Microsoft 365 Copilot arbeitet innerhalb Ihrer bestehenden Berechtigungen. Das klingt beruhigend und wird in Verkaufsgesprächen genau so vorgetragen: Copilot zeigt niemandem etwas, worauf die Person nicht ohnehin Zugriff hätte.
Der Satz stimmt. Er ist trotzdem irreführend, weil er einen entscheidenden Unterschied unterschlägt: den zwischen theoretischem Zugriff und praktischem Auffinden.
Warum das einen Unterschied macht
In den meisten Organisationen sind über Jahre Berechtigungen gewachsen, die formal weit offen, praktisch aber folgenlos waren. Eine SharePoint-Bibliothek, die einmal für ein Projekt für „alle Mitarbeitenden“ freigegeben wurde. Ein Ordner, der bei einer Migration seine Einschränkung verloren hat. Ein Teams-Kanal aus einer Reorganisation, den niemand geschlossen hat.
Diese Inhalte waren technisch zugänglich, aber faktisch unsichtbar, weil niemand ihre Existenz kannte oder die richtigen Suchbegriffe hatte. Copilot beseitigt genau diese Hürde. Auf die harmlose Frage „Was verdienen Führungskräfte in unserer Einheit?“ liefert es eine Antwort, wenn die entsprechende Datei irgendwo offen liegt.
Copilot verändert Ihre Berechtigungen nicht. Es macht sichtbar, wie sie wirklich aussehen.
Die drei Fälle, die regelmässig auftauchen
- Personal- und Gehaltsdaten in Bereichsablagen, die weiter geöffnet sind als angenommen.
- Vertrauliche Vorhaben – Zukäufe, Restrukturierungen, Kündigungen – in Projektbereichen mit zu grosszügigen Mitgliederlisten.
- Alte Vertrags- und Preisdaten, die im Verkauf zu falschen Aussagen gegenüber Kunden führen.
Keiner dieser Fälle ist ein Angriff. Es sind normale Fragen normaler Mitarbeitender, die ein Tool auf eine unerwartete Antwort führen. Das macht sie schwer vorhersehbar – und für die betroffene Person unangenehm, denn sie hat nichts falsch gemacht.
Was vor der ersten Lizenz zu tun ist
Der Aufwand dafür ist überschaubar, wenn er vor dem Ausrollen stattfindet, und deutlich grösser danach.
- Prüfen Sie die weit geöffneten Freigaben: Wo ist „Jeder“ oder „Alle Mitarbeitenden“ berechtigt, und ist das noch gewollt?
- Nehmen Sie sensible Ablagen – Personal, Finanzen, Rechtsabteilung, Geschäftsleitung – gezielt aus dem Index oder schränken Sie sie sauber ein.
- Aktivieren Sie Vertraulichkeitskennzeichnungen für die Kategorien, die wirklich zählen, statt für zwanzig theoretische.
- Beginnen Sie mit einer begrenzten Gruppe, nicht mit dem ganzen Unternehmen, und sehen Sie sich nach vier Wochen an, was gefunden wurde.
- Klären Sie vorab, wer zuständig ist, wenn jemand etwas Unerwartetes findet – und stellen Sie sicher, dass das keine personellen Folgen für die meldende Person hat.
Der Fehler, der am meisten kostet
Der teuerste Fehler ist die gleichzeitige Zuteilung an alle. Er verwandelt ein beherrschbares Aufräumprojekt in einen Vorfall mit Beteiligung von Personalabteilung, Rechtsabteilung und Geschäftsleitung – und er beschädigt das Vertrauen in ein Tool, das Sie danach noch jahrelang einführen wollen.
Eine gestaffelte Einführung über drei bis vier Wellen kostet einige Wochen mehr. Sie erspart Ihnen mit hoher Wahrscheinlichkeit ein Gespräch, das Sie nicht führen möchten.
Der Nebeneffekt, der sich lohnt
Diese Vorarbeit ist keine verlorene Zeit. Eine bereinigte Berechtigungslandschaft zahlt auf Informationssicherheit, Datenschutz und jede spätere KI-Initiative gleichermassen ein. Viele Unternehmen berichten, dass die Copilot-Einführung der erste Anlass war, ein seit Jahren bekanntes Problem endlich anzugehen.
Das ist ein guter Grund, sie zu machen. Aber eben vorher.