Copilot Security Check: Oversharing stoppen vor 2026-Rollout

Pexon Consulting | 8 Min. Lesezeit | 16.07.2026

TL;DR

Copilot überteilt keine Daten, Ihre Berechtigungen tun es. Microsoft 365 Copilot findet und zitiert alles, worauf ein Nutzer technisch Zugriff hat. Vor dem Rollout schließt ein Security Check die Berechtigungs- und Datensensitivitäts-Lücken. Pexon Consulting (80 Mitarbeiter, Microsoft-Partner, Deutschland) prüft das mit rund 0,5 Tagen Ihres Aufwands und liefert einen konkreten Remediation-Plan.

Das Problem: Copilot legt Ihre Berechtigungssünden offen

Der wichtigste Satz zu Copilot-Sicherheit 2026 lautet: Copilot hat nicht überteilt, Ihre Berechtigungen haben es. Das Tool erfindet keinen Zugriff. Es nutzt exakt die Rechte, die ein Mitarbeiter ohnehin hat, und macht damit sichtbar, was jahrelang unter dem Radar lag. Die Gehaltsliste im falsch berechtigten SharePoint, der Vertragsordner ohne Zugriffsschutz, das alte Team-Laufwerk für alle.

Ohne Copilot hätte niemand danach gesucht. Mit Copilot genügt eine harmlose Frage, und das Dokument taucht in der Antwort auf. Genau deshalb wird der Rollout für viele Organisationen zum Moment, in dem jahrelanges Oversharing auf einen Schlag zum Compliance-Risiko wird.

Dieser Artikel klärt drei Dinge: warum Oversharing das eigentliche Copilot-Risiko ist, was ein Security Check prüft, und welche Microsoft-Werkzeuge das Problem eindämmen.

Warum Oversharing das Copilot-Killerproblem ist

Die kurze Antwort: weil Copilot die Zugriffsrechte nicht verändert, sondern sie nur konsequent ausnutzt. SharePoint- und OneDrive-Berechtigungen bestimmen, was Copilot finden und zitieren darf. Sind die über Jahre gewachsen und nie aufgeräumt, wird jede zu weit vergebene Freigabe zur potenziellen Datenpanne.

In der Praxis entdecken die meisten Organisationen genau das erst im Pilot: überteilte Inhalte, die vor dem Rollout bereinigt werden müssen. Unsere klare Position: Diese Bereinigung gehört vor die Lizenzbestellung, nicht danach. Ein Copilot, der in einer ungeprüften Umgebung startet, ist kein Produktivitäts-Tool, sondern ein Auskunftsdienst über Ihre schlechtesten Berechtigungen. Wie eine saubere SharePoint-Wissensbasis aussieht, zeigt unser Praxisguide zu KI und SharePoint.

Was der Security Check prüft

Der Check kostet Sie rund einen halben Tag Mitwirkung und liefert einen priorisierten Remediation-Plan. Geprüft werden die Stellen, an denen Copilot am ehesten zu viel offenlegt:

1. Berechtigungs-Gaps: zu weit vergebene Zugriffe auf SharePoint und OneDrive.
2. Datensensitivität: wo fehlen Sensitivitätslabels auf vertraulichen Inhalten?
3. Hochrisiko-Sites: welche Bereiche gehören per Restricted Content Discovery aus dem Copilot-Index?
4. Audit-Setup: sind CopilotInteraction-Events und Aufbewahrung in Purview aktiv?
5. Governance-Lücken: fehlen Information Barriers zwischen Bereichen?

Der Security Check kostet 2.900 EUR. Gemessen an einer einzigen offengelegten Personal- oder Vertragsdatei ist das eine günstige Versicherung. Wir raten dringend dazu, diesen Schritt vor den Pilot zu ziehen, nicht als Nachbesserung, wenn das Kind bereits im Brunnen liegt.

Die Microsoft-Purview-Werkzeuge

Microsoft liefert die Werkzeuge, um Copilot einzuhegen, sie müssen nur konfiguriert sein. Purview ist dabei die zentrale Schaltstelle für Governance und Nachweis.

Wichtig: Restricted Content Discovery nimmt Hochrisiko-Sites aus dem Copilot-Index, während die Bereinigung läuft. Die Nutzer behalten ihren Zugriff, Copilot nicht. Das verschafft Zeit, ohne den Rollout zu blockieren. Dieser Governance-Rahmen zahlt zugleich auf die Pflichten des EU AI Act ein, dessen Kern seit dem 2. August 2026 anwendbar ist. Wie Sie Compliance strukturiert aufsetzen, zeigt unser Framework zum EU AI Act.

Reihenfolge: erst Security, dann Value

Die richtige Reihenfolge ist nicht verhandelbar: erst Berechtigungen und Datenhygiene prüfen, dann den Business Case rechnen, dann ausrollen. Wer den Security Check überspringt, spart einen halben Tag und riskiert einen Datenschutzvorfall am ersten produktiven Tag. Nach dem Check folgt die Wertfrage: Für welche Rollen rechnet sich Copilot überhaupt? Diese Business-Value-Klärung übernimmt der anschließende Workshop, den Sie im nächsten Schritt finden.

Häufig gestellte Fragen

Ist Microsoft 365 Copilot ein Sicherheitsrisiko?

Copilot selbst nicht, wohl aber ungeprüfte Berechtigungen. Das Tool nutzt exakt die Zugriffsrechte, die Nutzer ohnehin haben, und macht Oversharing damit sichtbar. Das Risiko entsteht aus jahrelang gewachsenen SharePoint- und OneDrive-Freigaben, nicht aus Copilot. Deshalb gehört ein Berechtigungs-Check vor den Rollout.

Was ist Restricted Content Discovery?

Eine Copilot-Funktion, mit der Administratoren Hochrisiko-SharePoint-Sites aus dem Copilot-Index ausschließen, während die Bereinigung läuft. Die Nutzer behalten ihren normalen Zugriff, Copilot kann die Inhalte aber nicht mehr finden oder zitieren. Das ist ein schneller Weg, akute Oversharing-Risiken zu entschärfen, ohne den Rollout zu stoppen.

Was kostet ein Copilot Security Check?

Bei Pexon 2.900 EUR, mit rund einem halben Tag Mitwirkung auf Kundenseite. Sie erhalten einen priorisierten Remediation-Plan für Berechtigungs-Gaps, fehlende Sensitivitätslabels, Hochrisiko-Sites und das Audit-Setup. Gemessen am Risiko einer einzigen offengelegten vertraulichen Datei ist das eine günstige Absicherung.

Reicht Microsoft Purview allein für Copilot-Sicherheit?

Purview liefert die Werkzeuge, Sensitivitätslabels, Audit Logs, Information Barriers und Data Lifecycle Management, aber sie müssen richtig konfiguriert und auf saubere Berechtigungen aufgesetzt sein. Ohne vorherige Bereinigung der Zugriffsrechte greift auch Purview zu kurz. Technik plus Datenhygiene, nur zusammen wirkt es.

Wann sollte der Security Check stattfinden?

Vor dem Pilot, nicht danach. Der Sinn ist, Oversharing zu finden, bevor Copilot es offenlegt. Ein Check nach dem Rollout ist Schadensbegrenzung statt Prävention. Die ideale Reihenfolge lautet: Security Check, dann Business-Value-Workshop, dann schrittweiser Rollout.

Nächster Schritt

Nach dem Security Check steht die Wertfrage: Für welche Rollen lohnt sich Copilot? Das klären wir im anschließenden Value-Workshop, damit Sie sicher und wirtschaftlich ausrollen.

Verwandte Themen