Copilot Diagnostiker: Ist dein Tenant bereit für Copilot?

Microsoft 365 Copilot findet alles, was ein Benutzer sehen darf. Genau das ist das Problem, wenn in deinem Tenant seit Jahren breite Freigaben, alte Links und unbeschriftete Dokumente herumliegen. Der Copilot Diagnostiker zeigt dir vor dem Rollout, wo es knallen würde, und liefert die Maßnahmen gleich mit.

Wenn Copilot plötzlich zu gut sucht

Stell dir eine ganz normale Pilotphase vor. Zwanzig Lizenzen sind verteilt, die Begeisterung ist groß, und eine Assistentin aus dem Vertrieb tippt in Copilot: „Fass mir die Gehaltsentwicklung im Team zusammen.“ Sie meint eigentlich die Provisionsübersicht ihres eigenen Teams. Copilot liefert brav eine Zusammenfassung, gespeist aus einer Excel-Datei der Personalabteilung. Die lag vor Jahren auf einer SharePoint-Website, die irgendwer mit „Jeder außer externen Benutzern“ freigegeben hat, weil es damals schnell gehen musste. Niemand hat die Datei je gesucht, also hat sie auch niemand gefunden. Bis jetzt.

Copilot hat dabei nichts falsch gemacht. Er hat keine Berechtigung umgangen, keine Sperre geknackt, kein Passwort erraten. Er hat nur das getan, wofür er gebaut ist: alles zusammengetragen, was die Benutzerin sehen darf. Das Datenleck stand schon lange in deinem Tenant. Copilot hat lediglich das Licht angeknipst.

Das Thema heißt Oversharing, und es ist der Hauptgrund, warum Copilot-Projekte auf halber Strecke angehalten werden. Wer vorher wissen will, wo die Stolperfallen liegen, braucht eine Bestandsaufnahme, die über eine Liste freigegebener Dateien hinausgeht. Genau dafür gibt es den Copilot Diagnostiker.

Was der Copilot Diagnostiker macht

Der Copilot Diagnostiker ist ein Windows-Desktop-Werkzeug (WPF) aus der Diagnostiker-Familie, eine Eigenentwicklung von boddenberg.de. Er prüft, ob dein Microsoft-365-Tenant bereit für Microsoft 365 Copilot ist. Dazu liest er den Tenant über Microsoft Graph und die SharePoint-REST-Schnittstelle aus und bewertet das Ergebnis in vier Prüfbereichen: Oversharing, Metadatenanreicherung, Vertraulichkeitsbezeichnungen samt DLP und Lizenznutzung.

Das Ergebnis bekommst du direkt am Bildschirm: eine Befundübersicht mit Ampel und einen Excel-Export, mit dem du weiterarbeiten kannst. Wenn du eine tiefere Bewertung möchtest, entsteht bei boddenberg.de zusätzlich ein Premium-Report. Dafür verlässt eine einzige, verschlüsselte und pseudonymisierte Exportdatei dein Haus, mehr nicht.

Funktionsprinzip: Der Copilot Diagnostiker liest den Tenant über Graph und SharePoint-REST, bewertet vier Prüfbereiche und liefert Ampel und Excel vor Ort. Für den Premium-Report geht nur ein verschlüsselter, pseudonymisierter Capture-Export an boddenberg.de.

Die vier Prüfbereiche im Detail

Oversharing: Wer sieht eigentlich was?

Das ist das Herzstück. Der Diagnostiker sucht nach Freigaben, die breiter sind, als sie sein sollten: Websites und Bibliotheken mit „Jeder außer externen Benutzern“, Freigabelinks, die vor Jahren für ein einziges Meeting erstellt wurden und immer noch gelten, und ähnliche Altlasten. Jede dieser Freigaben ist ein Weg, auf dem Copilot Inhalte in Antworten einbauen kann, die dort nichts zu suchen haben.

Das Ganze ist ein bisschen wie der Generalschlüssel, den der Hausmeister vor zehn Jahren nachmachen ließ und der seitdem in drei Schreibtischschubladen liegt. Solange niemand die Schubladen öffnet, merkt es keiner. Copilot öffnet alle Schubladen gleichzeitig.

Metadatenanreicherung: Findet Copilot das Richtige?

Oversharing ist die Frage, ob Copilot zu viel findet. Die Metadatenqualität entscheidet, ob er das Richtige findet. Dokumente ohne sinnvolle Metadaten, Bibliotheken ohne Inhaltstypen, Felder, die nie gepflegt wurden: All das macht Antworten unschärfer. Der Diagnostiker bewertet, wie gut dein Bestand angereichert ist, und zeigt, wo sich Nacharbeit lohnt.

Vertraulichkeitsbezeichnungen und DLP

Vertraulichkeitsbezeichnungen (Sensitivity Labels) und Richtlinien zur Verhinderung von Datenverlust (DLP) sind die zweite Verteidigungslinie, wenn die Berechtigungen nicht perfekt sind. Der Diagnostiker prüft, ob Bezeichnungen überhaupt verwendet werden und wie die DLP-Situation aussieht. Ein Label-Konzept, das nur im Konzeptpapier existiert, schützt nämlich genau gar nichts.

Lizenznutzung: Was bringt das Geld?

Copilot-Lizenzen sind kein Kleingeld. Der Diagnostiker schaut auf die Lizenznutzung, damit du siehst, ob die gekauften Lizenzen auch genutzt werden. Das ist die Stelle, an der die Geschäftsführung typischerweise aufwacht, auch wenn sie bei Freigabelinks noch höflich genickt hat.

Datenschutz: pseudonymisiert, verschlüsselt, ohne Passwort-Pingpong

Ein Werkzeug, das Freigaben und Benutzer analysiert, sieht zwangsläufig personenbezogene Daten. Deshalb ist der Datenschutz beim Copilot Diagnostiker nicht nachträglich angeflanscht, sondern Teil der Architektur. Die Befundübersicht und der Excel-Export bleiben bei dir. Für den Premium-Report erzeugt das Werkzeug einen Capture-Export als eine einzige Datei.

So läuft ein Durchlauf ab

Ein Durchlauf ist bewusst unspektakulär. Du richtest die nötigen Leserechte ein, startest den Diagnostiker und lässt ihn den Tenant einsammeln. Danach liegt die Befundübersicht mit Ampel vor dir, und den Excel-Export kannst du in deine Projektplanung übernehmen. Mit der Edition Capture Basis endet hier der Weg, und du interpretierst die Daten selbst. Das passt, wenn du ein erfahrenes Microsoft-365-Team hast, das nur endlich belastbare Zahlen braucht.

Mit Capture Komfort beginnt der Durchlauf schon vorher, nämlich mit einer zweistündigen Initial-Beratung. Dort klären wir, worauf es in deinem Tenant ankommt. Nach dem Lauf schickst du den verschlüsselten Capture-Export, daraus entsteht der Premium-Report, und in einem zweistündigen Ergebnis-Workshop gehen wir die Befunde und Maßnahmen gemeinsam durch.

Ablauf eines Durchlaufs: Capture Basis endet mit Ampel und Excel in deiner Hand, Capture Komfort ergänzt Initial-Beratung, Premium-Report und Ergebnis-Workshop. Die Vollversion wiederholt den Lauf im Dauereinsatz.

Die Vollversion für den Dauereinsatz

Ein einmaliger Durchlauf beantwortet die Frage „Wo stehen wir?“. Wer Copilot breit ausrollt, will aber auch wissen „Werden wir besser?“. Dafür gibt es die Vollversion, die du dauerhaft im eigenen Haus betreibst. Sie bringt Funktionen mit, die in den Capture-Editionen nicht enthalten sind:

Auf der Roadmap stehen zwei weitere Funktionen: ein Änderungsplan mit „Ausführen“ und „Wiederherstellen“, mit dem sich breite Freigaben kontrolliert einsammeln und bei Bedarf zurückdrehen lassen, sowie Metadaten-Vorschläge per KI.

Und was ist mit den Microsoft-Bordmitteln?

Faire Frage. Microsoft bietet mit SharePoint Advanced Management (SAM) eigene Oversharing-Berichte, und die sind ein guter Ausgangspunkt. Der Copilot Diagnostiker geht darüber hinaus: Er bewertet zusätzlich Metadaten, Vertraulichkeitsbezeichnungen und Lizenzen, bietet in der Vollversion die rollenbasierte Sicht und das Kronjuwelen-Register und liefert einen Bericht, der nicht bei der Fundstelle aufhört, sondern Maßnahmen benennt. SAM und Diagnostiker schließen sich also nicht aus: SAM zeigt dir Fundstellen, der Diagnostiker das Gesamtbild samt Maßnahmenplan.

Innerhalb der Diagnostiker-Familie hat der Copilot Diagnostiker eine klare Rolle: Er untersucht vor allem Compliance-Aspekte. Für die Sicherheit der Identitäten ist sein Geschwisterprodukt, der Entra Diagnostiker, zuständig. Beide ergänzen sich: Der eine fragt, was Copilot sehen darf, der andere, wer sich überhaupt als wer anmelden kann.

Für wen der Copilot Diagnostiker gedacht ist

Der Diagnostiker richtet sich an Unternehmen und Organisationen, die Microsoft 365 Copilot einführen wollen oder gerade in der Pilotphase stecken. Er ist für die IT-Leitung gedacht, die eine belastbare Entscheidungsgrundlage braucht, für CISO und Datenschutz, die wissen wollen, worauf sie sich einlassen, und für die Microsoft-365-Administration, die am Ende die Freigaben aufräumen muss. Systemhäuser und Partner, die Copilot-Readiness als Dienstleistung anbieten, bekommen eigene Konditionen; frag einfach an.

Wenn du mehr über Copilot selbst wissen willst, über Einführung, Governance und Akzeptanz, findest du das im Kompetenzbereich Microsoft 365 Copilot. Die Themen rund um Bezeichnungen und DLP vertieft der Kompetenzbereich Microsoft Purview.

Editionen und Lizenzierung

Es gibt zwei Capture-Editionen für den einmaligen Durchlauf und eine Vollversion für den Dauereinsatz. Alle Preise verstehen sich netto zuzüglich Mehrwertsteuer.

Zum Begleitmaterial gehören anonymisierte Musterberichte, das Infoblatt für CISO und Datenschutz sowie ein Prüffall-Katalog, der beschreibt, was im Einzelnen geprüft wird. Systemhäuser, Partner und Multiplikatoren erhalten eigene Konditionen auf Anfrage.

Beratung, Einführung und Schulung

Ein Bericht allein räumt noch keine Freigabe auf. Wenn du nach dem Durchlauf Unterstützung brauchst, etwa beim Bereinigen von Oversharing, beim Aufbau eines Label-Konzepts mit Purview, bei der Abstimmung mit Datenschutz und Betriebsrat oder bei der Planung des Copilot-Rollouts, begleite ich dich gern. Das reicht vom kurzen Review des Maßnahmenplans bis zur Schulung deines Admin-Teams, damit die Ergebnisse nicht im Projektordner verstauben, sondern im Tenant ankommen. Hintergründe zur Absicherung findest du im Kompetenzbereich Microsoft 365 Security.

Häufige Fragen

Verändert der Copilot Diagnostiker etwas in meinem Tenant?

Nein. Der Diagnostiker liest über Microsoft Graph und SharePoint-REST und bewertet. Ein Änderungsplan mit „Ausführen“ und „Wiederherstellen“ für das Einsammeln breiter Freigaben steht auf der Roadmap der Vollversion; bis dahin setzt du die Maßnahmen selbst um.

Warum braucht das Werkzeug erweiterte SharePoint-Leserechte?

Weil Oversharing nur zu bewerten ist, wenn man die Berechtigungen sieht. Ohne diese Rechte könnte der Diagnostiker nur raten, wer worauf zugreifen kann, und Raten ist für einen Readiness-Check keine gute Grundlage.

Welche Daten bekommt boddenberg.de zu sehen?

Nur dann, wenn du einen Premium-Report möchtest, und dann ausschließlich den Capture-Export: eine Datei, hybrid verschlüsselt und per HMAC pseudonymisiert. Der Geheimwert für die Pseudonymisierung bleibt bei dir. Personenbezogene Daten verlassen dein Haus nicht im Klartext.

Reichen die Oversharing-Berichte von Microsoft nicht aus?

Sie sind ein guter Anfang. Der Copilot Diagnostiker betrachtet zusätzlich Metadaten, Vertraulichkeitsbezeichnungen, DLP und Lizenzen und mündet in einen Bericht mit Maßnahmen. In der Vollversion kommen die rollenbasierte Sicht und das Kronjuwelen-Register dazu.

Capture Basis oder Capture Komfort: Was passt zu mir?

Wenn dein Team Microsoft 365 im Schlaf beherrscht und vor allem Zahlen braucht, reicht Capture Basis. Wenn du eine fundierte Bewertung, einen Premium-Report und jemanden zum Diskutieren der Befunde möchtest, nimm Capture Komfort. Für den Vorstand ist ein Workshop mit Maßnahmenliste meist überzeugender als eine Excel-Tabelle.

Brauche ich den Copilot Diagnostiker, wenn ich schon den Entra Diagnostiker einsetze?

Die beiden beantworten unterschiedliche Fragen. Der Entra Diagnostiker zielt auf die Sicherheit der Identitäten, der Copilot Diagnostiker auf Compliance-Aspekte rund um Freigaben, Metadaten, Bezeichnungen und Lizenzen. Vor einem Copilot-Rollout ist die Kombination der sauberste Weg.