Microsoft 365 Copilot einführen und absichern

Der Unterschied zu jedem anderen Software-Rollout

Wenn du eine neue App im Unternehmen einführst, ist das Risiko meistens überschaubar: falsche Konfiguration, ein paar Supporttickets, fertig. Bei Microsoft 365 Copilot ist das anders, und zwar aus einem einzigen Grund: Copilot findet alles, was die anmeldete Person theoretisch schon finden könnte – nur eben viel schneller und viel gründlicher.

Copilot erhält dabei keine neuen Zugriffsrechte. Er respektiert exakt die Berechtigungen, die in Microsoft Entra ID, SharePoint und Exchange Online bereits hinterlegt sind. Das Problem ist nicht Copilot selbst, sondern das, was in den meisten Unternehmen seit Jahren unter dem Radar gewachsen ist: SharePoint-Seiten mit “Jeder in der Organisation”-Freigaben, alte Freigabelinks, Ordner, auf die eigentlich niemand mehr zugreifen sollte, die aber nie aufgeräumt wurden. Copilot deckt diese Altlasten nicht auf, weil er einen Fehler macht – sondern weil er seine Arbeit richtig macht.

Lizenzen und Voraussetzungen

Bevor du überhaupt über Rollout-Phasen nachdenkst, brauchst du die passenden Lizenzen. Wichtig: Es gibt zwei völlig unterschiedliche Dinge, die beide “Copilot” heissen.

Als Basis-Lizenz reichen unter anderem folgende Abos aus, um das Copilot-Add-on überhaupt zubuchen zu können: Microsoft 365 Business Basic/Standard/Premium, Microsoft 365 Apps for Business/Enterprise, Microsoft 365 E3/E5, Office 365 E1/E3/E5 sowie reine Exchange-, SharePoint- oder Teams-Pläne. Für Bildungseinrichtungen gibt es eigene A1/A3/A5-Varianten, für Behörden GCC/GCC-High/DoD-Pläne.

Technische Voraussetzungen, die IT gerne übersieht:

• Microsoft Entra ID-Konten für alle Copilot-Nutzenden (kein reines On-Premises-AD ohne Sync)
• Primäres Postfach in Exchange Online – Copilot funktioniert nicht auf Archiv-, Gruppen- oder reinen Shared Mailboxes
• WebSocket-Konnektivität (WSS) zu *.cloud.microsoft und *.office.com – TLS-Inspection oder aggressive Proxy-Timeouts brechen Copilot-Features
• OneDrive aktiviert, sonst fehlen Dateiwiederherstellung und einige Copilot-Funktionen
• Office Feature Updates Task muss regelmässig laufen können, sonst bleiben Word/Excel/PowerPoint-Copilot aus

Der wichtigste Schritt: Datenhygiene vor dem Rollout

Copilot arbeitet über Microsoft Graph mit einem sogenannten semantischen Index, der Inhalte aus SharePoint, OneDrive, Teams-Chats, E-Mails und Kalendern für die anmeldete Person durchsuchbar macht. Der Zugriff bleibt dabei immer auf das beschränkt, was die Person laut Berechtigung sehen darf – aber genau hier liegt die Krux: In den meisten Tenants ist “was jemand laut Berechtigung sehen darf” viel grösser, als irgendjemand vermutet.

Typische Altlasten, die über Jahre entstehen:

• SharePoint-Seiten, die beim Erstellen versehentlich für “Jeder in der Organisation” statt für ein bestimmtes Team freigegeben wurden
• Freigabelinks vom Typ “Jeder mit dem Link”, die nie ein Ablaufdatum bekamen
• Ehemalige Projektordner, auf die noch Dutzende Personen Zugriff haben, obwohl das Projekt seit Jahren abgeschlossen ist
• OneDrive-Freigaben einzelner Mitarbeitender an “die ganze Abteilung”, weil das im Moment einfacher war als eine gezielte Freigabe

Vor dem Rollout brauchst du eine ehrliche Bestandsaufnahme. Microsoft stellt dafür SharePoint Advanced Management (SAM) mit den sogenannten Data Access Governance (DAG) Reports bereit.

# Verbindung zu SharePoint Online herstellen (ohne -Credential, Best Practice)
Connect-SPOService -Url https://contoso-admin.sharepoint.com

# Bericht anstossen: Wie viele Personen haben Zugriff auf welche Site?
Start-SPODataAccessGovernanceInsight -ReportEntity PermissionedUsers `
  -ReportType Snapshot -Workload SharePoint -CountOfUsersMoreThan 100 `
  -Name "Oversharing-Check-vor-Copilot"

# Status des Berichts abfragen (Report-ID aus der vorigen Ausgabe)
Get-SPODataAccessGovernanceInsight -ReportEntity PermissionedUsers

# Fertigen Bericht als CSV herunterladen
Export-SPODataAccessGovernanceInsight -ReportID "<report-id>" `
  -DownloadPath "C:\Copilot-Readiness\Reports"

Zusätzlich lohnt sich ein Blick auf zwei spezifische Reports:

• Sharing-Links-Reports: zeigen, welche Sites in den letzten 28 Tagen die meisten neuen “Jeder mit dem Link”-Freigaben erzeugt haben
• “Everyone except external users” (EEEU)-Insights: zeigen Sites und Dateien, die faktisch für die gesamte Organisation sichtbar sind – oft der grösste Einzelfaktor für ungewolltes Copilot-Oversharing

Rollout in Phasen

Ein strukturierter Rollout reduziert das Risiko drastisch. Bewährt hat sich ein vierstufiges Modell:

Absicherung: Technische Leitplanken

Neben der reinen Berechtigungshygiene gibt es eine Reihe konkreter Schutzmechanismen, die du vor oder parallel zum Rollout aktivieren solltest:

• Conditional Access & MFA: Copilot respektiert bestehende Conditional-Access-Richtlinien und Multi-Faktor-Authentifizierung vollständig. Wer noch keine MFA-Pflicht hat, sollte sie spätestens jetzt einführen – siehe dazu Entra ID Grundlagen.
• Restricted Content Discovery (RCD): Erlaubt es, bestimmte hochsensible Sites oder Dateien gezielt aus Copilot- und Agenten-Antworten auszuschliessen, auch wenn die Berechtigung technisch vorhanden wäre.
• Restricted SharePoint Search (RSS): Schränkt ein, welche Inhalte über die organisationsweite Suche und damit auch über Copilot überhaupt auffindbar sind.
• Sensitivity Labels & Microsoft Purview: Klassifizierte Dokumente (z. B. “Vertraulich – Nur Finanzabteilung”) lassen sich über Data-Loss-Prevention-Richtlinien vor dem Erscheinen in Copilot-Antworten schützen.
• Site-Access-Reviews: Aus einem DAG-Report heraus kannst du direkt eine Überprüfung an Site-Owner delegieren.

# Site-Access-Review aus einem DAG-Report anstossen
Start-SPOSiteReview -ReportID "<report-id>" -SiteID "<site-id>" `
  -Comment "Bitte Zugriffsrechte vor Copilot-Rollout prüfen"

Schulung und Adoption

Die beste Absicherung nützt nichts, wenn niemand weiss, wie man Copilot sinnvoll nutzt oder wo seine Grenzen liegen. Drei Bausteine haben sich in der Praxis bewährt:

1. Basis-Schulung für alle: Was Copilot kann, was nicht, und warum eine Antwort auch mal falsch oder veraltet sein kann (Copilot ist nicht vor Halluzinationen gefeit – siehe Warum KI halluziniert).
2. Champions-Programm: Ein bis zwei Personen pro Abteilung, die vertiefte Prompting-Kenntnisse aufbauen und als erste Anlaufstelle für Kolleg:innen dienen. Konkrete Prompt-Beispiele findest du in Prompting Grundlagen.
3. Realistische Erwartungen kommunizieren: Copilot ersetzt keine fachliche Prüfung von Zahlen, Verträgen oder rechtlichen Aussagen. Es beschleunigt Entwürfe, Zusammenfassungen und Recherche – die letzte Kontrolle bleibt bei der Person.

Entscheidungsbaum: Bist du bereit für den Rollout?

Hast du einen DAG-Snapshot-Report für SharePoint & OneDrive?
│
├─ NEIN → Start-SPODataAccessGovernanceInsight ausführen,
│         bis zu 5 Tage einplanen. Noch nicht ausrollen.
│
└─ JA → Zeigt der Bericht Sites mit "Jeder in der Organisation"
        oder auffällig vielen berechtigten Personen?
        │
        ├─ JA → Site-Access-Reviews anstossen, EEEU bereinigen,
        │       danach erneut prüfen
        │
        └─ NEIN → Existiert eine KI-Nutzungsrichtlinie
                  und ein Schulungsplan?
                  │
                  ├─ NEIN → Richtlinie zuerst festlegen
                  │
                  └─ JA → Pilot mit 10-25 Personen starten

Checkliste für den Copilot-Rollout

• Passende Basis-Lizenz und Copilot-Add-on für Pilotgruppe beschafft
• Netzwerk-/WSS-Anforderungen und Office Feature Updates Task geprüft
• DAG-Snapshot-Report für SharePoint und OneDrive erstellt und ausgewertet
• Auffällige EEEU- und Sharing-Link-Freigaben bereinigt oder Reviews angestossen
• Conditional Access & MFA für alle Copilot-Nutzenden aktiv
• Sensitivity Labels und DLP-Richtlinien für vertrauliche Inhalte definiert
• KI-Nutzungsrichtlinie kommuniziert und Champions benannt
• Pilotgruppe definiert, Feedback-Kanal eingerichtet

Weiterlernen

• Microsoft Learn: Lizenzoptionen für Microsoft 365 Copilot
• Microsoft Learn: App- und Netzwerkanforderungen für Microsoft 365 Copilot
• Microsoft Learn: Wie Microsoft 365 Copilot funktioniert (Architektur)
• Microsoft Learn: SharePoint Advanced Management Übersicht
• Microsoft Learn: Data Access Governance Reports per PowerShell verwalten
• Microsoft: Vorbereitung auf Microsoft 365 Copilot mit SharePoint Advanced Management

Verwandte Themen: M365 Übersicht · Entra ID Grundlagen · KI im KMU: Einstieg · KI-Sicherheit im Unternehmen