SharePoint Online Governance: Warum sie Pflicht ist, bevor Sie den neuen Copilot einschalten
Neues SharePoint, zweierlei Copilot, Restricted Content Discovery und Authoritative Sites. Die Mai-Neuerungen in Microsoft 365 machen SharePoint Online Governance zur Pflicht – nicht zur Ergänzung. Was Sie klären sollten, bevor Sie die neuen Funktionen einschalten.
Neues SharePoint, zweierlei Copilot, Restricted Content Discovery und Authoritative Sites. Die Mai-Welle der Neuerungen in Microsoft 365 macht SharePoint Online Governance zur zwingenden Voraussetzung – nicht zur optionalen Ergänzung. Was Sie konkret klären sollten, bevor Sie die neuen Funktionen einschalten.
Vor ein paar Jahren war SharePoint-Governance ein Thema, das sich Unternehmen leisten konnten aufzuschieben. Niemand schaute nach, was in den Bibliotheken lag, Freigaben für „Jeder mit dem Link“ wurden erst nach einem Vorfall angegangen, und Berechtigungen wie „Jeder außer externen Benutzern“ (Everyone except external users) schlummerten unbemerkt vor sich hin. Diese Zeit geht gerade endgültig zu Ende. Und der Grund hat einen Namen: Copilot.
Der Frühling 2026 hat Microsoft 365 gleich mehrere Änderungen gebracht, die auf den ersten Blick nichts miteinander zu tun haben. Die neue SharePoint Experience wird ohne Opt-out-Möglichkeit ausgerollt. Microsoft 365 Copilot wurde in eine Basic- und eine Premium-Lizenz aufgeteilt. Authoritative Sites sind im Admin Center angekommen, und Restricted Content Discovery wandert auf die Ebene einzelner Websites. Legt man sie nebeneinander, zeigt sich: Alle betreffen ein und dieselbe Frage – was Copilot sehen wird, wenn Sie ihn in Ihrem Unternehmen einschalten.
Und wenn Sie auf diese Frage keine Antwort haben, ist es Zeit, nach einer zu suchen.
Copilot ist nicht das Problem. Er ist ein Detektor für Probleme, die Sie schon haben.
Beginnen wir damit, was Copilot eigentlich tut. Er ist nicht einfach eine bessere Suche. Copilot durchsucht aktiv Inhalte, die der Benutzer als „zugänglich“ wahrnimmt – also alles, worauf er im Mandanten Berechtigungen hat. Das heißt: Teambibliotheken, für die er freigegeben wurde, Websites, auf denen er über irgendeine Gruppe Mitglied ist, Dokumente mit Freigabelinks, die er 2022 einmal aus einer fremden E-Mail angeklickt hat. Dazu alles, was in der Organisation für „Jeder außer externen Benutzern“ freigegeben ist – in den meisten Mandanten Zehntausende Elemente, von denen niemand etwas weiß.
Microsoft sagt es in den eigenen internen Materialien ganz direkt: Oversharing ist die häufigste Ursache für Copilot-Vorfälle, und nach eigenen Daten haben 70 bis 90 % der Enterprise-Umgebungen ein erhebliches Oversharing-Problem, das vor der Einführung von Copilot gelöst werden muss.
Wichtig ist zu verstehen, dass Copilot keines dieser Probleme verursacht hat. Er hat sie nur sichtbar gemacht. Früher mussten Mitarbeitende aktiv suchen, klicken und sich merken, wo was liegt. Copilot erledigt das mit einem einzigen Prompt. Und liefert es in einer sauberen Zusammenfassung. Einschließlich der Gehaltstabelle, die jemand 2023 versehentlich für das ganze Unternehmen freigegeben hat.
Was sich bei Copilot gerade konkret ändert
Bevor wir zur Governance kommen, lohnt ein Blick darauf, welches Terrain sich gerade formt. Der Frühling 2026 hat mehrere Änderungen gebracht, die sich unmittelbar auf die Sicherheit auswirken:
- Die neue SharePoint Experience (GA, Mai–Juli 2026). Rollout ohne Opt-out. App-Leiste und Startseite ändern sich, KI-Funktionen und 31 neue Seitenvorlagen kommen hinzu. Für Benutzer bedeutet das neue Gewohnheiten. Für Administratoren bedeutet es, dass alte Schulungsunterlagen ab nächster Woche wertlos sind.
- Microsoft 365 Copilot Basic vs. Premium (ab 15. April 2026). Der volle Funktionsumfang in Word, Excel, PowerPoint und OneNote ist Premium-Lizenzen vorbehalten. Basic erhält nur den Chat. Die Prüfung der Lizenzzuweisungen ist jetzt fällig, nicht erst, wenn die Tickets kommen.
- Microsoft 365 E7 und Agent 365 (GA, 1. Mai 2026). Eine neue Lizenzstufe für Unternehmen, die KI-Agenten in großem Umfang einsetzen wollen. Sie bringt eine einheitliche Governance-Schicht für Agenten – doch die funktioniert nur, wenn es eine Governance der Daten gibt, auf denen die Agenten laufen.
- SharePoint Authoritative Sites. Im Admin Center können Sie bestimmte Websites als offizielle Informationsquelle kennzeichnen – Unternehmensnews, Richtlinien, HR-Handbücher. Copilot greift bei der Suche nach Antworten dann bevorzugt auf sie zurück. Ohne das „stützt“ sich Copilot auf das, was er findet – und das ist oft ein alter Entwurf, eine veraltete Version oder eine fremde Notiz.
- Restricted Content Discovery (RCD) auf Website-Ebene. Ein Website-Administrator kann eigenständig eine Regel einschalten, nach der die Website weder in Copilot-Antworten noch in der organisationsweiten Suche auftaucht. Public Preview seit März 2026, GA im Lauf des Jahres.
- Multi-Agent-Orchestrierung in Copilot Studio (GA). Agenten arbeiten zusammen, teilen Kontext, steuern Workflows. Technisch großartig. Aus Sicht der Governance ist das eine neue Art von Akteur, der außerhalb des üblichen Blickwinkels eines Benutzers an Daten gelangt.
- AI Citations Analytics (Mai 2026). Eine neue Seite in der Website-Nutzung – sie zeigt, wie Copilot und Agenten Ihre Dokumente zitieren. Die erste standardisierte Kennzahl für die Inhaltsqualität im KI-Grounding.
Zusammengenommen: KI in M365 ist keine Ergänzung mehr, sondern wird zur operativen Schicht. Und eine operative Schicht braucht Regeln.
Was Governance im Zusammenhang mit Copilot bedeutet
In Gesprächen mit Führungskräften höre ich oft, „Governance“ klinge nach etwas, das die Compliance-Abteilung auf zweihundert Seiten Dokumentation erledigt. Tatsächlich ist Governance im Kontext von SharePoint Online eine Reihe konkreter Fragen, auf die Sie eine schriftliche Antwort haben müssen:
- Wer legt neue Websites an und nach welchen Regeln? Wenn das jeder darf, haben Sie in einem Jahr 2.000 Websites, von denen 1.200 keinen Besitzer haben.
- Wie sieht der Lebenszyklus einer Website aus? Von der Erstellung über die Inaktivität bis zur Archivierung und Löschung. Ohne ihn wachsen die Datenmengen, die Copilot indexieren wird – und Sie wissen nicht, was davon relevant ist und was Altlast einer drei Jahre alten Umstrukturierung.
- Wie regeln Sie Berechtigungen und Freigaben? Standardtyp des Freigabelinks, Ablauf, zugelassene externe Domänen, „Jeder außer externen Benutzern“ auf sensiblen Inhalten. Das ist keine optionale Diskussion. Das ist Hygiene.
- Was ist Ihr maßgeblicher Inhalt und was ein Entwurf? Wenn Copilot „offizielle HR-Richtlinie 2026“ nicht vom „Entwurf der HR-Richtlinie von 2022“ unterscheiden kann, liefert er einen zufälligen Mix. Authoritative Sites und Vertraulichkeitsbezeichnungen sind die Werkzeuge, mit denen Sie es ihm sagen.
- Was ist sensibel und wie ist es gekennzeichnet? Vertraulichkeitsbezeichnungen sind kein Marketing. Sie sind die Brücke zwischen Berechtigung und Klassifizierung. Ohne sie sieht Copilot alles gleich.
- Wer genehmigt Ausnahmen, und wie? Ein externer Gast auf einer Vertriebs-Website, eine Freigabe an die Domäne eines Wettbewerbers, ein vorübergehender Vollzugriff für einen Partner. Ohne Genehmigungsprozess werden Ausnahmen zum Standard.
Das sind keine Themen für „irgendwann nächstes Jahr“. Es sind Voraussetzungen dafür, dass Copilot in Ihrem Unternehmen das tut, was Sie erwarten – und nicht das, was Sie lieber nicht sehen würden.
Wo Microsoft geholfen hat: SharePoint Advanced Management
Die gute Nachricht: Microsoft wartet nicht darauf, dass Unternehmen ihre Governance von Hand bauen. SharePoint Advanced Management (SAM) ist ein Satz von Admin-Werkzeugen, der zu jedem Mandanten mit mindestens einer Copilot-Lizenz gehört. Und er enthält genau das, was Sie für die Copilot-Bereitschaft brauchen:
- Data Access Governance-Berichte – eine Übersicht der Websites mit potenziell übermäßig freigegebenen Inhalten oder sensiblen Dokumenten. Die erste Anlaufstelle, wenn Sie wissen wollen, „wo man anfängt“.
- Restricted Access Control (RAC) – eine Website, die auf eine bestimmte Benutzergruppe beschränkt ist. Was andere in einem Freigabelink finden, spielt keine Rolle – sie gelangen nicht hinein. Und Copilot respektiert das ebenfalls.
- Restricted Content Discovery (RCD) – die Website erscheint überhaupt nicht in der organisationsweiten Suche oder in Copilot Chat. Geeignet für M&A-Projekte, Rechtsangelegenheiten, Unterlagen der Geschäftsleitung.
- Richtlinien für Freigabelinks – Standardlinktyp, Ablauf, zugelassene Domänen. Einmal eingestellt, gilt überall.
- Site Lifecycle Management – Richtlinie für inaktive Websites, Archivierung, kontrollierte Löschung. Weniger Daten = besseres Signal für Copilot.
- SharePoint Admin Agent – ein KI-Assistent für die Verwaltung des eigenen Mandanten. Skills für Speicher, Lebenszyklus und Oversharing-Management. Aus Sicht der Admin-Produktivität die Neuheit des Jahres.
Unterm Strich: Die Werkzeuge sind da. Was fehlt, ist ein systematisches Vorgehen, sie einzusetzen – und vor allem die Entscheidung, wo sofort gehandelt werden muss und wo es warten kann.
Drei Dinge, die sich diesen Monat lohnen
Wenn Sie planen, Copilot einzuführen, oder ihn bereits eingeschaltet haben und ruhiger schlafen wollen, sind drei Schritte sinnvoll:
1) Führen Sie den Data Access Governance-Bericht aus und sehen Sie sich die Top 50 Websites an
30 Minuten Zeit eines Administrators genügen, und Sie wissen, wo das größte Risiko liegt. Typischerweise finden Sie Websites mit Tausenden Elementen für „Jeder außer externen Benutzern“, Freigabelinks ohne Ablaufdatum, extern freigegebene Inhalte mit sensiblen Dateien. Das ist Ihre Prioritätenliste für die nächsten Wochen.
2) Kennzeichnen Sie maßgebliche Inhalte und denken Sie über RCD nach
Wählen Sie 5–10 Websites aus, die tatsächlich offizielle Quelle von Unternehmensinformationen sind (Intranet, HR, IT-Handbücher, Unternehmensnews), und kennzeichnen Sie sie als Authoritative Sites. Parallel dazu bestimmen Sie 3–5 Websites, die überhaupt nicht in Copilot gehören (M&A, Recht, Geschäftsleitung), und schalten dort RCD ein.
3) Klären Sie intern, wem die Governance gehört
Ohne Besitzer läuft Governance an und zerfällt dann. In einem kleinen Unternehmen ist das meist der IT-Manager, in einem größeren eine eigene Rolle „M365 Governance Lead“. Wichtig ist, dass jemand sowohl die technische Einrichtung als auch die Kommunikation der Regeln an die Benutzer im Auftrag hat.
Das ist kein Jahresprojekt. Es ist die Grundstufe, auf der sich der Rest nach und nach aufbaut – Informationsarchitektur, Lebenszyklus, Change Management, Schulung. Doch ohne diese Grundstufe sind die Copilot-Neuerungen kein Vorteil, sondern ein Risiko.
Kurzer Kontext aus Sicht von EasyPortal 365
Mit diesem Thema befassen wir uns mit Unternehmen fast täglich. Der häufigste Einstieg ist der SharePoint Restart – ein zwei- bis dreiwöchiges Audit, das den Zustand der Umgebung, Berechtigungen, externe Freigaben und Risiken vor dem Einsatz von KI erfasst. Ergebnis sind ein Dashboard, ein PDF-Bericht und ein 90-minütiger Workshop mit einem priorisierten Plan.
Zeigt das Audit, dass Sie einen strukturierteren Eingriff brauchen, folgt Governance – ein fünf- bis achtwöchiges Projekt, in dem wir Governance-Modell, Rollen, Lebenszyklus, Informationsarchitektur, Datenschutz und Backup-Regeln festlegen. Ergebnis ist ein dokumentierter Standard, nach dem die Umgebung künftig geführt wird.
Und für Unternehmen ohne eigene SharePoint-Spezialisten oder solche, die für die Weiterentwicklung einen Partner wollen, gibt es SharePoint Care – laufende Betreuung, Überwachung, Bewertung der M365-Neuerungen und monatliches Reporting. Das ist die häufigste Form, Governance langfristig in der Praxis zu halten.
Was Sie mitnehmen sollten
Der Frühling 2026 in Microsoft 365 ist nicht nur eine Sammlung von Neuerungen. Er ist der Punkt, an dem sich ändert, was ein „sicheres SharePoint“ bedeutet. Vor Copilot genügte es, dass niemand Zugriff auf sensible Inhalte hatte, der ihn nicht haben sollte. Nach Copilot muss zusätzlich gelten, dass Inhalte korrekt gekennzeichnet sind, dass jede Website einen klaren Besitzer hat, dass ungenutzte Inhalte archiviert sind und dass es einen Unterschied zwischen der „maßgeblichen“ und der „Arbeitsversion“ eines Dokuments gibt.
Drei Sätze, die man sich merken sollte:
- Copilot hat keine neuen Sicherheitslücken geschaffen. Er macht sie nur in einer Geschwindigkeit sichtbar, die Sie überrascht.
- Governance ist kein Dokument. Sie ist eine Betriebsdisziplin. Ohne Besitzer und ohne Rhythmus zerfällt sie.
- Dieses Jahr ist kein „Irgendwann schalten wir Copilot ein“-Jahr. Es ist ein „Copilot indexiert bereits“-Jahr. Die Frage ist nicht, ob Sie ihn einschalten, sondern was er sieht, wenn Sie es tun.
Wenn Sie nicht wissen, wo Sie jetzt anfangen sollen, oder nur prüfen möchten, ob Sie für die Mai-Neuerungen bereit sind, schreiben Sie uns. Wir vereinbaren ein 30-minütiges Gespräch, gehen Ihre Situation durch und empfehlen den ersten Schritt – ob Audit, Einrichtung der Governance oder nur eine kurze Beratung zu einem konkreten Problem.