Copilot in SharePoint und OneDrive wird allgemein verfügbar

Consulting Briefing · 08.10.2026 · boddenberg.de

Executive Summary

Es ist so weit: Copilot in SharePoint und Copilot in OneDrive haben die Preview-Phase verlassen. Seit dem 30. September 2026 rollt Microsoft die allgemeine Verfügbarkeit aus, die einzelnen Tenants werden danach schrittweise freigeschaltet. Wer eine Microsoft-365-Copilot-Lizenz hat, bekommt unten rechts auf jeder SharePoint-Seite einen schwebenden Copilot-Button, in OneDrive tauchen Copilot-Einstiege in Startseite, „Meine Dateien“, „Geteilt“, „Personen“ und „Besprechungen“ auf.

Das klingt nach einem netten Feature-Update. Es ist aber eher der Moment, in dem jemand im Keller das Licht anknipst – und du siehst zum ersten Mal, wie es da unten wirklich aussieht. Copilot vergibt keine neuen Rechte. Er nutzt die bestehenden. Alle. Auch die, die seit 2019 über einen „Jeder mit dem Link“-Freigabelink an einer Gehaltsliste kleben.

Dazu kommen zwei harte Änderungen: Die PowerShell-Schalter, mit denen viele Admins die Preview abgeklemmt haben, werden ab dem 1. November 2026 ignoriert. Und Microsoft führt ein hybrides Abrechnungsmodell ein: Alltagsfunktionen sind in der Lizenz enthalten, „Advanced Work“ – also Massenverarbeitung, ganze Sites bauen, Bildgenerierung, Echtzeit-Autofill – kostet Copilot Credits.

Worum geht es im Detail?

Ein kurzer Blick zurück, damit du verstehst, warum die Lage gerade so ist, wie sie ist. Copilot in SharePoint lief zunächst unter dem Namen „Knowledge Agent“ und ging ab Mitte Juni 2026 als Opt-out-Preview an alle Tenants mit Copilot-Lizenzen. Opt-out heißt: Es ist an, bis du es ausmachst. Microsofts Lieblingsmodus, seit man herausgefunden hat, dass niemand freiwillig auf „Aktivieren“ klickt. Am 24. August folgte Copilot in OneDrive Web nach demselben Muster. Genau diese Preview-Funktionen sind jetzt allgemein verfügbar.

Was Copilot in SharePoint kann, geht weit über „Fass mir das Dokument zusammen“ hinaus. Microsoft nennt es selbst agentische Funktionen: Fragen über Bibliotheken und Listen hinweg beantworten, Seiten, Listen und Bibliotheken anlegen und bearbeiten, Word-, Excel-, PowerPoint- und HTML-Dateien aus vorhandenen Inhalten erzeugen, einfache Regeln, Genehmigungen und Workflows bauen, einzelne Dateien umbenennen und teilen sowie Metadaten per Autofill befüllen. In OneDrive sucht Copilot Dateien nach Projekt, Thema oder Person, ohne dass du den Dateinamen kennst, fasst PDFs, Präsentationen und Besprechungsaufzeichnungen zusammen, analysiert Tabellen und baut daraus Entwürfe, FAQs oder HTML-Dashboards.

Abbildung 1: Die Meilensteine von der Opt-out-Preview bis zum Regelbetrieb.

Unter der Haube hat sich ebenfalls etwas getan: Copilot in SharePoint läuft jetzt auf einem von Microsoft verwalteten Reasoning-Modell von OpenAI. Konfigurieren musst du nichts – und mitreden darfst du auch nicht, Microsoft tauscht das Modell nach eigenem Ermessen. Die wöchentlichen Nutzungslimits der Preview fallen weg, nur tägliche Schutzgrenzen des Dienstes können in Einzelfällen noch greifen. Sprachlich unterstützt Copilot nur Sprachen, die sowohl SharePoint als auch Microsoft Copilot offiziell beherrschen; Deutsch gehört dazu.

Das hybride Abrechnungsmodell

Jetzt zum Teil, bei dem der Controller aufwacht. Microsoft trennt zwischen „alltäglicher individueller Produktivität“ und „Advanced Work“. Die Logik dahinter: Was ein einzelner Mensch an einem normalen Arbeitstag mit seinen Inhalten macht, ist in der Copilot-Lizenz drin. Was über das hinausgeht, was ein Mensch selbst schaffen würde – tausend Verträge prüfen, eine ganze Intranet-Struktur anlegen, jede neue Datei in Echtzeit verschlagworten –, verbraucht Copilot Credits über die verbrauchsbasierte Abrechnung.

Für die Nutzer ändert sich zunächst wenig. Wer Credits hat und mit einem Prompt in den kostenpflichtigen Bereich rutscht, muss die Verwendung bestätigen. Mit dem Befehl „/cost“ sieht man, wie viele Credits eine Aufgabe gekostet hat und wie viel vom Monatslimit übrig ist. Bei 20 Prozent Restbudget warnt Copilot, ist es aufgebraucht, pausieren die Credit-Funktionen bis zum Monatswechsel. Wer keine Credits hat, bekommt einen „sanften Abbruch“: Copilot erklärt, was er nicht kann, oder erledigt bei Massenjobs, was im Rahmen bleibt, und bittet dann um eine neue Sitzung.

Abbildung 2: Wann eine Anfrage in der Lizenz bleibt und wann sie Copilot Credits kostet.

Was sind Chancen? Was sind Risiken?

Fangen wir mit dem Positiven an, sonst heißt es wieder, Berater könnten nur Angst machen. Die Chancen sind real – und zwar genau da, wo SharePoint bisher am meisten wehgetan hat.

Die Chance: SharePoint war immer ein fantastischer Ort, um Dokumente abzulegen, und ein miserabler Ort, um sie wiederzufinden. Copilot dreht das um. Der Projektleiter, der früher zwanzig Minuten „Angebot Müller irgendwas 2024“ gesucht hat, fragt jetzt „Was haben wir Müller letztes Jahr für die Wartung angeboten?“ und bekommt die Antwort mit Fundstelle. Intranet-Redaktionen bauen Seiten aus vorhandenen Inhalten, statt bei null anzufangen. Und Autofill erledigt endlich die Metadatenpflege, die seit der Einführung von Dokumentbibliotheken jeder versprochen und niemand gemacht hat.

Das Risiko: Und dann ist da der Keller. Ein Kunde aus dem Maschinenbau – 800 Leute, gut geführte IT, alles ordentlich, dachte man – hat die Preview im Juli laufen lassen. Nach zwei Wochen fragte ein Werkstudent den Copilot, wie die Gehaltsbänder in der Konstruktion aussehen. Er wollte wissen, ob sich eine Festanstellung lohnt. Copilot lieferte eine sauber formatierte Tabelle. Die Quelle: eine Excel-Datei, die die Personalabteilung 2021 für ein Benchmark-Projekt in eine Teams-Site gelegt hatte, deren Mitgliedschaft „Jeder außer externen Benutzern“ lautete. Die Datei war fünf Jahre lang für alle sichtbar. Es hat nur nie jemand gesucht.

Abbildung 3: Oversharing ist kein neues Problem – Copilot macht es nur endlich sichtbar.

Genau das ist der Kern: Copilot ist kein Sicherheitsproblem. Copilot ist ein Sicherheits-Röntgengerät. Alles, was er findet, war vorher schon falsch berechtigt. Der Unterschied ist, dass früher Security by Obscurity funktioniert hat – niemand wusste, wo er suchen sollte. Diese Schutzschicht entfernt Microsoft gerade ersatzlos.

Ein zweites, unterschätztes Risiko liegt im Kleingedruckten der Abrechnung. Ausgabenrichtlinien im Microsoft 365 Admin Center haben die Option „Neue Agents und Dienste zulassen, sobald sie verfügbar sind“. Ist die aktiv, steckt „Advanced Work in SharePoint“ automatisch mit drin. Dann baut der ambitionierte Intranet-Manager am Freitagnachmittag per Prompt eine komplette Abteilungsstruktur, lässt Echtzeit-Autofill auf zehn Bibliotheken los, und am Monatsende erklärst du dem CFO, warum die KI teurer war als der Praktikant, der es von Hand gemacht hätte.

Was müssen wir jetzt schon vorbereiten?

Gute Nachricht: Du musst nicht das ganze Berechtigungschaos der letzten zehn Jahre bis November aufräumen. Das schaffst du sowieso nicht, und wer etwas anderes behauptet, will dir ein sehr großes Projekt verkaufen. Du musst die gefährlichsten zehn Prozent finden und abdichten. Der Rest ist ein Dauerprozess.

Schritt 1: Steuerung umziehen, bevor sie verfällt

Exportiere zuerst, was du per PowerShell eingestellt hast: „Get-SPOTenant | Select-Object KnowledgeAgentScope, KnowledgeAgentSelectedSitesList“ zeigt dir den aktuellen Stand. Bei Multi-Geo-Tenants in jeder Geo. Jede Site auf deiner Ausschlussliste braucht ab November eine neue Heimat: Entweder aktivierst du dort Restricted Content Discovery (RCD), oder der Site-Besitzer regelt es über die Site-KI-Einstellungen. RCD ist dabei der Vorschlaghammer: Copilot-Button, KI-Aktionsmenüs, Agent-Erstellung und „Seiten mit KI erstellen“ verschwinden von der Site, und ihre Inhalte tauchen nicht mehr in der organisationsweiten Suche und in Copilot-Antworten auf. Wichtig: RCD versteckt nur, es entzieht keine Rechte. Wer den direkten Link hat, kommt weiterhin rein.

Die Site-KI-Einstellungen sind dabei eher Feintuning als Sicherheitsfunktion: Der Site-Besitzer wählt, welcher Agent über das Agent-Symbol in der globalen Kopfzeile startet – Copilot in SharePoint oder ein eigener Agent –, kann den Copilot-Button für Site-Besucher ausblenden und die erweiterte Dokumentverarbeitung aktivieren. Ein Button weniger heißt aber nicht, dass der Inhalt nicht über Copilot Chat gefunden wird. Für echte Abschottung führt kein Weg an sauberen Berechtigungen vorbei.

Schritt 2: Oversharing gezielt jagen

Konzentriere dich auf die üblichen Verdächtigen: Freigabelinks vom Typ „Jeder“ und „Personen in deiner Organisation“, Sites mit „Jeder außer externen Benutzern“ in der Mitgliedschaft, Teams ohne aktive Besitzer und Bibliotheken mit gebrochener Vererbung. Die Berichte zur Data Access Governance im SharePoint Admin Center helfen dabei, wo SharePoint Advanced Management lizenziert ist. Vertrauliche Inhalte bekommen Vertraulichkeitsbezeichnungen mit Verschlüsselung – die respektiert Copilot, genau wie Aufbewahrungsrichtlinien und Freigabeeinstellungen.

Schritt 3: Kostenbremse einbauen

Öffne im Microsoft 365 Admin Center „Copilot › Kostenverwaltung“ und prüfe jede bestehende Ausgabenrichtlinie auf die Option für automatisch aufgenommene neue Dienste. Lege dann eine eigene Richtlinie für „Advanced Work in SharePoint“ an – mit Sicherheitsgruppe, Limits und Warnschwellen. Microsoft empfiehlt selbst, Credits gezielt zu vergeben: Wissensmanager, Records Manager, Compliance-Analysten und Intranet-Verantwortliche zuerst, alle anderen brauchen sie in der Regel nicht.

Häufig gestellte Fragen

Brauche ich für Copilot in SharePoint und OneDrive eine zusätzliche Lizenz?

Für die Alltagsfunktionen reicht eine aktive Microsoft-365-Copilot-Lizenz, ohne Zusatzkosten und ohne Opt-in. Nur sogenannte Advanced Work wie Massenverarbeitung, ganze Sites erstellen, Bildgenerierung oder Echtzeit-Autofill verbraucht zusätzlich Copilot Credits über eine Ausgabenrichtlinie.

Kann Copilot in SharePoint Dateien sehen, auf die der Nutzer keinen Zugriff hat?

Nein, Copilot vergibt keine neuen Rechte und zeigt nur Inhalte, auf die der jeweilige Nutzer ohnehin zugreifen darf. Das Problem sind Dateien, die durch zu weit gefasste Freigaben formal für viele sichtbar sind, ohne dass es jemand gemerkt hat.

Wie schalte ich Copilot in SharePoint für einzelne Sites ab?

Ab dem 1. November 2026 über Restricted Content Discovery, das Copilot-Button und KI-Aktionen von der Site entfernt und ihre Inhalte aus Suche und Copilot-Antworten heraushält. Site-Besitzer können zusätzlich in den Site-KI-Einstellungen den Copilot-Button für Besucher ausblenden.

Funktionieren meine PowerShell-Einstellungen mit KnowledgeAgentScope nach der allgemeinen Verfügbarkeit weiter?

Nur bis zum 1. November 2026, danach werden KnowledgeAgentScope und die zugehörigen Site-Listen ignoriert. Bis dahin solltest du die gesperrten Sites auf Restricted Content Discovery oder die Site-KI-Einstellungen umstellen.

Wie sehe ich, wie viele Copilot Credits eine Aufgabe in SharePoint verbraucht hat?

Nutzer geben im Copilot-Chat den Befehl „/cost“ ein und sehen den Verbrauch der Aufgabe sowie das verbleibende Monatslimit mit Rücksetzdatum. Admins steuern Limits und Warnschwellen zentral unter „Copilot › Kostenverwaltung“ im Microsoft 365 Admin Center.