Bei Copilot-Studio-Wissensquellen entscheidet die Quelle über die Rechte

Agenten aus Copilot Studio begegnen mir in Projekten inzwischen regelmäßig. Selbst gebaute KI-Workflows stoßen auf große Begeisterung, und das längst nicht mehr nur in klassischen Power-Platform-Szenarien. Fast immer kommt dabei dieselbe Frage auf: Welche Wissensquellen kann ein Agent anbinden, und wie wirken sich die Berechtigungen dann tatsächlich aus? Viele Admins unterschätzen, wie schnell in Copilot Studio unbeabsichtigtes Oversharing entsteht, sobald SharePoint, Datei-Uploads oder Websites als Wissen eingebunden sind. Deshalb fasse ich hier den aktuellen Stand aus Admin-Sicht zusammen.

Copilot Studio kennt fünf Arten von Wissensquellen

Für Agenten stehen in Copilot Studio fünf Haupttypen von Wissensquellen zur Verfügung: SharePoint-Websites und -Dateien, hochgeladene Dateien, öffentliche Websites, Dataverse-Tabellen und Graph-Connectors. In den meisten Tenants sehe ich, dass man mit SharePoint beginnt. Datei-Uploads und Webinhalte folgen meist schnell, zumal sich Quellen über das [Knowledge]-Modul im Studio erstaunlich einfach einbinden lassen (offizielle Doku).

Spannend und zugleich heikel ist die Frage, mit wessen Rechten der Agent zugreift. Bei SharePoint-Quellen legt man fest, ob er per Microsoft-Anmeldung arbeitet, also im Kontext der angemeldeten Person, oder über eine vordefinierte Verbindung. Mit Microsoft-Anmeldung bekommt jeder Nutzer im Chat nur Antworten zu Inhalten, die er auch direkt öffnen dürfte. Das wirkt sicher, und das ist es auch, solange niemand irgendwo eine „App“-Verbindung einschleust. Bei Datei-Uploads sieht die Sache anders aus. Die Dokumente landen im Dataverse der Umgebung, und wer den Agenten nutzen darf, kann diese Inhalte abfragen – ganz gleich, welche Berechtigungen er persönlich hat. Genau hier liegt die große Oversharing-Falle, die in der Praxis immer wieder für böse Überraschungen sorgt. Die Doku zum Einbinden von SharePoint und zu Datei-Uploads ist zwar ausführlich, trotzdem stolpern viele über das Zusammenspiel der Rechte.

SharePoint prüft Berechtigungen, der Datei-Upload dagegen nicht

Am besten lässt sich die Zugriffslogik mit einem einfachen Ablaufdiagramm erklären. Es zeigt, wie Copilot Studio bei einer Nutzeranfrage entscheidet, welche Inhalte in die Antwort einfließen dürfen:

flowchart TD
  User["User stellt Anfrage"] --> Agent["Copilot Studio Agent"]
  Agent --> SharePoint["SharePoint-Quelle"]
  Agent --> Datei["Datei-Upload (Dataverse)"]
  Agent --> Web["Öffentliche Website"]
  SharePoint --> CheckPerms["Prüfe Benutzerrechte"]
  Datei --> NoPerms["Kein Rechte-Check"]
  CheckPerms --> AntwortSP["Antwort nur, falls Zugriff"]
  NoPerms --> AntwortDatei["Antwort immer, falls Agent-Zugriff"]

Abbildung: So prüfen Copilot-Studio-Agenten Wissensquellen und Berechtigungen.

In der Grafik wird der Unterschied gut sichtbar. Hochgeladene Dateien bilden für den Agenten eine globale Wissensbasis, während SharePoint bei Microsoft-Authentifizierung die individuellen Rechte berücksichtigt. Bei öffentlichen Websites und Graph-Connectors hängt der Zugriff vom jeweiligen Connector und Authentifizierungstyp ab. Einen so feinen Rechteabgleich wie bei SharePoint gibt es dort meist nicht.

Antwortverhalten und Moderation lassen sich nur mit mehreren Testkonten sauber bewerten

Über den Zugriff auf die Wissensquellen hinaus wird oft übersehen, wie viel von Einstellungen wie generativen Antworten und der Inhaltsmoderation abhängt. Pro Agent lässt sich in Copilot Studio festlegen, ob der Bot ausschließlich „zitierend“ aus den hinterlegten Quellen antwortet oder auch generative Antworten liefert, bei denen die KI mehr Gestaltungsspielraum hat. Gerade im zweiten Fall können dünne oder veraltete Informationen aus unsicheren Quellen in die Antwort geraten. Auch die Moderationsstufe ist einstellbar, von „streng“ (wenig riskante Inhalte) bis „locker“ (riskante Inhalte werden eher durchgelassen). Es lohnt sich, sie sorgfältig auf die Zielgruppe und die Risikobereitschaft der Organisation abzustimmen.

Ein Praxistipp, der sich bewährt hat:

Testet Agenten immer mit mindestens zwei Konten, einem mit Standardrechten und einem mit deutlich mehr Berechtigungen. Nur so seht ihr, welche Wissensquellen tatsächlich korrekt gefiltert werden und wo Oversharing droht.

Bevor ein Agent produktiv geht, muss er im Kontext typischer Endnutzer getestet werden. Mit den Vorschau- und Freigabefunktionen von Copilot Studio geht das ohne großen Aufwand.

Hochgeladene Dateien werden in Dataverse zur Oversharing-Falle

In vielen Fachbereichen ist das schnelle Hochladen von Dateien beliebt, vor allem dort, wo es keine saubere SharePoint-Struktur gibt. Jeder Upload landet allerdings im Dataverse und wird damit zu einer Wissensquelle, die für den gesamten Agenten gilt. Hat irgendjemand interne Präsentationen, Protokolle oder gar sensible Daten hochgeladen, kann potenziell jeder darauf zugreifen, der den Agenten verwenden darf. Eine feingranulare Rechtevergabe ist hier nicht vorgesehen, und so entsteht ungewolltes Oversharing fast zwangsläufig. Auf die Governance-Risiken und sinnvolle DLP-Maßnahmen bin ich bereits im Beitrag Copilot-Studio-Governance: Risiken und Kontrolle 2024 eingegangen. Mein Praxistipp: Verzichtet nach Möglichkeit auf Datei-Uploads oder beschränkt Agenten mit Upload-Quellen auf klar definierte Nutzergruppen. Auch das Thema Copilot-Oversharing wird uns noch eine Weile begleiten.

Vor dem Livegang gehören die Wissensquellen auf eine kurze Checkliste

Bevor ein Copilot-Studio-Agent veröffentlicht wird, empfehle ich, diese Punkte kurz durchzugehen:

• Sind alle Wissensquellen erfasst, und wurde der Zugriff mit dem kleinstmöglichen Personenkreis getestet?
• Sind SharePoint-Quellen durchgängig mit Microsoft-Anmeldung eingebunden, damit die Rechte automatisch greifen?
• Gibt es Datei-Uploads, und sind deren Inhalte wirklich für alle Nutzenden des Agenten gedacht?
• Welche Moderationsstufe ist eingestellt, und passt sie zum Risiko?
• Hat jemand generative Antworten bewusst aktiviert oder deaktiviert?

Die Liste ist überschaubar. Trotzdem hat jeder einzelne Punkt in der Praxis schon so manchen Datenschutz- oder Compliance-GAU verhindert.

Schon wenige Klicks können vertrauliche Inhalte offenlegen

Mit Copilot Studio können Fachbereiche und Power-User ihre Agenten sehr leicht mit Wissensquellen versorgen. Gerade das macht es gefährlich, denn ein paar unbedachte Klicks genügen, und plötzlich hat der halbe Tenant Zugriff auf vertrauliche Inhalte, ohne dass es jemandem auffällt. Admins und Data Owner sollten vor allem den Unterschied zwischen SharePoint mit Microsoft-Authentifizierung und dem Datei-Upload ohne Berechtigungsprüfung kennen. Die technischen Kontrollmöglichkeiten sind derzeit noch begrenzt, ob die Nutzung sicher bleibt, hängt deshalb von Governance und dem Umgang im Alltag ab. Bleibt dran, testet mit eigenen Testkonten und lasst euch von der Einfachheit nicht täuschen. Wissensquellen in Copilot Studio sind eben nur so stark wie ihr schwächstes Glied.