SharePoint Admin Agent: KI-Hausmeister für Berechtigungen und Altlasten

Der erste „Kollege“, der freiwillig Berechtigungsberichte liest, ist da: der SharePoint Admin Agent. Microsoft hat ihn auf der Ignite 2025 offiziell als Vorschau vorgestellt – ein KI-gestützter Agent im SharePoint Admin Center, der Ihnen beim Aufräumen von herrenlosen Sites, Oversharing und Berechtigungsspaghetti hilft.

In einer Welt, in der jeder Klick Copilot-Inhalte produziert, wird SharePoint täglich voller, bunter – und chaotischer. Genau hier soll der Agent ansetzen: Governance automatisieren, Compliance stützen und ganz nebenbei die Speicherkosten im Griff halten.

Wie der SharePoint Admin Agent funktioniert

Der SharePoint Admin Agent läuft im SharePoint Admin Center und steht derzeit als Public Preview für Tenants mit Microsoft 365 Copilot-Lizenzen zur Verfügung.

In Kurzform macht er drei Dinge:

1. Erkennen
   Der Agent analysiert Ihre SharePoint Online-Umgebung und sucht nach:

   • inaktiven oder herrenlosen Sites

   • overshared Content (z. B. „Jeder mit dem Link“, anonyme Freigaben, zu viele externe Gäste)

   • Permissions Sprawl – also Berechtigungswucher mit zig Einzelberechtigungen und gebrochener Vererbung.

2. Bewerten
   Mit Hilfe von KI-gestützten Insights bewertet der Agent die Risiken:

   • Welche Sites sind lange ungenutzt, aber trotzdem noch offen?

   • Wo sind zu viele Personen (oder Gruppen) eingetragen, die es gar nicht brauchen?

   • Wo explodiert die Zahl der eindeutigen Berechtigungen?

3. Handeln
   Auf Basis vordefinierter Policies kann der Agent:

   • Archiven oder Archivierung vorschlagen

   • Zugriffe anpassen (z. B. zu weite Freigaben einschränken)

   • Owners ansprechen bzw. Verantwortliche identifizieren, die bestätigen sollen, ob eine Site noch gebraucht wird.

Wichtig: Das ist kein „wilder Löschbot“, sondern ein Policy-gesteuerter Helfer. Der Agent arbeitet in Ihrer Governance, nicht an ihr vorbei – wenn Sie ihm die richtigen Leitplanken geben.

Typische Problemfelder: herrenlose Sites, Oversharing und Berechtigungsspaghetti

1. Herrenlose Sites
Das klassische Bild: Projekt seit drei Jahren beendet, Projektleiter im neuen Unternehmen, aber die Site lebt fröhlich weiter – inklusive sensibler Dokumente, Leserechte für externe Partner und jeder Menge historischer Versionen.

Der SharePoint Admin Agent erkennt solche inaktiven oder ownerlosen Sites durch Nutzungsdaten, fehlende aktive Besitzer und lange Änderungsstille. Er kann diese Sites markieren, für Archivierung vorschlagen oder in einen definierten Review-Prozess schieben.

2. Zu weite Freigaben (Oversharing)
Mit Copilot, geteilten Links und Projekt-Hopping passiert es ständig:

• „Jeder mit dem Link“

• „Organisation weit sichtbar“

• Freigaben an Verteiler, die längst niemand mehr kontrolliert

Der Agent identifiziert genau diese Oversharing-Muster und zeigt an, wo Inhalte breiter freigegeben sind als es sinnvoll oder zulässig ist. In Kombination mit Policies können Freigaben automatisch enger gestellt oder zumindest in eine „Bitte prüfen“-Liste für die Site-Verantwortlichen überführt werden.

3. Berechtigungsspaghetti
Einzelberechtigungen auf Dokumentbibliotheksebene, gebrochene Vererbung auf Unterordnern, individuelle Freigaben für einzelne Dateien – nach ein paar Jahren sieht jeder Tenant aus wie eine Portion Spaghetti Bolognese.

Der SharePoint Admin Agent wertet die Permission-Struktur aus und identifiziert genau diese Permission Sprawl-Szenarien. Er liefert Ihnen Sichtbarkeit, wo Sie zurück auf Gruppen und Rollen gehen sollten, statt wild Einzelberechtigungen zu verteilen.

Grenzen: Was der Agent (noch) nicht kann

So sympathisch der Agent auch ist: Er ersetzt keine Governance-Strategie. Einige zentrale Grenzen:

• Kein Verständnis für Ihre Fachlogik
  Der Agent kennt keine interne Politik wie „alles mit Kundenname X ist kritisch“ – außer Sie bauen solche Regeln in Labels, Metadaten und Policies ein.

• Preview-Status
  Das Feature ist aktuell in der Vorschau. Verhalten, UI und Umfang können sich ändern, und es ist nicht garantiert, dass jede Funktion genau so in GA landet.

• Nur so gut wie Ihre Basis
  Wenn Sie keine klaren Site-Owner, keine konsistente Informationsarchitektur und kein Labeling haben, kann der Agent zwar Chaos identifizieren, aber nicht zaubern.

• Keine pauschale Compliance-Garantie
  NIS2, DSGVO, branchenspezifische Vorgaben: Der Agent hilft, Risiken sichtbar zu machen und zu reduzieren – die Haftung und die Verantwortung für Policies bleiben aber bei Ihnen.

Kurz: Der SharePoint Admin Agent ist ein Turbo für operatives Aufräumen, aber kein Ersatz für ein sauberes Governance-Design.

Governance, Compliance, Speicherkosten – der Hebel in der Praxis

Governance
Statt einmal im Jahr eine „Sonderaktion Berechtigungsreview“ zu fahren, bringt der Agent Sie in einen kontinuierlichen, datengetriebenen Prozess:

• Regelmäßige Reports zu herrenlosen Sites

• Priorisierte Listen mit Oversharing-Hotspots

• Handlungsempfehlungen, die direkt mit Policies verbunden sind

Compliance
Weniger Oversharing, weniger verwaiste Sites und klarere Berechtigungskonzepte bedeuten:

• Weniger Angriffsfläche für Datenabfluss

• Bessere Argumentation gegenüber Datenschutz und Revision

• Stärkere Grundlage für NIS2- und ISO-27001-Maßnahmen, weil Sie Risiken nachweislich systematisch adressieren

Speicherkosten
Der Agent hat auch einen ganz profanen Vorteil: Platz schaffen.

• Inaktive Sites landen in Archivierungsprozessen

• Altes Zeug, das niemand mehr braucht, wird identifiziert und kann gelöscht oder in günstige Speicherbereiche verschoben werden

• Weniger Datenvolumen bedeutet auch: weniger Indexierung, weniger Backup-Last und effizientere Copilot-Nutzung

Konkrete Empfehlungen: So setzen Sie den SharePoint Admin Agent sinnvoll ein

1. Pilot statt Big Bang
Starten Sie mit einem klar begrenzten Pilot:

• 2–3 Geschäftsbereiche oder definierte Site-Klassen (z. B. Projekt-Sites, Kollaborations-Sites)

• Vorher KPIs festlegen:

  • Anzahl herrenloser Sites

  • Anzahl an „Everyone“-Freigaben

  • Anzahl Sites mit extrem vielen eindeutigen Berechtigungen

Nach 4–8 Wochen können Sie messen, ob der Agent tatsächlich aufräumt – oder nur schöne Berichte erzeugt.

2. Policy-Design mit gesundem Menschenverstand

Definieren Sie vor dem Einschalten des Agenten einige Leitplanken:

• Was gilt als inaktiv? (z. B. 6 oder 12 Monate ohne Änderungen)

• Wann ist eine Site herrenlos? (z. B. kein aktiver Besitzer im Unternehmen)

• Welche Freigabe-Formen sind tabu? (z. B. anonyme Links auf vertrauliche Sites)

• Welche Aktionen darf der Agent autonom ausführen, wo ist manuelle Bestätigung nötig?

Hier gilt: Lieber am Anfang konservativ und mit Freigabe durch die Owner, als direkt „hartes Durchgreifen“.

3. Kommunikation mit den Fachbereichen

Erklären Sie den Stakeholdern klar und in normaler Sprache, was passiert:

• „Wir führen einen Assistenten ein, der Ihnen hilft, alte und riskante Sites zu identifizieren – nichts wird kommentarlos gelöscht.“

• „Sie behalten die Hoheit über Ihre Inhalte, aber wir machen Risiken sichtbar und vereinfachen Entscheidungen.“

Wenn die Fachbereiche den Agenten als Hilfe verstehen und nicht als „IT-Bulldozer“, bekommen Sie deutlich weniger Widerstand.

4. Kombination mit Sensitivity Labels

Der Agent wird richtig stark, wenn Sie ihn mit Sensitivity Labels kombinieren:

• Sites mit Label „Vertraulich“: besonders strenge Regeln für Freigaben und Inaktivität

• „Intern“: etwas lockerere Regeln

• „Öffentlich“: eher Fokus auf Ordnung und Speicher, weniger auf Zugriffsschranken

So priorisieren Sie automatisch, wo der Agent zuerst „hart“ durchgreifen und wo er eher beratend unterwegs sein soll.

5. Retention und Lebenszyklus einbinden

Nutzen Sie die Ergebnisse des Agenten als Trigger für Retention-Regeln:

• Inaktive Projekt-Sites nach X Monaten automatisch in ein Archiv verschieben

• Nach weiterer Frist: Löschung gemäß Aufbewahrungsrichtlinie

• Kritische Sites: Keine automatische Löschung, aber verpflichtende, dokumentierte Owner-Entscheidung

Damit verbinden Sie das „Aufräumradar“ des Agenten mit einem klaren Lebenszyklusmanagement.

Fazit: Der SharePoint Admin Agent ist kein Zauberer, aber ein extrem fleißiger Kollege, der Tag und Nacht Ihren Tenant nach typischen Governance-Katastrophen durchscannt. Wenn Sie ihm klare Policies, saubere Labels und eine gute Kommunikationsstrategie an die Hand geben, wird aus der berühmten Daten-Suppe endlich eine Struktur, mit der Copilot, Compliance und Controller gleichermaßen leben können.