In vielen Tenants, die ich begleite, steht Copilot für Microsoft 365 inzwischen ganz oben auf der Agenda. Und fast immer kommt sofort die Sorge auf, Copilot könnte auf sensible oder versehentlich freigegebene SharePoint-Inhalte zugreifen. Microsoft hat darauf im März 2024 mit einem neuen Werkzeug reagiert. Restricted SharePoint Search begrenzt die Suche und damit die Grounding-Quellen für Copilot auf eine Liste vertrauenswürdiger SharePoint-Sites. Für den Rollout wirkt das wie ein Sichtschutz, den man selbst zuschneidet.

Restricted SharePoint Search filtert die Suche und lässt die Berechtigungen unangetastet

An den Berechtigungen ändert Restricted SharePoint Search nichts. Nutzer erreichen weiterhin alles, wofür sie berechtigt sind, vom vertraulichen Projektarchiv bis zur offenen Team-Site. Bei der Suche und bei Copilot sieht es anders aus. Dort erscheinen nur Inhalte aus einer ausdrücklich gepflegten Liste von höchstens 100 SharePoint-Sites, und nur diese dienen als Grounding für Copilot-Antworten. Unabhängig von der Liste kommt alles hinzu, was ein Nutzer selbst besitzt oder schon einmal bearbeitet hat. Ein Dokument, das man ohnehin kennt, findet man also auch weiterhin über die Suche.

Eingerichtet wird das zentral über die SharePoint Online PowerShell. Set-SPOTenantRestrictedSearchMode -Enabled $true schaltet die Funktion tenantweit ein, mit Add-SPOTenantRestrictedSearchAllowedList pflegt man die Liste der erlaubten Sites. Details und Eckpunkte beschreibt Microsoft in der Dokumentation recht verständlich (Überblick, Konfiguration).

Bevor man den Schalter umlegt, lohnt es sich, gründlich zu überlegen, welche Sites auf die Liste gehören und wie man verhindert, dass wichtige Inhalte plötzlich herausfallen. Ist die Liste zu knapp, fehlen schnell Teams-Sites, Projektbereiche oder Wissensplattformen, die Kolleginnen und Kollegen täglich brauchen, und die Verwirrung ist groß.

Die eingeschränkte Suche verschafft Zeit für das Aufräumen der Berechtigungen

Ich halte Restricted SharePoint Search vor allem dann für sinnvoll, wenn man Copilot pilotieren will, die Berechtigungen im Tenant aber noch nicht aufgeräumt sind. Gerade in großen Umgebungen mit über Jahre gewachsenem SharePoint-Bestand liegen fast immer „Leichen im Keller“: zu breit oder falsch geteilte Dokumente, offene Freigabelinks, verwaiste Gruppen-Sites. Während man das sorgfältig analysiert und bereinigt, gewinnt man mit der eingeschränkten Suche Zeit, ohne den Pilotbetrieb komplett auf Eis zu legen.

Als Dauerlösung taugt das allerdings nicht. Das eigentliche Problem verschwindet ja nicht, denn die SharePoint-Berechtigungen bleiben, wie sie sind, und damit womöglich so offen wie zuvor. Restricted Search kaschiert die Symptome, an zu weit reichenden Freigaben ändert es nichts. Wer Copilot im Unternehmen produktiv einsetzen will, muss Berechtigungen und Oversharing ordentlich bereinigen. Wer damit noch nicht angefangen hat, findet in meinem Beitrag zur Vorbereitung des Tenants auf Copilot für Microsoft 365 viele Tipps und Erfahrungen aus der Praxis.

Ein einfaches Diagramm zeigt die sichtbaren und die ausgeblendeten Inhalte

Welche Inhalte trotz eingeschränkter Suche für Copilot und die Microsoft-365-Suche sichtbar bleiben, versteht man am besten, wenn man sich das Zusammenspiel der Komponenten vor Augen führt. Das folgende Mermaid-Diagramm stellt es vereinfacht dar:

flowchart TD
    U["Nutzer"] --> S["SharePoint Suche"]
    S --> F["Freigegebene Inhalte (Berechtigungen)"]
    S --> L["Sites auf Allowed List"]
    S --> O["Eigene/zuletzt bearbeitete Inhalte"]
    S -.-> X["Nicht gelistete Sites"]
    X -.->|"Nicht durchsuchbar"| S

Abbildung: Vereinfachtes Modell der Restricted SharePoint Search. Suche und Copilot sehen nur Inhalte aus der Allowed List und eigene Aktivitäten, niemals alles.

Wer sich genauer mit der Architektur beschäftigen möchte, sollte zusätzlich die Architektur- und Datenschutzdokumentation von Microsoft lesen.

Im Alltag verursacht die Allowed List unerwarteten Pflegeaufwand

In Projekten zeigt sich schnell, dass Restricted SharePoint Search im Alltag Hürden mit sich bringt, mit denen man nicht unbedingt rechnet. Auf einmal fehlen Suchergebnisse, obwohl die Nutzer eigentlich Zugriff hätten. Neu angelegte oder umbenannte Teams-Sites kommen nicht automatisch auf die Allowed List. Die Liste muss man also von Hand pflegen, und die Grenze von 100 Sites ist schneller erreicht, als man denkt. Bei häufigen Änderungen, Migrationen oder neuen Projekten verliert man dann leicht den Überblick.

Tipp aus der Praxis: Vor dem Einschalten eine aktuelle Übersicht aller produktiven Sites erstellen und Prioritäten setzen. Was muss unbedingt auf die Allowed List, was kann (vorerst) warten? Die PowerShell-Ausgabe von Get-SPOSite hilft beim Sichten.

Bei diesem Aufwand und diesen Risiken bleibt Restricted SharePoint Search ein Notnagel und kein strategisches Werkzeug.

Restricted SharePoint Search taugt nur als vorübergehende Bremse

Für mich ist Restricted SharePoint Search eine brauchbare Krücke, mit der man den Copilot-Pilotbetrieb starten kann, während man sich um die eigentliche Baustelle kümmert, nämlich Berechtigungen und Oversharing. Wer sich zu lange darauf verlässt, riskiert Schatten-IT und verärgerte Nutzer. Die meisten Schwierigkeiten mit Copilot sitzen tiefer und lassen sich nur durch eine gründliche Bereinigung dauerhaft lösen. Ist das Berechtigungsprojekt abgeschlossen, sollte man Restricted Search konsequent wieder abschalten. Erst danach spielt Copilot seine Stärken wirklich aus.