Microsoft 365 Copilot soll Mitarbeitenden helfen, Informationen schneller zu finden, Dokumente zusammenzufassen und produktiver zu arbeiten. Doch genau diese Fähigkeit kann ein Problem sichtbar machen, das in vielen Unternehmen seit Jahren besteht: zu großzügig vergebene SharePoint-Berechtigungen.

Über die Zeit entstehen neue Teams, Projektordner, Benutzergruppen und Freigabelinks. Mitarbeitende wechseln ihre Aufgaben, externe Dienstleister kommen hinzu und abgeschlossene Projekte geraten in Vergessenheit. Die ursprünglichen Zugriffsrechte bleiben dabei nicht immer auf dem aktuellen Stand.

Für den Einsatz von Microsoft 365 Copilot ist das besonders relevant. Denn Copilot kann Informationen nutzen, auf die der jeweilige Mitarbeiter bereits zugreifen darf – auch wenn dieser Zugriff ursprünglich gar nicht mehr vorgesehen sein sollte.

Wir zeigen Ihnen, wie Sie SharePoint-Berechtigungen überprüfen, welche sieben Risiken häufig übersehen werden und was Ihre IT vor einer Copilot-Einführung beachten sollte.

SharePoint-Berechtigungen verwalten: So funktioniert die Prüfung

In SharePoint können Berechtigungen auf mehreren Ebenen vergeben werden: für eine gesamte Website, eine Dokumentenbibliothek, einzelne Ordner oder bestimmte Dateien.

Die Zugriffsverwaltung erfolgt dabei unter anderem über SharePoint-Gruppen, Microsoft-365-Gruppen und individuelle Freigaben.

Für eine erste Prüfung empfiehlt sich folgendes Vorgehen:

1. Websiteberechtigungen öffnen: Navigieren Sie auf der betreffenden SharePoint-Website über das Zahnrad zu den Websiteberechtigungen. Je nach Websitetyp finden Sie dort Besitzer, Mitglieder, Besucher und weitere Berechtigungsgruppen.
2. Mitgliedschaften kontrollieren: Prüfen Sie, welche Personen und Gruppen Zugriff besitzen. Bei mit Teams verbundenen Websites sollten Sie auch die zugehörigen Microsoft-365-Gruppen berücksichtigen.
3. Einzelne Inhalte überprüfen: Über „Zugriff verwalten“ können Sie bei ausgewählten Dateien und Ordnern bestehende Zugriffe und Freigabelinks einsehen.
4. Externe Freigaben prüfen: Im SharePoint Admin Center lassen sich mit den entsprechenden Administratorrechten Freigabeeinstellungen auf Organisations- und Websiteebene verwalten.
5. Auffälligkeiten dokumentieren: Halten Sie fest, welche Zugriffe überprüft werden sollten und wer die fachliche Entscheidung darüber treffen kann.

Eine solche Stichprobe verschafft eine erste Orientierung. Sie ersetzt jedoch keine vollständige Berechtigungsanalyse der Microsoft-365-Umgebung.

Warum Microsoft 365 Copilot bestehende Berechtigungen wichtiger macht

Ein häufiges Missverständnis lautet, Microsoft 365 Copilot würde automatisch Zugriff auf sämtliche Unternehmensdaten erhalten.

Das ist nicht der Fall.

Copilot berücksichtigt grundsätzlich die vorhandenen Benutzerberechtigungen und relevante Sicherheitskontrollen. Ein Mitarbeiter erhält durch die Nutzung von Copilot nicht einfach zusätzliche SharePoint-Zugriffsrechte.

Problematisch können aber Berechtigungen sein, die bereits vor der Copilot-Einführung zu weit gefasst waren.

Ein Beispiel:

In einer SharePoint-Website befinden sich vertrauliche Dokumente aus einem früheren Personalprojekt. Für die damalige Zusammenarbeit wurden einzelne Dateien mit einer größeren internen Benutzergruppe geteilt.

Das Projekt ist längst abgeschlossen. Die Freigaben bestehen jedoch weiterhin.

Ein Mitarbeiter, der technisch noch auf diese Inhalte zugreifen darf, könnte entsprechende Informationen unter den jeweiligen Voraussetzungen auch über Copilot finden.

Copilot hat in diesem Fall keine Zugriffsrechte umgangen. Die Berechtigungsstruktur war bereits vorher problematisch.

Genau deshalb ist die Überprüfung bestehender Freigaben ein wichtiger Bestandteil einer strukturierten Copilot-Vorbereitung.

7 häufige Risiken bei SharePoint-Berechtigungen

1. Zu große Benutzergruppen erhalten Zugriff auf sensible Daten

SharePoint ermöglicht es, Inhalte mit umfangreichen Benutzergruppen zu teilen.

Besondere Aufmerksamkeit verdient beispielsweise die Gruppe „Jeder außer externen Benutzern“ (Everyone except external users), die grundsätzlich interne Benutzer der Organisation umfasst.

Für allgemeine Unternehmensinformationen kann eine solche Berechtigung sinnvoll sein. Bei vertraulichen Vertragsunterlagen, Personaldaten oder internen Finanzinformationen sollte dagegen genau geprüft werden, ob dieser Zugriff notwendig ist.

Darauf sollten Sie achten:

• Welche Websites und Dokumente sind organisationsweit zugänglich?
• Befinden sich darunter vertrauliche Informationen?
• Benötigen tatsächlich alle berechtigten Personen diesen Zugriff?

Entscheidend ist nicht nur, wie viele Personen auf einen Inhalt zugreifen können, sondern ob sie diesen Zugriff für ihre Arbeit benötigen.

2. Alte Freigabelinks bleiben bestehen

Neben den regulären Websiteberechtigungen können SharePoint-Dokumente auch über Freigabelinks zugänglich gemacht werden.

Dabei gibt es unterschiedliche Freigabearten, beispielsweise Links für bestimmte Personen, für Personen innerhalb der Organisation oder – sofern erlaubt – für jeden mit dem Link.

Solche Möglichkeiten erleichtern die Zusammenarbeit. Gleichzeitig können Freigaben bestehen bleiben, obwohl ihr ursprünglicher Zweck längst entfallen ist.

Darauf sollten Sie achten:

• Welche externen und organisationsweiten Freigabelinks existieren?
• Werden anonyme Links tatsächlich benötigt?
• Sind geeignete Standardfreigaben und gegebenenfalls Ablaufregeln definiert?

Nicht jede breite Freigabe ist automatisch falsch. Wichtig ist, dass sie bewusst eingerichtet und regelmäßig überprüft wird.

3. Individuelle Berechtigungen machen die Struktur unübersichtlich

Standardmäßig können Inhalte in SharePoint ihre Zugriffsrechte von übergeordneten Bereichen erben.

Wird diese Vererbung unterbrochen, lassen sich individuelle Berechtigungen vergeben. Das ist technisch vorgesehen und in bestimmten Fällen sinnvoll.

Problematisch wird es, wenn sich über Jahre zahlreiche Sonderberechtigungen auf Ordner- und Dateiebene ansammeln.

Dann ist kaum noch auf den ersten Blick erkennbar, wer tatsächlich auf welche Informationen zugreifen darf.

Darauf sollten Sie achten:

• Welche Bibliotheken und Ordner besitzen eigene Berechtigungen?
• Gibt es individuell freigegebene sensible Dateien?
• Sind die Ausnahmen nachvollziehbar dokumentiert?

Je komplexer die Berechtigungsstruktur ist, desto aufwendiger wird eine zuverlässige Überprüfung.

4. Microsoft Teams und SharePoint werden getrennt betrachtet

Viele Unternehmen arbeiten täglich mit Microsoft Teams, ohne sich intensiv mit den dahinterliegenden SharePoint-Websites zu beschäftigen.

Dabei sind beide Dienste eng miteinander verbunden.

Dateien aus Standardkanälen werden beispielsweise in der zugehörigen SharePoint-Teamwebsite gespeichert. Private und freigegebene Kanäle nutzen eigene SharePoint-Websites mit entsprechend unterschiedlichen Zugriffsstrukturen.

Auch Microsoft-365-Gruppen beeinflussen, wer auf bestimmte Inhalte zugreifen kann.

Darauf sollten Sie achten:

• Welche Personen gehören zu den jeweiligen Teams und Microsoft-365-Gruppen?
• Welche privaten und freigegebenen Kanäle existieren?
• Werden Mitgliedschaften und Berechtigungen an der richtigen Stelle verwaltet?

Für eine vollständige Bewertung müssen Teams, SharePoint und die zugrunde liegenden Gruppen gemeinsam betrachtet werden.

5. Ehemalige Projektbeteiligte behalten Berechtigungen

Mitarbeitende wechseln Abteilungen, externe Dienstleister verlassen Projekte und Teams werden neu zusammengestellt.

Die Zugriffsrechte ändern sich dabei nicht immer automatisch im erforderlichen Umfang.

So können Berechtigungen bestehen bleiben, obwohl der geschäftliche Anlass dafür längst entfallen ist.

Darauf sollten Sie achten:

• Haben ehemalige Projektbeteiligte noch Zugriff auf relevante Inhalte?
• Werden externe Gastzugriffe regelmäßig kontrolliert?
• Gibt es einen geregelten Prozess für Rollenwechsel und Projektabschlüsse?

Idealerweise ist die Berechtigungsprüfung mit bestehenden IT- und Personalprozessen verknüpft.

6. Veraltete und sensible Dokumente liegen ungeordnet nebeneinander

Nicht jedes Problem entsteht unmittelbar durch eine falsche Berechtigung.

In vielen SharePoint-Umgebungen befinden sich aktuelle Arbeitsdokumente neben alten Entwürfen, Dubletten und nicht mehr benötigten Dateien.

Daneben bestehen unterschiedliche Schutzanforderungen: Ein allgemeines Produktdatenblatt muss anders behandelt werden als vertrauliche Kundeninformationen oder sensible Personaldaten.

Für Copilot spielt deshalb neben der Zugriffsstruktur auch die Qualität und Organisation der vorhandenen Informationen eine Rolle.

Darauf sollten Sie achten:

• Welche Informationen sind geschäftskritisch oder besonders sensibel?
• Sind die Dokumente aktuell und eindeutig zugeordnet?
• Gibt es veraltete oder widersprüchliche Informationsstände?
• Sind passende Aufbewahrungs- und Löschregeln definiert?

Ergänzende Werkzeuge wie Microsoft Purview können beim Informationsschutz unterstützen. Sie ersetzen aber nicht die fachliche Einordnung der vorhandenen Daten.

7. Niemand überprüft Berechtigungen regelmäßig

Vielleicht ist das größte Risiko nicht eine bestimmte SharePoint-Einstellung, sondern das Fehlen klarer Verantwortlichkeiten.

Berechtigungen werden einmal vergeben und anschließend nicht mehr systematisch überprüft.

Währenddessen verändert sich das Unternehmen: Neue Abteilungen entstehen, Projekte werden abgeschlossen und Mitarbeitende übernehmen andere Aufgaben.

Darauf sollten Sie achten:

• Hat jede relevante SharePoint-Website verantwortliche Besitzer?
• Gibt es feste Intervalle zur Überprüfung von Zugriffsrechten?
• Wer entscheidet fachlich, welche Berechtigungen notwendig sind?
• Wer setzt erforderliche Änderungen technisch um?

Ein funktionierendes Berechtigungsmanagement besteht nicht nur aus technischen Einstellungen. Es braucht ebenso nachvollziehbare Zuständigkeiten und wiederkehrende Prüfprozesse.

Praktischer SharePoint-Check: So erkennen Sie erste Auffälligkeiten

Sie müssen nicht sofort Ihre gesamte Microsoft-365-Umgebung analysieren, um erste mögliche Risiken zu erkennen.

Für eine kleine Bestandsaufnahme können Sie mit zwei ausgewählten SharePoint-Websites beginnen: einer regelmäßig genutzten Projektwebsite und einer Website mit vertraulichen Inhalten.

Schritt	Aufgabe
01 – Websites auswählen	Eine Projektwebsite und einen sensiblen Datenbereich bestimmen
02 – Zugriffe prüfen	Besitzer, Mitglieder, Besucher und Gruppenmitgliedschaften kontrollieren
03 – Freigaben untersuchen	Ausgewählte externe und organisationsweite Freigaben überprüfen
04 – Fachbereich einbeziehen	Klären, welche Personen tatsächlich Zugriff benötigen
05 – Ergebnisse dokumentieren	Auffälligkeiten, offene Fragen und Verantwortliche festhalten

Schon eine kleine Stichprobe kann interessante Fragen aufwerfen.

Wichtig ist jedoch, die Ergebnisse richtig einzuordnen: Eine unauffällige Stichprobe bedeutet nicht automatisch, dass sämtliche Berechtigungen im Tenant korrekt vergeben sind.

Für größere Umgebungen sind zusätzliche Analysen sinnvoll.

Sie möchten Ihre gesamte Copilot-Vorbereitung strukturiert angehen?

Unser kostenloses Copilot Preflight Kit enthält zwölf Prüfpunkte, eine Prioritätenmatrix und eine Vorlage für den ersten Pilot.

Copilot Preflight Kit kostenlos herunterladen

Welche Microsoft-Werkzeuge helfen bei der Berechtigungsanalyse?

Neben der manuellen Prüfung stehen Unternehmen verschiedene Microsoft-Werkzeuge zur Verfügung.

SharePoint Admin Center

Hier können berechtigte Administratoren unter anderem Websites und Freigabeeinstellungen verwalten und sich einen Überblick über relevante Websiteeigenschaften verschaffen.

SharePoint Advanced Management

SharePoint Advanced Management bietet erweiterte Funktionen zur Datenzugriffsgovernance. Dazu gehören, abhängig von Lizenzierung und Verfügbarkeit, Berichte über bestimmte Freigabe- und Berechtigungsstrukturen sowie Möglichkeiten zur Überprüfung von Websitezugriffen.

Microsoft Purview

Microsoft Purview ergänzt das Berechtigungsmanagement um Funktionen für Informationsschutz und Compliance. Vertraulichkeitsbezeichnungen und Data Loss Prevention können dabei helfen, den Umgang mit sensiblen Daten zu steuern.

Welche Werkzeuge und Funktionen zur Verfügung stehen, hängt von der jeweiligen Microsoft-365-Lizenzierung und Konfiguration ab.

Die technischen Möglichkeiten sind hilfreich. Die eigentliche Herausforderung bleibt aber, Auffälligkeiten zu bewerten und daraus sinnvolle Maßnahmen abzuleiten.

Wann ist Ihre IT bereit für Microsoft 365 Copilot?

Eine vollständige Neubewertung sämtlicher SharePoint-Berechtigungen ist nicht automatisch Voraussetzung für jeden begrenzten Copilot-Piloten.

Entscheidend ist vielmehr, ob die relevanten Risiken verstanden und angemessen berücksichtigt wurden.

Vor dem Start sollten IT-Verantwortliche mindestens folgende Fragen beantworten können:

• Sind die Zugriffsrechte der vorgesehenen Pilotnutzer ausreichend geprüft?
• Wurden besonders sensible SharePoint-Bereiche berücksichtigt?
• Gibt es klare Verantwortlichkeiten für offene Berechtigungsfragen?
• Sind technische Voraussetzungen, Datenschutz und Governance abgestimmt?
• Ist festgelegt, welche Anwendungsfälle getestet und wie die Ergebnisse bewertet werden?

Eine strukturierte Vorbereitung hilft dabei, Sicherheitsfragen frühzeitig zu klären und unnötige Nacharbeiten während der Einführung zu vermeiden.

Denn die erfolgreiche Einführung von Microsoft 365 Copilot hängt nicht allein davon ab, ob die passenden Lizenzen vorhanden sind.

Von der Berechtigungsprüfung zur erfolgreichen Copilot-Einführung

Die Prüfung bestehender SharePoint-Berechtigungen ist ein wichtiger erster Schritt. Für eine erfolgreiche Copilot-Einführung müssen jedoch weitere Bereiche zusammenpassen.

Dazu gehören technische Voraussetzungen, Microsoft-365-Konfiguration, Governance, Lizenzierung, geeignete Anwendungsfälle und ein nachvollziehbarer Rollout-Plan.

Genau hier unterstützt druckerfachmann.de.

Wir verbinden strategische Beratung mit technischer Umsetzung und begleiten Unternehmen von der ersten Bestandsaufnahme über die Planung bis zur Einführung.

Sie bringen Ihre IT-Verantwortlichen und bei Bedarf die Geschäftsführung ein. Unser Expertenteam unterstützt bei Analyse, Konzeption, Projektmanagement und technischer Umsetzung.

Kostenloser Discovery Flight: Ist Ihre IT bereit für Copilot?

Sie möchten wissen, welche Voraussetzungen in Ihrer Microsoft-365-Umgebung noch geklärt werden sollten?

In unserem kostenlosen Discovery Flight besprechen wir Ihre Ausgangssituation, die größten offenen Fragen und mögliche nächste Schritte für Ihr Copilot-Projekt.

Jetzt kostenlosen Discovery Flight anfragen

Häufige Fragen zu SharePoint-Berechtigungen und Copilot

Kann Microsoft 365 Copilot auf alle SharePoint-Dateien zugreifen?

Nein. Copilot berücksichtigt grundsätzlich die vorhandenen Benutzerberechtigungen und relevante Sicherheitskontrollen. Bereits zu weit gefasste Zugriffsrechte können jedoch dazu führen, dass sensible Inhalte für mehr Personen verfügbar sind als fachlich vorgesehen.

Wie kann ich SharePoint-Berechtigungen überprüfen?

Über die Websiteberechtigungen können berechtigte Personen Gruppen und Mitgliedschaften einsehen. Für einzelne Dateien und Ordner steht unter anderem die Funktion „Zugriff verwalten“ zur Verfügung. Ergänzend bietet das SharePoint Admin Center weitere Verwaltungsmöglichkeiten.

Was bedeutet „Jeder außer externen Benutzern“?

Diese spezielle Gruppe umfasst grundsätzlich interne Benutzer der Organisation, nicht jedoch externe Gäste. Entsprechende Berechtigungen sollten insbesondere bei sensiblen Inhalten sorgfältig geprüft werden.

Sind SharePoint- und Teams-Berechtigungen identisch?

Nicht immer. Microsoft Teams und SharePoint sind eng miteinander verbunden. Die Berechtigungsverwaltung hängt jedoch unter anderem vom jeweiligen Website- und Kanaltyp ab.

Müssen vor der Copilot-Einführung alle Berechtigungen neu aufgebaut werden?

Nein. Sinnvoll ist eine risikoorientierte Überprüfung. Besonders sensible Daten, auffällige Freigaben und relevante Benutzergruppen sollten dabei priorisiert werden. Eine vollständige Neuorganisation ist nicht grundsätzlich erforderlich.

Stand: November 2026. Dieser Beitrag bietet allgemeine Orientierung und ersetzt keine individuelle technische oder rechtliche Prüfung Ihrer Microsoft-365-Umgebung.