Microsoft hat am 18.08.2026 den Leitfaden für eine sichere und governance-fähige Copilot-Basis aktualisiert und darin eine klare Reihenfolge vorgegeben: erst Übersharing beheben, dann dauerhafte Schutzvorgaben setzen, dann regulatorische Anforderungen erfüllen (Microsoft Learn). Diese Reihenfolge ist der Kern der Sache. Copilot erweitert keine Berechtigungen, es macht bestehende Fehlkonfigurationen in Sekunden auffindbar.
Für Schweizer KMU heisst das: Das Risiko liegt nicht im Sprachmodell, sondern in gewachsenen SharePoint-Strukturen mit offenen Freigabelinks, verwaisten Websites und Berechtigungen, die seit Jahren niemand geprüft hat. Wer Copilot in eine solche Umgebung ausrollt, hat kein KI-Problem, sondern ein Berechtigungsproblem mit neuer Sichtbarkeit.
Schritt 1: Übersharing sichtbar machen und temporär abriegeln
Microsoft empfiehlt zuerst die Bestandsaufnahme über Purview Data Security Posture Management und SharePoint Advanced Management. Die DSPM Data Risk Assessments zeigen Websites mit sensiblen, zu breit freigegebenen Daten sowie riskante Freigabelinks. Die SAM Content Management Assessment findet Websites mit zu grossen Zielgruppen, Freigaben an «Everyone except external users», unterbrochener Berechtigungsvererbung, Inaktivität und fehlendem Besitzer.
Bis die Bereinigung abgeschlossen ist, sind zwei temporäre Kontrollen vorgesehen: Restricted Content Discovery schliesst sensible Websites von der Copilot-Erkennung aus, und Purview DLP für Copilot nimmt sensible Inhalte aus dem Grounding. Beide dürfen laut Microsoft erst entfernt werden, wenn Zugriffe und Berechtigungen tatsächlich korrigiert sind. Über Purview Auditing wird geprüft, dass Copilot eingeschränkte Inhalte nicht mehr anzeigt.
Schritt 2: Guardrails, die dauerhaft greifen
Auf Mandantenebene stehen drei Standardeinstellungen im Zentrum: Restricted Access Control für geschäftskritische Websites bereits bei der Bereitstellung, Deaktivierung oder Einschränkung von unternehmensweiten Freigabegruppen und «Anyone»-Links, sowie verpflichtende Website-Sensitivity-Labels über Purview Information Protection.
Für Copilot selbst sind zwei DLP-Konfigurationen zu unterscheiden, die in der Praxis regelmässig verwechselt werden. DLP für das Grounding verhindert, dass Dateien und E-Mails mit bestimmten Sensitivity-Labels als Antwortquelle dienen. DLP für Prompts verhindert, dass Copilot auf Eingaben antwortet, die festgelegte sensible Informationen enthalten. Der zweite Fall ist der wahrscheinlichere Alltagsfehler, weil Mitarbeitende Personendaten oder Vertragspassagen bereitwilliger in ein Chatfeld kopieren als in einen E-Mail-Anhang.
Optional lässt sich Work-IQ-Grounding erlauben und Web-Grounding für sensible Daten blockieren. Purview Insider Risk Management erkennt Muster unangemessener Nutzung und kann risikoreiche Konten automatisch restriktiveren Richtlinien zuordnen.
Schritt 3: Audit, Aufbewahrung, eDiscovery
Der dritte Block betrifft die Nachweisebene: Aufbewahrungsdauer der Auditprotokolle festlegen, Aufbewahrung oder Löschung der Copilot-Interaktionen definieren, Purview eDiscovery für Copilot-bezogene Inhalte einsetzen. Dazu kommt Datenhygiene über Inactive Site Policies und Microsoft 365 Archive, das inaktive Inhalte erhält und gleichzeitig von der Copilot-Verarbeitung ausnimmt.
Für Betriebe mit revDSG-Pflichten ist dieser Block kein Nachgedanke. Auskunftsbegehren nach Artikel 25 revDSG betreffen auch KI-gestützte Verarbeitungen. Wer nicht darlegen kann, welche Interaktionen wie lange gespeichert sind, hat eine Lücke im Verzeichnis der Bearbeitungstätigkeiten.
Der Fall CoSnitch: warum Privatkonto und Arbeitskonto zu trennen sind
Am 18.08.2026 hat Microsoft Patches für eine von Varonis Threat Labs unter dem Namen CoSnitch offengelegte Schwachstellenkette veröffentlicht, geführt als CVE-2026-24301. Betroffen war Microsoft Copilot Personal, der Consumer-Assistent auf copilot.microsoft.com, nicht Microsoft 365 Copilot (The Hacker News).
Die Kette bestand aus drei Elementen: Ein undokumentierter URL-Parameter führte einen mitgelieferten Prompt beim Laden der Seite automatisch in der angemeldeten Sitzung aus. Der Prompt konnte bereits autorisierte Dienste abfragen und die Daten über den integrierten URL-Abruf an einen fremden Endpunkt senden. Zusätzlich konnte eine präparierte Webseite beim Zusammenfassen Anweisungen in den persistenten Memory-Speicher schreiben, die Passwortwechsel und Sitzungswiderruf überdauern, bis der Eintrag manuell gelöscht wird. Varonis meldete den Befund im Dezember 2025 und fand keine Hinweise auf Ausnutzung in freier Wildbahn.
Die Lehre ist organisatorisch, nicht technisch. Geschäftsdaten haben im Privatkonto nichts zu suchen, und private Verknüpfungen zu Mailkonten oder Cloudspeichern gehören nicht in eine Arbeitsumgebung. Wer beides mischt, verlagert Unternehmensdaten in einen Bereich ohne Purview, ohne DLP und ohne Auditspur.
Lizenzen und ein befristeter Kostenhebel
Der Microsoft-Leitfaden setzt Microsoft 365 E3 oder E5 beziehungsweise Office 365 E3 oder E5 voraus, dazu Copilot-Lizenzen. SharePoint Advanced Management ist in den Copilot-Lizenzen enthalten. Ein Teil der Purview-Funktionen liegt in E3, die erweiterten Möglichkeiten in E5.
Für Betriebe mit Business Premium besteht bis 31.12.2026 ein befristetes Angebot mit 50 % Rabatt auf die Microsoft Purview Suite, sofern Business Premium gemeinsam mit Microsoft 365 Copilot Business oder Microsoft 365 Copilot lizenziert wird (Microsoft Partner Center). Das verschiebt die Diskussion über Datenschutzwerkzeuge aus dem Bereich der Wunschliste in eine terminierte Entscheidung.
Freigabe und Verantwortung
Technische Guardrails begrenzen, was Copilot sehen darf. Sie beurteilen nicht, ob eine Ausgabe fachlich korrekt ist. Für jeden Prozess mit Aussenwirkung gehört deshalb eine namentliche Freigabe in den Ablauf, dokumentiert mit vier Angaben: Prozess, verwendetes Werkzeug, prüfende Person, Freigabedatum. Diese Notiz ist im Streitfall belastbarer als jede nachträgliche Rekonstruktion.
Den Rahmen dafür haben wir im Beitrag KI-Richtlinien für Schweizer KMU beschrieben, die Transparenzpflichten im Beitrag AI Act Artikel 50 und Schweizer KMU. Beide Beiträge liefern die Regelseite, die zu den hier beschriebenen technischen Kontrollen gehört.
Nächster Schritt
Sie wollen wissen, welche Websites Ihr Copilot heute erreichen kann? Buchen Sie ein Erstgespräch von 30 Minuten auf ai-trainingcenter.ch/kontakt. Wir priorisieren die Massnahmen aus Schritt 1 bis 3 für Ihre Umgebung, legen die DLP-Regeln für Prompts und Grounding fest und definieren die Freigabepfade gemeinsam mit Ihren Verantwortlichen.