SharePoint-Berechtigungen: Vor Copilot-Einführung im KMU prüfen

Microsoft 365 Copilot kann Informationen aus E-Mails, Teams-Chats, Sitzungen und Dateien schneller auffindbar machen. Für KMU ist das nützlich, solange die Dateiablage in Microsoft 365 sinnvoll geordnet ist. Deshalb sollten Unternehmen ihre SharePoint-Berechtigungen prüfen, bevor das KI-Tool Copilot flächendeckend im Alltag zum Einsatz kommt. Denn das eigentliche Risiko ist nicht Copilot an sich, sondern diejenigen Daten, die Mitarbeitenden bereits vor der Einführung einsehen können, die sie für ihre tägliche Arbeit gar nicht benötigen oder vertraulich sind.

Viele KMU mit 30 bis 50 Mitarbeitenden nutzen Microsoft 365 über die Jahre hinweg immer intensiver. Mit der Zeit kommen im M365-Universum immer mehr Teams, Kanäle, Projektordner, OneDrive- und SharePoint-Freigaben oder externe Gäste dazu. Das erleichtert die Zusammenarbeit, führt aber oft zu einer unübersichtlichen Ablage.

Herausforderung: Vertrauliche Dokumente mit Zugriff für Unberechtigte in vielen KMU

Mitarbeitende öffnen in der Regel jene Dateien, die sie kennen und für ihre aktuelle Funktion benötigen. Doch können vertrauliche Dokumente mitunter auch für Mitarbeitende sichtbar sein, die sie für ihre Arbeit nicht brauchen und für die sie keine Zugriffsberechtigung haben sollten. Gründe für diesen riskanten Missstand sind über Jahre gewachsene Freigaben, alte Projektmitgliedschaften und zu breit vergebene Gruppenberechtigungen, die nach Rollenwechseln oder Projektabschlüssen bestehen bleiben. Dabei ist den Mitarbeitenden oft gar nicht bewusst, dass diese Berechtigungen noch bestehen, weil sie die Unterlagen seit langer Zeit nicht mehr benötigen oder diese noch nie genutzt haben.

Microsoft 365 Copilot öffnet auch vertrauliche Dokumente – gemäss den Zugriffsberechtigungen

Ganz anders, wenn Microsoft Copilot zum Einsatz kommt. Dies verändert die Situation, denn Copilot kann Inhalte zusammenfassen, Fragen beantworten und Informationen aus verschiedenen Microsoft-365-Quellen verbinden. Dabei nutzt Copilot ausschliesslich jene Daten, auf die die angemeldete Person bereits Zugriff hat.

Das bedeutet: Copilot für Microsoft öffnet keine Dateien, für die ein Mitarbeitender keine Berechtigung besitzt. Er macht jedoch vorhandene Informationen schneller sichtbar. Das Problem: Wenn ein Unternehmen in SharePoint, Teams oder OneDrive zu grosszügige Freigaben oder nicht mehr aktuelle Zugriffsberechtigungen hinterlegt hat, macht Copilot diese Daten für die jeweiligen Nutzenden sichtbar oder auffindbar. Dies führt zu Schwierigkeiten bei der Governance im KMU. Deshalb lohnt sich vor der Einführung von Microsoft Copilot eine einfache, praxisnahe Prüfung der wichtigsten Ablagen und deren Zugriffsberechtigungen .

Warum die Prüfung der SharePoint-Berechtigungen vor Einführung von Copilot wichtig ist

Copilot arbeitet innerhalb der bestehenden Microsoft-365-Berechtigungen. Eine Mitarbeiterin sieht über Copilot also nur diejenigen Informationen, für die sie bereits Zugriff besitzt. Diese Logik schützt grundsätzlich vor unberechtigten Zugriffen. Sie löst aber kein Problem, das schon vorher bestanden hat: falsch vergebene oder nie aufgeräumte Berechtigungen.

Viele KMU teilen Dateien im Alltag pragmatisch. Ein Kunde braucht eine Präsentation. Ein externer Partner soll einen Projektordner sehen. Eine Stellvertretung erhält Zugriff auf eine Ablage. Diese Entscheidungen sind oft sinnvoll. Problematisch wird es, wenn solche Zugriffe nach Projektende, Rollenwechsel oder dem Austritt von Mitarbeitenden bestehen bleiben.

Vor der Einführung von Copilot für M365 sollte ein KMU deshalb nicht jede einzelne Datei technisch analysieren. Sinnvoller ist ein einfacher Blick auf die sensiblen Bereiche. Besonders wichtig sind HR, Finanzen, Geschäftsleitung, Kundenprojekte, Verträge und Offerten. Dort können falsche Zugriffe schnell zu Vertrauensverlust, internen Konflikten oder Datenschutzproblemen führen.

Welche Frage KMU zuerst beantworten sollten

Wer braucht im Arbeitsalltag welche Unterlagen und wer darf sie einsehen?

Diese Frage klingt einfach, bringt aber oft erstaunliche Ergebnisse. In vielen Unternehmen haben Mitarbeitende Zugriff auf alte Projektordner, frühere Kundendossiers oder vertrauliche Bereiche, weil niemand die Rechte nachträglich entfernt hat. Hinzu kommen externe Gäste, die für ein früheres, mittlerweile abgeschlossenes Projekt eingeladen waren und heute noch in Microsoft Teams oder SharePoint hinterlegt sind.

Für die Geschäftsleitung genügt zum Start eine kleine Übung. Sie erstellt eine Liste der wichtigsten Dateiverzeichnisse: Teams, SharePoint-Ordner, Projektordner und gemeinsam genutzte OneDrive-Ordner. Danach beantwortet eine verantwortliche Person pro Bereich drei Fragen:

• Welche Inhalte liegen hier?
  Handelt es sich um allgemeine Unterlagen oder um vertrauliche Daten?
  
  
• Wer hat Zugriff?
  Passen die berechtigten Personen noch zur heutigen Organisation?
  
  
• Wer braucht den Zugriff nicht mehr?
  Gibt es ehemalige Projektmitglieder, alte Gäste oder zu breite Gruppen?
  
  

Diese Prüfung braucht keine komplizierte Fachsprache. Sie verbindet den geschäftlichen Blick mit den technischen Einstellungen. Die Geschäftsleitung kennt die Vertraulichkeit der Daten. Der interne IT-Verantwortliche oder ein externer IT-Partner kann die Zugriffe in Microsoft 365 sichtbar machen und anpassen.

Welche typischen Fehler bei SharePoint-Berechtigungen auftreten

Die meisten Probleme entstehen durch Nachlässigkeit oder durch Wachstum. Ein KMU wächst von 15 auf 40 Mitarbeitende, neue Personen kommen dazu, in Microsoft Teams entstehen Teams für Kundenprojekte, externe Partner arbeiten mit oder einzelne Mitarbeitende wechseln die Funktion. Gleichzeitig halten viele Unternehmen an der ursprüngliche eingerichteten Dateiablage fest.

Ein häufiges Beispiel ist ein Ordner oder Team «Administration». Dort liegen Vorlagen, interne Listen, Lieferanteninformationen, vielleicht auch Lohnangaben oder vertrauliche Verträge. Weil dies praktisch ist, erhalten mehrere Personen Zugriff. Später nutzt Copilot dieselben Berechtigungen. Wenn eine Person heute Zugriff auf die vertraulichen Dokumente hat (auch ungewollt), kann Copilot diese Inhalte grundsätzlich in Antworten einbeziehen.

Ein weiteres Beispiel sind breite Freigabelinks. Eine Datei wurde mit einem Link geteilt, damit ein externer Partner sie rasch öffnen kann. Nach Abschluss der Zusammenarbeit bleibt der Link bestehen. Solche Links sind bequem, können aber zu lange aktiv bleiben.

Typische Risikosituationen im KMU-Alltag

• Ein Projektteam in Microsoft Teams enthält noch externe Gäste aus abgeschlossenen Projekten.
  
  
• HR-Dokumente liegen in einer allgemeinen Administrationsablage.
  
  
• Offerten mit Margeninformationen liegen im gleichen Ordner wie Kundenpräsentationen.
  
  
• Mitarbeitende behalten nach einem Rollenwechsel alte Zugriffe.
  
  
• Freigabelinks erlauben Bearbeitung, obwohl Leserechte ausreichen würden.
  
  
• Einige Teams in Microsoft Teams sind als öffentlich eingerichtet und stehen allen offen, obwohl nur wenige Personen sie benötigen.
  
  
  

Welche Dateien vor Copilot besonders geprüft werden sollten

Nicht alle Dateien benötigen den gleichen Schutz. Ein internes Merkblatt oder eine Vorlage für Sitzungsnotizen darf häufig allen Mitarbeitenden zur Verfügung stehen. Bei Löhnen, Arbeitsverträgen, Finanzdaten, Bankinformationen, strategischen Dokumenten oder Kundenverträgen sieht die Lage anders aus.

Ein KMU sollte zuerst jene Ablagen prüfen, bei denen ein falscher Zugriff geschäftlichen Schaden verursachen könnte. Diese Priorisierung macht die Aufgabe überschaubar. Danach lassen sich die Zugriffsregeln festlegen:

Wie KMU ihre SharePoint-Berechtigungen einfach prüfen

Für ein KMU eignet sich ein schlanker Ansatz. Die Prüfung sollte dort starten, wo sensible Daten liegen. Danach folgen die übrigen Bereiche. So bleibt der Aufwand realistisch und der Nutzen sofort sichtbar.

Der erste Schritt ist eine Liste der wichtigsten Ablagen. Dazu gehören nicht nur SharePoint-Ablagen und -Websites, sondern auch Teams, weil jedes Team in Microsoft Teams im Hintergrund eine SharePoint-Ablage nutzt. Auch OneDrive verdient Aufmerksamkeit, wenn Mitarbeitende dort geschäftliche Dateien mit anderen teilen.

Danach sollte jede Ablage eine verantwortliche Person erhalten. Diese Person entscheidet nicht technisch, sondern fachlich nach 3 Kriterien:

• Welche Personen brauchen Zugriff?

• Welche Personen brauchen ihn nicht mehr?

• Wo liegen vertrauliche Dateien noch am falschen Ort?
  
  
  

Pragmatischer Ablauf in 6 Schritten

1. Wichtigste Ablagen auflisten.
   HR, Finanzen, Geschäftsleitung, Administration, Verkauf und Kundenprojekte gehören an den Anfang.
   
   
2. Sensible Inhalte markieren.
   Vertrauliche Daten sollten nicht in allgemeinen Teams oder offenen Projektordnern liegen.
   
   
3. Mitglieder prüfen.
   Jede berechtigte Person sollte aktuell eine Aufgabe in diesem Bereich haben.
   
   
4. Externe Gäste prüfen.
   Gäste ohne laufenden geschäftlichen Grund sollten entfernt werden.
   
   
5. Freigabelinks kontrollieren.
   Links sollten möglichst an bestimmte Personen gehen und nicht breiter als nötig gelten.
   
   
6. Prüfung wiederholen.
   Eine Kontrolle alle sechs Monate genügt für viele kleinere KMU als guter Startpunkt.
   
   
   

Wann externe Unterstützung sinnvoll ist

Viele KMU können die fachliche Prüfung selbst übernehmen. Geschäftsleitung, HR, Finanzen und Projektverantwortliche wissen am besten, welche Daten sensibel sind. Technisch kann es jedoch schwierig sein, alle Zugriffe, Gäste und Freigabelinks in Microsoft 365 zu erkennen.

Externe Unterstützung lohnt sich, wenn das KMU Copilot bald einführen will, die SharePoint-Struktur über Jahre gewachsen ist oder keine interne IT-Fachperson vorhanden ist. Ein Microsoft-erfahrener IT-Dienstleister kann die bestehenden Berechtigungen auswerten, problematische Freigaben sichtbar machen und sinnvolle Anpassungen vorschlagen.

Für KMU im Wirtschaftsraum Zürich und in den Nachbarkantonen kann ein Anbieter wie care4IT unterstützend begleiten. Der Nutzen liegt nicht in einer übergrossen IT-Analyse, sondern in einer pragmatischen Prüfung: Welche Ablagen sind kritisch, welche Zugriffe sind zu breit und welche Anpassungen bringen vor dem Copilot-Start den grössten Nutzen?

Fazit: SharePoint-Berechtigungen einfach halten und regelmässig prüfen

Copilot ist für KMU ein wertvolles Instrument und seine Einführung kein Grund zur Panik. Die KI nutzt die bestehenden Microsoft-365-Berechtigungen und öffnet keine Dateien, auf die ein Mitarbeitender keinen Zugriff hat. Das eigentliche Thema liegt bei der heutigen Dateiablage. Wenn dort zu viele Personen zu viele Daten sehen können, macht Copilot dieses Problem sichtbarer.

Für KMU mit 30 bis 50 Mitarbeitenden reicht zum Start ein pragmatisches Vorgehen. Zuerst sind die Bereiche HR, Finanzen, Geschäftsleitung und vertrauliche Kundenprojekte zu prüfen. Danach folgen allgemeine Teams, externe Gäste und Freigabelinks. So entsteht eine überschaubare Grundlage für den sicheren Einsatz von Copilot.