Wenn Copilot plötzlich zu viele Dateien findet

Warum die Rechte plötzlich sichtbar werden

Die Berechtigungen sind nicht neu. Neu ist, dass die Suche über den ganzen Bestand geht, ohne dass jemand wissen muss, wo eine Datei liegt oder wie sie heißt. Bisher hat die Ordnerstruktur als zusätzliche Hürde gewirkt: Auf die Personalablage hatte man vielleicht Zugriff, aber man hätte sie nie durchsucht. Ein Assistent, der eine Frage in natürlicher Sprache in eine Suche über alles Zugängliche übersetzt, entfernt genau diese Hürde.

Der zweite Verstärker ist die Zusammenfassung. Selbst wenn jemand eine dreißigseitige Datei nie gelesen hätte, liefert der Assistent den Kern in zwei Sätzen, mit Verweis auf die Quelle. Aus einer theoretisch erreichbaren Datei wird damit eine tatsächlich gelesene Information.

Wo die zu breiten Freigaben herkommen

Vier Muster tauchen in fast jedem gewachsenen Bestand auf. Erstens Freigabelinks für alle in der Organisation, weil das über Jahre der schnellste Weg zum Ziel war. Zweitens Sites, deren Mitgliederkreis mit jedem Projekt gewachsen ist und nie zurückgesetzt wurde. Drittens Berechtigungsgruppen, die alle Beschäftigten enthalten und irgendwann einer Bibliothek zugewiesen wurden. Viertens Sites ohne Besitzer, weil die verantwortliche Person das Unternehmen verlassen hat und niemand die Nachfolge geregelt hat.

Dazu kommen die persönlichen Ablagen. Was jemand aus seinem OneDrive für Kolleginnen und Kollegen freigegeben hat, ist damit im Bestand, und genau dort liegen typischerweise Entwürfe, alte Angebotsversionen und Gesprächsnotizen, nicht auf einer sauber verwalteten Site.

Finden lassen sich diese Muster mit den Data-Access-Governance-Berichten aus SharePoint Advanced Management. Sie zeigen unter anderem, auf welchen Sites besonders viele neue Freigabelinks entstehen, wo Inhalte für „Jeder außer externen Benutzern“ freigegeben sind und wie die Vertraulichkeitsbezeichnungen über die Sites verteilt sind. Aus einem solchen Bericht heraus lässt sich eine Überprüfung durch die Site-Besitzer anstoßen, sodass die Arbeit nicht allein in der IT hängen bleibt.

Kennzeichnung wirkt nur mit Verschlüsselung

Vertraulichkeitsbezeichnungen aus Microsoft Purview, im Alltag oft Kennzeichnungen genannt, sind das eigentliche Werkzeug, aber nur, wenn die Kennzeichnung auch Rechte durchsetzt. Eine Kennzeichnung, die lediglich eine Markierung in der Kopfzeile setzt, ändert am Zugriff nichts und damit auch nichts daran, was der Assistent findet. Eine Kennzeichnung mit Verschlüsselung und festgelegten Nutzungsrechten greift dagegen, weil der Zugriff auf den Inhalt selbst geregelt ist.

Für den Rollout heißt das: Kennzeichne zuerst die Bereiche, in denen eine Verwechslung teuer wird, also Personal, Recht, Gehalt, Verträge und laufende Verhandlungen. Automatische Kennzeichnung nach Inhaltsmustern hilft beim Bestand, sollte aber erst im Simulationsmodus laufen, bevor sie scharf geschaltet wird, sonst verschließt sie Dateien, die jemand gerade braucht.

Generierte Inhalte erben die Einstufung der Quellen, die der Assistent verwendet hat. Wer eine Zusammenfassung aus vertraulichen Dokumenten erzeugt, bekommt ein entsprechend eingestuftes Ergebnis. Das ist erwünscht, überrascht aber Leute, die nicht verstehen, warum ihr frisch erzeugtes Dokument plötzlich Einschränkungen trägt. Dieser Punkt gehört in die Einführungskommunikation.

Gestaffelt starten statt für alle gleichzeitig

Ein Rollout an die ganze Belegschaft am selben Tag verhindert die einzige Rückmeldung, die wirklich zählt: Welche Funde überraschen die Leute? Fang mit einer kleinen Gruppe an, in der jemand aus der IT, jemand aus Personalabteilung oder Betriebsrat und jemand aus einer Fachabteilung sitzt, und richte einen klaren Meldeweg für unerwartete Treffer ein.

Für die Übergangszeit lässt sich die Auffindbarkeit einzelner Sites einschränken, Microsoft nennt die Funktion Restricted Content Discovery. Deren Inhalte tauchen dann weder in den Antworten des Assistenten noch in der organisationsweiten Suche auf. An den Berechtigungen ändert das nichts: Wer Zugriff hat, kommt weiterhin direkt an die Dateien, und was jemand selbst angelegt oder kürzlich geöffnet hat, bleibt für ihn auffindbar. Die Einstellung gilt nur für SharePoint-Sites, nicht für OneDrive, und braucht bei großen Sites Zeit, bis sie überall greift. Das ist keine Dauerlösung, weil jede ausgenommene Site auch den Nutzen schmälert, aber es kauft die Zeit, die das Aufräumen braucht. Wichtig ist, dass die Einschränkung mit einer Aufräumliste und einem Enddatum verbunden ist, sonst bleibt sie für immer.