren"| D["Antwort nur intern"]
    B -->|"Nein"| E["Quellen werden geprüft"]
    E --> F["Label oder externer Absender?"]
    F -->|"Ja"| G["Inhalt wird ausgeschlossen"]
    F -->|"Nein"| H["Antwort mit allen Quellen"]

Vereinfachter Prüfablauf einer Copilot-DLP-Richtlinie in Microsoft Purview

Wichtig ist der Hinweis aus der Dokumentation, dass DLP nur den Text im Prompt prüft. Hochgeladene Dateien werden nicht auf sensible Inhalte untersucht.

Im Purview-Portal legen Sie die Richtlinie in sechs Schritten an

Sie benötigen eine der Rollen Purview Compliance Administrator, Purview Security Administrator oder Purview Data Security AI Admin. Die Lizenzvoraussetzungen richten sich nach Ihrem Microsoft-365-Enterprise-Plan. Die Schritte für die Sperre der externen Websuche sehen so aus:

  1. Melden Sie sich im Microsoft Purview-Portal an und öffnen Sie „Data Loss Prevention“ und dann „Policies“.

  2. Wählen Sie „Create policy“, danach die Vorlage „Custom“ und „Custom policy“.

  3. Aktivieren Sie auf der Seite „Locations“ ausschließlich „Microsoft 365 Copilot and Copilot Chat“. Alle anderen Speicherorte werden dabei automatisch deaktiviert.

  4. Legen Sie eine Regel mit der Bedingung „Content contains > Sensitive information types“ an und wählen Sie die gewünschten SITs.

  5. Setzen Sie als Aktion „Prevent Copilot from processing content“ und dort „Performing Web Searches“. Für die Prompt-Sperre wählen Sie stattdessen „Processing prompts“.

  6. Speichern Sie die Richtlinie und schalten Sie sie ein.

Änderungen können bis zu vier Stunden brauchen, bis sie wirken. Planen Sie das bei Tests ein, sonst halten Sie eine funktionierende Richtlinie fälschlich für wirkungslos.

Tipp: Starten Sie im Simulationsmodus. Die Richtlinie unterstützt Simulation sowie Warnungen und Benachrichtigungen, so sehen Sie zuerst, wie oft die Regel greift, bevor Mitarbeitende tatsächlich geblockt werden.

Drei Beispiele aus dem Alltag zeigen, wann die Regeln greifen

Eine HR-Sachbearbeiterin bittet Copilot Chat, ein Anschreiben zu formulieren, und fügt dabei eine Kontonummer samt Adresse eines Bewerbers ein. Der Prompt lautet etwa: „Formuliere eine Absage an diesen Bewerber und nenne seine IBAN nicht.“ Genau hier hilft die Prompt-Sperre mit den integrierten SITs für Bankdaten und Adressen. Copilot antwortet nicht, und die Sachbearbeiterin sieht den Hinweis auf die Organisationsrichtlinie. Der Nutzen ist ehrlich betrachtet begrenzt: Die Regel erkennt nur Muster, die als SIT definiert sind, und sie prüft keine hochgeladenen Anhänge. Außerdem ist die Funktion laut Dokumentation noch in der Preview und erreicht nicht jeden Tenant gleichzeitig.

Ein Vertriebsmitarbeiter lässt sich morgens seinen Posteingang zusammenfassen: „Fasse die E-Mails der letzten drei Tage zusammen und nenne offene Aufgaben.“ Enthält die Mailbox Nachrichten externer Absender mit versteckten Anweisungen (Prompt Injection), könnte Copilot diese als Teil der Aufgabe missverstehen. Die Preview-Regel „Email is received from > External users“ nimmt solche Mails aus der Verarbeitung heraus. Die Zusammenfassung basiert dann nur auf internen Nachrichten, was bei viel Kundenpost durchaus Lücken lässt. Die Regel wertet übrigens nur den Absender und nicht den Inhalt aus. Mehr zum Hintergrund finden Sie in meinem Beitrag zum Schutz vor Prompt-Injection in Defender für Office 365.

Ein drittes Szenario betrifft Vertraulichkeitsbezeichnungen. Die Rechtsabteilung nutzt Copilot, um Vertragsentwürfe zu vergleichen, doch Dokumente mit der Bezeichnung „Highly Confidential“ sollen nie in Zusammenfassungen auftauchen. Die Regel „Content contains > Sensitivity labels“ erfüllt das. Die Dateien können weiterhin als Zitat in der Antwort erscheinen, ihr Inhalt fließt aber nicht in die Antwort ein. In Word, Excel und PowerPoint wird die Richtlinie beim Öffnen der Datei ausgewertet, ein später vergebenes Label greift erst beim nächsten Öffnen.

Mehrere technische Grenzen bestimmen den realen Schutz

Eine Regel darf nicht gleichzeitig die Bedingungen für SITs und für Vertraulichkeitsbezeichnungen enthalten. Legen Sie dafür zwei Regeln in derselben Richtlinie an. Bei E-Mails zählen nur Nachrichten, die am oder nach dem 1. Januar 2025 gesendet wurden, Kalendereinladungen werden nicht erfasst.

Interessant ist die Anpassung der Hinweise. Im Regelabschnitt für Benutzerbenachrichtigungen können Sie unter „Policy Tips“ eine eigene Compliance-URL hinterlegen. Der Link „Learn about access restrictions“ führt dann auf eine interne Seite, etwa im SharePoint, statt auf Microsoft Learn. Das spart dem Helpdesk viele Rückfragen.

Eine geplante Erweiterung hat Microsoft übrigens zurückgezogen. Administrative Einheiten sollten ursprünglich für Copilot-DLP-Richtlinien nutzbar werden, laut Microsoft Purview What's New und der Mitteilung im Message Center kommt diese Änderung nicht. Bestehende tenantweite Richtlinien bleiben der Standard. Wer Copilot-Kosten im Griff behalten will, findet in meinem Artikel zur Copilot-Ausgabenrichtlinie den passenden Gegenpart.

Ein kleiner Pilot mit klaren SITs liefert den schnellsten Einstieg

Beginnen Sie mit einer Richtlinie, die nur die Websuche bei SIT-Treffern sperrt, und erweitern Sie schrittweise. Das trifft kaum Produktivität und schließt eine reale Lücke. Prüfen Sie danach die DLP-Warnungen, bevor Sie Prompts blockieren oder Labels ausschließen. Wer zusätzlich die Endpunkte absichern will, kann das mit Endpoint DLP für KI-Webseiten kombinieren, denn die Copilot-Richtlinie deckt nur Copilot selbst ab.