Woran erkennen wir, dass in SharePoint zu viel freigegeben ist?

Die Frage kommt selten aus der IT. Sie kommt, wenn ein Mitarbeiter in der Microsoft-Suche eine Datei findet, die er nicht finden sollte. Oder wenn ein externer Dienstleister beiläufig erwähnt, er habe den Projektordner von vorletztem Jahr noch im Zugriff. Ab diesem Moment steht eine unangenehme Frage im Raum: Was ist bei uns eigentlich noch alles offen? Und seit wann?

Die gute Nachricht: Die wichtigsten Anzeichen sind ohne Spezialwerkzeug sichtbar. Sie brauchen dafür weder Administratorrechte noch eine Zusatzlizenz. Zehn Minuten mit Ihrem normalen Konto genügen für eine erste, belastbare Einschätzung.

Die kurze Antwort

Zu weite Freigaben zeigen sich an vier Dingen: an Links vom Typ „Jeder mit dem Link”, an der Gruppe „Jeder außer externen Benutzern” auf Websites mit sensiblen Inhalten, an Gastkonten aus längst abgeschlossenen Projekten und an Suchergebnissen, die Sie überraschen. Den letzten Punkt können Sie selbst prüfen: Die Microsoft-365-Suche und Copilot zeigen jedem Nutzer ausschließlich Inhalte, für die er mindestens Leseberechtigung hat. Was Sie in der Suche finden, dürfen Sie also sehen. Und was ein Auszubildender findet, darf er sehen. Ein Suchtest mit fünf Begriffen aus dem Personal- und Vertragsbereich liefert in wenigen Minuten ein belastbares erstes Bild.

Copilot ändert keine Rechte, er ändert die Auffindbarkeit

Diese Unterscheidung ist der Kern des Themas. Microsoft 365 Copilot greift auf dieselben Berechtigungen zu wie jede andere Microsoft-365-Anwendung und zeigt nichts an, worauf der Nutzer nicht ohnehin Zugriff hätte. Was Copilot verändert, ist der Aufwand. Eine Gehaltsübersicht in einem vergessenen Unterordner war formal schon immer für alle lesbar. Gefunden hat sie nur niemand. Auf die Frage „Was verdienen unsere Vertriebsmitarbeiter?” liefert ein Sprachmodell diese Datei in Sekunden.

Deshalb gehört die Durchsicht der Freigaben vor die Einführung von Copilot, nicht danach. Wer die Reihenfolge umdreht, räumt unter laufendem Betrieb auf.

Fünf Anzeichen, die Sie im Alltag bemerken

Bevor Sie irgendetwas anklicken: Diese Beobachtungen sind bereits Befunde.

• Dateien werden per Link geteilt, nicht per Ablageort. Wenn im Unternehmen der Satz „Ich schick dir den Link” häufiger fällt als „Das liegt im Vertriebsordner”, entstehen laufend Einzelberechtigungen außerhalb jeder Struktur.
• Niemand kann eine Website eindeutig zuordnen. Fragen Sie nach dem Verantwortlichen für eine beliebige Teamwebsite. Kommt die Antwort nicht innerhalb einer Minute, oder ist die genannte Person gar nicht mehr im Unternehmen, dann prüft dort niemand mehr, wer Zugriff hat.
• Es gibt eine Sammelablage. Websites mit Namen wie „Allgemein”, „Ablage” oder „Diverses” wachsen unkontrolliert und werden aus Bequemlichkeit für alle geöffnet.
• Externe melden sich mit altem Zugriff. Ein Steuerberater, eine Agentur oder ein ausgeschiedener Projektpartner erwähnt Inhalte, die er nicht mehr sehen sollte.
• Die Suche überrascht Sie. Sobald Sie beim Suchen denken „Das hätte ich hier nicht erwartet”, ist der Punkt erreicht, an dem eine systematische Prüfung sinnvoll wird.

Der Zehn-Minuten-Test

Alle Schritte funktionieren mit einem normalen Mitarbeiterkonto. Nehmen Sie sich einen Notizzettel und halten Sie fest, was Sie finden.

Schritt 1: Suchtest (drei Minuten). Öffnen Sie die Microsoft-365-Startseite und suchen Sie nacheinander nach: Gehalt, Kündigung, Abfindung, Kaufpreis, Gesellschaftervertrag. Ergänzen Sie zwei Begriffe aus Ihrem eigenen Geschäft, etwa einen Kundennamen oder eine Kalkulationsbezeichnung. Alles, was erscheint, ist für Sie freigegeben. Entscheidend ist die zweite Frage: Wären diese Treffer auch angemessen, wenn ein Werkstudent sie sähe?

Schritt 2: Copilot-Test (zwei Minuten, falls lizenziert). Stellen Sie dieselbe Frage in natürlicher Sprache, zum Beispiel: „Fasse zusammen, was in unseren Dateien zu Abfindungen steht.” Achten Sie auf die angegebenen Quellen. Copilot nennt die Dateien, auf die er sich stützt. Das ergibt eine schnelle Bestandsaufnahme.

Schritt 3: Zugriff auf drei sensible Dateien prüfen (drei Minuten). Öffnen Sie eine Personal-, eine Vertrags- und eine Kalkulationsdatei. Wählen Sie die Datei aus, öffnen Sie über das Informationssymbol den Detailbereich und klicken Sie auf Zugriff verwalten. Dort sehen Sie Personen, Gruppen und die bestehenden Freigabelinks.

Schritt 4: Websiteberechtigungen ansehen (zwei Minuten). Öffnen Sie auf einer Website mit sensiblen Inhalten das Zahnradsymbol und dann Websiteberechtigungen. Sehen Sie sich die Mitgliederlisten an und zählen Sie mit.

Wie Sie die Befunde einordnen

Warum das auch ohne Fehlverhalten passiert

Freigaben wachsen von selbst, und die Standardeinstellungen begünstigen das. OneDrive ist für neue Umgebungen auf die weiteste Stufe „Jeder” voreingestellt; dasselbe gilt für die Stammwebsite unter firmenname.sharepoint.com. Websites, die mit einer Microsoft-365-Gruppe verbunden sind, also alle Teams-Websites, stehen standardmäßig auf „Neue und vorhandene Gäste”, sofern Gruppenbesitzer Externe hinzufügen dürfen. Klassische und Kommunikationswebsites stehen dagegen auf „Nur Personen in Ihrer Organisation”.

Hinzu kommt die Berechtigungsvererbung. Untergeordnete Bereiche erben ihre Rechte normalerweise vom übergeordneten. Sobald diese Vererbung an einer Stelle aufbricht, etwa weil jemand einen Ordner mit einem Externen teilt, entsteht ein Rechtestand, den niemand mehr zentral überblickt. Microsoft rät ausdrücklich davon ab, die Vererbung zu brechen, und empfiehlt stattdessen die Steuerung über Gruppenmitgliedschaften. In gewachsenen Umgebungen kommt dieser Rat meist Jahre zu spät.

Was Ihr IT-Dienstleister sehen kann, was Sie nicht sehen

Der Zehn-Minuten-Test zeigt Ihnen Stichproben. Für ein vollständiges Bild braucht es Auswertungen über den gesamten Bestand, und die liegen im SharePoint Admin Center. Dort finden sich Berichte zur Datenzugriffssteuerung. Die Aktivitätsberichte listen die Websites mit den meisten neuen Freigabelinks sowie die Websites mit Freigaben an „Jeder außer externen Benutzern”, jeweils die auffälligsten 100 Websites der letzten 28 Tage. Für den Gesamtbestand kommt zusätzlich eine Momentaufnahme aller Websiteberechtigungen hinzu. Auch das ist noch keine Bewertung, sondern eine Liste, die jemand lesen und einordnen muss.

Der Umfang hängt an der Lizenz. Die vollständigen Bestandsaufnahmen und die eingebauten Korrekturfunktionen gehören zu SharePoint Advanced Management. Die meisten dieser Funktionen stehen bereits zur Verfügung, sobald mindestens ein Nutzer im Unternehmen eine Microsoft-365-Copilot-Lizenz zugewiesen bekommen hat; einzelne Bestandteile erfordern weiterhin das kostenpflichtige Zusatzpaket. Wer Copilot einführt, hat die passenden Prüfwerkzeuge also im Wesentlichen bereits im Haus.

Praktisch ist dabei die Funktion Websitezugriffsüberprüfung: Die Administration kann die inhaltliche Prüfung an die jeweiligen Websitebesitzer delegieren, statt selbst durch fremde Personalordner zu gehen. Das ist auch datenschutzrechtlich der sauberere Weg.

Ein Hinweis zu Schnellschüssen

Eine verbreitete Notlösung war, die organisationsweite Suche auf eine Positivliste von Websites zu beschränken. Diese Funktion („Restricted SharePoint Search”) wird eingestellt: Ab dem 31. Juli 2026 lässt sie sich nicht mehr neu aktivieren, am 31. Januar 2027 wird sie vollständig abgeschaltet. Bestehende Konfigurationen laufen bis dahin weiter, werden aber nicht automatisch auf den Nachfolger übertragen. Wer sie heute nutzt, muss vor diesem Stichtag entscheiden, was an ihre Stelle tritt. Nachfolger ist eine Einstellung, mit der einzelne Websites aus der organisationsweiten Suche und aus Copilot ausgenommen werden. Wichtig: Beide Verfahren ändern keine einzige Berechtigung. Sie verstecken Inhalte, sie schützen sie nicht. Wer sie dauerhaft einsetzt, hat das Problem nicht gelöst, sondern nur unsichtbar gemacht. Sichtbar wird es wieder bei der nächsten Prüfung durch Wirtschaftsprüfer, Versicherer oder Aufsichtsbehörde.

Genauso wenig hilft das andere Extrem: alle externen Freigaben abschalten. Das bricht laufende Zusammenarbeit, erzeugt Umgehungswege über private Kanäle und verlagert das Risiko nur.

Mehr als zwei auffällige Befunde aus dem Zehn-Minuten-Test sind noch kein Urteil über die ganze Umgebung. Sie zeigen, dass die Stichprobe trägt und die Berichte im SharePoint Admin Center den Rest zeigen werden. Die Reihenfolge bleibt dieselbe: zuerst die Bestandsaufnahme, dann die Entscheidung, was bleiben darf.

Quellen

• Microsoft 365 Copilot zeigt Nutzern ausschließlich Inhalte, für die sie mindestens Leseberechtigung besitzen; die Berechtigungsmodelle von SharePoint bleiben maßgeblich. Prompts, Antworten und über Microsoft Graph abgerufene Daten werden nicht zum Training der Foundation-Modelle verwendet. learn.microsoft.com
• Bei „Jeder”-Links greifen Empfänger ohne Authentifizierung zu, Links sind frei weiterleitbar, und es lässt sich nicht nachvollziehen, wer Zugriff hat oder zugegriffen hat. Beschreibung der vier Freigabestufen (Jeder / Neue und vorhandene Gäste / Vorhandene Gäste / Nur Personen in Ihrer Organisation). learn.microsoft.com
• Standard-Freigabeeinstellungen je Websitetyp: OneDrive = „Anyone”; Stamm-Kommunikationswebsite (tenant-name.sharepoint.com) = „Anyone”; gruppenverbundene Websites inkl. Teams = „New and existing guests”, sofern Gruppenbesitzer Externe hinzufügen dürfen; klassische, Kommunikations- und gruppenlose moderne Websites = „Only people in your organization”. learn.microsoft.com
• „Jeder außer externen Benutzern” (EEEU) ist eine eingebaute SharePoint-Gruppe, die automatisch alle internen Nutzer umfasst und externe Gäste ausschließt. Die Aktivitätsberichte zu Freigabelinks und EEEU zeigen jeweils die Top 100 Websites der letzten 28 Tage; für den Gesamtbestand gibt es zusätzlich Snapshot-Berichte zu Websiteberechtigungen. Vollständige Snapshot-Berichte und Korrekturmaßnahmen erfordern SharePoint Advanced Management. learn.microsoft.com
• SharePoint Advanced Management steht zur Verfügung, sobald mindestens ein Nutzer der Organisation eine Microsoft-365-Copilot-Lizenz zugewiesen bekommen hat. Einzelne Funktionen, etwa die Beschränkung der Websiteerstellung durch Apps (restricted site creation), erfordern weiterhin das Zusatzpaket „SharePoint Advanced Management Plan 1”. (Stand der Seite: 30. Juni 2026) learn.microsoft.com
• Berechtigungen werden in SharePoint standardmäßig vom übergeordneten Objekt vererbt; Microsoft empfiehlt ausdrücklich, die Vererbung nicht zu brechen und Berechtigungen über Gruppenmitgliedschaften zu steuern. Beim Teilen eines Ordners mit Externen bricht SharePoint die Vererbung automatisch auf. learn.microsoft.com
• Restricted SharePoint Search wird eingestellt: Ab dem 31. Juli 2026 ist die Neuaktivierung blockiert. Die Funktion ist keine Sicherheitsgrenze und ändert keine Berechtigungen auf SharePoint-Websites. Empfohlen wird stattdessen Restricted Content Discovery. (Stand der Seite: 6. Juli 2026) learn.microsoft.com
• Message-Center-Mitteilung MC1395311 zur Außerbetriebnahme von Restricted SharePoint Search: Neuaktivierung ab 31. Juli 2026 blockiert, vollständige Abschaltung am 31. Januar 2027, PowerShell-Cmdlets ab 28. Februar 2027. Bestehende RSS-Konfigurationen werden nicht automatisch auf Restricted Content Discovery übertragen. m365admin.handsontek.net
• Restricted Content Discovery beschränkt die Auffindbarkeit von Websiteinhalten in organisationsweiter Suche und Copilot, ändert aber keine bestehenden Berechtigungen; Nutzer mit Zugriff behalten diesen. Die Funktion setzt eine Microsoft-365-Copilot-Lizenz und SharePoint Advanced Management voraus. learn.microsoft.com
• Über die Websitezugriffsüberprüfung können Administratoren die Prüfung überfreigegebener Websites an die Websitebesitzer delegieren, ausdrücklich auch deshalb, weil Compliance-Gründe den Administratoren den Zugriff auf Datei- und Elementdetails verwehren. Erfordert SharePoint Advanced Management. learn.microsoft.com
• Nutzer sehen über den Detailbereich einer Datei unter „Zugriff verwalten”, welche Personen, Links und E-Mail-Freigaben Zugriff gewähren, und können dort Berechtigungen ändern oder entfernen. support.microsoft.com
• Verfügbare Linktypen beim Teilen: „Jeder mit dem Link”, „Personen in Ihrer Organisation mit dem Link”, „Personen mit vorhandenem Zugriff” und „Bestimmte Personen”. Der Standardlinktyp lässt sich auf Organisations- und Websiteebene konfigurieren. learn.microsoft.com
• Gastkonten sind an „#EXT#” im Benutzerprinzipalnamen erkennbar. learn.microsoft.com
• Die Content Management Assessment in SharePoint Advanced Management bündelt Berichte zu inaktiven Websites, Websites ohne Besitzer, gebrochener Vererbung, EEEU-Freigaben und Freigabelinks. learn.microsoft.com