Übermäßige Freigaben vor Copilot finden und beheben: SharePoint, OneDrive und Teams

Microsoft 365 Copilot verankert seine Antworten in den Inhalten, für die der angemeldete Benutzer bereits eine Zugriffsberechtigung hat. Es umgeht keine Berechtigungen und vergibt keinen neuen Zugriff. Es verarbeitet nur die Dateien, E-Mails und Chats, die diese Person ohnehin schon erreichen konnte, und erbt damit genau das Zugriffsmodell, das Sie heute haben. Genau deshalb werden übermäßige Freigaben in dem Moment sichtbar, in dem Sie es einschalten. Inhalte, die nur durch Unauffälligkeit geschützt waren, ein Dokument, von dem niemand ahnte, dass es mit der ganzen Organisation geteilt wurde, werden über eine einzige Anfrage in natürlicher Sprache auffindbar. Übermäßige Freigaben in SharePoint, OneDrive und Teams zu finden und zu beheben, bevor Sie Copilot aktivieren, ist daher eine Bereitschaftsaufgabe und keine optionale Bereinigung, die Sie aufschieben können.

Für einen IT-Administrator oder eine Sicherheitsverantwortliche, die einen Rollout vorbereiten, und für Managed-Service-Betreiber, die das über Kunden-Tenants hinweg tun, ist die Sorge dieselbe: Ein Wildwuchs an Berechtigungen, der über Jahre still gewachsen ist, kann über Nacht zutage treten. Dieselbe Plattform, die ihn sichtbar macht, gibt Ihnen auch die Werkzeuge, ihn zuerst zu finden und zu beheben.

Warum Copilot übermäßige Freigaben sichtbar macht

Der Datenzugriff von Copilot ist immer auf die Berechtigungen des angemeldeten Benutzers begrenzt. Microsofts Architekturdokumentation stellt ausdrücklich klar, dass es nur Daten präsentiert, auf die jede Person bereits zugreifen kann, und dass der Grounding-Index die identitätsbasierte Zugriffsgrenze wahrt, sodass es nie Inhalte erreicht, die der Benutzer nicht selbst öffnen könnte. OneDrive folgt derselben Regel: Weil OneDrive im Hintergrund auf SharePoint Online läuft, gelten Ihre SharePoint-Freigaberichtlinien auf Tenant-Ebene auch für OneDrive, und Copilot zeigt OneDrive-Dateien nur im Rahmen der bestehenden Berechtigungen des Benutzers.

Copilot schafft also kein neues Risiko; es verändert die Geschwindigkeit der Entdeckung. Zu weit geteilte Inhalte blieben früher praktisch verborgen, weil man zum Auffinden wissen musste, wo man suchen soll, und sich Site für Site durchklicken musste. Copilot löst diese Reibung auf: Eine Anfrage wie "fasse unsere aktuellen Umstrukturierungspläne zusammen" zieht aus jedem zugänglichen passenden Dokument, auch aus einem, das weit breiter geteilt wurde als beabsichtigt. Die Berechtigung war immer zu weit gefasst; Copilot macht es nur leicht, das zu bemerken.

Woher übermäßige Freigaben kommen

Übermäßige Freigaben entstehen selten aus einem einzigen Fehler. Sie sammeln sich aus alltäglicher Zusammenarbeit an, und eine Handvoll Muster macht den Großteil davon aus.

• Freizügige Standardwerte für Freigabelinks. SharePoints Freigabeeinstellungen sind ab Werk freizügig, damit Zusammenarbeit sofort funktioniert. Ungeprüft belassen, verbreiten "Jeder"-Links, die keine Anmeldung brauchen, und "Personen in Ihrer Organisation"-Links den Zugriff weit über die ursprünglichen Empfänger hinaus.
• Der Anspruch "Everyone except external users". EEEU ist eine integrierte Gruppe, die automatisch jeden internen Benutzer einschließt. Wenn eine Site auf öffentlich gesetzt oder eine Datei direkt mit EEEU geteilt wird, werden ihre Inhalte für die gesamte Organisation sichtbar.
• Organisationsweite Teams. Ein organisationsweites Team in Microsoft Teams schließt automatisch jeden Benutzer ein und hält diese Mitgliedschaft aktuell, wenn Personen dazukommen und gehen. Jedes Team wird von einer SharePoint-Site gestützt, sodass alles dort Gespeicherte für jeden erreichbar ist.
• Sites ohne Eigentümer und inaktive Sites. Sites, deren Eigentümer weitergezogen sind oder die seit Monaten niemand angefasst hat, geraten aus der Überprüfung, während ihre Berechtigungen aktiv bleiben.
• Unterbrochene Berechtigungsvererbung. Sobald eine Bibliothek, ein Ordner oder eine Datei eigene Berechtigungen erhält, folgt sie nicht mehr der Site, und in diesen Ausnahmen versteckt sich unerwarteter Zugriff.

Wie man sie findet

Beim Aufspüren zeigt SharePoint Advanced Management (SAM) seinen Wert. SAM ist enthalten, sobald mindestens eine Microsoft 365 Copilot Lizenz im Tenant zugewiesen ist, sodass das Reporting, das Sie für die Bereitschaft brauchen, mit dem Rollout selbst kommt.

Beginnen Sie im SharePoint Admin Center. Die Berichte zur Datenzugriffs-Governance sind darauf ausgelegt, diese Muster zu finden: Eine Momentaufnahme des Berechtigungszustands zeigt, wie breit Sites und OneDrive-Konten exponiert sind, Berichte zur Freigabelink-Aktivität heben hervor, wo die meisten "Jeder"- und organisationsweiten Links erstellt werden, der EEEU-Insights-Bericht findet mit jedem geteilte Inhalte, und eine Momentaufnahme der Vertraulichkeitsbezeichnungen zeigt, wo Bezeichnungen angewendet sind und wo nicht. Das Content Management Assessment führt diese Signale zusammen, um Sites mit überdimensionierten Zielgruppen, EEEU-Nutzung, unterbrochener Vererbung und inaktivem oder eigentümerlosem Status zu kennzeichnen.

Weil Compliance-Regeln bedeuten, dass IT-Administratoren keine Details auf Dateiebene sehen können, ist der schnellste Weg, auf diese Berichte zu reagieren, Site-Zugriffsüberprüfungen zu starten. Das übergibt die Überprüfung einer zu weit geteilten Site an die Personen, die ihren Inhalt kennen, die Site-Eigentümer, die überschüssigen Zugriff selbst entfernen. Sie können Überprüfungen für bis zu 100 Sites aus einem Bericht starten und PowerShell für größere Stapel nutzen. Um Freigabe gegen Vertraulichkeit abzuwägen, kennzeichnen die Datenrisikobewertungen von Microsoft Purview Data Security Posture Management zu weit geteilte Sites, die auch sensible Daten enthalten, wo Ihr Risiko mit höchster Priorität liegt.

Wenn ein Rollout-Termin nahe ist und Sie Luft zum Atmen brauchen, ist Restricted SharePoint Search die Zwischenkontrolle. Sie beschränkt die organisationsweite Suche und Copilot auf eine Zulassungsliste von Sites, die Sie bereits geprüft haben, während Sie den Rest bereinigen. Behandeln Sie sie als vorübergehend: Microsoft stellt klar, dass sie keine Sicherheitsgrenze ist und keine Berechtigungen ändert, und Benutzer erreichen weiterhin Inhalte, die sie besitzen oder kürzlich geöffnet haben. Schalten Sie sie aus, sobald die zugrunde liegenden Berechtigungen behoben sind. Für die breitere Menge an Bereitschaftssignalen, die neben übermäßigen Freigaben zu erfassen sind, deckt die Checkliste zum Microsoft 365 Copilot Bereitschafts-Assessment Lizenzierung, Governance und Adoption im selben Durchgang ab.

Von der Entdeckung übermäßiger Freigaben zu einem kontrollierten Copilot-Rollout.

Wie man sie behebt

Behebung funktioniert am besten in Prioritätsreihenfolge: zuerst die Exposition schnell verringern und dann Lücken dauerhaft schließen.

1. Freigabelink-Richtlinien verschärfen. Legen Sie im SharePoint Admin Center unter Richtlinien und dann Freigabe einen konservativeren Standard-Linktyp wie "Bestimmte Personen" oder "Nur Personen in Ihrer Organisation" fest und versehen Sie alle "Jeder"-Links mit einem Ablaufdatum. Eine Site kann strenger als der Organisationsstandard eingestellt, aber nie freizügiger gemacht werden, sodass die Tenant-Einstellung Ihre Sicherheitsuntergrenze ist.
2. Überprüfungen auf Site-Ebene mit Eigentümern durchführen. Nutzen Sie Site-Zugriffsüberprüfungen, damit Eigentümer Freigabelinks neu zuschneiden, den EEEU-Anspruch aus Gruppen und Elementen entfernen und unterbrochene Vererbung korrigieren. Wo eine Site sensible Inhalte enthält, kann Restricted Access Control sie auf eine benannte Sicherheitsgruppe begrenzen, sodass nur diese Mitglieder, und ihr Copilot, sie erreichen können.
3. Mit Purview klassifizieren und schützen. Wenden Sie Vertraulichkeitsbezeichnungen auf Ihre sensibelsten Sites und Inhalte an. Copilot respektiert den Bezeichnungsschutz, sodass eine bezeichnete und verschlüsselte Datei in seinen Antworten berücksichtigt wird, und Data Loss Prevention für Copilot kann sensible Inhalte vollständig aus dem Grounding heraushalten, während Sie arbeiten.
4. Organisationsweite Freigabe einschränken. Reduzieren Sie die EEEU-Nutzung im großen Maßstab und prüfen Sie, ob jedes organisationsweite Team noch jeden einschließen muss. Diese weitreichenden Berechtigungen sind es, die eine einzige Anfrage am ehesten offenlegt.
5. Veraltete Sites bereinigen. Nutzen Sie Site-Lebenszyklusverwaltung, Eigentümerrichtlinien und Richtlinien für inaktive Sites, um eigentümerlose und ruhende Sites zu finden, und archivieren oder löschen Sie dann, was nicht mehr benötigt wird, damit Copilot sich nicht auf verlassene Inhalte stützt.

Dieselben Nachweise, die Sie hier erzeugen, dienen zugleich als Konformitätsbeleg. Wenn Sie Microsoft 365 Kontrollen bereits einem Rahmenwerk zuordnen, zeigt der Ansatz in Microsoft 365 auf Cyber Essentials und ISO 27001 abbilden, wie Zugriffs- und Freigabekontrollen in eine Audit-Geschichte passen, statt nur in einem Rollout-Ticket zu leben.

Ein phasenweiser Rollout vor Copilot

Reihenfolge schlägt Hektik, und Microsofts eigene Leitlinien für ein sicheres Fundament folgen derselben Form.

1. Bewerten. Erstellen Sie mit den obigen Berichten eine Ausgangsbasis des Tenants, damit Sie wissen, wo die breiteste Exposition liegt, bevor Sie etwas ändern.
2. Zuerst die risikoreichsten Sites beheben. Konzentrieren Sie sich auf Sites, die sensible Inhalte mit breitem Zugriff verbinden, und wenden Sie Zwischenkontrollen an, während Eigentümer die Berechtigungen korrigieren.
3. Mit einer kontrollierten Gruppe pilotieren. Aktivieren Sie Copilot für eine abgegrenzte Kohorte, deren Inhalte Sie bereits überprüft haben, und bestätigen Sie durch Auditing, dass es nichts zutage fördert, was es nicht sollte.
4. Bewusst ausweiten. Erweitern Sie erst, wenn die Sites jeder Welle behoben sind, sodass die Exposition nie der Bereinigung vorauseilt.

Wo EtherInsights ansetzt

Dies über eine wachsende Umgebung hinweg zu tun, oder über viele Tenants als Managed-Service-Provider, ist der Punkt, an dem verstreute Berichte selbst zur Arbeit werden. EtherInsights Copilot Bereitschaft bringt die Signale in eine Betriebsansicht: Es bewertet die Bereitschaft über Lizenzen, Data Governance, Vertraulichkeitsbezeichnungen, Freigabelage und Purview-Abdeckung gegen den echten Tenant-Zustand und verwandelt jeden Befund in eine eigentümergestützte Aktion mit Nachweisen für die Rollout-Prüfung. Weil die Berichtsform über Tenants hinweg gleich bleibt, kann ein MSP denselben Bereitschaftsdurchlauf im Kundenmaßstab ausführen.

Übermäßige Freigaben sind nur ein Teil des größeren Lagebilds. Microsoft 365 Sicherheit und Konformität erweitert dieselbe Tenant-Ansicht um Sicherheitsbaselines, Secure-Score-Verfolgung und Drift-Erkennung, sodass eine Konfiguration, die Sie vor Copilot bewertet haben, sich danach nicht unbemerkt ändert. Beide Routen werden von EtherInsights geführt, das die Bewertung faktisch hält: Es berichtet den Tenant-Zustand, um Entscheidungen zu untermauern, nicht um zu versprechen, dass ein Rollout risikofrei ist.

Häufig gestellte Fragen

Umgeht Copilot Berechtigungen? Nein. Microsoft 365 Copilot greift nur auf Daten zu, die der angemeldete Benutzer bereits öffnen darf, mit denselben Zugriffskontrollen wie der Rest von Microsoft 365. Es kann keine Inhalte erreichen, die der Benutzer nicht sehen darf. Es umgeht keine Berechtigungen; es macht bestehende übermäßige Freigaben leichter auffindbar, weshalb Sie diese zuerst beheben.

Was ist Restricted SharePoint Search? Es ist eine vorübergehende Kontrolle, die die organisationsweite Suche und Copilot auf eine Zulassungsliste von SharePoint-Sites beschränkt, die Sie bereits geprüft haben. Es verschafft Zeit während eines phasenweisen Rollouts, aber Microsoft stellt klar, dass es keine Sicherheitsgrenze ist und keine Berechtigungen ändert, behandeln Sie es also als Brücke zu einer ordentlichen Behebung, nicht als Ersatz.

Brauche ich SharePoint Advanced Management? Die hier beschriebenen Berichte zu übermäßigen Freigaben, Site-Zugriffsüberprüfungen und Kontrollen für eingeschränkte Inhalte sind SAM-Funktionen, und SAM ist enthalten, sobald mindestens eine Microsoft 365 Copilot Lizenz im Tenant zugewiesen ist. Wenn Sie also Copilot lizenzieren, kommt das Aufspür-Werkzeug damit.

Wie lange dauert die Bereinigung übermäßiger Freigaben? Das hängt ganz von der Größe der Umgebung ab und davon, wie viel Zugriff sich angesammelt hat, behandeln Sie also jede einzelne Zahl mit Vorsicht. In der Praxis ist das Aufspüren schnell; der Zeitaufwand liegt in der Behebung, besonders bei Eigentümerprüfungen auf risikoreichen Sites. Den Piloten auf bereits saubere Sites zu begrenzen, lässt Sie sicher starten, während die breitere Bereinigung weiterläuft.

Bereitschaft ist kein Hindernis für Copilot; sie ist das, was die Lizenzen, die Sie kaufen, sicher einschaltbar macht. Finden Sie die übermäßigen Freigaben, beheben Sie sie in Prioritätsreihenfolge und pilotieren Sie aus Nachweisen heraus.

Microsoft 365 Copilot Bereitschaft entdecken, um zu sehen, wie verstreute Tenant-Signale zu einem bewerteten, eigentümergestützten Plan werden, den Sie mit Zuversicht ausrollen können.