SharePoint: Neue Governance für Dokumentenmanagement

Jedes Unternehmen hat diese eine SharePoint-Site. Angelegt 2019 für ein Projekt, das 2020 beerdigt wurde. Der Besitzer hat 2021 gekündigt. Freigegeben ist sie für „Jeder außer externen Benutzern“. Und drin liegt die Gehaltsliste. Bisher hat das niemand gemerkt, weil niemand sie gesucht hat. Copilot sucht sie jetzt für dich.

Executive Summary

Microsoft hat die Governance-Werkzeuge für SharePoint und OneDrive massiv ausgebaut und unter dem Dach SharePoint Advanced Management (SAM) gebündelt. Drei Ziele stehen drauf: Wildwuchs eindämmen, den Lebenszyklus von Inhalten steuern und Oversharing verhindern. Dazu kommen fein einstellbare Versionslimits auf Ebene von Organisation, Site und Bibliothek, die endlich Schluss machen mit der Sitte, jede Excel-Datei in 500 Fassungen bis ans Ende aller Tage aufzuheben.

Die eigentliche Nachricht steckt aber im Kleingedruckten der Lizenzierung: SAM gibt es nicht mehr nur gegen Aufpreis. Sobald in deinem Tenant ein einziger Benutzer eine Microsoft-Copilot-Lizenz hat, schaltet Microsoft die Copilot-relevanten SAM-Funktionen automatisch frei. Damit hast du keine Ausrede mehr. Das Werkzeug liegt im Schuppen, und Copilot wühlt sich bereits durch deinen Garten.

Für die DSGVO ist das eine gute Nachricht. Berechtigungen nach dem Need-to-know-Prinzip, Löschfristen für Altversionen und dokumentierte Verantwortlichkeiten sind genau das, was Artikel 5 und Artikel 32 von dir verlangen. Mein Rat: Plane in den nächsten acht Wochen ein Review deiner Sites, bevor die Datenschutzbeauftragte es für dich plant.

Worum geht es im Detail?

Ein bisschen Geschichte, damit du verstehst, warum Microsoft gerade jetzt so aufs Tempo drückt. SharePoint war jahrelang ein großzügiger Gastgeber: Jeder durfte Sites anlegen, jeder durfte teilen, und Berechtigungen wurden vererbt, gebrochen, wieder vererbt, bis sie aussahen wie der Stammbaum eines europäischen Königshauses. Das Problem war nie die Technik, sondern die Auffindbarkeit. Was niemand findet, tut niemandem weh. Copilot ändert genau das. Er respektiert zwar Berechtigungen, aber er findet alles, worauf ein Benutzer theoretisch Zugriff hat. Aus „Security by Obscurity“ wird „Obscurity by Copilot“, und die ist leider vorbei.

SAM setzt deshalb an drei Stellen an. Erstens Sichtbarkeit: Die Data-Access-Governance-Berichte (DAG) liefern einen Schnappschuss der Berechtigungsstruktur über alle SharePoint- und OneDrive-Sites, eine Auswertung, auf welche Sites ein bestimmter Benutzer Zugriff hat und warum, die Verteilung der Vertraulichkeitsbezeichnungen sowie die Sites mit den meisten neuen Freigabelinks der letzten 28 Tage. Besonders unterhaltsam: der Bericht zu „Jeder außer externen Benutzern“ (EEEU). Er zeigt dir, welche Dateien und Gruppen in den letzten 28 Tagen für praktisch die ganze Firma geöffnet wurden. Per Knopfdruck auf „Get AI insights“ fasst eine KI die Muster zusammen und schlägt Maßnahmen vor.

Zweitens Verantwortung: Mit einer Site-Ownership-Policy legst du fest, wie viele Besitzer eine Site mindestens haben muss, und der Tenant mahnt automatisch, wenn das nicht passt. Über Site-Attestierungen lässt du Besitzer regelmäßig bestätigen, dass Mitglieder, Berechtigungen und Freigabeeinstellungen noch stimmen. Und mit dem Site Access Review delegierst du die Prüfung der DAG-Ergebnisse direkt an die Besitzer der überteilten Sites. Die Admins müssen also nicht mehr raten, ob „Projekt_Alt_FINAL_v2“ noch gebraucht wird. Sie fragen den, der es verbrochen hat.

Drittens Kontrolle: Restricted Access Control (RAC) beschränkt eine Site auf bestimmte Gruppen, egal was an Einzelberechtigungen darin herumliegt. Restricted Content Discovery (RCD) blendet besonders heikle Sites aus der unternehmensweiten Suche und aus Copilot aus und entfernt dort auch den Copilot-Button und die KI-Menüs. Eine Block-Download-Policy verhindert das Herunterladen, auch bei Teams-Besprechungsaufzeichnungen. Dazu kommen Berichte über Agenten, die in SharePoint angelegt werden, und darüber, wie diese Agenten auf Inhalte zugreifen. Die Maschinen bekommen also auch eine Akte.

Abbildung 1: Die fünf Stufen der SharePoint-Governance mit den passenden SAM-Werkzeugen.

Und dann ist da noch das Dokumentenmanagement im engeren Sinn: die Versionierung. Bislang hieß die Standardeinstellung in vielen Bibliotheken schlicht 500 Hauptversionen. Jetzt kannst du als Admin auf Organisationsebene zwischen einer automatischen und einer manuellen Einstellung wählen. Die automatische optimiert den Speicher selbstständig, ohne dass du Versionszahlen schätzen musst. Die manuelle kombiniert eine Höchstzahl von Hauptversionen optional mit einem Ablaufdatum, zum Beispiel 500 Versionen und 365 Tage. Die Oberfläche lässt nichts unter 100 Versionen oder 30 Tagen zu. Per API geht weniger, aber Microsoft warnt selbst vor versehentlichem Datenverlust.

Die Vererbung folgt einem klaren Muster: Organisation, dann Site, dann Bibliothek. Site-Besitzer dürfen die Vorgabe des Tenants brechen, Bibliotheksbesitzer die der Site. Der Haken: Neue Org-Einstellungen gelten nur für neu angelegte Bibliotheken. Für den Bestand gibt es Berichte zum Versionsspeicher und Trim-Jobs, die alte Versionen per Timer-Job entfernen. Und die sind endgültig.

Abbildung 2: Vererbung der Versionslimits und die drei Trümpfe, die jedes Limit stechen.

Was sind Chancen? Was sind Risiken?

Fangen wir mit den Chancen an, denn die sind ernsthaft gut. Du bekommst zum ersten Mal ohne Drittanbieter-Tool einen tenantweiten Blick auf Berechtigungen. Das allein ersetzt in kleineren Umgebungen so manches teure Governance-Produkt. Die Lebenszyklus-Policies erledigen das Hinterherlaufen hinter Site-Besitzern automatisch, monatlich und mit Eskalation bis zur Archivierung über Microsoft 365 Archive. Das spart nicht nur Nerven, sondern auch Speicher, der in SharePoint bekanntlich teurer ist als Gold in Tüten.

Für die DSGVO ist das Paket ein Geschenk. Jede Altversion eines Dokuments ist eine Kopie der darin enthaltenen personenbezogenen Daten. Wer eine Bewerbermappe in 300 Versionen aufhebt, hat 300 Mal gegen den Grundsatz der Speicherbegrenzung verstoßen. Mit Ablaufdaten auf Versionen kannst du dein Löschkonzept endlich technisch durchsetzen statt es nur auszudrucken. Und die Prüfprotokolle für Versionsänderungen, Trim-Jobs und RCD-Schaltungen landen sauber im Microsoft-Purview-Audit. Der Wirtschaftsprüfer wird dich lieben. Kurz.

Jetzt die Risiken, und die haben Zähne. Das größte ist die Illusion von Sicherheit durch RCD. Microsoft sagt selbst, das sei eine temporäre Maßnahme. Die Berechtigungen bleiben, wie sie sind. Wer den Link kennt, kommt weiterhin rein. Wer RCD flächendeckend einschaltet, macht Copilot außerdem dumm, und dann fragt der Vorstand, warum man für 30 Euro im Monat einen Assistenten lizenziert hat, der nichts weiß.

Zweites Risiko: die Lebenszyklus-Policies im Aktivmodus. Sie bewerten Aktivität über SharePoint, Teams, Viva Engage und Exchange. App-Zugriffe über App-Token zählen nicht. Die Site, auf die dein ERP nachts per Schnittstelle schreibt, sieht für die Policy also mausetot aus. Drei Mahnungen an einen Besitzer, der längst in Rente ist, und plötzlich ist die Schnittstelle schreibgeschützt. Entsperren kann dann nur ein Tenant-Admin, der Site-Besitzer nicht.

Abbildung 3: Vom ersten Mahnschreiben bis zum Archiv – der Weg einer inaktiven Site.

Was müssen wir jetzt schon vorbereiten?

Ein Praxisbeispiel zum Warmwerden. Ein mittelständischer Maschinenbauer mit rund 900 Benutzern hat im Sommer 50 Copilot-Lizenzen für einen Pilot gekauft. Am dritten Tag fragte ein Vertriebler Copilot nach „Provisionsregeln 2026“ und bekam eine hübsche Zusammenfassung, inklusive der individuellen Zielvereinbarungen von zwölf Kollegen. Die Ursache war eine HR-Site mit EEEU-Freigabe aus einer Pandemie-Notlösung. Niemand hatte etwas falsch gemacht. Es hatte nur seit vier Jahren niemand hingeschaut. Der DAG-Bericht hätte das in zehn Minuten gezeigt.

Damit dir das erspart bleibt, gehst du in dieser Reihenfolge vor. Erstens Rollen klären: Weise die neue Rolle SharePoint Advanced Management Administrator bewusst und sparsam zu. Sie darf Berechtigungen in großem Stil entfernen, das ist eine Kettensäge, kein Nagelknipser. Zweitens Bestandsaufnahme: DAG-Berichte für EEEU, Freigabelinks und Berechtigungsstatus erzeugen, notfalls per SharePoint-Online-PowerShell. Drittens die Lebenszyklus-Policies im Simulationsmodus laufen lassen und die Ergebnisse mit der IT-Architektur abgleichen, bevor irgendwas gesperrt wird.

Viertens Versionierung festlegen. Schreib dir pro Datenklasse auf, wie lange Versionen leben dürfen, und stimme das mit Datenschutz und Recht ab. Fünftens die Kommunikation: Wenn Site-Besitzer zum ersten Mal eine Mail mit „Certify site“ bekommen, halten sie sie für Phishing. Nutze die anpassbaren Mailtexte mit eigener Absenderdomäne und einem Link auf eure Richtlinie. Dafür muss allerdings ein Global Admin vorher die eigene Domäne für Benachrichtigungen freischalten.

Häufig gestellte Fragen

Brauche ich für SharePoint Advanced Management eine eigene Lizenz?

Nicht zwingend: Sobald im Tenant mindestens ein Benutzer eine Microsoft-Copilot-Lizenz hat, stehen die Copilot-relevanten SAM-Funktionen automatisch bereit. Ohne Copilot brauchst du das Add-on SharePoint Advanced Management Plan 1 oder Microsoft 365 E7, und einige Funktionen wie die eingeschränkte Site-Erstellung durch Apps setzen Plan 1 in jedem Fall voraus.

Entfernt Restricted Content Discovery die Berechtigungen auf einer SharePoint-Site?

Nein, Restricted Content Discovery blendet eine Site nur aus der unternehmensweiten Suche und aus Copilot aus. Wer bereits Zugriff hat, kann die Inhalte weiterhin direkt öffnen, deshalb ersetzt die Funktion kein Aufräumen der Berechtigungen.

Kann ich gelöschte Dateiversionen nach einem Trim-Job wiederherstellen?

Nein, Versionen, die durch ein Versionslimit oder einen Trim-Job entfernt werden, umgehen den Papierkorb und sind endgültig gelöscht. Lass deshalb vorher einen Versionsspeicher-Bericht laufen, um die Auswirkungen zu prüfen.

Was passiert mit einer inaktiven SharePoint-Site, wenn der Besitzer nicht reagiert?

Nach drei monatlichen Benachrichtigungen ohne Bestätigung setzt die Inaktive-Sites-Policy je nach Konfiguration die Site schreibgeschützt oder archiviert sie nach einer Read-only-Phase von 3 bis 12 Monaten über Microsoft 365 Archive. Entsperren oder reaktivieren kann die Site anschließend nur ein Tenant-Admin.

Gelten Versionslimits auch für Dokumente unter einer Aufbewahrungsrichtlinie?

Nein, solange eine Purview-Aufbewahrungsrichtlinie oder ein eDiscovery-Hold greift, ignoriert SharePoint die Versionslimits der Bibliothek. Erst nach Ablauf der Aufbewahrung oder Aufhebung des Holds werden überzählige Versionen entfernt.