Copilot und Datenklassifizierung: Warum keine Zeit zu verlieren ist

Compliance ist Ihre Aufgabe – nicht die von Microsoft 

Microsoft 365 Copilot erfüllt Anforderungen aus DSGVO, HIPAA und vergleichbaren Regelwerken nicht automatisch. Voraussetzung ist, dass die zugrunde liegenden Sicherheits-, Berechtigungs- und Governance-Strukturen diese Anforderungen bereits erfüllen.

Auch Microsofts eigenes „Copilot Adoption Playbook“ stellt die Überprüfung von Sicherheits- und Dateneinstellungen an den Anfang des Einführungsprozesses. Die Verantwortung dafür liegt bei der Organisation, die Copilot implementiert – nicht bei Microsoft.

Copilot schafft also kein neues Berechtigungsmodell. Es macht das bestehende sichtbar und nutzbar. Genau darin liegt eine der größten Herausforderungen.

Warum das Risiko größer ist, als Sie denken 

Die meisten Organisationen haben sich im Laufe der Zeit vom Prinzip der geringsten Berechtigungen entfernt. Microsofts „2023 State of Cloud Permissions Risks Report“ zeigt, dass weniger als 2 % der vergebenen Berechtigungen tatsächlich genutzt werden. Gleichzeitig gelten mehr als 50 % der Identitäten als „Super-Admins“.

Diese Diskrepanz zwischen vergebenen und tatsächlich benötigten Berechtigungen ist entscheidend. Denn Copilot kann dadurch unter Umständen auf deutlich mehr Informationen zugreifen, als ursprünglich beabsichtigt war.

Auch die Menge der Daten ist erheblich: Ein typischer Mitarbeitender verfügt über rund 55.000 unstrukturierte Datenobjekte in Postfächern und auf Laufwerken. Darunter befinden sich 150 bis 1.100 Dateien mit sensiblen personenbezogenen Daten, die eigentlich nicht mehr aufbewahrt werden dürften, sowie rund 50 Dateien mit Anmeldedaten im Klartext.

Über mehr als zwei Milliarden analysierte Datensätze hinweg entstehen pro Mitarbeitendem durchschnittlich rund 150 nicht konforme Dateien pro Jahr. In Bereichen wie Personalwesen und Finanzen kann die Zahl noch höher liegen.

Was das in der Praxis bedeutet 

Wie schnell aus übermäßig freigegebenen Daten ein konkretes Risiko entsteht, zeigen dokumentierte Copilot-Abfragen.

Ein Nutzer bat Copilot beispielsweise, „nach meinen Reisedokumenten zu suchen“. Das Ergebnis enthielt unter anderem Bordkarten, COVID-Gesundheitsdokumente und eine Liste mit Passnummern. Einige dieser Dokumente gehörten offenbar anderen Mitarbeitenden und waren lediglich zu weit freigegeben.

In einem anderen Fall bot Copilot an, eine Tabelle mit Passnummern zu erstellen, die direkt aus OneDrive abgerufen wurden.

Das Entscheidende daran: Die Nutzer mussten dafür keine ungewöhnlichen Aktionen durchführen. Sie mussten lediglich fragen.

Genau das verändert die Risikolage. Informationen, die bisher irgendwo in einem SharePoint-Ordner oder einer Mailbox lagen und möglicherweise nie gefunden wurden, können durch natürliche Sprache plötzlich in Sekunden auffindbar werden.

Zwei technische Stellschrauben über die Klassifizierung hinaus 

Die Datenklassifizierung macht Risiken sichtbar und schafft die Grundlage für weitere Schutzmaßnahmen. Zwei Microsoft-eigene Funktionen können zusätzlich begrenzen, auf welche Inhalte Copilot tatsächlich zugreifen kann:

Restricted SharePoint Search
Mit einer Positivliste zugelassener SharePoint-Sites lässt sich der Zugriff zunächst auf definierte Bereiche beschränken. Das ermöglicht einen schrittweisen Rollout und sogenannte „Vault Locations“ für Inhalte, die niemals von Copilot indexiert werden sollen.

Sensitivity Labels mit Content Blocking
Microsoft Purview bietet mit der Einstellung BlockContentAnalysisServices die Möglichkeit, entsprechend gekennzeichnete Inhalte von der Analyse durch Copilot auszuschließen. Auch eine Verschlüsselung mit zwei Schlüsseln kann Inhalte standardmäßig blockieren, da Copilot keinen Zugriff auf einen der beiden erforderlichen Schlüssel besitzt.

Beide Maßnahmen haben jedoch eine gemeinsame Voraussetzung: Die Daten müssen zunächst korrekt klassifiziert und gekennzeichnet sein. Genau hier leistet die Datenklassifizierung die entscheidende Vorarbeit.

Der Weg zu einer Copilot-ready Umgebung 

 Eine strukturierte Vorbereitung lässt sich in fünf Schritten aufbauen: 

1. Daten erkennen
E-Mails, SharePoint, Teams und OneDrive nach sensiblen und schützenswerten Inhalten durchsuchen.

2. Mit den Datenverantwortlichen prüfen
Nicht jede gefundene Datei ist automatisch ein Problem. Die jeweiligen Datenverantwortlichen müssen entscheiden, ob Inhalte noch benötigt werden und wie sie geschützt werden müssen.

3. Klassifizieren und schützen
Microsoft Purview Sensitivity Labels anwenden und – wo erforderlich – Content Blocking oder Verschlüsselung aktivieren.

4. Bereinigen
Nicht mehr benötigte Daten löschen, Inhalte an geeignete Speicherorte verschieben oder Zugriffsrechte einschränken.

5. Prüfen und ausrollen
Die Umgebung anhand definierter Sicherheits- und Governance-Vorgaben überprüfen und erst anschließend Copilot aktivieren.

Damit ist die Arbeit allerdings nicht abgeschlossen.

Datenklassifizierung endet nicht mit dem Go-live 

Jeden Tag entstehen neue Dokumente, E-Mails und Dateien. Gleichzeitig verändern sich Berechtigungen, Teams und Arbeitsprozesse. Eine Umgebung, die zum Zeitpunkt des Copilot-Rollouts sauber klassifiziert ist, kann wenige Monate später bereits wieder ganz anders aussehen.

Deshalb sollte Datenklassifizierung kein einmaliges Projekt sein, sondern ein kontinuierlicher Prozess. Regelmäßige Scans und Bewertungen helfen dabei, neue Risiken frühzeitig zu erkennen und die Datenbasis auch bei zunehmender Copilot-Nutzung unter Kontrolle zu halten.

Copilot-Readiness beginnt damit nicht bei der Lizenz und auch nicht beim ersten Prompt. Sie beginnt bei den Daten.

FAQ

Wer ist für die Compliance von Copilot verantwortlich?
Die implementierende Organisation – nicht Microsoft. Copilot übernimmt bestehende Berechtigungen und Governance-Regelungen grundsätzlich unverändert.

Kann Purview die Datenklassifizierung ohne zusätzliche Tools übernehmen?
Die Sensitivity Labels von Microsoft Purview sind ein zentraler Bestandteil der Datenklassifizierung, decken jedoch nicht jeden Dateityp und jedes Szenario ab. Zudem fehlen vielen mittelständischen Unternehmen die notwendigen Rollen und Ressourcen, um die Klassifizierung in großem Maßstab zu betreiben. Deshalb werden häufig zusätzliche Klassifizierungstools als Ergänzung und Enabler für Purview eingesetzt.

Wie schnell wachsen unstrukturierte Daten?
Unstrukturierte Daten wachsen typischerweise um etwa 20 bis 30 % pro Jahr. Ohne einen aktiven Klassifizierungsprozess wächst damit auch die potenzielle Risiko- und Expositionsfläche kontinuierlich.

Können bereits von Copilot angezeigte Daten wieder entfernt werden?
Nicht zuverlässig. Sobald sensible Inhalte in einen KI-Index gelangen, kann es schwierig bis unmöglich sein, sie vollständig daraus zu entfernen. Genau deshalb muss die Klassifizierung vor der Einführung erfolgen, nicht danach.

Bereit für Copilot?

Wer Microsoft 365 Copilot produktiv einsetzen möchte, sollte nicht erst beim Rollout über Daten, Berechtigungen und Governance sprechen.

HanseVision unterstützt Unternehmen dabei, ihre Microsoft-365-Umgebung auf den Copilot-Einsatz vorzubereiten, Risiken zu identifizieren und konkrete Maßnahmen für eine sichere Einführung abzuleiten.

Sie möchten wissen, wie Copilot-Readiness in Ihrer Umgebung aussieht? Sprechen Sie mit uns.