In vielen Microsoft-365-Tenants, die ich im letzten halben Jahr betreut habe, lässt sich Copilot nicht einfach „einschalten“. Es ist eine Governance-Baustelle. Seit Microsoft Copilot im Januar in der gesamten Microsoft-365-Suite und in der Microsoft 365 Copilot Chat App ausgerollt hat, ist die Unsicherheit spürbar gewachsen. Welche Inhalte tauchen womöglich plötzlich in der unternehmensweiten Suche oder direkt in Copilot auf? In solchen Gesprächen landen wir immer wieder bei Restricted Content Discovery (RCD) aus dem Add-on SharePoint Advanced Management. Viele Teams und Fachbereiche wollen ihre Sites für berechtigte Nutzer weiterhin offen halten. Sie wollen aber verhindern, dass Gelegenheitsnutzer oder Copilot-Anwender ohne echten Arbeitsbezug über die Suche, den Explorer oder eine Copilot-Antwort zufällig auf diese Inhalte stoßen.

Restricted Content Discovery blendet Sites nur für Gelegenheitsnutzer aus

Unter einem klassischen Sicherheitsfeature versteht man etwas anderes. Wer Zugriffsrechte hat, sieht weiterhin sämtliche Inhalte der Site. Für die meisten Nutzer erscheint die Site allerdings weder in der regulären Microsoft-365-Suche noch in Copilot-Anfragen, sofern sie nicht als „häufige Nutzer“ gelten. Was darunter fällt, leitet Microsoft aus den Interaktionen mit der Site ab. Wer sie regelmäßig besucht oder mit ihren Inhalten arbeitet, zählt als Frequent User und findet sie wie gewohnt. Allen anderen bleibt die Site in den globalen Suchergebnissen und in Copilot verborgen.

An der Berechtigungsstruktur selbst ändert sich dabei nichts. Deshalb eignet sich RCD so gut für Bereiche wie HR, M&A, Steuer oder Geschäftsleitung, die ihre Inhalte nicht verstecken, aber auch nicht jedem auf dem Silbertablett servieren wollen. Den Schalter gibt es seit Sommer 2024 im SharePoint Admin Center unter Sites → Aktive Sites → Site auswählen → Einstellungen → Restricted Content Discovery. Per PowerShell klappt es ebenfalls, zum Beispiel so:

# SharePoint Online Management Shell, Admin-Rechte auf die Site-Sammlung erforderlich
Set-SPOSite -Identity "https://contoso.sharepoint.com/sites/finanzen" -RestrictContentOrgWideSearch $true

Ist die Option aktiv, vergehen je nach Umfang der Site meist einige Stunden bis Tage, bis die Neuindizierung durch ist. Bei sehr großen Sites habe ich auch schon mehr als eine Woche gewartet. In Copilot und im Suchindex zeigt sich die Wirkung erst, wenn die Reindizierung vollständig abgeschlossen ist.

Restricted Content Discovery unterscheidet sich klar von Restricted SharePoint Search und Berechtigungen

In Projekten kommt regelmäßig die Frage, was RCD eigentlich von anderen Mechanismen abgrenzt. Für die Einordnung genügen drei Punkte:

  • RCD greift auf Site-Ebene: Jede Site lässt sich einzeln ein- oder ausschließen. Für Nutzer ohne regelmäßigen Bezug ist sie danach in Copilot und in der Suche „verschwunden“.
  • Restricted SharePoint Search arbeitet dagegen tenantweit mit einer Allow-List (siehe Microsoft-Dokumentation): In Suche und Copilot erscheinen ausschließlich Sites, die auf dieser Liste stehen. Dieser Ansatz ist deutlich radikaler und verlangt mehr zentrale Steuerung, weshalb man ihn meist in stark regulierten Branchen antrifft.
  • Die Zugriffskontrolle (Permissions) bleibt bei beiden Features bestehen. RCD ist ausdrücklich keine Security Boundary. Es regelt die Auffindbarkeit und schützt nicht vor Zugriffen.

Wie das mit Copilot und Oversharing zusammenhängt, habe ich bereits im Blueprint Copilot-Oversharing in der Praxis umsetzen und im Artikel Copilot-Piloten mit Restricted SharePoint Search absichern beschrieben.

Die technischen Hintergründe und alle Optionen von Advanced Management erklärt Microsoft ausführlich in der offiziellen Dokumentation (SharePoint Advanced Management, Restricted Content Discovery).

In meinen Projekten setzen Kunden RCD vor allem für sensible Bereiche ein

Unternehmen, die Copilot zunächst nur in ausgewählten Abteilungen oder für Power-User einführen, greifen häufig als Erstes zu Restricted Content Discovery, um unbeabsichtigtes „Oversharing“ einzudämmen. In meinen Projekten waren das typischerweise:

  • HR- oder Finanz-Sites, die für berechtigte Personen sichtbar bleiben, aber nicht im globalen Index auftauchen sollen
  • M&A-Projekte, deren Zugriffsrechte bereits geregelt sind, die aber strengere Vorgaben zur Auffindbarkeit brauchen
  • Sites der Geschäftsleitung oder Strategieabteilung, bei denen nur ein kleiner Kreis tatsächlich als Frequent User zählt

Tipp aus der Praxis: Nach dem Aktivieren von RCD die Reindizierung einplanen und im Zweifel in Copilot, in Microsoft Search und direkt in den Sites prüfen, was verschiedene Nutzerrollen zu sehen bekommen. Die Einstellung lässt sich jederzeit zurücknehmen, nur braucht jede Änderung ihre Zeit, bis sie im Index ankommt.

Auf eine Einschränkung weise ich jedes Mal hin. Wer nach Inhalten einer RCD-Site sucht, findet sie trotzdem, wenn er Frequent User ist oder direkte Links hat. Vor API-basierten Abfragen, etwa über Graph oder andere Integrationen, schützt RCD ebenfalls nicht. Es handelt sich also wirklich nur um einen „Discovery-Filter“, der weder ein Berechtigungsmodell noch Compliance-Labels ersetzt. Den grundlegenden Schutzansatz beschreibe ich im Beitrag Sensitivity Labels in Copilot und Microsoft Purview richtig nutzen.

Im Hintergrund prüft Microsoft Search bei jeder Anfrage zwei Bedingungen

Das Prinzip lässt sich gut in einem einfachen Flussdiagramm zeigen. Bei jeder Anfrage klären Microsoft Search bzw. Copilot, ob für die Site RCD aktiviert ist und in welcher Beziehung der Nutzer zu ihr steht:

flowchart TD
  A["Nutzer stellt Suchanfrage oder Copilot-Prompt"] --> B["Site für RCD markiert?"]
  B -->|"Ja"| C["Ist Nutzer frequent user?"]
  C -->|"Ja"| D["Site erscheint in Suche/Copilot"]
  C -->|"Nein"| E["Site bleibt unsichtbar"]
  B -->|"Nein"| D

Abbildung: Ablauf der Restricted-Content-Discovery-Prüfung bei Such- und Copilot-Anfragen

RCD regelt die Auffindbarkeit und ersetzt kein Sicherheitskonzept

Ein Allheilmittel ist Restricted Content Discovery nicht, wohl aber ein sehr brauchbares Governance-Werkzeug. Für die Grauzone zwischen „alles offen“ und „alles dicht“ liefert es im Alltag eine pragmatische Zwischenstufe. Wer damit allerdings Sicherheitsprobleme lösen will, merkt spätestens beim nächsten Audit oder bei einem Datenabfluss, wo die Grenzen liegen. Wirkliche Kontrolle entsteht erst, wenn Berechtigungskonzept, Sensitivity Labels und Discovery-Features wie RCD oder Restricted SharePoint Search zusammenspielen. Auch 2025 bleiben deshalb zwei Fragen entscheidend: Wer darf zugreifen, und wer muss die Inhalte tatsächlich finden können? Mehr zur übergreifenden Governance mit SharePoint Advanced Management findet ihr im Beitrag Copilot-Zugriff mit SharePoint Advanced Management kontrollieren.