Microsoft 365 Copilot arbeitet mit den Berechtigungen der angemeldeten Person. Copilot nutzt nur Inhalte, auf die diese Person ohnehin Zugriff hat – findet und fasst sie aber weit schneller zusammen, als ein Mensch es könnte. Zu weit gefasste Berechtigungen, die bisher niemandem auffielen, werden damit über Nacht sichtbar. Eine sichere Einführung beginnt deshalb bei Daten und Identitäten, nicht bei den Lizenzen.
Planen Sie die folgenden Prüfungen als kurze Readiness-Phase ein, bevor die ersten Lizenzen zugewiesen werden. Die meisten Befunde – etwa zu weit gefasste Berechtigungen oder fehlende Labels – senken das Risiko auch unabhängig von Copilot.
Oversharing in SharePoint und OneDrive finden und beheben
SharePoint Advanced Management, das Microsoft mit den Copilot-Lizenzen bereitstellt, liefert dafür die wichtigsten Werkzeuge.
- Mit Data-Access-Governance-Berichten Websites finden, die für „Jeder außer externen Benutzern“ oder über weitreichende Freigabelinks geteilt sind
- Websitezugriffsüberprüfungen starten, damit Websitebesitzer Zugriffe bestätigen oder entfernen
- Mit Restricted Content Discovery risikoreiche Websites von Copilot ausnehmen, bis sie bereinigt sind
- Mit Restricted Access Control sensible Websites auf bestimmte Gruppen beschränken
- Ursachen beheben: Standardfreigabeeinstellungen, verwaiste Websites und fehlende Besitzer
Sensible Inhalte in Microsoft Purview klassifizieren und schützen
Vertraulichkeitsbezeichnungen (Sensitivity Labels) zeigen Copilot und Ihren Nutzenden, wie Inhalte zu behandeln sind. Definieren Sie eine kleine, verständliche Label-Struktur und versehen Sie neue Inhalte mit Standardbezeichnungen. Labels mit Verschlüsselung beschränken Copilot auf Personen mit den erforderlichen Nutzungsrechten. Verhindern Sie mit Purview Data Loss Prevention, dass sensible Informationen über Copilot-Interaktionen abfließen, und nutzen Sie Data Security Posture Management, um die KI-Nutzung im Unternehmen sichtbar zu machen. Stellen Sie sicher, dass Copilot-Prompts und -Antworten von Überwachung (Audit), Aufbewahrung und eDiscovery erfasst werden.
Identitäten in Microsoft Entra ID absichern
Copilot ist nur so sicher wie die Konten, die es nutzen. Ein kompromittiertes Konto verschafft Angreifern denselben schnellen Zugriff auf Inhalte wie der berechtigten Person.
- Mehrstufige Authentifizierung für alle Nutzenden verlangen, für Administratoren phishingresistente Verfahren
- Richtlinien für bedingten Zugriff durchsetzen, die Microsoft 365 und Copilot abdecken
- Legacy-Authentifizierung blockieren
- Privilegierte Rollen mit Just-in-Time-Zugriff und regelmäßigen Überprüfungen verwalten
- Gastkonten und ihren Zugriff auf Teams und SharePoint überprüfen
Konforme Geräte mit Microsoft Intune verlangen
Copilot-Antworten können sensible Inhalte enthalten – deshalb kommt es auch auf das Gerät an. Legen Sie Konformitätsrichtlinien in Intune fest und verlangen Sie über bedingten Zugriff konforme oder verwaltete Geräte. Für private Geräte eignen sich App-Schutzrichtlinien; schränken Sie Downloads sowie Kopieren und Einfügen auf nicht verwalteten Geräten ein.
Copilot-Studio-Agents steuern
In Copilot Studio erstellte Agents können sich mit Datenquellen verbinden und im Namen von Nutzenden handeln. Ohne Regeln verbreiten sie sich schnell und übernehmen die Risiken ihrer Ersteller.
- Festlegen, wer Agents erstellen und teilen darf und in welchen Umgebungen
- Datenrichtlinien für Konnektoren im Power Platform Admin Center festlegen
- Wissensquellen, Authentifizierung und die von Agents genutzten Berechtigungen prüfen
- Ein Inventar der Agents mit Verantwortlichen und Überprüfungszyklus führen
Nutzende schulen und klare Regeln setzen
Nutzende müssen wissen, worauf Copilot zugreifen kann, wie sie Ergebnisse prüfen und was nicht in Prompts gehört. Schulungen unterstützen zugleich die Maßnahmen zur KI-Kompetenz nach Artikel 4 der KI-Verordnung. Binden Sie den Betriebsrat frühzeitig ein: Technische Einrichtungen, die geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen, unterliegen der Mitbestimmung. Legen Sie fest, wie Nutzende fehlerhafte oder unangemessene Ergebnisse melden und wer sich darum kümmert. Beginnen Sie mit einer Pilotgruppe, werten Sie Auffälligkeiten aus und erweitern Sie den Zugang schrittweise.
Fidempli bewertet Ihre Copilot-Readiness und setzt diese Maßnahmen in Ihrem Tenant um; die Fidempli-Plattform, die im Dezember 2026 startet, verfolgt Copilot-Readiness und Agents dauerhaft.