Leakt Microsoft 365 Copilot Ihre Daten? So sichern Sie Graph-Berechtigungen, DLP und Purview richtig ab

Viele Administratoren gehen davon aus, dass Microsoft 365 Copilot nur Inhalte zeigt, für die der Benutzer ohnehin eine Berechtigung hat. Diese Annahme ist riskanter, als sie klingt. Eine falsch gesetzte Graph-Berechtigung genügt, und die KI liefert Daten, die das Compliance-Team nie freigegeben hat. Meist bemerkt das zunächst niemand.

Dieser Artikel zeigt, wie solche Lecks entstehen und wie Sie sie finden. Außerdem erfahren Sie, wie Sie Copilot mit Graph-Berechtigungen, DLP-Richtlinien, Vertraulichkeitsbezeichnungen und Microsoft Purview absichern, ohne die Produktivität derjenigen zu bremsen, die den Zugriff wirklich brauchen.

Graph-Berechtigungen: Warum Copilot mehr sehen kann als der Mensch

Stellen Sie sich vor, ein Mitarbeiter bittet Copilot um Notizen zur Projekt-Review des letzten Quartals. Zurück kommen detaillierte Protokolle einer vertraulichen Vorstandssitzung mit Strategieentscheidungen, Budgetkürzungen und Namen. Es gibt keinen Sicherheitsalarm und keine DLP-Warnung. Die KI gibt still ein Dokument heraus, das sie nie hätte berühren dürfen.

Der Grund: Die Reichweite von Copilot bestimmen die Berechtigungen, die über Microsoft Graph erteilt wurden. Graph ist der zentrale Zugriffspunkt für nahezu alle Inhalte in Microsoft 365, darunter SharePoint, Teams-Nachrichten, Kalenderereignisse, OneNote und mit dem Tenant verknüpfte CRM-Daten. Steht die richtige Tür offen, läuft alles über Graph.

Delegierte Berechtigungen und Anwendungsberechtigungen

Microsoft unterscheidet zwei Arten von Berechtigungen:

• Delegierte Berechtigungen agieren im Auftrag eines angemeldeten Benutzers.
• Anwendungsberechtigungen erlauben einer App, unabhängig zu arbeiten.

Für den Abruf von Inhalten genügen in Copilot-Szenarien oft delegierte Berechtigungen. Bestimmte Funktionen, etwa die Zusammenfassung eines Teams-Meetings, an dem der Benutzer nicht teilgenommen hat, verleiten Administratoren jedoch zu Berechtigungen auf Anwendungsebene. Diese ignorieren individuelle Benutzerbeschränkungen, sofern sie nicht gezielt eingegrenzt werden.

Ein Beispiel: Ein Finanzanalyst fragt Copilot nach Pipeline-Daten für die wichtigsten Kunden. In seiner Rolle dürfte er nur einen Teil der Zahlen sehen. Wegen der Graph-Konfiguration der Copilot-App-Registrierung zieht die KI jedoch den gesamten Vertriebs-Pipeline-Bericht von einer Team-Website, auf die der Analyst nie direkten Zugriff hatte. Für den Endbenutzer wirkt das unauffällig. Aus Compliance-Sicht ist es eine sensible Offenlegung.

Schleichende Ausweitung der Berechtigungen

Solche Genehmigungen entstehen häufig früh in der Einführung. Ein IT-Administrator testet Copilot in einem Entwicklungs-Tenant, klickt bei der Berechtigungsaufforderung auf Akzeptieren und übernimmt die Konfiguration später in die Produktion, ohne die Auswirkungen zu prüfen. Einmal erteilt, bleiben die weitreichenden Rechte bestehen, solange niemand sie überprüft. Werden neue Datenquellen mit Microsoft 365 verbunden, wächst die Reichweite von Copilot, ohne dass jemand bewusst entschieden hätte. Es gibt keine Beschwerden und kein Drama, nur eine allmähliche Vergrößerung des KI-Anwendungsbereichs.

Hinzu kommt: Die Ausgabe von Copilot enthält keine für den Benutzer sichtbare Berechtigungshistorie. Ruft die KI Inhalte von einem Ort ab, den der Benutzer normalerweise nicht durchsuchen dürfte, erscheint kein Warnhinweis. Behandeln Sie Graph-Berechtigungen deshalb wie Firewall-Regeln oder VPN-Zugriffsbereiche: bewusst entscheiden, prüfen und regelmäßig neu validieren. Die Standardeinstellungen bringen Copilot schnell zum Laufen, lassen die KI aber ein deutlich größeres Netz auswerfen als der Mensch dahinter.

Datenlecks durch Copilot erkennen: Audit und Monitoring mit Purview

Würden Sie bemerken, wenn Copilot Daten preisgibt, die er nicht zeigen dürfte? Für die meisten Unternehmen lautet die ehrliche Antwort: nein. Das Leck taucht unauffällig in einem Dokumententwurf, einer Zusammenfassung oder einer KI-Antwort auf. Klassische Überwachung ist auf Dateidownloads, ungewöhnliche Anmeldeorte oder große E-Mail-Sendungen abgestimmt. Copilot öffnet Dateien nicht im üblichen Sinn, sondern fragt Datenquellen über Microsoft Graph ab, stellt die Ergebnisse zusammen und präsentiert sie als Text. Standard-Zugriffsberichte können sauber aussehen, während die KI im Hintergrund auf sensible Bereiche zugreift.

In einem erlebten Fall fiel das Problem nur auf, weil ein Mitarbeiter beiläufig einen Kundennamen erwähnte, der nicht zu seiner Abteilung gehörte. Auf die Rückfrage des Managers lautete die Antwort: Copilot habe ihn in den Entwurf eingefügt. Es gab kein Ticket und keinen automatischen Alarm. Bis die IT den Vorgang nachvollzogen hatte, waren dieselben Antworten bereits an mehrere Teams weitergegeben worden.

Wo Sie suchen müssen

Die Audit-Funktion von Microsoft Purview kann die Datenzugriffe von Copilot detailliert aufzeichnen, ist aber nicht auffällig als KI gekennzeichnet. In der Protokollsuche filtern Sie nach den Vorgängen, die Copilot verwendet, etwa ausgeführten Suchanfragen oder Dateizugriffen. Eingrenzen können Sie sie über die Anwendungs-ID Ihrer Copilot-Bereitstellung. Dafür sollten Sie die App-Registrierungsdetails in Entra ID vorab bestätigen.

Danach geht es um Muster:

• Ein hohes Abfragevolumen von Konten mit normalerweise geringem Datenbedarf ist prüfenswert, etwa ein Praktikantenkonto mit zehn komplexen Suchanfragen in einer Stunde.
• Plötzliche Spitzen bei Inhalten mit der Kennzeichnung „vertraulich“ in Abteilungen, die damit sonst nicht arbeiten, verdienen einen Blick. Purview kennzeichnet Label-Aktivitäten, sodass Sie den Zugriff auch dann sehen, wenn die KI nicht den ganzen Text ausgibt.
• Rollenbasierte Zugriffsüberprüfungen gleichen ab, wer Copilot nutzt und worauf diese Personen zugreifen. Warum etwa greifen mehrere Marketingkonten per KI-Abfrage auf Gehaltslisten zu?

Allgemeine Monitoring-Dashboards helfen kaum, weil sie Aktivitäten grob bündeln und KI-Verhalten im Normalbetrieb verschwimmt. Sie brauchen gezielte Filter und Berichte rund um Ihre Copilot-App-ID. Ein sinnvoller Protokollierungsansatz beantwortet drei Fragen: Was hat Copilot abgerufen? Wer hat die Aktion ausgelöst? Entsprach sie den bestehenden Sicherheits- und Compliance-Richtlinien?

DLP und Vertraulichkeitsbezeichnungen für Copilot-Ausgaben

DLP ist mehr als ein Filter für E-Mails mit Kreditkartennummern. Im Kontext von Copilot kann es als Stolperdraht dienen, der verhindert, dass sensible Daten in eine KI-Antwort gelangen, die dann in einen Teams-Chat kopiert oder in ein Dokument exportiert wird, das den Tenant verlässt.

Die DLP-Richtlinien vieler Unternehmen zielen aber noch auf klassische Auslöser: E-Mail-Anhänge, Downloads auf USB-Sticks, Kopieren in nicht genehmigte Apps. Copilot löst diese Regeln standardmäßig nicht aus, weil keine Datei versendet wird, sondern Inhalt in Echtzeit entsteht. Fragt jemand nach einer Liste eingeschränkt markierter Kunden und stammt sie aus einem klassifizierten Dokument, kann die Ausgabe kursieren, ohne eine herkömmliche DLP-Bedingung zu berühren.

Ein praktisches Beispiel: Ihre Richtlinie verbietet den Export bestimmter Vertragsdokumente. Ein Benutzer lässt Copilot wichtige Klauseln extrahieren und in eine PowerPoint-Präsentation einfügen. Überwachen Ihre DLP-Regeln keine KI-generierten Inhalte, liegt das sensible Material nun in einer ungeschützten Datei. Mit erweiterter Prüfung lässt sich verhindern, dass diese Datei an einem nicht verwalteten Ort landet oder in Teams mit externen Gästen geteilt wird.

So richten Sie die Richtlinie ein

1. Öffnen Sie im Microsoft Purview Compliance-Portal den Bereich Verhinderung von Datenverlust und erstellen Sie eine neue Richtlinie.
2. Wählen Sie als Standorte Exchange, SharePoint, OneDrive und vor allem Teams, denn Copilot kann Daten an all diesen Stellen bereitstellen.
3. Definieren Sie die Bedingungen: integrierte Typen vertraulicher Informationen wie Finanzkontonummern oder eigene Typen, die etwa interne Projektcodes erkennen. Bei konsequenter Nutzung von Vertraulichkeitsbezeichnungen können Sie die Regel auch auslösen lassen, wenn klassifizierte Inhalte in einer gespeicherten oder geteilten Datei auftauchen.
4. Legen Sie die Aktion fest: Freigabe blockieren, einen Richtlinientipp anzeigen oder eine Begründung zum Fortfahren verlangen.

Vertraulichkeitsbezeichnungen sind dabei ein wesentlicher Baustein. Sie sind Metadaten, die Copilot wie jeder andere Microsoft-365-Dienst lesen kann. Beschränkt die Bezeichnung eines hochvertraulichen Dokuments Zugriff und Nutzung, respektiert Copilot das bei der Antwortgenerierung, vorausgesetzt, die Schutzeinstellungen werden in den beteiligten Apps einheitlich durchgesetzt. Ohne Anbindung an eine DLP-Richtlinie ist die Bezeichnung aus Compliance-Sicht bloße Dekoration.

Rollenbasierte Copilot-Zugriffsgruppen mit Entra ID

Sollten ein Marketing-Praktikant und ein CFO dieselben Copilot-Privilegien haben? Es klingt absurd, ist aber in vielen Tenants die Standardeinstellung, weil eine einheitliche Aktivierung schneller geht als rollenspezifische Konfiguration. Der KI-Zugriff entspricht dann dem offensten Szenario statt dem tatsächlichen Bedarf. So stoßen Personalassistenten auf Umsatzübersichten, oder ein Betriebsleiter fragt nach dem Produktplan fürs nächste Jahr und bekommt Designdetails, die noch gar nicht final sind.

Ein tragfähiges Modell beginnt mit der Zuordnung von Jobfunktionen zu Datenanforderungen. Berücksichtigen Sie dabei nicht nur die genutzten Anwendungen, sondern auch Tiefe und Sensibilität der Daten. Das Marketing braucht Kampagnenmaterial und Markenrichtlinien, aber keine rohen Finanzmodelle. Das Finanzwesen braucht diese Modelle, aber keine frühen Produkt-Roadmaps. Zeigt die Analyse, dass die Anfragen eines Vertriebsteams überwiegend Kundenhistorien betreffen und nur ein kleiner Teil hochsensible Vertragsdateien berührt, können Sie die KI-Nutzung weitgehend auf bestimmte SharePoint-Bibliotheken beschränken und den Rest sperren.

Umsetzen lässt sich das mit Microsoft Entra ID. Sie erstellen Sicherheitsgruppen entsprechend Ihren Rollen und vergeben Copilot-Berechtigungen auf Gruppenebene. Bestimmte Graph-API-Bereiche können Sie dann nur der Finanzgruppe freigeben, während die Marketinggruppe andere erhält. Zugriffe auf sensible Websites, Teams-Kanäle oder OneDrive-Ordner folgen demselben Modell.

Das Zusammenspiel der Kontrollen

• Graph-Berechtigungen definieren die äußeren Grenzen dessen, worauf Copilot technisch zugreifen kann.
• DLP-Richtlinien überwachen die KI-Ausgabe auf sensible Inhalte.
• Rollengruppen verbinden beides: Sie halten Graph-Berechtigungen für weniger sensible Rollen eng und sparen DLP Fälle, die sich durch eingeschränkte Datenquellen vermeiden ließen.

Compliance-Nachweise mit Purview, ohne das Tempo zu drosseln

Richtlinien und Leitplanken genügen nicht, wenn Sie nicht belegen können, was mit KI-gestützten Daten geschehen ist. Eine auditfähige Copilot-Umgebung erklärt jede Interaktion, von der Benutzeranfrage bis zum Datenabruf, über einen nachprüfbaren Pfad. Interne Prüfungen kontrollieren oft nur das Vorhandensein von Kontrollen und einige Beispielszenarien. Verlangt ein externer Gutachter ein Protokoll aller sensiblen Inhalte, auf die Copilot im letzten Quartal zugegriffen hat, samt Auslöser und Grund, entstehen überraschend oft Lücken. Entweder sind die Protokolle unvollständig oder KI-Ereignisse fehlen, weil sie nie als solche gekennzeichnet wurden.

Purview kann Datenzugriffsanfragen, die dahinterstehende Identität und den Quellort aufzeichnen. Es korreliert diese Ereignisse außerdem mit Datenbewegungen, etwa wenn sensible Dateien in Entwürfen, Zusammenfassungen oder Exporten referenziert werden. Auf die Selbstauskunft der KI müssen Sie sich dafür nicht verlassen. Bei einer behördlichen Prüfung können Sie so die Zugriffsanfrage im Audit-Log zeigen, auf die autorisierende Rolle und Berechtigung verweisen und belegen, dass die Ausgabe in genehmigten Kanälen blieb.

Der Compliance-Score von Purview ist eine Momentaufnahme Ihrer Umgebung im Vergleich zu den empfohlenen Microsoft-Kontrollen, einschließlich solcher, die KI-Risiken begrenzen. Sauber gepflegte Graph-Berechtigungen, engere DLP-Konfigurationen und gepflegte Rollengruppen fließen ein. Da sich der Score bei Änderungen aktualisiert, sehen Sie nahezu in Echtzeit, wie Verbesserungen in der KI-Governance wirken.

Machen Sie Compliance-Berichte zum festen Teil Ihres Governance-Zyklus statt zum Sonderprojekt vor dem Audit. Purview kann wiederkehrende Berichte zu Informationsschutzrichtlinien, DLP-Vorfällen und der Nutzung von Vertraulichkeitsbezeichnungen erstellen. Gehen sie monatlich beim Governance-Team ein, entsteht eine Basis für KI-Aktivitäten, von der sich Anomalien klar abheben. Vorgefertigte Berichte gruppieren Vorfälle mit gekennzeichneten Inhalten nach Standort oder Aktivitätstyp. Zieht eine Copilot-Sitzung ein vertrauliches Dokument in eine Ausgabe und reagiert Ihre DLP, taucht der Vorfall bereits dort auf. Da Purview Entra-ID-Gruppen versteht, lassen sich Zugriffsprotokolle zudem nach Rolle aufschlüsseln. Sie können gezielt fragen, wann Marketingrollen über Copilot auf als Finanzdaten gekennzeichnete Inhalte zugegriffen haben. Genau nach dieser Filterung nach Rolle und Datenklassifizierung suchen externe Prüfer.

Häufige Fehler und Stolpersteine

• Berechtigungen ungeprüft übernehmen: Eine im Testtenant akzeptierte Konfiguration wandert unverändert in die Produktion. Anwendungsberechtigungen gelten dann womöglich tenantweit.
• Standardeinstellungen belassen: Ohne Abbildung der KI-Szenarien auf minimal nötige Berechtigungen bleibt es bei dem, was bei der Einrichtung genehmigt wurde.
• DLP ohne KI-Bezug: Die Regeln existieren, erfassen die Copilot-Ausgabe aber nicht. Derselbe Text, der in einer E-Mail blockiert würde, passiert unbemerkt in einer generierten Antwort. Behandeln Sie KI-Workflows deshalb als eigenen DLP-Standort.
• Bezeichnungen ohne Durchsetzung: Vertraulichkeitsbezeichnungen, die nicht einheitlich in den Apps greifen und nicht mit DLP verknüpft sind, schützen nicht.
• Zu allgemeines Monitoring: Dashboards, die alle Aktivitäten bündeln, verdecken KI-spezifisches Verhalten.
• Einheitszugriff für alle: Copilot für jeden mit denselben Rechten zu aktivieren, ist bequem, öffnet aber den größten Datenzugang.
• Übertriebene Granularität: Dutzende Mikrogruppen wirken präzise, sind aber ein Wartungsalbtraum, weil Rollen, Projekte und externe Mitarbeiter ständig wechseln. Eine Handvoll klar definierter Rollengruppen reicht meist aus, etwa für CFO, Praktikanten und Abteilungsleiter. Die IT passt bei Sonderprojekten Ausnahmen an.

Praktische Takeaways

• Betrachten Sie Graph-Berechtigungen als Designentscheidung, prüfen Sie sie regelmäßig und ordnen Sie jedem KI-Szenario die minimal nötigen Rechte zu.
• Hinterfragen Sie jede Berechtigung auf Anwendungsebene, denn sie ignoriert individuelle Benutzerbeschränkungen, sofern sie nicht eingegrenzt wird.
• Bestätigen Sie die App-Registrierung von Copilot in Entra ID, damit Sie den Datenverkehr in Purview über die Anwendungs-ID identifizieren können.
• Nutzen Sie die Purview-Audit-Protokollsuche und achten Sie auf ungewöhnliche Abfragevolumen und Zugriffe auf vertrauliche Inhalte in unüblichen Abteilungen.
• Beziehen Sie Copilot-Prompts und -Antworten ausdrücklich in Ihre DLP-Richtlinien ein, inklusive Exchange, SharePoint, OneDrive und Teams.
• Verknüpfen Sie Vertraulichkeitsbezeichnungen mit DLP-Richtlinien und setzen Sie Schutzeinstellungen einheitlich durch.
• Bilden Sie wenige, klare Rollengruppen in Entra ID und vergeben Sie Copilot-Berechtigungen auf Gruppenebene.
• Verankern Sie automatisierte Purview-Berichte und den Compliance-Score im Governance-Zyklus.

Fazit

Copilot ist nur so sicher wie die Berechtigungen, die ihm erteilt wurden. Wer Graph-Zugriffe bewusst gestaltet, KI-Ausgaben in DLP und Vertraulichkeitsbezeichnungen einbezieht, Rollengruppen pragmatisch schneidet und mit Purview nachvollziehbar protokolliert, kann Copilot produktiv einsetzen. Die Kontrollen greifen ineinander: Sie verhindern versehentliche Datenfreigaben, erleichtern Audits und lassen neue Funktionen zu, ohne dass ein globaler Rollout mühsam aufgebaute Datengrenzen untergräbt.