Was auffindbar wird, muss richtig freigegeben sein.

Die Ablage nach Datenrisiko ordnen

Beginnen Sie mit Personalunterlagen, Finanzinformationen, Kundenverträgen und internen Kalkulationen. Notieren Sie je Site einen Eigentümer, den legitimen Nutzerkreis und die wichtigsten Freigabewege. Prüfen Sie besonders breite Gruppen und alte Projektmitgliedschaften. Die Aufgabe ist nicht, möglichst viele Ordner zu sperren, sondern beabsichtigte Zusammenarbeit und ungewollten Zugriff auseinanderzuhalten.

Auffindbarkeit, Webausschluss und Zugriff nicht verwechseln

Restricted Content Discovery und Restricted SharePoint Search ersetzen keine tatsächliche Berechtigungsprüfung. Seit dem 9. September dokumentiert Microsoft außerdem wieder den administrativen Ausschluss externer Domains aus der Copilot-Websuche: bis zu 1.000 Domains, standardmäßig nicht aktiviert. Das ist eine andere Kontrolle. Eine ausgeschlossene Webdomain sperrt keine SharePoint-Datei und korrigiert keine zu breite Gruppenmitgliedschaft. Dokumentieren Sie für jede Maßnahme, ob sie externe Webquellen, interne Auffindbarkeit oder den eigentlichen Datenzugriff begrenzt.

Beispiel: Vertrieb und interne Kalkulation trennen

Ein Vertriebsteam benötigt freigegebene Leistungsbeschreibungen und Kundenangebote, aber keine vertraulichen Personalkosten. Ordnen Sie diese Quellen klaren Zuständigkeiten und Gruppen zu. Testen Sie den gleichen Rechercheauftrag als Vertriebsnutzer und als berechtigte Führungskraft. Der Test enthält sowohl eine legitime Angebotsfrage als auch die gezielte Nachfrage nach der geschützten Kalkulation. Die erwartete Grenze wird vor dem Test dokumentiert.

Auch Ausnahmen und Änderungen testen

Prüfen Sie vererbte Rechte, Einzelfreigaben und den Austritt aus einer Projektgruppe. Wiederholen Sie die relevante Suche nach einer Berechtigungsänderung und berücksichtigen Sie dokumentierte Aktualisierungszeiten. Ein fehlendes Ergebnis kann außerdem eine unvollständige Wissensbasis bedeuten. Deshalb gehören zum Test immer positive Fälle, die weiterhin funktionieren müssen, und negative Fälle, die ausgeschlossen bleiben sollen.

Arbeitsvorlage: eine Rollen- und Quellenmatrix

Zeilen Ihrer Testmatrix sind die Nutzerrollen, Spalten sind konkrete Quellen. Markieren Sie je Kombination „erlaubt“, „nicht erlaubt“ oder „noch zu klären“. Verknüpfen Sie jede Kombination mit einer typischen Frage und dem erwarteten Ergebnis. Damit lässt sich eine Rechteänderung gezielt nachtesten. Verwenden Sie kontrollierte Testkonten und geeignete Testinhalte; sensible Dokumente werden nicht für bequemere Demonstrationen weiter freigegeben.

• Positive Prüfung: die berechtigte Rolle erhält eine belegte Antwort.
• Negative Prüfung: die unberechtigte Rolle erhält keine geschützten Details.

Rechtepflege als laufenden Prozess übergeben

Eine einmal bereinigte Ablage bleibt ohne Zuständigkeit nicht dauerhaft sauber. Verbinden Sie Projektabschluss, Rollenwechsel und neue sensible Inhalte mit einer erneuten Freigabeprüfung. Der KI-Systemcheck kann die besonders kritischen Datenwege priorisieren; die anschließende Umsetzung dokumentiert Maßnahmen, Testergebnisse und offene Restpunkte. So entsteht eine konkrete Grundlage für den Rollout statt einer unprüfbaren Aussage, Copilot sei nun „sicher“.