Copilot für Microsoft 365 setzt einen aufgeräumten Tenant voraus

In den letzten Tagen drehte sich bei Kunden, in Foren und auf LinkedIn fast alles um Copilot für Microsoft 365. Seit Microsoft die Lizenzhürden gesenkt hat, können endlich auch kleinere Unternehmen mitziehen, wenn es um KI im Arbeitsalltag geht. Die wichtigste Neuerung: Das Mindestabnahmekontingent ist weggefallen. Copilot lässt sich jetzt auch als Add-on zu Microsoft 365 Business Standard und Business Premium buchen. Entsprechend viele Anfragen landen bei mir, und meist geht es im ersten Gespräch nur um Lizenzen und Preise. Die eigentliche Arbeit beginnt aber erst danach, und zwar im Tenant und nicht auf der Rechnung.

Copilot für Microsoft 365 ist jetzt auch für kleine Unternehmen buchbar

Seit dem 15. Januar gilt für Copilot für Microsoft 365 keine Untergrenze von 300 Lizenzen mehr. Einzelne Nutzer lassen sich mit dem Add-on ausstatten, solange sie mindestens Business Standard oder Business Premium haben. Die Entscheidung wirkt dadurch einfach, technisch ändert sich im Hintergrund allerdings nichts. Copilot holt sich die Daten über Microsoft Graph aus SharePoint, OneDrive, Exchange und Teams, und das stets mit den Berechtigungen des angemeldeten Nutzers. Oft wird übersehen, dass Copilot keine eigenen „Superkräfte“ mitbringt. Er macht lediglich sichtbar, welche Zugriffsrechte ohnehin bestehen. Wer bisher großzügig oder nachlässig mit Berechtigungen umgegangen ist, bekommt das sehr schnell zu spüren.

Heikel sind vor allem Dokumente, die mit „Jeder außer externen Benutzern“ geteilt wurden, über breit gestreute Links in SharePoint erreichbar sind oder in öffentlichen Teams liegen. Das begegnet mir in fast jedem Tenant: alte Projektablagen, die man aus Bequemlichkeit für alle geöffnet hat, oder Teams, die als „öffentlich“ angelegt und danach kaum noch gepflegt wurden. Copilot holt diese Altlasten hervor. Plötzlich kommt jeder lizenzierte Nutzer im Rahmen seiner bestehenden Rechte an Daten, an die er womöglich nie gedacht hat. Wer versteckte Berechtigungsprobleme vermeiden will, kommt deshalb um gründliches Aufräumen vor dem Rollout nicht herum.

Die eigentlichen Baustellen liegen bei Berechtigungen, Labels und Freigaben

Bevor sich Copilot für Microsoft 365 sinnvoll nutzen lässt, lohnt es sich, die eigenen Freigabe- und Berechtigungsstrukturen genau durchzusehen. In meinen Projekten gehe ich meist so vor:

• SharePoint- und Teams-Berechtigungen analysieren: Welche Sites und Teams sind zu weit geöffnet?
• Freigabelinks prüfen und veraltete Links entfernen
• Sensitivitäts-Labels und deren Durchsetzung kontrollieren
• Standardfreigabeeinstellungen für neue Sites festlegen
• Öffentliche Teams einschränken oder gezielt prüfen

Gerade Sensitivitäts-Labels werden oft unterschätzt. Über sie lässt sich steuern, wie Copilot mit vertraulichen Daten umgehen darf (Copilot-Datenschutzdokumentation). Das funktioniert allerdings nur, wenn die Labels konsequent angewendet werden. Fehlen klare Richtlinien und eine saubere Umsetzung, bleiben vertrauliche Dokumente ungeschützt, und Copilot macht sie im Zweifel auffindbar. Wer tiefer einsteigen möchte, findet in meinem Beitrag zu Conditional Access in Entra ID weitere Tipps zum Absichern von Zugriffen.

Tipp aus der Praxis: Welche Inhalte zu weit geteilt sind, zeigen im SharePoint Admin Center unter Berichte → Datenzugriffs-Governance die Berichte zu Freigabelinks („Jeder“-Links, „Personen in Ihrer Organisation“-Links, externe Freigaben). Dafür ist eine Lizenz für SharePoint Advanced Management erforderlich (Berichte zur Datenzugriffs-Governance). Ohne diese Lizenz bleibt der Weg über Websites → Aktive Websites. Dort zeigt die Spalte „Externe Freigabe“ die Einstellung je Website. Wählt man eine Website aus, lässt sich die Freigabe unter Einstellungen → Externe Dateifreigabe einschränken.

Vor der Pilotphase muss die technische Basis stimmen

Die technischen Voraussetzungen für Copilot für Microsoft 365 haben es in sich. Die Nutzer brauchen aktuelle Microsoft 365 Apps (idealerweise im Current Channel), OneDrive muss aktiviert sein, und auch der neue Teams-Client sowie das neue Outlook spielen eine Rolle. In der Praxis treffe ich regelmäßig auf veraltete Office-Versionen oder hybride Umgebungen, deren Migration nie sauber abgeschlossen wurde. Wer Copilot lizenziert, ohne die Basis im Griff zu haben, erntet eher Frust als Nutzen. Ich rate deshalb immer dazu, mit einer Pilotgruppe aus IT-affinen Nutzern zu beginnen. Stolpersteine fallen so früh auf, und das Projektteam sammelt Erfahrungen, bevor größere Rollouts anstehen.

Die folgende Skizze zeigt, wie Copilot im Tenant arbeitet und warum die bestehenden Berechtigungen dabei den Ausschlag geben:

flowchart TD
  User["Nutzer mit Copilot Lizenz"] --> App["M365 App (z.B. Word, Teams)"]
  App --> Copilot["Copilot"]
  Copilot --> Graph["Microsoft Graph"]
  Graph --> Ressource["Daten (SharePoint, OneDrive, Teams)"]
  Ressource -->|"Berechtigte Inhalte"| Copilot
  Copilot --> App

Abbildung: Copilot erreicht nur Daten, auf die der Nutzer Rechte hat. Genau dadurch kommen Altlasten im Tenant zum Vorschein.

Realistische Erwartungen entscheiden über die Akzeptanz von Copilot

Viele Nutzer erwarten von Copilot für Microsoft 365 wahre Wunder und merken dann, dass die Vorschläge nur so gut sind wie die Datenqualität und die Berechtigungen dahinter. In Schulungen bemühe ich mich deshalb, realistische Erwartungen zu wecken. Copilot hilft spürbar bei Recherche und kreativen Aufgaben, ein Zauberkasten ist er aber nicht. Wer seine Dateien und Teams nicht aufräumt, erhält auch von Copilot keine besseren Ergebnisse.

Bei der Einführung zahlt sich aktives Erwartungsmanagement aus. Bewährt haben sich kleine Anwendungsfälle, die echten Mehrwert zeigen und zugleich Grenzen offenlegen. Gerade im Mittelstand ist die Unsicherheit noch groß, wie KI die Arbeit verändert. Dazu kommt, dass im Hintergrund mindestens ebenso viel Aufwand nötig ist, damit Copilot überhaupt ins Tagesgeschäft passt.

Copilot gibt aus meiner Sicht den Anstoß für bessere Governance

Ich sehe in Copilot für Microsoft 365 mehr als ein weiteres KI-Add-on. Für mich ist er ein Weckruf, die Zugriffs- und Datenstrukturen im Unternehmen zu verbessern. Die vereinfachte Lizenzierung macht den Einstieg attraktiver, doch wer nicht aufräumt, erlebt die Schattenseiten als böse Überraschung. Wer die neuen Möglichkeiten ernsthaft nutzen will, sollte jetzt die Zeit investieren, seine Tenants aufzuräumen, Berechtigungen zu überarbeiten und den Umgang mit sensiblen Daten klarer zu regeln. Dann wird Copilot kein Risiko, sondern ein Assistent, der die Arbeit tatsächlich erleichtert.