Microsoft 365 Copilot lässt sich in wenigen Minuten einschalten: Sie kaufen Lizenzen, weisen sie Benutzern zu, und in Word, Outlook und Teams erscheint eine neue Schaltfläche. Genau deshalb ist es riskant. Der technische Teil ist der einfachste, alles, was darüber entscheidet, ob Copilot nützlich ist oder Probleme verursacht, muss vorher erledigt werden.
Das häufigste Szenario, das wir sehen: Ein Unternehmen aktiviert Copilot für einige Führungskräfte, eine davon bittet ihn, „zusammenzufassen, was wir über die Gehälter der Mitarbeitenden wissen“, und erhält eine detaillierte Antwort aus einer Excel-Datei, die eine Personalleiterin vor drei Jahren in eine für das ganze Unternehmen offene SharePoint-Bibliothek hochgeladen hat. Copilot hat nichts durchbrochen. Die Datei war zugänglich. Nur wusste vorher niemand, wo man suchen musste.
In diesem Artikel beschreiben wir, was Sie vor dem Einschalten vorbereiten: Zugriffe bereinigen, Daten klassifizieren, eine Pilotgruppe bilden und die Szenarien festlegen, an denen Sie den Nutzen messen. Es ist kein langes Projekt, aber es lässt sich nicht überspringen.
Copilot sieht, was der Benutzer sieht
Das Kernprinzip, das man verstehen muss: Copilot hat keinen eigenen Zugriff auf Daten. Er handelt im Namen des Benutzers und findet über Microsoft Graph die E-Mails, Dateien, Chats und Besprechungen, für die der Benutzer Berechtigungen hat. Kann ein Mitarbeiter eine Datei öffnen, kann Copilot sie zitieren. Kann er es nicht, sieht Copilot sie nicht.
Daraus folgen zwei Schlüsse. Erstens schafft Copilot keine neuen Sicherheitslücken, er macht nur bestehende sichtbar. Zweitens wird ein über Jahre gewachsener Wildwuchs bei Berechtigungen, der unbemerkt blieb, weil niemand wusste, wo man suchen sollte, mit einer einzigen Frage sichtbar, sobald Copilot läuft. Eine früher umständliche Suche ist jetzt ein Gespräch in natürlicher Sprache.
Die erste Aufgabe ist also nicht Copilot, sondern eine Zugriffsprüfung: Wer hat Zugriff worauf, und sollte er ihn haben?
Zugriffe in SharePoint und OneDrive bereinigen
Nach unserer Erfahrung entstehen Zugriffsprobleme in SharePoint über die Jahre aus einigen Quellen: „vorübergehend“ angelegte Websites mit Zugriff für alle; Teams-Teams, deren Mitgliedschaft nicht angepasst wurde, als Personen die Rolle wechselten; Dateien, die mit einem Link für „alle in der Organisation“ freigegeben wurden; OneDrive-Ordner, die ein ausscheidender Mitarbeiter samt Inhalt an einen Kollegen übergeben hat.
Was Sie vor der Aktivierung von Copilot prüfen sollten:
- SharePoint-Websites, auf die die Gruppe „Jeder“ oder „Jeder außer externen Benutzern“ zugreifen kann. Das sind die ersten Kandidaten für eine Überprüfung.
- Dateien und Ordner, die über Links auf Organisationsebene freigegeben sind. Das SharePoint Admin Center und Microsoft Purview bieten Berichte, die das zeigen.
- Besitzer von Teams-Teams und Websites. Jede Website braucht einen aktiven Besitzer, der für ihre Mitglieder verantwortlich ist.
- Alte Websites ohne Aktivität seit einem Jahr. Besser archivieren, als sie liegen zu lassen.
- OneDrive-Ordner mit externer Freigabe.
SharePoint Advanced Management und Microsoft Purview enthalten Werkzeuge, mit denen sich die Copilot-Suche vorübergehend auf bestimmte Websites beschränken lässt (Restricted SharePoint Search), während die Zugriffe bereinigt werden. Das ist ein praktischer Zwischenschritt, wenn Sie einen Piloten starten möchten, ohne Monate mit einer Prüfung zu verbringen.
Vertraulichkeitsbezeichnungen und Datenklassifizierung
Vertraulichkeitsbezeichnungen (Sensitivity Labels) in Microsoft Purview sind die zweite Schicht nach den Zugriffen. Sie kennzeichnen Dokumente und E-Mails nach Schutzbedarf (öffentlich, intern, vertraulich, streng vertraulich) und können Inhalte verschlüsseln und einschränken, wer sie sieht. Copilot beachtet Bezeichnungen: Ist ein Dokument so gekennzeichnet, dass der Benutzer es nicht lesen darf, verwendet Copilot es nicht in einer Antwort, und nutzt er bezeichnete Inhalte, erbt die Antwort die höchste Bezeichnung.
Sie müssen nicht jede Datei vor Copilot kennzeichnen. Es genügt, 3 bis 4 Bezeichnungen festzulegen, die im Unternehmen verstanden werden; eine Standardbezeichnung für neue Dokumente zu setzen; Dokumente automatisch zu kennzeichnen, in denen Ausweisnummern, Finanzdaten oder Vertragsvorlagen erkannt werden; und bekannte sensible Bibliotheken wie Personal, Finanzen und Geschäftsleitung manuell zu kennzeichnen.
Diese Arbeit ist auch ohne Copilot nützlich, und Sie brauchen sie später, wenn NIS2 oder DORA für Ihr Unternehmen gilt. Copilot gibt Ihnen nur den Anlass, sie endlich zu erledigen.
Eine Pilotgruppe statt das ganze Unternehmen auf einmal
Copilot-Lizenzen werden pro Benutzer zugewiesen, daher liegt es nahe, mit einer Gruppe zu beginnen. Wir empfehlen 10 bis 20 Personen aus verschiedenen Abteilungen, die:
- viel mit Dokumenten, E-Mails und Besprechungen arbeiten und deshalb am meisten profitieren.
- es ausprobieren wollen und bereit sind, Beobachtungen zu teilen, statt nur zu klagen.
- unterschiedliche Tätigkeiten vertreten: Vertrieb, Finanzen, Projektmanagement, Geschäftsleitung, Verwaltung.
Eine Person der Gruppe sollte aus der IT oder der Informationssicherheit kommen, um gezielt die Zugriffsfragen zu testen: Was findet Copilot, das er nicht finden sollte? Der Pilot dauert 6 bis 8 Wochen. In dieser Zeit trifft sich die Gruppe alle zwei Wochen für 30 Minuten und tauscht aus, was funktioniert hat, was nicht und welche Prompts sie gelernt hat.
Nutzungsszenarien statt „einfach mal ausprobieren“
Der größte Fehler bei Piloten ist, Lizenzen zu verteilen und zu sagen: „Nutzt es einfach.“ Die Mitarbeitenden probieren es ein paarmal aus, erhalten kein beeindruckendes Ergebnis und kehren zu ihrer gewohnten Arbeit zurück. Copilot braucht konkrete Szenarien, die zur echten Arbeit passen.
Beispiele, die nach unserer Erfahrung schnell Ergebnisse liefern:
- Eine Zusammenfassung einer Teams-Besprechung mit Aufgabenliste, die innerhalb von fünf Minuten nach Ende der Besprechung an die Teilnehmenden geht.
- Outlook: eine Zusammenfassung eines langen E-Mail-Verlaufs und ein Antwortentwurf, wenn jemand aus dem Urlaub zurückkehrt.
- Word: ein Angebotsentwurf auf Grundlage früherer Angebote für dasselbe Kundensegment.
- Excel: die Erläuterung einer Datentabelle und Formelvorschläge für jemanden, der kein Excel-Experte ist.
- Copilot Chat: „Was hat mein Team in den letzten zwei Wochen zu Projekt X entschieden?“, beantwortet aus E-Mails, Chats und Dokumenten.
Weisen Sie jedem Pilotteilnehmer je nach Aufgabe 2 bis 3 Szenarien zu. So haben Sie etwas, das sich messen lässt.
Wie Sie den Nutzen messen
Eine Copilot-Lizenz ist nicht billig, daher sollte die Entscheidung über die Ausweitung auf Daten beruhen, nicht auf Eindrücken. Das Microsoft 365 Admin Center bietet einen Copilot-Nutzungsbericht: wie viele Benutzer aktiv sind, in welchen Apps, wie oft. Das ist der erste Indikator. Nutzt nach einem Monat die Hälfte der Pilotgruppe Copilot nicht, liegt das Problem in den Szenarien oder in der Schulung, nicht im Werkzeug.
Der zweite Indikator ist die eigene Einschätzung der Benutzer je Szenario. Ein einfaches Formular am Ende des Piloten: Welche Szenarien haben Zeit gespart, grob wie viel pro Woche, und welche haben nicht funktioniert und warum. Der dritte ist das Fazit der Sicherheitsverantwortlichen zu den Zugriffsfragen. Hat Copilot während des Piloten Inhalte gezeigt, die der Benutzer nicht hätte sehen dürfen, wird das vor dem Rollout behoben, nicht danach.
Anhand der Ergebnisse erhalten Abteilungen mit klarem Nutzen in einer zweiten Welle Lizenzen. Abteilungen, in denen der Nutzen unklar ist, warten.
Copilot-Studio-Agenten: der nächste Schritt
Sobald Copilot funktioniert und die Zugriffe sauber sind, folgen als nächste Stufe Agenten, die Sie in Copilot Studio bauen. Das ist kein allgemeiner Assistent mehr, sondern eine Lösung für eine bestimmte Aufgabe: ein Agent, der Fragen der Mitarbeitenden zu internen Richtlinien aus Personaldokumenten beantwortet; ein Agent, der Helpdesk-Anfragen erfasst und ihren Status prüft; ein Agent, der aus einer Kunden-E-Mail über Power Automate einen Auftrag in einem Business-System macht.
Agenten nutzen dasselbe Zugriffs- und Bezeichnungsmodell, sodass alles, was Sie bei der Vorbereitung auf Copilot in Ordnung gebracht haben, direkt für sie gilt. Mehr dazu, wie Agenten funktionieren und für wen sie geeignet sind, lesen Sie auf der Seite Microsoft-365-Copilot-Agenten.
Wo Sie anfangen
Die Vorbereitung von Copilot für ein Unternehmen mit bis zu 200 Mitarbeitenden dauert nach unserer Erfahrung je nach Zustand von SharePoint von einigen Wochen bis zu ein paar Monaten.
- Prüfen Sie die Zugriffe in SharePoint und OneDrive: für alle offene Websites, Links auf Organisationsebene, Websites ohne Besitzer.
- Legen Sie 3 bis 4 Vertraulichkeitsbezeichnungen fest und kennzeichnen Sie die bekannten sensiblen Bibliotheken. Aktivieren Sie die automatische Kennzeichnung für personenbezogene und Finanzdaten.
- Stellen Sie eine Pilotgruppe von 10 bis 20 Personen zusammen und weisen Sie jeder 2 bis 3 Nutzungsszenarien zu.
- Legen Sie die Erfolgskennzahlen vor dem Piloten fest, nicht danach.
- Treffen Sie nach 6 bis 8 Wochen die Entscheidung über die Ausweitung auf Grundlage von Daten.
Wenn wir die Vorbereitung und den Piloten für Sie durchführen sollen, umfasst unsere Einführung von Microsoft 365 Copilot die Zugriffsprüfung, die Einrichtung der Bezeichnungen, die Schulung der Pilotgruppe und die Messung. Und wenn die Zugriffshygiene ein größeres Problem ist als Copilot selbst, beginnen wir mit der Verbesserung der Microsoft-365-Sicherheit und gehen erst danach weiter.
