In vielen Tenants, die ich in den Tagen rund um die Ignite verfolgt habe, lösen die Copilot-Ankündigungen der Ignite 2024 Aufbruchstimmung aus, werfen aber auch etliche Fragen auf. Ab Anfang 2025 rollt Microsoft SharePoint Advanced Management (SAM) für alle Microsoft-365-Copilot-Lizenzen aus. Damit rückt ein Thema nach vorn, das in Projekten bisher oft am knappen Budget gescheitert ist, nämlich Oversharing einzudämmen und die Kontrolle über Zugriffsrechte zurückzugewinnen. Wer Copilot flächendeckend einführen will, kämpft fast immer mit mangelnder Transparenz und Steuerbarkeit bei den Berechtigungen in SharePoint und OneDrive. Mit den neuen Funktionen und Empfehlungen von der Ignite bekommen Admins dafür endlich konkrete Werkzeuge für Sicherheit und Governance an die Hand.

SharePoint Advanced Management gehört künftig zu jeder Copilot-Lizenz

Bislang war SharePoint Advanced Management eine optionale Zusatzlizenz, auf die viele Projekte aus Kostengründen verzichtet haben. Künftig ist sie ohne Aufpreis in jeder Microsoft-365-Copilot-Lizenz enthalten, und damit fallen auch die Ausreden weg. Für Admins zählt vor allem, dass das Nutzungsrecht automatisch mit den Copilot-Lizenzen greift. Zugriffsprüfungen, ablaufende Gastzugriffe oder gezielt eingeschränkte Freigaben lassen sich so im gesamten Tenant einsetzen. Oft sorgt schon das Reporting zu anonymen oder externen Freigaben für Aha-Momente, und meist lassen sich daraus sehr schnell pragmatische Maßnahmen ableiten.

Tipp aus der Praxis: Aktiviert nach dem Rollout im SharePoint Admin Center → Richtlinien → Freigabekontrollen das SharePoint-Advanced-Management-Feature „Externe Freigaben überwachen“ und richtet euch einen regelmäßigen Review-Prozess ein. Ohne diese Routine bekommt ihr Oversharing nicht dauerhaft in den Griff.

Die Integration in Copilot geht über Kosmetik deutlich hinaus. Vor allem der neue „Copilot Deployment Blueprint for Oversharing“ macht Freigabeketten, Berechtigungsrisiken und falsch konfigurierte Sites sichtbar. Mehr dazu steht in meinem Beitrag zu Restricted SharePoint Search und Oversharing durch Copilot.

Neue Oversharing-Kontrollen und Copilot Actions bremsen den Datenabfluss

Copilot nützt wenig, wenn Daten kreuz und quer durchs Unternehmen und nach außen geteilt werden. An dieser Stelle setzen die Neuerungen der Ignite an. Zusätzlich zu den erweiterten Oversharing-Kontrollen in SAM und SharePoint können Admins jetzt anonyme Links systematisch einschränken und Freigaberegeln für den gesamten Tenant vereinheitlichen. Neu sind außerdem die Copilot Actions, mit denen Admins zentral festlegen, welche Aktionen Copilot nutzen darf. Für sichere Automatisierungen und Workflows ist das ein wichtiger Schritt.

Am meisten Gewicht hat für mich das DLP-Update für Microsoft 365 Copilot, das sich derzeit noch in der Preview befindet. Dateien mit Sensitivity Labels lassen sich damit ausdrücklich aus Copilot-Antworten heraushalten. Viele Bedenken, dass Daten über KI-generierte Inhalte abfließen, sind damit vom Tisch. Konfiguriert wird das unter Microsoft Purview → Data Loss Prevention. Voraussetzung sind Microsoft 365 E5 oder eine vergleichbare Purview-Lizenz sowie Microsoft 365 Copilot. So könnte eine passende DLP-Regel aussehen:

{
  "Name": "Copilot DLP - Block Labeled Files",
  "ContentContainsSensitivityLabel": true,
  "Action": "BlockCopilotResponse"
}

Angelegt in Microsoft Purview → Data Loss Prevention, Rolle: Information Protection Admin.

Purview DSPM for AI macht den KI-Einsatz im Tenant sichtbar

Aus dem „AI Hub“ wird Purview Data Security Posture Management for AI (DSPM for AI). Unter dem neuen Namen steht ein umfassendes Kontrollinstrument für Copilot und andere KI-Dienste bereit. Gerade in großen Tenants fehlt oft der Überblick darüber, welche Daten die KI verarbeitet und welche Risiken durch Trainingsdaten, Prompt-Inhalte oder von Nutzern geteilte Dateien entstehen. DSPM for AI analysiert die Datenströme, erkennt Schatten-KI und zeigt, an welchen Stellen sensible Daten in KI-Kontexten auftauchen. Das gilt für Microsofts eigene Dienste ebenso wie für angebundene externe KI-Angebote.

Brauchbare Ergebnisse liefert DSPM for AI nur, wenn Purview mitsamt Directory Discovery und Sensitivity Labeling sauber konfiguriert ist (siehe https://learn.microsoft.com/en-us/purview/ai-microsoft-purview). Erst dann zeigen die Dashboards belastbare Erkenntnisse, mit denen man gezielt nachsteuern kann.

Copilot Analytics, Agents und der Teams-Interpreter runden das Paket ab

In Projekten höre ich immer wieder die Frage, wie sich Nutzen und Risiken von Copilot überhaupt messen lassen. Die neuen Funktionen von Copilot Analytics liefern darauf jetzt endlich Antworten. Nutzungsmetriken, Interaktionsanalysen und Einblicke in Prompt-Daten helfen Admins, Copilot gezielt zu steuern und zu verbessern (Admin Center → Berichte → Copilot-Nutzung). Gerade Betriebsräte verlangen hier zunehmend Transparenz. Details und Tipps für den tieferen Einstieg findet ihr in meinem Beitrag zu Copilot-Nutzungsreports und Lizenzverteilung.

Auch bei den Copilot Agents hat sich einiges getan. In SharePoint sind Agents jetzt allgemein verfügbar und lassen sich produktiv einsetzen. Der Interpreter-Agent für Teams bleibt vorerst in der Preview, der Rollout ist für Anfang 2025 angekündigt. Er zeigt aber schon, wie KI-gestützte Übersetzungen und Meeting-Assistenz bald zum Alltag gehören könnten.

Die folgende Übersicht zeigt am Beispiel einer typischen Copilot-Einführung, wie Lizenz, Funktionen und Kontrollen zusammenhängen:

flowchart TD
    Lizenz["Copilot-Lizenz"] --> SAM["SharePoint Advanced Management"]
    SAM --> Oversharing["Oversharing-Kontrollen"]
    Lizenz --> DLP["Copilot DLP-Regeln"]
    Lizenz --> Analytics["Copilot Analytics"]
    Lizenz --> Agents["Copilot Agents"]
    Lizenz --> DSPM["Purview DSPM for AI"]

Abbildung: So greifen die neuen Copilot-Funktionen der Ignite 2024 ineinander, ohne dass Admins die Kontrolle verlieren.

Der Copilot-Rollout wird damit zum Governance-Projekt

Mit den Copilot-Ankündigungen der Ignite 2024 wird der Copilot-Rollout aus meiner Sicht endgültig zur Governance-Aufgabe für Admins und IT-Leitung. Wer Copilot bisher mit Basiseinstellungen und ein wenig Training „einführen“ wollte, kommt jetzt nicht mehr an klaren Prozessen, Kontrollen und regelmäßigen Reviews vorbei. Weil SharePoint Advanced Management nun in allen Copilot-Lizenzen steckt, fehlt vielen Organisationen das letzte Argument gegen eine saubere Berechtigungs- und Freigabestruktur. Purview DSPM for AI und DLP für Copilot liefern zugleich realistische Antworten auf Fragen von Datenschutz und Betriebsrat, die bisher oft offen geblieben sind.

Die eigenen Hausaufgaben zu machen, lohnt sich also. Dazu gehört, Sensitivity Labels zu pflegen, DLP-Regeln zu überarbeiten und Freigaberegeln regelmäßig zu kontrollieren. Purview sollte außerdem so aufgestellt sein, dass die neuen Dashboards tatsächlich mit Daten gefüllt werden. Dann wird der Copilot-Rollout ein Erfolg und kein Sicherheitsrisiko.