SharePoint Server: Neue Features

Executive Summary

Kurz gesagt: SharePoint Server ist nicht tot, er hat nur aufgehört, sich alle drei Jahre neu zu erfinden. Seit der Subscription Edition kommen die Neuerungen im Halbjahrestakt als Feature Update, und die letzten drei Runden haben es in sich. 25H1 hat die Datenbankanbindung auf Microsoft.Data.SqlClient umgestellt und die hybride Suche gerettet, 25H2 hat mit Document Intelligence künstliche Intelligenz in die Dokumentbibliothek geholt, und 26H1 aus dem Juni-CU räumt endlich beim berüchtigten Everyone-Claim auf.

Für dich als Entscheider heißt das dreierlei. Erstens: Wer noch auf SharePoint Server 2016 oder 2019 sitzt, hat am 14. Juli 2026 den letzten Patch bekommen. Das ist keine Drohung, das ist ein Kalendereintrag in der Vergangenheit. Zweitens: Auch die Subscription Edition ist kein Freifahrtschein. Jeder Build wird genau zwölf Monate unterstützt, danach meckert die Zentraladministration und irgendwann auch der Auditor. Drittens: Die spannenden neuen Funktionen sind keine reinen On-Premises-Funktionen mehr. Document Intelligence braucht ein Azure-Abo mit Azure OpenAI, der Graph Connector braucht einen Microsoft-365-Tenant, und Cloud Hybrid Search braucht beides.

Die ehrliche Consulting-Botschaft lautet deshalb: SharePoint Server SE ist heute ein hybrides Produkt mit lokaler Datenhaltung, kein Bollwerk gegen die Cloud. Wer ihn als Bollwerk verkauft hat, sollte die Argumentation jetzt geräuschlos anpassen, bevor es jemand anderes tut.

Skizze 1: Fünf Feature Updates, zwei Release-Ringe und ein Support-Ende, das man nicht verschieben kann.

Worum geht es im Detail?

Microsoft liefert für die Subscription Edition zweimal im Jahr ein Feature Update aus, benannt nach Jahr und Halbjahr. Neu ist dabei die Mechanik der Release-Ringe: Eine Farm steht entweder im Early Release Ring oder im Standard Release Ring. Im Early Ring bekommst du neue Funktionen ein halbes Jahr früher und darfst dafür als unbezahlter Testkunde arbeiten. Im Standard Ring wartest du sechs Monate und bekommst dafür Funktionen, an denen sich andere schon die Zähne ausgebissen haben. Beides ist vertretbar, nur das planlose Hin und Her ist es nicht.

Die Datenbankanbindung wurde ausgetauscht

Der unspektakulärste und zugleich folgenreichste Umbau kam mit 25H1: SharePoint spricht nicht mehr über System.Data.SqlClient mit dem SQL Server, sondern über Microsoft.Data.SqlClient. Damit sind TDS 8.0 und TLS 1.3 möglich, TDS 8.0 ist standardmäßig verschlüsselt. 25H2 hat nachgelegt: Die Verschlüsselungseinstellungen der Datenbankverbindung lassen sich jetzt pro Datenbank setzen und nicht mehr nur pauschal auf Farmebene. Das ist Gold wert, wenn Inhaltsdatenbanken und Dienstanwendungsdatenbanken auf unterschiedlichen SQL-Instanzen liegen.

Der Haken aus der Praxis: Wer noch mit einem SQL Server arbeitet, dessen Zertifikat seinerzeit als Selbstsigniertes eingerichtet wurde, weil es damals schnell gehen musste, wird das jetzt merken. Ein Kunde von mir hatte nach dem Update genau ein Symptom: Die Farm lief, die Suche nicht. Ursache war ein SQL-Alias auf einen Namen, für den das Zertifikat nie ausgestellt war. Sechs Jahre lang egal, an einem Dienstagmorgen plötzlich nicht mehr.

Hybrid ist keine Option mehr, sondern eine Zeitfrage

Cloud Hybrid Search war jahrelang der eleganteste Hybrid-Baustein: Der lokale Crawler indiziert die On-Premises-Inhalte, der Index landet aber im Microsoft-365-Tenant. Ergebnis ist eine einzige Trefferliste über Cloud und Keller. Genau dieser Baustein stand zum 30. Juni 2025 auf der Kippe, weil Microsoft die interne Komponente Search Content Service abgeschaltet hat. Wer weiter eine gemeinsame Trefferliste will, muss auf 25H1 oder neuer heben und die Cloud Search Service Application per PowerShell neu onboarden. Ohne das bleibt nur Hybrid Federated Search, also zwei getrennte Ergebnislisten nebeneinander, was Anwender erfahrungsgemäß mit dem Wort „kaputt“ beschreiben.

Parallel dazu gibt es seit dem November-Update 2024 den Microsoft Graph Connector für SharePoint Server. Der geht den umgekehrten Weg: Microsoft Search und Microsoft 365 Copilot dürfen die lokale Farm indizieren und dabei die vor Ort gesetzten Berechtigungen respektieren. Wer also Copilot lizenziert hat und sich fragt, warum die Antworten die alte Projektablage ignorieren, hat hier die Antwort: Was nicht indiziert ist, existiert für Copilot nicht.

Skizze 2: Drei Zonen, ein Produkt. Jede Linie, die die linke Spalte verlässt, ist ein Datenschutz-Gespräch.

Document Intelligence: KI im eigenen Rechenzentrum, fast

Das Schlagwort-Feature der Reihe heißt Document Intelligence und kam in 25H2 zunächst nur für Farmen im Early Ring, seit 26H1 steht es allen offen. Der Funktionsumfang ist derzeit ehrlich überschaubar: Es gibt genau eine Fähigkeit, nämlich die KI-gestützte Zusammenfassung von Dokumenten. Unterstützt werden doc, docx, pdf, txt, rtf, html, pptx und md. Die Schaltfläche „Zusammenfassen“ erscheint in der Befehlsleiste, im Kontextmenü und im Teilen-Dialog, wo die Zusammenfassung direkt in die Mail wandert.

Die Aktivierung läuft über ein PowerShell-Skript von Microsoft, das die nötigen Azure-Ressourcen anlegt, die App-Registrierung erstellt und ein Zertifikat aus dem SharePoint Certificate Manager hochlädt. Danach aktivierst du das Feature auf Websitesammlungsebene und steuerst es bei Bedarf pro Bibliothek feiner. Farmweit lässt es sich mit Disable-SPDocSummary abschalten, was du im Kopf behalten solltest, wenn die Azure-Rechnung zum Gesprächsthema wird.

Informationsarchitektur und Oberfläche

Weniger laut, aber im Alltag wirksamer sind die Verbesserungen an der Oberfläche. Der Texteditor in Text- und Ereignis-Webparts läuft jetzt auf CKEditor 5 statt auf dem längst abgekündigten CKEditor 4. Damit kommen vernünftige Tabellen mit anpassbaren Spaltenbreiten, direktes Einfügen von Bildern per Zwischenablage und Barrierefreiheitsfunktionen: Erste Zeile und erste Spalte lassen sich als Kopfbereich markieren, Tabellen bekommen Alternativtexte. Für Behörden und alle, die mit der BITV arbeiten, ist das kein Schönheitspreis, sondern eine Pflichterfüllung.

Dazu kommt in Veröffentlichungswebsites endlich Drag and Drop für Webparts, die moderne Personenkarte in Listen und Bibliotheken sowie die Anpassung von Suchverticals in der modernen Suche. Wer je erklärt hat, warum das klassische Portal aussieht wie 2013, kann diesen Foliensatz jetzt entsorgen. Und wenn Office Online Server nicht verfügbar ist, erzeugt die Schaltfläche „Neu“ seit 25H1 trotzdem korrekte Office-Dateien und öffnet sie in der lokal installierten Anwendung. Klingt banal, war jahrelang der häufigste Supportfall in Farmen ohne OOS.

Sicherheit: der eigentliche Schwerpunkt

Wer sich die drei letzten Feature Updates ansieht, erkennt schnell, wo das Entwicklungsbudget hingeflossen ist. AMSI prüft nicht mehr nur Anfrageköpfe, sondern den kompletten Request-Body, und Full Mode ist seit 25H2 die Voreinstellung. Die Virenprüfung beim Hoch- und Herunterladen läuft über AMSI und damit über Microsoft Defender oder ein beliebiges AMSI-fähiges Produkt. Machine Keys rotieren automatisch über einen Timerjob, der standardmäßig am letzten Sonntag im Monat läuft. Entra ID darf verschlüsselte JWE-Token schicken. Und mit Test-DefenderAndAmsiWorkProperly gibt es endlich ein Cmdlet, das dir sagt, ob der ganze Apparat überhaupt scharf ist.

26H1 legt die vielleicht praktischste Kleinigkeit obendrauf: Der Everyone-Claim lässt sich pro Webanwendung aus dem People Picker verbannen. Die Einstellung liegt als persistente Eigenschaft an den SPPeoplePickerSettings in der Konfigurationsdatenbank, wirkt farmweit und verlangt keine web.config-Bastelei. Bestehende Berechtigungen bleiben unangetastet, es geht nur darum, dass niemand mehr aus Versehen die gesamte Organisation berechtigt, weil „Everyone“ eben praktischerweise ganz oben in der Vorschlagsliste stand.

Skizze 3: Sechs Schichten, drei Feature Updates. Jede Schicht muss einzeln eingeschaltet werden.

Was sind Chancen? Was sind Risiken?

Die Chance ist real und sie ist größer, als die üblichen Cloud-Only-Präsentationen zugeben. Du kannst Daten lokal halten, wo es aus regulatorischen Gründen sein muss, und trotzdem am modernen Microsoft-365-Ökosystem teilnehmen. Suche, Identität und inzwischen sogar KI-Funktionen lassen sich schrittweise anbinden, ohne dass ein einziges Terabyte Migration nötig ist. Für Organisationen mit Datenhoheitsanforderungen ist das der pragmatischste Weg, den Microsoft derzeit anbietet.

Das Risiko ist genauso real. Die Subscription Edition ist ein Abonnement mit Betriebspflicht. Zwölf Monate Support pro Build bedeutet in der Praxis mindestens zwei bis vier Wartungsfenster im Jahr, sonst läufst du in die Warnstufen und irgendwann in den Fehlerzustand. Dazu kommt: Die neuen Funktionen erzeugen neue Abhängigkeiten. Wer Document Intelligence einschaltet, hat plötzlich eine Azure-Kostenstelle im SharePoint-Betrieb. Wer den Graph Connector aktiviert, macht jede historisch gewachsene Fehlberechtigung für Copilot sichtbar.

Was müssen wir jetzt schon vorbereiten?

Die gute Nachricht: Fast alles davon ist Handwerk, kein Projekt. Die schlechte: Handwerk muss jemand machen, und in den meisten Farmen ist dieser Jemand seit zwei Jahren mit anderen Dingen beschäftigt. Fang mit der Bestandsaufnahme an, sie dauert einen Tag und beantwortet drei Viertel aller Folgefragen.

Buildstand ermitteln: Welche Version läuft, wie alt ist sie, wie viele Monate bleiben bis zum Ende des Supportfensters?

Release-Ring bewusst festlegen und dokumentieren, statt ihn dem Zufall der Erstinstallation zu überlassen.

Patchfenster für das ganze Jahr im Voraus buchen, mindestens quartalsweise. Termine, die nicht im Kalender stehen, finden nicht statt.

SQL-Verbindungen und Zertifikate prüfen, bevor der Wechsel auf Microsoft.Data.SqlClient wirksam wird.

Cloud Search Service Application prüfen und, falls Cloud Hybrid Search genutzt wird, das Neu-Onboarding nachholen.

Berechtigungen aufräumen, insbesondere alle Stellen, an denen „Everyone“ vergeben wurde, und danach den Everyone-Claim im People Picker deaktivieren.

Test-DefenderAndAmsiWorkProperly ausführen und das Ergebnis als Ausgangswert dokumentieren.

Für Document Intelligence: Azure-Abo, Kostenstelle, Zertifikat und Datenschutzfreigabe klären, bevor irgendjemand das Skript startet.

Häufig gestellte Fragen

Muss ich von SharePoint Server 2019 auf die Subscription Edition wechseln?

Ja, wenn die Farm produktiv bleiben soll. SharePoint Server 2016 und 2019 haben am 14. Juli 2026 das Ende des erweiterten Supports erreicht und bekommen seitdem keine Sicherheitsupdates mehr. Die Alternativen sind der Umstieg auf die Subscription Edition oder die Migration nach SharePoint in Microsoft 365.

Wie lange wird ein einzelner Build der Subscription Edition unterstützt?

Jeder Build wird zwölf Monate ab seinem Veröffentlichungsdatum unterstützt. SharePoint warnt dich sechs und drei Monate vorher in der Zentraladministration und in der Management Shell und meldet nach Ablauf einen Fehler, der zusätzlich im Windows-Anwendungsprotokoll landet.

Läuft Document Intelligence komplett lokal in meinem Rechenzentrum?

Nein. Die Funktion nutzt Azure OpenAI, du brauchst also ein Azure-Abo mit ausreichendem Kontingent und richtest die Verbindung über ein Bereitstellungsskript und ein Zertifikat aus dem SharePoint Certificate Manager ein. Dokumentinhalte werden für die Zusammenfassung an diesen Azure-Dienst übertragen.

Warum findet Microsoft 365 Copilot meine lokalen SharePoint-Inhalte nicht?

Weil sie nicht im Microsoft-365-Index stehen. Dafür brauchst du den Microsoft Graph Connector für SharePoint Server, der ab dem Build vom November 2024 unterstützt wird und die lokalen Berechtigungen übernimmt. Ohne diesen Connector sieht Copilot ausschließlich Inhalte, die bereits im Tenant liegen.

Funktioniert Cloud Hybrid Search noch ohne Update auf 25H1?

Nein, dafür wurde die interne Komponente Search Content Service zum 30. Juni 2025 abgeschaltet. Du musst die Farm auf Version 25H1 oder neuer heben und die Cloud Search Service Application per PowerShell neu onboarden, sonst bleibt nur die getrennte Suche über Hybrid Federated Search.