Wer sich mit Microsoft 365 Copilot beschäftigt, kommt seit ein paar Wochen am Thema Oversharing nicht mehr vorbei. Im Januar hat Microsoft einen offiziellen Blueprint veröffentlicht, der den Weg vom Pilotprojekt bis zum Rollout beschreibt. Darin steht recht konkret, wie man riskante Datenfreigaben aufspürt und eindämmt. In vielen Tenants, die ich betreue, tauchen dabei immer wieder dieselben Probleme auf. Mal sind es uralte „Everyone except external users“-Links, mal Hunderte Gastnutzer, die nach wie vor auf zentrale SharePoint-Sites zugreifen können. Die neuen Empfehlungen zielen genau darauf, und die nötigen Werkzeuge stehen schon seit Längerem bereit.

Der Blueprint gibt eine klare Struktur in drei Phasen vor

Mit dem Microsoft 365 Copilot Blueprint zum Thema Oversharing gibt es endlich ein geordnetes Vorgehen. Der Blueprint ist in die Phasen Pilot, Deployment und Betrieb unterteilt. Mir gefällt besonders, dass er ausdrücklich verlangt, SharePoint-Sites mit vielen Gästen und offen geteilten Links systematisch zu identifizieren und zu bewerten. Admins sollen also nicht bloß an technischen Einstellungen drehen. Sie sollen gezielt Reviews anstoßen, einmal zu Beginn und danach regelmäßig im laufenden Betrieb. Den Aufwand für dieses Aufräumen unterschätzen viele Organisationen. Das gilt vor allem dort, wo alte Teamsites noch kreuz und quer geteilt sind oder es nie einen geregelten Prozess gab, um Gastkonten zu bereinigen.

Datenzugriffsberichte und Access Reviews in SAM decken riskante Sites auf

Im Tagesgeschäft sind die Data Access Governance Reports mein wichtigstes Werkzeug, um riskante Sites zu finden. Im SharePoint Admin Center (→ Berichte → Data access governance) lasst ihr euch alle Sites anzeigen, die „Everyone except external users“-Links oder auffällig viele Gastzugriffe haben. Mit SharePoint Advanced Management (SAM, Zusatzlizenz) könnt ihr diese Listen außerdem direkt in Access Reviews überführen und die Site Owner einbinden. Meine Erfahrung aus Projekten: Wenn auf den automatischen Bericht ein verpflichtender Review folgt, werden Site Owner spürbar eher aktiv. So sieht der Ablauf aus:

flowchart TD
    Scan["Data Governance Report"] --> Filter["Sites mit Risiko filtern"]
    Filter --> Review["Access Reviews starten"]
    Review --> Owner["Site Owner prüft Zugriffe"]
    Owner --> Maßnahmen["Freigaben entfernen oder beschränken"]

Abbildung: Vom Bericht zur Maßnahme – so läuft die Oversharing-Prüfung in SharePoint Advanced Management ab.

Auch ohne SAM-Lizenz stehen euch die Datenzugriffsberichte zur Verfügung, allerdings bleibt dann mehr Handarbeit. Was ich mit diesen Funktionen in der Praxis erlebt habe, beschreibe ich ausführlicher in meinem Beitrag zu SharePoint Advanced Management und der Zugriffskontrolle für Copilot.

Für die Top-Sites mit vielen Gästen empfehle ich einen festen Review-Rhythmus, etwa alle sechs Monate. Haltet außerdem schriftlich fest, was ihr mit den Ownern besprochen habt. So bleibt das Bewusstsein für das Thema dauerhaft erhalten.

Restricted Content Discovery hält Copilot von ausgewählten Sites fern

Über die Funktion „Restricted SharePoint Search“ könnt ihr mittlerweile genau bestimmen, welche Sites für Copilot und die Suche sichtbar sind. Liegen sensible oder regulierte Inhalte im Tenant, hilft das enorm. Einzelne Sites lassen sich gezielt ausschließen, damit Copilot nicht versehentlich Informationen aus Projekten, aus der Personalabteilung oder aus Vorstandssitzungen vorschlägt. Wie die Einstellung funktioniert und wie ich sie bei Pilotkunden einsetze, habe ich mit Praxisbeispielen in einem früheren Beitrag zu Restricted SharePoint Search beschrieben.

Wirksam wird das Ganze erst im Zusammenspiel mit dem Access Review. Zuerst klärt ihr, wer überhaupt Zugriff auf die Site hat, und schränkt danach im Zweifel die Sichtbarkeit für Copilot ein. Versteht das bitte nicht als einmalige Aktion, sondern als Kontrolle, die regelmäßig wiederkehrt.

Sensitivity Labels und Purview sichern die Daten zusätzlich ab

Gut konfigurierte Sensitivity Labels für SharePoint-Sites und Dokumentbibliotheken werden häufig unterschätzt. Mit Default-Labels stellt ihr sicher, dass neue Dokumente in kritischen Bereichen automatisch mit dem passenden Schutz gespeichert werden. Viele Unternehmen sind hier bisher zu zurückhaltend, obwohl der Nutzen gerade mit Copilot deutlich wächst. Falls ihr noch keine belastbare Label-Taxonomie habt, lohnt sich ein Blick in meinen Beitrag zur Datenklassifizierung und zum Datenschutz mit Microsoft Purview.

Zur laufenden Überwachung ergänzt Microsoft Purview Data Security Posture Management für AI die bisherigen Maßnahmen sinnvoll. Ihr seht damit, wie Copilot und andere KI-Funktionen mit sensiblen Daten umgehen, und erkennt Auffälligkeiten. Das Monitoring kommt bei mir aber immer erst an zweiter Stelle. Das eigentliche Risiko entsteht durch falsch vergebene Zugriffsrechte, nicht erst dadurch, dass jemand KI nutzt.

Ich priorisiere Sites nach fünf praktischen Kriterien

Bei der Priorisierung achte ich in der Praxis auf eine Kombination dieser Kriterien:

  • Sites mit „Everyone except external users“-Links
  • Sites mit besonders vielen Gästen
  • Kommunikations- und Projektsites mit vertraulichem Inhalt
  • Sites ohne Sensitivity Label oder ohne Default-Label
  • Sites, die für Restricted Content Discovery vorgesehen sind

Damit filtert ihr aus oft Tausenden Sites schnell diejenigen heraus, die wirklich kritisch sind. Bei allen übrigen genügt meist ein jährlicher Access Review. Copilot-Oversharing wird uns dauerhaft begleiten, und ohne organisatorische Disziplin bringen die technischen Möglichkeiten wenig. Wer die neuen Berichte und Funktionen jetzt klug einsetzt, steht bei der nächsten Copilot-Welle deutlich besser da.