Die Microsoft-365-Copilot-Suche findet nur, was Nutzer sehen dürfen

In vielen Tenants, die ich betreue, ist die Microsoft-365-Copilot-Suche inzwischen freigeschaltet. Häufig hängt daran die Hoffnung, endlich eine intelligente, unternehmensweite Suche zu bekommen, ohne Schatten-IT und ohne Wissenssilos. In der Praxis kommt es dann auf die Details an: welche Quellen tatsächlich durchsucht werden, wie Berechtigungen einfließen und wo Admins gezielt steuern können, was Copilot den Nutzern vorschlägt.

Die Copilot-Suche verbindet Enterprise Search mit dem Semantic Index

Die Microsoft-365-Copilot-Suche bildet den Kern der generativen Suche in der Microsoft 365 Copilot App (früher: M365 copilot.com und Copilot in Teams/Outlook). Sie verknüpft die klassische Enterprise Search und die Bookmarks aus Microsoft Search mit KI und dem Semantic Index für Microsoft 365. Wer eine Copilot-Lizenz hat, sucht deshalb nicht mehr bloß nach Schlüsselwörtern. Er bekommt kontextbezogene, semantisch angereicherte Antworten aus E-Mails, Teams-Chats, SharePoint und OneDrive, je nach Konfiguration auch aus angebundenen Drittquellen. Maßgeblich ist, wie Microsoft Graph, Semantic Index und die Berechtigungen der Nutzer ineinandergreifen. Mit der klassischen Suchleiste in Office ist die Copilot-Suche übrigens nicht identisch. Sie nutzt eine eigene Pipeline, in die auch Inhalte aus Copilot Connectors einfließen (mehr dazu in meinem Beitrag Wie Copilot über den Semantic Index Dateien findet).

Copilot durchsucht längst nicht jede Quelle im Tenant

Standardmäßig ist die Copilot-Suche auf Inhalte in Exchange Online, SharePoint Online, OneDrive for Business und Teams-Chats ausgelegt, sofern der Semantic Index sie indizieren darf. Wie selektiv die Indizierung arbeitet, wird oft unterschätzt. Ist Restricted SharePoint Search oder Restricted Content Discovery aktiviert, lassen sich bestimmte SharePoint-Websites oder Dokumentbibliotheken ausschließen. Beide Funktionen beschreibe ich ausführlich in Restricted SharePoint Search für saubere Copilot-Piloten und Restricted Content Discovery hält Sites aus der Copilot-Suche heraus. Copilot Connectors erweitern die Suche um weitere Geschäftsanwendungen und Drittquellen. Ohne klare Governance geht das allerdings nicht gut. Für jeden Connector müssen die Zugriffsrechte vorab genau geprüft und die Berechtigungen gemappt werden, sonst drohen ungewollte Datenabflüsse.

Bei Daten aus externen Quellen kommen noch die Aktualität in Echtzeit und das Berechtigungstrimming hinzu. Selbst wenn ein Benutzer einen über einen Connector angebundenen Datensatz sehen kann, entscheidet das Rechtemodell des jeweiligen Systems (z. B. SAP, ServiceNow oder Salesforce) gemeinsam mit den Microsoft-365-Berechtigungen, ob die Information in der Copilot-Suche überhaupt erscheint. Wie die Komponenten zusammenspielen, zeigt das folgende Diagramm:

flowchart TD
    User["Nutzer (Copilot lizenziert)"] --> Query["Suchanfrage Copilot app"]
    Query --> SemanticIndex["Semantic Index"]
    SemanticIndex --> M365Content["M365 Inhalte (Exchange, SharePoint, OneDrive, Teams)"]
    SemanticIndex --> Connectors["Copilot Connectors (3rd Party)"]
    M365Content -- "Berechtigungstrimming" --> Results["Suchergebnis (nur berechtigte Inhalte)"]
    Connectors -- "Rechtemapping" --> Results

Abbildung: Architektur der Copilot-Suche mit Semantic Index, Connectors und Berechtigungsprüfung.

Copilot sieht nie mehr als der jeweilige Nutzer

Kunden fragen mich sehr oft, wie verlässlich die Copilot-Suche nur das anzeigt, was der Nutzer tatsächlich sehen darf. Im Grundsatz funktioniert das Berechtigungstrimming solide. Copilot bekommt keine Sonderrechte und arbeitet immer nur mit den effektiven Berechtigungen des Nutzers. Bei SharePoint lauern trotzdem Stolpersteine. Ist eine Site oder Bibliothek von der Indizierung ausgeschlossen, tauchen ihre Inhalte in der Copilot-Suche gar nicht erst auf. Das betrifft auch Inhalte, die als „restricted“ gekennzeichnet sind: In klassischen Berechtigungsmodellen werden sie zwar angezeigt, für Copilot bleiben sie aber unsichtbar. Häufig kontrollieren Admins nicht regelmäßig, wie sich diese Einstellungen auswirken. So bleiben kritische Bereiche versehentlich offen, oder wichtige Wissensquellen sind plötzlich nicht mehr auffindbar.

Tipp aus der Praxis: Die Konfiguration von Restricted SharePoint Search und Content Discovery sollte regelmäßig geprüft werden, besonders nach größeren Umstrukturierungen oder Migrationsprojekten. Sonst erlebt man beim nächsten Copilot-Rollout böse Überraschungen.

Auch Bookmarks und Synonyme (Acronyms) aus Microsoft Search kommen der Copilot-Suche zugute, und gerade diese Funktion wird gern unterschätzt. Unter Microsoft 365 Admin Center → Einstellungen → Suche & Intelligenz pflegen Admins Abkürzungen, interne Begriffe und wichtige Ressourcen so, dass sie in den Copilot-Suchergebnissen bevorzugt erscheinen (Dokumentation zu Microsoft Search).

Nutzung und Wirkung der Copilot-Suche lassen sich messen

Dass sich die Copilot-Suche auswerten lässt, wird oft übersehen. Im Microsoft 365 Admin Center finden sich unter Suche & Intelligenz Auswertungen zur Nutzung von Bookmarks, zu den häufigsten Suchbegriffen und zum Anteil erfolgreicher Suchen. Das Copilot Admin Center ergänzt das um Berichte zur Copilot-Nutzung, aus denen hervorgeht, wie oft die Suche pro Lizenz genutzt wird. Diese Zahlen helfen beim Lizenzmanagement und machen außerdem Wissenslücken oder Suchprobleme früh sichtbar. Wer tiefer einsteigen will, arbeitet mit benutzerdefinierten Berichten und regelmäßigen Reviews und wertet aus, was Connector-Integration, Einschränkungen und Bookmarks bewirken. Oft genügen schon kleine Anpassungen. In mehreren Umgebungen ging die Zahl der erfolglosen Suchen stark zurück, nachdem die Bookmarks sauber gepflegt waren, und die Copilot-Antworten wurden danach deutlich besser bewertet.

Ohne aktives Admin-Management bleibt die Copilot-Suche hinter ihren Möglichkeiten zurück

Die Microsoft-365-Copilot-Suche kann den Zugang zu Wissen im Unternehmen grundlegend verändern, ein Selbstläufer ist sie aber nicht. Semantic Index, Berechtigungstrimming, Connector-Governance und klassische Enterprise Search greifen ineinander, und dieses Zusammenspiel verlangt ein aufmerksames Admin-Team. Ich empfehle, früh zu testen, regelmäßig zu kontrollieren und mit den Anwendern im Gespräch zu bleiben. Wer die neuen Funktionen genau versteht und gezielt steuert, holt echten Mehrwert aus der Copilot-Suche heraus und verhindert, dass daraus eine Schatten-IT 2.0 wird.