SharePoint Advanced Management macht den Tenant fit für Copilot

Wer Copilot for Microsoft 365 verantwortungsvoll und sicher im Unternehmen einsetzen will, kommt an SharePoint Advanced Management nicht vorbei. In vielen Tenants, die ich betreue, genügt es schlicht nicht, sich auf klassische Berechtigungsmodelle, einfache Reports oder darauf zu verlassen, dass die Benutzer schon diszipliniert mit ihren Daten umgehen. Das gilt erst recht, wenn eine KI Suche und Datenzugriff in einer völlig neuen Größenordnung möglich macht. Oft merkt ein Administrator erst durch Copilot, wie wenig er eigentlich darüber weiß, wer alles auf sensible Inhalte zugreifen kann – und wie dringend er zusätzliche Kontrollen braucht.

SAM bietet mehr Kontrolle als reine Berichte

SharePoint Advanced Management (SAM) gibt es seit einiger Zeit als Add-on-Lizenz zu Microsoft 365. Die Funktionen reichen weit über das hinaus, was man von klassischen Audit- und Reporting-Werkzeugen kennt. Für die Copilot-Readiness ist vor allem interessant, dass sich der Zugriff auf SharePoint-Seiten fein abgestuft steuern lässt, und zwar unabhängig von den üblichen Freigabeeinstellungen. Mit den Restricted Access Control Policies beschränken Sie eine Site strikt auf einen festgelegten Personenkreis, in der Regel die Mitglieder bestimmter Sicherheitsgruppen. Das gilt auch dann, wenn einzelne Dokumente oder Ordner darüber hinaus geteilt wurden. Copilot kann diese Inhalte für Personen außerhalb der Gruppen dann ebenfalls nicht mehr durchsuchen. Die Einzelheiten stehen in der Dokumentation von Microsoft, einen Blick aus der Praxis bietet mein Beitrag Restricted SharePoint Search: Copilot-Piloten richtig absichern.

Die Restricted Access Control Policy wird in zwei Schritten eingerichtet

Bevor sich die Restricted Access Control Policy für einzelne Sites nutzen lässt, muss sie für den gesamten Tenant aktiviert sein. Das erledigen Sie im SharePoint Admin Center unter „Richtlinien“ → „Zugriff auf Sites einschränken“ oder über die SharePoint Online Management Shell. Die Zuweisung zu einer Site läuft anschließend per PowerShell:

# Voraussetzung: SharePoint Online Management Shell, SharePoint Advanced Management-Lizenz, Global- oder SharePoint-Admin
# Tenantweite Aktivierung:
Set-SPOTenant -RestrictedAccessControl "Enabled"
# Einschränkung auf eine Sicherheitsgruppe für eine Site:
Set-SPOSite -Identity "https://contoso.sharepoint.com/sites/Geheimprojekt" -RestrictedAccessControl "Enabled" -RestrictedAccessControlGroups "Contoso\TopSecretSG"

Danach wirken Freigaben außerhalb dieser Gruppe nicht mehr, weder für Copilot noch für Suchabfragen. Sinnvoll ist die Policy vor allem auf Sites mit besonders vertraulichen Inhalten oder strengen Compliance-Vorgaben. Worauf Sie dabei achten sollten, gerade im Zusammenspiel mit Authentifizierungskontexten, beschreibe ich im Beitrag Authentication Context: Sensible SharePoint-Sites besser absichern.

Führen Sie die Policy am besten schrittweise ein und beobachten Sie genau, was sie bewirkt. In vielen Projekten hat eine zu breite Aktivierung schnell Supporttickets nach sich gezogen, weil Nutzer plötzlich keinen Zugriff mehr auf gewohnte Inhalte hatten.

Site Access Reviews machen die regelmäßige Kontrolle zur Pflicht

Ebenfalls sehr nützlich sind die Site Access Reviews aus SharePoint Advanced Management. Sie stützen sich auf die Data-Access-Governance-Reports (DAG) und richten für ausgewählte Sites einen wiederkehrenden Prüfprozess ein. Die Site-Admins bestätigen dabei ausdrücklich, ob Mitglieder und Freigaben noch passen. Bei sensiblen Daten oder Projektsites, deren Teams häufig wechseln, ist das sehr hilfreich, um Schattenberechtigungen zu finden und zu entfernen. Eingerichtet werden die Reviews im SharePoint Admin Center unter „Sites“ → „Data Access Governance“ → „Access reviews“, eine SAM-Lizenz ist Voraussetzung (Dokumentation).

Praxistipp: Aktivieren Sie Site Access Reviews anfangs nur für hochsensible Sites oder solche, bei denen das Sharing auffällig ist. So hält sich der Aufwand zu Beginn in Grenzen, und die Admins nehmen das Verfahren eher an.

SAM erkennt inaktive Sites und bereinigt sie automatisch

Verwaiste oder inaktive Sites und OneDrives werden im Copilot-Kontext gern unterschätzt. Mit den Inactive Site Policies aus SAM legen Sie Schwellenwerte für Inaktivität fest und lösen automatische Aktionen aus, vom Reporting bis zur Archivierung oder Löschung. Auch diese Einstellungen nehmen Sie im SharePoint Admin Center vor. Gerade in über Jahre gewachsenen Umgebungen verkleinert das die Angriffsfläche für Datenlecks spürbar. Für OneDrives lassen sich vergleichbare Einschränkungen zentral festlegen. So bleiben persönliche Bereiche nicht jahrelang als Schattenarchive liegen, die im ungünstigsten Moment für Copilot oder die Suche sichtbar werden.

Sehen Sie sich vor der Aktivierung an, wie die Sites tatsächlich genutzt werden, damit keine geschäftskritische Site versehentlich auf der Abschussliste landet. Projekt- und Teamsites ruhen in vielen Tenants nach einer intensiven Phase oft lange und werden später doch wieder gebraucht.

Ein Diagramm zeigt das Zusammenspiel der Funktionen

In Workshops werde ich oft nach einer Übersicht gefragt, wie die einzelnen Kontrollmechanismen ineinandergreifen und was sie für Copilot bedeuten. Das folgende Diagramm stellt die Zusammenhänge dar:

flowchart TD
    A["SharePoint Advanced Management Funktionen"]
    B["Restricted Access Control Policy"]
    C["Site Access Review"]
    D["Inactive Site Policy"]
    E["OneDrive Zugriff beschränken"]
    F["Copilot for Microsoft 365 Zugriff"]
    A --> B
    A --> C
    A --> D
    A --> E
    B --> F
    C --> F
    D --> F
    E --> F

Abbildung: So wirken die SAM-Funktionen bei der Zugriffskontrolle für Copilot zusammen.

Im Verbund stellen diese Funktionen sicher, dass Copilot for Microsoft 365 nur auf Inhalte zugreift, die wirklich freigegeben sind und regelmäßig geprüft werden. Für Governance und Sicherheit ist das ein deutlicher Fortschritt.

Ohne SAM bleibt Copilot ein Risiko

Seit Copilot for Microsoft 365 verfügbar ist, sehe ich immer wieder Unternehmen, die mit klassischen Zugriffsmodellen an ihre Grenzen kommen. SharePoint Advanced Management ist kein Luxus mehr, sondern eine notwendige Investition, wenn man im Griff haben will, welche Daten im KI-Kontext auffindbar und nutzbar sind. Der zusätzliche Aufwand rechnet sich spätestens beim ersten echten Oversharing-Fall, den man nachträglich unterbinden oder nachvollziehen muss. Wer sich heute allein auf Berichte verlässt, reagiert zu spät. Wirkliche Kontrolle fängt bei passenden Policies und regelmäßigen Reviews an.

Weitere Erfahrungen und Empfehlungen zur Copilot-Readiness finden Sie in meinem Artikel Copilot for Microsoft 365: Die eigentliche Herausforderung ist der Tenant und in den offiziellen Ressourcen von Microsoft.