Leitfaden

Microsoft 365 Copilot sicher einführen: Risiken und Konfiguration

Von Lucas Weber, CyberSec42 · Stand 28.10.2026

Microsoft 365 Copilot zeigt jeder Person nur Inhalte, die sie ohnehin öffnen darf. Das größte Sicherheitsrisiko liegt deshalb meist nicht in Copilot selbst, sondern in zu weit gefassten Berechtigungen in SharePoint, OneDrive und Teams, die Copilot in Sekunden auffindbar macht. Wer Copilot sicher einführen will, räumt zuerst Berechtigungen auf, klassifiziert vertrauliche Daten mit Vertraulichkeitsbezeichnungen, begrenzt Agenten und Konnektoren und schaltet die Protokollierung ein, bevor die Lizenzen breit verteilt werden.

Wie Copilot an Ihre Daten kommt

Microsoft 365 Copilot (von Microsoft inzwischen in „Microsoft Copilot“ umbenannt) verbindet ein Sprachmodell mit den Inhalten, auf die eine Person in Microsoft 365 Zugriff hat: Mails, Chats, Besprechungen, Dateien in SharePoint und OneDrive. Microsoft beschreibt das Prinzip eindeutig: Copilot zeigt nur Organisationsdaten, für die die jeweilige Person mindestens Leserechte hat. Prompts, Antworten und die über Microsoft Graph abgerufenen Daten werden laut Microsoft nicht zum Training der zugrunde liegenden Basismodelle verwendet.

Für die Sicherheitsbewertung heißt das: Copilot vergibt keine neuen Rechte. Er wertet aber vorhandene Rechte so schnell und so gründlich aus wie kein Mensch. Eine Gehaltsliste, die seit Jahren in einer Teams-Ablage mit Freigabe für die ganze Firma liegt, war bisher praktisch unsichtbar. Mit Copilot reicht eine Frage nach „Gehältern im Vertrieb“.

Die Schichten, die über Copilot-Antworten entscheiden

Die unterste Schicht entscheidet am meisten. Was dort zu weit offen ist, lässt sich in den oberen Schichten nur abmildern, nicht beheben.

1. Berechtigungen und Oversharing

Oversharing ist der häufigste Grund, warum Copilot-Einführungen ins Stocken geraten. Typische Ursachen sind Freigabelinks für „Personen in Ihrer Organisation“, die Gruppe „Jeder außer externen Benutzern“ auf ganzen Websites, unterbrochene Berechtigungsvererbung in Bibliotheken, Websites ohne Besitzer und alte Projektablagen, die niemand mehr pflegt.

Microsoft empfiehlt in seinem Bereitstellungsleitfaden ein Vorgehen in drei Schritten, das sich auch für kleinere Unternehmen bewährt:

• Risiken finden. Die Datenrisikobewertungen in Microsoft Purview Data Security Posture Management (DSPM) zeigen überteilte Websites mit sensiblen Daten und riskante Freigabelinks. Die Content Management Assessment aus SharePoint Advanced Management findet Websites mit zu großem Personenkreis, unterbrochener Vererbung, fehlendem Besitzer oder ohne Aktivität. SharePoint Advanced Management ist laut Microsoft in der Copilot-Lizenz enthalten.
• Übergangsweise abschirmen. Restricted Content Discovery nimmt einzelne SharePoint-Websites aus der organisationsweiten Suche und aus Copilot-Antworten heraus. Wichtig: Die Funktion ändert keine Berechtigungen. Wer Zugriff hat, behält ihn. Microsoft beschreibt sie ausdrücklich als vorübergehende Maßnahme, bis die Rechte bereinigt sind.
• Rechte dauerhaft bereinigen. Websitezugriffsprüfungen an die Websitebesitzer delegieren, organisationsweite Freigabelinks durch Freigaben an konkrete Personen oder Gruppen ersetzen, Vererbung reparieren und für jede Website einen verantwortlichen Besitzer festlegen.

Damit das Problem nicht nachwächst, gehören sichere Voreinstellungen dazu: „Jeder“-Links auf Mandantenebene einschränken oder abschalten, für geschäftskritische Websites eingeschränkte Zugriffssteuerung (Restricted Access Control) schon bei der Anlage setzen und neue Websites nur mit Vertraulichkeitsbezeichnung anlegen lassen.

2. Datenklassifizierung und Vertraulichkeitsbezeichnungen

Berechtigungen regeln, wer eine Datei öffnen darf. Vertraulichkeitsbezeichnungen (Sensitivity Labels) aus Microsoft Purview Information Protection beschreiben zusätzlich, wie vertraulich eine Datei ist, und können sie verschlüsseln. Ist ein Inhalt verschlüsselt, berücksichtigt Copilot laut Microsoft die Nutzungsrechte, die der jeweiligen Person eingeräumt sind.

Für Copilot sind drei Bausteine besonders wirksam:

• Ein kleines, verständliches Label-Schema. Etwa Öffentlich, Intern, Vertraulich, Streng vertraulich. Mehr Stufen werden im Alltag selten korrekt vergeben.
• Standard- und automatische Bezeichnungen. Neue Dokumente erhalten ein Standardlabel, typische sensible Inhalte werden automatisch erkannt und bezeichnet. Ohne Automatik bleibt ein Großteil des Altbestands unbezeichnet.
• DLP-Richtlinien für Copilot. In Microsoft Purview gibt es einen eigenen DLP-Speicherort „Microsoft 365 Copilot und Copilot Chat“. Damit lässt sich festlegen, dass Copilot Dateien und Mails mit bestimmten Labels nicht für Antworten verarbeitet. Solche Elemente können noch als Quelle zitiert werden, ihr Inhalt fließt aber nicht in die Antwort ein. Eine zweite Regelart verhindert, dass Copilot auf Prompts antwortet, die bestimmte vertrauliche Informationstypen enthalten, etwa Kartennummern. Diese Prompt-Prüfung ist laut Microsoft noch in der Vorschau.

Eine Einschränkung sollten Sie kennen: Dateien, die jemand direkt in einen Prompt hochlädt, kann DLP laut Microsoft nicht inhaltlich prüfen. Geprüft wird nur der eingetippte Prompt-Text. Das gehört in die Nutzungsrichtlinie und in die Schulung.

3. Prompt-Injection über Dokumente und Mails

Copilot liest nicht nur Ihre eigenen Inhalte, sondern auch Mails von außen, geteilte Dokumente von Partnern und Webinhalte. Darin können Anweisungen versteckt sein, die sich an das Sprachmodell richten statt an den Menschen. Das Prinzip der indirekten Prompt-Injection und die strukturellen Gegenmaßnahmen haben wir im Leitfaden zu Prompt-Injection und Tool-Poisoning ausführlich beschrieben. Hier geht es um das, was im Microsoft-365-Umfeld konkret zählt.

Das BSI hat bereits im Juli 2023 vor indirekten Prompt-Injections als grundsätzlicher Schwachstelle in Anwendungen mit eingebundenen Sprachmodellen gewarnt. Seine Bewertung: Bei Sprachmodellen gibt es keine klare Trennung zwischen Daten und Anweisungen, und eine verlässliche Abhilfe ohne deutliche Funktionseinschränkung ist nicht bekannt.

Dass das Risiko auch Copilot betrifft, zeigt ein öffentlich dokumentierter Fall: CVE-2025-32711, von Microsoft im Juni 2025 als „M365 Copilot Information Disclosure Vulnerability“ veröffentlicht. Microsoft beschreibt sie als KI-Befehlsinjektion, über die ein nicht autorisierter Angreifer Informationen über das Netzwerk offenlegen konnte, und bewertet sie mit CVSS 9,3 (kritisch). Die Entdecker veröffentlichten den Fall unter dem Namen „EchoLeak“ und beschrieben einen Ablauf über eine präparierte E-Mail. Microsoft hat die Lücke laut MSRC vollständig serverseitig behoben, Kunden mussten nichts tun, und laut Advisory gab es keine Hinweise auf eine Ausnutzung.

Für Ihre Einführung folgt daraus nicht, dass Copilot unsicher wäre, sondern dass die Vertrauensgrenze zwischen fremden Inhalten und Ihren Daten bewusst gestaltet werden muss:

• Externe Mails als nicht vertrauenswürdig behandeln. Microsoft Purview bietet eine DLP-Regel, die Mails von Absendern außerhalb der eigenen Domänen von der Verarbeitung durch Copilot ausnimmt. Microsoft nennt als Zweck ausdrücklich das Risiko durch Prompt-Injection. Die Funktion ist derzeit in der Vorschau. Ob sie passt, hängt davon ab, wie stark Ihr Team Copilot für Kundenkorrespondenz nutzt.
• Copilot-eigene Schutzschichten kennen. Microsoft setzt nach eigenen Angaben Klassifizierer gegen Jailbreaks und Cross-Prompt-Injection (XPIA) ein. Im Audit-Protokoll gibt es dafür eigene Felder. Diese Schutzschicht ergänzt Ihre Konfiguration, sie ersetzt sie nicht.
• Ergebnisse vor dem Handeln prüfen. Antworten und Entwürfe, die auf fremden Inhalten beruhen, gehören vor dem Versand oder einer Freigabe gegengelesen, vor allem wenn sie Links, Zahlungsdaten oder Handlungsaufforderungen enthalten.

4. Copilot Studio, Agenten und Konnektoren

Mit Copilot Studio bauen Fachabteilungen eigene Agenten, die Wissen aus SharePoint, Webseiten oder Datenbanken nutzen und über Konnektoren, REST-APIs oder MCP-Server Aktionen ausführen. Damit wird aus einem Assistenten, der liest, ein System, das handelt. Die grundsätzlichen Risiken handelnder Agenten beschreibt unser Überblick zur KI-Agent-Sicherheit. Für Copilot Studio sind vier Einstellungen entscheidend:

• Anmeldung des Agenten. Copilot Studio bietet drei Varianten: keine Authentifizierung, Anmeldung über Microsoft oder eine manuell konfigurierte Authentifizierung. Ohne Authentifizierung kann laut Microsoft jeder, der den Link hat, mit dem Agenten chatten. Für interne Agenten gehört die Anmeldung über Microsoft Entra ID zum Standard.
• Wessen Rechte ein Werkzeug nutzt. Jedes Werkzeug läuft entweder mit den Anmeldedaten der nutzenden Person („Endbenutzer“) oder mit den Anmeldedaten des Erstellers („vom Ersteller bereitgestellt“). Im zweiten Fall erhält jede Person, die den Agenten nutzen darf, faktisch die Rechte des Erstellers für dieses Werkzeug. Das ist die häufigste Quelle für unbeabsichtigten Datenabfluss in selbst gebauten Agenten.
• Bestätigung vor Aktionen. Die Option, vor dem Ausführen eines Werkzeugs bei der Person nachzufragen, steht laut Microsoft standardmäßig auf „Nein“. Für Werkzeuge, die schreiben, senden oder löschen, sollte sie aktiv sein.
• Datenrichtlinien im Power Platform Admin Center. Administratoren steuern dort, welche Konnektoren, Wissensquellen, HTTP-Aufrufe, Kanäle und Auslöser Agenten verwenden dürfen und ob Anmeldung Pflicht ist. Außerdem lässt sich das Veröffentlichen von Agenten mit generativen KI-Funktionen mandantenweit abschalten, bis die Regeln stehen.

Für Agenten von Drittanbietern in Microsoft 365 Copilot gilt: Im Microsoft 365 Admin Center unter „Integrierte Apps“ sehen Administratoren die angeforderten Berechtigungen, Nutzungsbedingungen und Datenschutzhinweise und entscheiden, welche Agenten im Unternehmen erlaubt sind. Daten, die über Microsoft-Graph-Konnektoren aus anderen Systemen eingebunden werden, erscheinen in Antworten nur, wenn die Person darauf Zugriff hat. Umso wichtiger ist, dass die Berechtigungen im Konnektor die Rechte im Quellsystem korrekt abbilden.

5. Websuche, Datenfluss und Datenschutz

Ist die Websuche aktiv, erzeugt Copilot aus dem Prompt eine kurze Suchanfrage an Bing. Laut Microsoft enthält sie weder den ganzen Prompt (außer bei sehr kurzen Prompts) noch ganze Dokumente oder Kennungen aus Microsoft Entra ID. Für diese generierten Suchanfragen gelten allerdings andere Regeln als für Ihre übrigen Microsoft-365-Daten: Microsoft nennt in seiner Dokumentation, dass das Data Protection Addendum und die EU Data Boundary für sie nicht gelten und Microsoft hierfür als Verantwortlicher handelt.

Daraus ergeben sich drei Entscheidungen, die Sie bewusst treffen sollten:

• Websuche zulassen, einschränken oder abschalten. Das geht über die Richtlinie „Websuche in Copilot zulassen“ im Cloud Policy Service für Microsoft 365. Ohne Konfiguration ist die Websuche laut Microsoft verfügbar.
• Vertrauliche Prompts von der Websuche ausnehmen. Eine DLP-Regel kann die Websuche für Prompts blockieren, die bestimmte vertrauliche Informationstypen enthalten. Copilot antwortet dann nur aus internen Quellen.
• Modellauswahl prüfen. Microsoft bietet in Copilot auch Modelle anderer Anbieter an. Modelle von Anthropic als Unterauftragsverarbeiter sind laut Microsoft derzeit von der EU Data Boundary ausgenommen. Ob sie zugelassen werden, entscheiden Administratoren.

Für Nutzer in der EU verbleibt der Copilot-Verkehr laut Microsoft innerhalb der EU Data Boundary. Beziehen Sie Ihren Datenschutzbeauftragten trotzdem früh ein: Die Konfiguration von Websuche, Modellen und Aufbewahrung bestimmt, welche Datenflüsse Sie dokumentieren müssen.

6. Protokollierung und Audit

Copilot-Interaktionen werden laut Microsoft automatisch im Rahmen von Audit (Standard) in Microsoft Purview protokolliert, sofern die Überwachung im Mandanten aktiv ist. Die Einträge vom Typ CopilotInteraction zeigen, wer wann in welcher Anwendung mit Copilot gearbeitet hat, und verweisen auf die Dateien, Websites und Mails, auf die Copilot für die Antwort zugegriffen hat, samt deren Vertraulichkeitsbezeichnung. Auch Interaktionen mit eigenen Agenten aus Copilot Studio erscheinen dort.

• Überwachung prüfen. Stellen Sie sicher, dass die Überwachung im Mandanten eingeschaltet ist, und legen Sie fest, wie lange Audit-Protokolle aufbewahrt werden.
• Gezielt auswerten. Interessant sind Zugriffe auf Inhalte mit hohen Vertraulichkeitsstufen, Einträge mit erkannten Jailbreak- oder XPIA-Versuchen und Interaktionen, bei denen Copilot die Websuche genutzt hat. Letztere erkennen Sie am Plugin-Eintrag BingWebSearch.
• Aufbewahrung der Inhalte regeln. Prompts und Antworten werden in Microsoft 365 gespeichert. Über Purview-Aufbewahrungsrichtlinien legen Sie fest, wie lange sie bleiben, und über eDiscovery lassen sie sich durchsuchen.
• Wirkung kontrollieren. Nach jeder Maßnahme aus den Abschnitten 1 und 2 im Audit nachsehen, ob Copilot die abgeschirmten Inhalte tatsächlich nicht mehr verwendet. Microsoft empfiehlt diesen Abgleich ausdrücklich.

Die Einführungs-Checkliste

Bewährt hat sich eine Einführung in Phasen: erst eine Pilotgruppe, deren Ablagen Sie gut kennen, dann die Abteilungen, deren Berechtigungen bereinigt sind, zuletzt der Rest. So wächst die Nutzung nicht schneller als die Aufräumarbeit.

Was Konfiguration allein nicht beantwortet

Die Einstellungen aus dieser Checkliste lassen sich in den Admin-Oberflächen prüfen. Ob sie im Zusammenspiel halten, zeigt sich erst im Verhalten: Erreicht eine präparierte Mail einen Agenten, der mit Ersteller-Rechten in ein Fremdsystem schreibt? Gibt ein Konnektor Daten preis, die im Quellsystem nur für wenige sichtbar sind? Liefert Copilot einer Testperson Inhalte aus einer Website, die als abgeschirmt gilt? Solche Fragen beantwortet kein automatischer Scan, weil die Schwachstelle nicht in einer einzelnen Einstellung liegt, sondern im Weg zwischen fremdem Inhalt, Modell und Werkzeug.

Genau dort setzt unsere KI- und MCP-Sicherheitsprüfung an. Wir prüfen Ihre Copilot-Konfiguration, Ihre eigenen Agenten und deren Konnektoren im schriftlich vereinbarten Umfang mit Testkonten in Ihrem Mandanten auf die Angriffe, die ein automatischer Scan nicht findet, und belegen jeden Befund mit einem nachvollziehbaren Proof of Concept. Wer zusätzlich Nachweise für Kundenfragebögen, ISO 42001 oder den EU AI Act braucht, findet das in unserer Compliance-Readiness.

Häufige Fragen

Weiterlesen

• KI-Agent-Sicherheit: der Überblick
• Prompt-Injection und Tool-Poisoning in MCP-Servern
• Die OWASP Top 10 für Agentic Applications, praktisch erklärt
• Leistung: KI- und MCP-Sicherheitsprüfung

Quellen

• Microsoft Learn: Data, Privacy, and Security for Microsoft Copilot
• Microsoft Learn: Configure a secure and governed foundation for Microsoft Copilot
• Microsoft Learn: Restrict discovery of SharePoint sites and content
• Microsoft Learn: Microsoft Purview DLP for Microsoft 365 Copilot
• Microsoft Learn: Data, privacy, and security for web search in Microsoft Copilot
• Microsoft Learn: Audit logs for Copilot and AI applications
• Microsoft Learn: Security and governance in Copilot Studio
• Microsoft Learn: Configure user authentication in Copilot Studio
• Microsoft Learn: Add tools to custom agents
• MSRC: CVE-2025-32711, M365 Copilot Information Disclosure Vulnerability
• NIST NVD: CVE-2025-32711
• BSI: Indirect Prompt Injections, Intrinsic Vulnerability in Application-Integrated AI Language Models (2023)