Consulting Briefing

27.07.2026 · boddenberg.de

Copilot in SharePoint erweitert

Microsoft hat im Juli 2026 den Schalter umgelegt — leise, wie das bei Dingen üblich ist, die hinterher richtig wehtun können.

Executive Summary

Copilot in SharePoint ist seit Juli 2026 für jeden Nutzer mit einer Microsoft-365-Copilot-Lizenz standardmäßig aktiviert. Kein Opt-in, kein Projektantrag, kein Lenkungsausschuss mit vierzehn Teilnehmern. Wer eine Lizenz hat, sieht den Button. Gleichzeitig ist aus dem früheren „Knowledge Agent“ über die Zwischenstation „AI in SharePoint“ ein Werkzeug geworden, das deutlich mehr kann als zusammenfassen: Es erzeugt Word-, Excel- und PowerPoint-Dateien direkt aus Site-Inhalten, baut interaktive HTML-Reports, räumt Bibliotheken per Chat um, legt Spalten und Ansichten an, verdrahtet Freigabeprozesse und Fristerinnerungen — und speichert wiederverwendbare Abläufe als sogenannte Skills.

Für dich als Entscheider heißt das zweierlei. Erstens: Die Adoption beschleunigt sich von ganz allein, weil das Feature einfach da ist. Zweitens: Genau deshalb hast du keine Vorbereitungszeit gewonnen, sondern verloren. Copilot vergibt keine neuen Rechte — aber er macht in Sekunden sichtbar, was zehn Jahre großzügiger „Link für alle“-Politik angerichtet haben. Die halbwegs gute Nachricht: Microsoft hat parallel nachgerüstet. Restricted Content Discovery entfernt seit Ende Juli 2026 auf geschützten Sites nicht nur die Inhalte aus Index und Copilot, sondern gleich alle KI-Einstiegspunkte. Und Site-Owner können den Copilot-Button auf ihrer eigenen Site abschalten.

Worum geht es im Detail?

Fangen wir mit der Namensgeschichte an, weil sie erklärt, warum bei dir gerade drei Leute drei verschiedene Dinge meinen. Microsoft hat das Feature binnen zwölf Monaten zweimal umbenannt: erst „Knowledge Agent for SharePoint“, dann „AI in SharePoint“, seit Mai/Juni 2026 „Copilot in SharePoint“. Wenn dein Intranet-Team noch Folien mit „Knowledge Agent“ herumreicht, ist das kein Wissensvorsprung, sondern ein Archiv. Inhaltlich ist es dieselbe Produktlinie — nur mit erheblich mehr Zähnen.

Technisch hängt alles an einer Systembibliothek, die jede Site bekommt und die du nicht löschen kannst: Agent Assets. Dort liegen zwei Sorten Dateien. Die erste heißt SHAREPOINT.md und ist im Grunde der Einarbeitungszettel, den du einem neuen Kollegen in die Hand drücken würdest. Wofür ist diese Site da? Welche Bibliothek enthält was? Was bedeutet die Spalte „Status 2“? Welche Abkürzungen benutzt der Fachbereich? Und, mindestens genauso wichtig: Was soll der Agent auf gar keinen Fall behaupten? Die Praxis zeigt, dass genau dieser Abschnitt — die harten Verbote — den größten Qualitätssprung bringt, weil er den Agenten daran hindert, hilfsbereit Prozesse zu erfinden, die es nie gab. Als Faustregel haben sich unter 3.000 Wörter bewährt. Wer stattdessen den Roman schreibt, bekommt einen Agenten, der alles kennt und nichts weiß.

Die zweite Sorte sind Skills. Ein Skill ist ein wiederverwendbarer, mehrstufiger Ablauf, abgelegt unter /Agent Assets/Skills/<skill-name>/SKILL.md. Du erzeugst ihn im Chat in natürlicher Sprache, liest den Entwurf gegen, lässt ihn korrigieren und speicherst ihn. Danach lädt Copilot ihn entweder automatisch, wenn der Prompt dazu passt, oder du rufst ihn namentlich auf. Wichtig für die Erwartungssteuerung im Management: Ein Skill kann keinen eigenen Code ausführen und keine Fremdsysteme anbinden. Er verkettet ausschließlich das, was Copilot in SharePoint ohnehin darf — und immer nur im Rahmen der Rechte des Nutzers, der ihn startet. Das ist kein Power Automate mit Sprachsteuerung, das ist ein Makrorekorder mit Sprachverständnis. Wer das vorher sagt, muss es hinterher nicht erklären.

Abbildung 1: Von der Bibliothek über Agent Assets bis zur Aktion — und das Governance-Gitter, das den Durchsatz begrenzt.

Neu und wirklich relevant ist die Erzeugung echter Office-Dateien. Du kannst Copilot bitten, aus den Inhalten einer Site ein Word-Dokument, eine Excel-Mappe oder eine PowerPoint-Präsentation zu bauen. Dazu kommen interaktive HTML-Reports mit Diagrammen, Tabellen, Filtern und Kennzahlen — also genau die Artefakte, für die bisher jemand einen halben Freitag geopfert hat. Die Dateiverwaltung im Chat ist der zweite große Block: Ordnerstrukturen analysieren und umbauen, Dateien verschieben, Spalten ergänzen, Ansichten anlegen, Freigaben aussprechen. Der dritte Block ist Automatisierung ohne Power Automate: Genehmigungsstrecken für Dokumente konfigurieren, regelbasierte Erinnerungen vor Fristen, Quick Steps für wiederkehrende Statusaktualisierungen. Gefunden wird das Ganze über das /Skills-Kommando, damit nicht vier Abteilungen denselben Ablauf viermal erfinden — was sie erfahrungsgemäß sonst zuverlässig tun.

Der letzte Baustein ist die Site-Initialisierung. Copilot nutzt eingebaute Skills, um dir beim Aufsetzen einer Site zu helfen — inklusive einer SHAREPOINT.md als Startgerüst und Vorlagen für eigene Skills. Damit adressiert Microsoft genau den Punkt, an dem in den letzten zwei Jahren die meisten KI-Initiativen verhungert sind: Niemand hält Inhalte KI-tauglich, weil es unbezahlte Fleißarbeit ohne Applaus ist. Wenn das Werkzeug diese Fleißarbeit selbst anbietet, sinkt die Hemmschwelle spürbar. Ergänzt wird das durch verbesserte Zitationen mit Verweis auf die SharePoint-Quelle und durch eine sichtbare Darstellung des Reasoning-Wegs — nett für die Nachvollziehbarkeit, aber kein Ersatz für einen menschlichen Freigabeschritt.

Was sind Chancen? Was sind Risiken?

Die Chance ist banal und trotzdem groß: Zeit. Die Aufgaben, die Copilot in SharePoint jetzt übernimmt, sind exakt jene, für die nie ein Budget existierte — Bibliotheken aufräumen, Metadaten nachziehen, Statusberichte bauen, Fristen im Blick behalten. Das war noch nie ein Projekt, das war immer „machen wir nebenbei“, und deshalb ist es nie passiert. Wenn ein Sachbearbeiter jetzt in zwei Sätzen eine Ansicht baut, statt ein Ticket zu schreiben, das drei Wochen liegt und dann mit „Bitte Anforderung präzisieren“ zurückkommt, ist das kein KI-Wunder, sondern schlicht beseitigte Reibung.

Der zweite echte Gewinn liegt in den Skills. Zum ersten Mal lässt sich Prozesswissen an dem Ort ablegen, an dem der Prozess stattfindet — als lesbare Markdown-Datei direkt neben den Inhalten, nicht als Screenshot-Anleitung im Qualitätsmanagement-Handbuch, das seit 2019 niemand geöffnet hat. Und weil Skills schlichte Dateien in SharePoint sind, kannst du sie versionieren, reviewen, freigeben, mit Vertraulichkeitsstufen versehen und protokollieren. Das ist deutlich mehr Governance, als die meisten Fachbereichs-Automatisierungen der letzten Jahre je hatten.

Abbildung 2: Copilot erzeugt kein Oversharing — er beschleunigt nur dessen Aufdeckung. Und die vier Hebel, die dagegen wirklich helfen.

Jetzt die Kehrseite, und die ist unangenehm konkret. Copilot erweitert keine Berechtigungen. Er nutzt sie nur — schnell, erschöpfend und ohne die menschliche Hemmung, in einem fremden Ordner nachzusehen. Wenn 2017 jemand eine Gehaltsliste in eine Projekt-Site gelegt und den Link auf „Jeder in der Organisation“ gestellt hat, war das jahrelang praktisch unsichtbar, weil niemand danach gesucht hat. Ein Chatfenster sucht immer. Der Klassiker im Projekt ist deshalb nicht der Angriff von außen, sondern der eigene Werkstudent, der aus Neugier fragt, was das höchste Gehalt im Haus ist — und eine korrekte, sauber zitierte Antwort mit Quellenlink bekommt.

Das zweite Risiko ist subtiler: Wildwuchs bei Skills. Standardmäßig darf jeder Nutzer mit Bearbeiten-Recht auf der Site einen Skill anlegen, und jeder mit Leserecht darf ihn ausführen. Einen zentralen Admin-Schalter, um das abzuschalten, gibt es nicht. Wenn du das nicht steuerst, hast du in sechs Monaten fünfzig Skills mit Namen wie „Bericht_neu_final2“, von denen drei funktionieren und zwei stillschweigend falsche Zahlen liefern. Der Ausweg ist unspektakulär: Vererbung auf der Agent-Assets-Bibliothek brechen und Schreibrechte auf einen definierten Kreis begrenzen, dazu ein schlanker Review-Prozess. Lieber fünf geprüfte Skills als fünfzig geratene.

Drittens die Halluzinationsfrage in neuer Verpackung. Ein Copilot, der eine PowerPoint-Präsentation aus Site-Inhalten erzeugt, produziert ein Artefakt, das aussieht wie geprüfte Arbeit. Es wandert in eine Sitzung, wird zitiert und entwickelt Eigenleben. Zitationen und sichtbares Reasoning helfen bei der Kontrolle, ersetzen aber keine Freigabe durch einen Menschen mit Namen. Formuliere das als Regel, bevor es dir jemand als Frage stellt — idealerweise bevor die erste KI-Folie im Aufsichtsrat landet.

Was müssen wir jetzt schon vorbereiten?

Die schlechte Nachricht zuerst: Die Vorbereitung, die du jetzt brauchst, hättest du auch schon vor zwei Jahren gebraucht. Die gute Nachricht: Es gibt endlich einen Anlass, sie durchzusetzen. Nutze ihn, solange der Copilot-Hype im Lenkungskreis noch als Argument funktioniert.

Abbildung 3: Der Fahrplan, der in Projekten tatsächlich funktioniert — inklusive der Phase, die alle überspringen wollen.

Beginne mit einer ehrlichen Bestandsaufnahme. Zieh die Data-Access-Governance-Reports aus SharePoint Advanced Management und sieh dir an, welche Sites potenziell übergeteilte oder sensible Inhalte enthalten. Das Assessment-Dashboard liefert dir Karten zu Site-Lifecycle und Oversharing; das reicht, um eine belastbare Risikoliste zu bauen. Parallel klärst du, wer überhaupt Copilot-Lizenzen hat — in vielen Tenants ist das inzwischen ein deutlich größerer Kreis als der, den das Projekt ursprünglich vorgesehen hatte.

Dann absichern, und zwar vor dem Pilot, nicht danach. Kappe Freigaben an „Jeder“, setze Ablaufdaten auf Links, schließe verwaiste Sites. Für Bereiche, die auf absehbare Zeit nicht sauber werden — Personal, Recht, M&A, Betriebsrat — setzt du Restricted Content Discovery. Seit dem Rollout Ende Juli 2026 für Worldwide, GCC High und DoD verschwinden auf RCD-Sites nicht nur die Inhalte aus Suche und Copilot, sondern auch die KI-Einstiegspunkte selbst: kein Copilot-Button, keine KI-Menüs. Das ist sauber, weil Nutzer gar nicht erst in Versuchung geraten. Nur: RCD ist eine Notbremse und kein Ersatz für Berechtigungsarbeit. Wer den Hebel dauerhaft zieht, hat am Ende einen Copilot, der über die Kantinenkarte reasoniert.

Erst danach der Pilot. Nimm drei Sites mit echtem Schmerz, schreib für jede eine SHAREPOINT.md, bau zwei bis drei Skills und miss den Effekt. Kläre dabei gleich die Betriebsfragen, die dir sonst später um die Ohren fliegen: Wer darf Skills anlegen? Wer reviewt sie? Wie heißen sie? Sind Agent Assets in deinem Backup- und Aufbewahrungskonzept enthalten? Und wer merkt es eigentlich, wenn jemand eine SHAREPOINT.md ändert und der Agent ab morgen etwas anderes behauptet? Setz dir zusätzlich eine feste Erinnerung auf das Message Center — dieses Feature bewegt sich schneller, als deine Betriebsdokumentation nachkommt.

Und schließlich der Teil, den Technikprojekte gern vergessen: Kommunikation. Wenn der Copilot-Button plötzlich überall auftaucht, entstehen genau zwei Reaktionen — Begeisterung und Panik. Beide kosten dich Support-Tickets. Ein einseitiges Merkblatt, was der Agent darf, was er ausdrücklich nicht darf und an wen man sich bei Zweifeln wendet, ist die mit Abstand billigste Maßnahme in diesem gesamten Briefing.

Häufig gestellte Fragen

Brauche ich für Copilot in SharePoint eine eigene Lizenz?

Nein, eine separate SKU gibt es nicht. Die Funktionen stehen Nutzern mit einer Microsoft-365-Copilot-Lizenz zur Verfügung und sind dort seit Juli 2026 standardmäßig aktiviert. Ohne diese Lizenz siehst du die KI-Einstiegspunkte in SharePoint schlicht nicht.

Kann Copilot in SharePoint Inhalte lesen, für die ein Nutzer keine Berechtigung hat?

Nein. Der Agent arbeitet ausschließlich im Rahmen der bestehenden Rechte des angemeldeten Nutzers und vergibt selbst keine zusätzlichen Rechte. Das Problem in der Praxis sind deshalb nicht die Rechte des Agenten, sondern zu großzügig gesetzte Berechtigungen, die vorher nur niemand bemerkt hat.

Wie verhindere ich, dass jeder Mitarbeiter eigene Skills anlegt?

Einen zentralen Admin-Schalter dafür gibt es nicht. Standardmäßig darf jeder mit Bearbeiten-Recht auf der Site Skills erstellen und jeder mit Leserecht sie ausführen. Steuern kannst du das, indem du die Rechtevererbung auf der Agent-Assets-Bibliothek brichst und Schreibrechte auf einen definierten Kreis begrenzt.

Was ist der Unterschied zwischen einem Skill und einem Power-Automate-Flow?

Ein Skill ist eine Markdown-Datei, die vorhandene Copilot-Funktionen zu einem wiederholbaren Ablauf verkettet; er kann keinen eigenen Code ausführen und keine externen Systeme anbinden. Power Automate bleibt zuständig, sobald Systemgrenzen überschritten, Dienstkonten genutzt oder Abläufe zeitgesteuert ohne Nutzerinteraktion laufen sollen.

Wie nehme ich einzelne Sites komplett aus Copilot heraus?

Dafür gibt es zwei Wege: Restricted Content Discovery hält eine Site aus Suchindex und Copilot heraus und entfernt seit Ende Juli 2026 auch die KI-Einstiegspunkte auf dieser Site. Zusätzlich können Site-Owner den Copilot-Button auf ihrer eigenen Site deaktivieren, was sich für einzelne besonders sensible Bereiche anbietet.