Oversharing gibt es seit es SharePoint gibt. Was bisher als latentes Risiko in den Tiefen der Tenants schlummerte, ist mit Microsoft 365 Copilot über Nacht akut geworden. Wer heute Copilot ausrollt, ohne vorher die Berechtigungen aufzuräumen, riskiert Datenschutzverstösse, Compliance-Probleme und Reputationsschäden, ohne dass ein einziger Hacker im Spiel ist.
Wie sich Oversharing über den gesamten Lebenszyklus von Räumen und Inhalten kontrollieren lässt, beleuchten wir auch in unserem Beitrag SharePoint Oversharing, Governance und Lifecycle im Zeitalter von Copilot.
Was ist Oversharing?
Oversharing heisst: Inhalte sind für mehr Personen zugänglich, als nötig oder gewollt wäre. Die Ursache ist selten böse Absicht, sondern eine Mischung aus Bequemlichkeit, fehlendem Wissen über Berechtigungsmodelle und gewachsenen Strukturen, die nie aufgeräumt wurden.
Typische Erscheinungsformen
„Everyone except external users”-Freigaben sind der Klassiker. Eine Site oder Datei wird für die gesamte Organisation freigegeben, obwohl sie eigentlich nur ein bestimmtes Team betrifft. Bei vielen Tenants ist diese Einstellung standardmässig noch aktiv und wird kaum hinterfragt.
Anonyme oder „Anyone”-Links sind Sharing-Links, die ohne Login funktionieren. „Jeder mit dem Link” hat Zugriff. Das ist praktisch zum schnellen Teilen, aber sobald ein solcher Link irgendwo landet, sei es in einer weitergeleiteten E-Mail, einem Chat oder einem externen Dienst, ist die Datei effektiv öffentlich.
Vererbte Berechtigungen aus der Vergangenheit sind ein schleichendes Problem. Eine Site wurde irgendwann für ein Projekt geöffnet, das Projekt ist längst abgeschlossen, die Berechtigungen sind geblieben. Ehemalige Mitglieder, externe Berater oder Praktikanten haben weiterhin Zugriff, obwohl sie längst hätten entfernt werden müssen.
Falsch konfigurierte Teams oder M365-Gruppen entstehen oft durch Unachtsamkeit beim Anlegen. Ein Team wird als „Public” eingerichtet statt als „Private”. Die Folge: Jeder im Tenant kann beitreten und alle Inhalte einsehen, ohne dass der Owner es überhaupt merkt.
Sensitive Daten in offenen Bereichen sind besonders heikel. Gehaltslisten landen im allgemeinen HR-Ordner, Kundendaten in einem offenen Vertriebs-Channel, Verträge in einer Bibliothek mit dem unverdächtigen Namen „Allgemein”. Weil es keine konsequente Klassifizierung gibt, fällt das niemandem auf.
Unkontrolliertes externes Sharing schliesslich entsteht, wenn externe Partner eingeladen und nie wieder entfernt werden. Nach Projektende bleiben sie in der Site, oft ohne dass der Owner überhaupt weiss, wer alles noch Zugriff hat.
Warum Copilot alles ändert
Microsoft 365 Copilot arbeitet mit dem Berechtigungsmodell des angemeldeten Users: Was der User sehen darf, sieht auch Copilot und nutzt es als Antwortquelle. Eine separate Copilot-Berechtigung gibt es nicht.
Vor Copilot war Oversharing meist theoretisches Risiko. Eine falsch freigegebene Gehaltsliste lag jahrelang in einer obskuren Site. Niemand suchte sie, niemand fand sie. Mit Copilot reicht jetzt die Frage „Wie sind die Gehaltsbänder bei uns?”. Copilot durchsucht den gesamten Microsoft Graph und liefert die Antwort inklusive Quellenangabe und direktem Link.
Was vorher Security through Obscurity war, wird jetzt aktiv erschlossen. Copilot ist eine Suchmaschine mit Sprachverständnis und findet auch schlecht benannte Dokumente über deren Inhalt.
Konkrete Risikoszenarien
HR-Daten: Eine Gehaltsübersicht liegt seit zwei Jahren in einer Site mit „Everyone except external users”. Heute beantwortet Copilot Fragen wie „Was verdient X?” mit voller Quelle.
M&A und Strategie: Vertrauliche Übernahmedokumente in einer GL-Site mit fehlerhafter Vererbung. Copilot nennt das Projekt auf die Frage nach laufenden strategischen Initiativen.
Kündigungslisten: HR-Liste in einem Teams-Channel, der unbeabsichtigt „Public” ist. Copilot beantwortet „Wer wird gekündigt?” inklusive Quelle.
Verträge: Sales-Mitarbeiter fragt nach Rabatten für Kunde X. Copilot zieht Verträge anderer Kunden bei, weil die Vertragsbibliothek nicht segmentiert ist.
DSGVO: Bewerbungsunterlagen in einer offenen HR-Site werden von Copilot zitiert. Ein klassischer Verstoss mit Meldepflicht.
Die Risiken im Überblick
Es geht um mehr als unangenehme Momente: meldepflichtige Datenpannen unter DSGVO, Verlust vertraulicher Strategie- und Personaldaten, Verstösse gegen Need-to-know-Prinzip und branchenspezifische Regularien (FINMA, HIPAA, ISO 27001), Reputationsschäden und nicht zuletzt Insider-Risiken, weil ehemalige oder unzufriedene Mitarbeiter Dinge finden, die sie nicht finden sollten.
Wichtig: Oversharing ist kein Hack, sondern ein hausgemachtes Governance-Problem. Genau deshalb wird es übersehen. Es gibt keinen Alarm, kein verdächtiges Login, keine Malware. Die Daten sind einfach für zu viele Leute sichtbar. Bis jemand sie findet.
Microsofts Bremsen: nützlich, aber kein Ersatz für Governance
Microsoft hat das Problem erkannt und mehrere Werkzeuge bereitgestellt:
Restricted SharePoint Search (RSS) beschränkt Copilot temporär auf eine Whitelist von max. 100 Sites. Gut als Übergang, aber keine Dauerlösung.
Restricted Content Discovery (RCD) schliesst sensible Sites pro Site von Copilot aus, ohne den direkten Zugriff zu blockieren.
Sensitivity Labels mit Verschlüsselung verhindern, dass Copilot geschützte Inhalte verarbeitet. Voraussetzung ist eine konsequente Klassifizierung.
DLP für Copilot in Microsoft Purview erlaubt Regeln wie „Copilot darf keine ‚Streng vertraulich’ gelabelten Inhalte zur Antwortgenerierung nutzen”.
Diese Werkzeuge helfen, ersetzen aber keine echte Berechtigungshygiene. Sie sind Pflaster, die Wunde bleibt.
Die unbequeme Wahrheit
Copilot schafft das Oversharing-Problem nicht. Es macht es sichtbar. Viele Organisationen merken bei der Einführung: „Wir haben kein Copilot-Problem, wir haben ein 10-Jahre-SharePoint-Problem, das wir nie aufgeräumt haben.” Copilot ist insofern auch ein Trigger für lange überfällige Governance-Arbeit.
Wie Seamless das Problem an der Wurzel löst
Statt Oversharing nachträglich zu reparieren, sorgt Seamless dafür, dass es gar nicht erst entsteht und dass bestehende Probleme systematisch behoben werden.
Sharing-Optionen werden in zentralen Templates definiert: Public oder Private, Gastzugriff erlaubt oder nicht. Die häufigste Ursache für Oversharing wird damit zum Konfigurationszeitpunkt eliminiert.
Sensitivity Labels werden beim Provisioning automatisch gesetzt. Wird ein Label nachträglich vom Owner geändert, flagt ein Background-Job den betroffenen Raum.
Ein Compliance-Job prüft kontinuierlich, ob Gruppen Public sind, obwohl im Template Private definiert wurde. Drift wird damit sichtbar und behebbar.
Geteilte Inhalte lassen sich gezielt zurücksetzen mit „Reset shared content”. Owner wählen pro Raum aus, welche Bibliotheken, Standard-Channels oder Notebooks bereinigt werden sollen. Bestehende Sharing-Links und Berechtigungen werden in einem Schritt entfernt.
Konsequentes Ownerprinzip: Jedes Team und jeder Gastzugriff hat einen klaren Owner, der inhaltlich verantwortlich ist.
Gastzugriffe über den gesamten Lebenszyklus kontrolliert: Von der Einladung über die Genehmigung bis zur automatischen Entfernung. Gäste werden automatisch entfernt, wenn sie sich lange nicht eingeloggt haben, die Einladung nie angenommen haben oder vom Owner nicht im Review bestätigt wurden. So bleiben externe Berechtigungen nie länger bestehen als nötig. Wie ein sauber regulierter Gastzugriff in Microsoft Teams und SharePoint konkret aussieht, zeigen wir im Beitrag Well-regulated Guest Access in Microsoft Teams & SharePoint.
Periodische Reviews sind Pflicht: Gruppen und Gastzugriffe werden regelmässig durch die Responsible Person überprüft. Das verhindert das „Vergessen” externer Berechtigungen.
Fazit
Oversharing ist ein Governance-Problem, kein technisches. Microsoft 365 Copilot hat es nicht geschaffen, sondern schonungslos sichtbar gemacht. Die gute Nachricht: Mit klaren Strukturen, automatisierten Kontrollen und konsequenten Verantwortlichkeiten, wie sie Seamless bereitstellt, lässt sich das Problem systematisch eindämmen. Wer jetzt handelt, macht aus dem Copilot-Rollout den Anlass, der das eigene Microsoft 365 endlich auf solide Beine stellt.