M365-Audit vor Copilot: Warum Tenant-Hygiene jetzt Pflicht ist
„Copilot zeigt mir Daten, die er nicht sollte.”
Diesen Satz hört man inzwischen in Varianten überall. Die technische Wahrheit dahinter ist unbequem: Copilot zeigt keine verbotenen Daten. Copilot findet Dinge, auf die der Benutzer bereits Zugriff hat — nur schneller, sichtbarer und unangenehm gut zusammengefasst.
Tenant-Hygiene vor Copilot ist kein Nice-to-have. Sie ist die Grundlage dafür, dass KI in Microsoft 365 sicher und produktiv funktioniert.
Warum Copilot das Berechtigungs-Problem sichtbar macht
Vor Copilot konnten schlechte Berechtigungen jahrelang unentdeckt bleiben. Ein alter SharePoint-Ordner war offen — aber niemand wusste davon. Ein ehemaliger Projektgast hatte noch Zugriff — aber niemand suchte aktiv. Eine öffentliche Site war falsch konfiguriert — aber die Inhalte lagen tief in der Struktur.
Copilot ändert diese Dynamik fundamental. KI senkt die Suchkosten auf null. Was früher nur mit viel Klickarbeit auffiel, landet heute in einer Antwort, Zusammenfassung oder Dateireferenz.
Das ist fachlich stark. Aber es ist auch ein Risiko — denn wenn eure Informationsarchitektur chaotisch ist, gibt Copilot chaotische Antworten. Wenn Berechtigungen zu breit sind, macht Copilot diese Breite nutzbar. Wenn alte Daten nicht klassifiziert sind, behandelt Copilot sie wie normale Arbeitsinformationen.
Die 5 häufigsten Tenant-Probleme vor Copilot
In der Praxis begegnen uns immer wieder dieselben fünf Strukturprobleme:
1. Veraltete Berechtigungen Projektteams, alte Gruppen, ehemalige Dienstleister, historisch gewachsene SharePoint-Zugriffe. In vielen Tenants weiß niemand mehr genau, wer worauf Zugriff hat. Copilot erbt diese Realität.
2. Tote Konten und verwaiste Gäste Externe Gäste bleiben oft länger im Tenant als das Projekt selbst. Noch kritischer: Konten ohne Owner, ohne Review, ohne Ablaufdatum.
3. Öffentliche oder zu breite SharePoint-Sites „Jeder außer externe Benutzer” ist bequem — bis Copilot interne HR-, Finance- oder Geschäftsführungs-Dokumente plötzlich sehr bequem auffindbar macht.
4. Unstrukturierte Datenablage Wenn Teams, SharePoint und OneDrive ohne Namenskonzept, Lebenszyklus und Verantwortlichkeiten gewachsen sind, kann Copilot Inhalte finden — aber Kontext nicht reparieren. Schlechte Struktur bleibt schlechte Struktur.
5. Fehlende Klassifizierung und Compliance-Regeln Personenbezogene Daten, Verträge, Bewerbungen, Gehaltslisten: Wenn diese Inhalte nicht gekennzeichnet und geschützt sind, fehlt die Basis für saubere DLP- und Compliance-Steuerung.
Information Architecture for AI: Was Copilot wirklich braucht
Viele KMU denken bei Copilot zuerst an Prompts. Das ist verständlich — aber zu kurz gedacht. Gute KI-Antworten entstehen nicht durch gute Prompts allein. Sie entstehen durch gute Informationsarchitektur.
Dazu gehören:
- klare Teams- und SharePoint-Strukturen
- eindeutige Verantwortlichkeiten pro Bereich
- Berechtigungsgruppen statt Einzelberechtigungen
- Lifecycle-Regeln für Projekte und Teams
- Archivierung und Löschung veralteter Inhalte
- Sensitivity Labels und DLP-Regeln
- Naming Conventions, die Menschen und Maschinen verstehen
Einfach gesagt: Wenn euer Tenant ein Dachboden ist, wird Copilot ein sehr schneller Dachboden-Assistent. Das löst nicht das Strukturproblem.
Was ein M365-Audit abdeckt
Ein sinnvoller Audit vor Copilot betrachtet den Tenant als Arbeits- und Risikoumgebung — nicht nur als einzelne Einstellungsseite.
Identitäten
Aktive und inaktive Benutzer, Gäste und externe Identitäten, MFA-Status, Rollen und privilegierte Konten, Gruppenstruktur und Ownership.
Berechtigungen
SharePoint- und Teams-Berechtigungen, externe Freigaben, öffentlich erreichbare Inhalte, alte Projektzugriffe, kritische Einzelberechtigungen.
Sicherheitseinstellungen
Conditional Access, Baseline für Geräte und Identitäten, Admin-Rollen, Audit-Logging, unnötige Ausnahmen.
Compliance und Datenschutz
Personenbezogene Daten in SharePoint/Teams, Sensitivity Labels, DLP-Regeln, Aufbewahrung und Löschung, DSGVO-relevante Risiken.
Das Ergebnis ist kein 80-seitiges PDF, das niemand liest. Es ist eine priorisierte Maßnahmenliste: Was ist kritisch — was ist wichtig — was kann warten?
TenantPulse: Dauerhaftes Monitoring statt einmaligem Aufräumen
Ein Audit ist ein Startpunkt. Danach verändert sich der Tenant weiter: neue Teams, neue Gäste, neue Freigaben, neue Agenten, neue Daten.
Genau hier setzt TenantPulse an: automatisiertes Tenant-Health-Monitoring für Microsoft 365. Ziel ist nicht ein weiteres Dashboard — sondern Abweichungen sichtbar machen, bevor sie zum Problem werden.
Copilot-ready sein heißt nicht: einmal aufräumen und fertig. Es heißt: dauerhaft wissen, was im Tenant passiert.
DSGVO: Copilot darf kein Datenschutzrisiko werden
Copilot darf nur Daten nutzen, auf die der jeweilige Benutzer zugreifen darf. Das klingt beruhigend — ist aber nur so gut wie eure Berechtigungen.
Wenn personenbezogene Daten falsch abgelegt oder zu breit freigegeben sind, wird Copilot zum Verstärker dieses Problems. Datenschutz beginnt nicht beim KI-Disclaimer. Er beginnt bei Zugriff, Struktur und Governance.
Jetzt: M365-Audit buchen
WITC bietet einen kompakten M365-Audit für KMU an. Typischer Rahmen: 990 bis 1.490 EUR je nach Tenant-Größe und Scope. Ergebnis: klare Risiken, konkrete Maßnahmen, Copilot-Readiness ohne Bullshit.