1Security + Microsoft 365 Copilot
Copilot respektiert Ihre Berechtigungen perfekt. Genau das ist das Problem.
Jede Antwort ist im Microsoft Graph verankert und auf den Zugriff des fragenden Benutzers zugeschnitten - Copilot zeigt nie eine Datei, die diese Person nicht ohnehin öffnen könnte. Das ist das richtige Design. Es bedeutet aber auch: Copilot erbt an einem einzigen Nachmittag jede Berechtigung, die Ihr Mandant über ein Jahrzehnt angesammelt hat. 1Security ist die Karte dieses Erbes.
- 98%der vergebenen Berechtigungen werden nie gebraucht
- 3 JahreAktivitätshistorie, Copilot-Nutzung inklusive
- Noch am selben Tagvon der Nur-Lese-Einwilligung zur ersten Expositionsliste
Ehre, wem Ehre gebührt
Was Copilot brillant macht.
Drei Dinge, die Microsoft richtig gemacht hat - und keines davon ist der Grund, warum Rollouts ins Stocken geraten.
Verankert in Ihrem Mandanten, nicht im offenen Web
Copilot argumentiert über Ihre eigenen Dateien, E-Mails, Chats und Besprechungen - über den Microsoft Graph, mit Verweisen zurück auf das Quellelement. Antworten stammen aus Arbeit, die in Ihrer Organisation tatsächlich stattgefunden hat, statt aus einer plausibel klingenden Verallgemeinerung.
Security Trimming von Grund auf
In Microsofts eigenen Worten: Copilot zeigt nur Organisationsdaten, für die der Benutzer mindestens Leseberechtigungen besitzt, und der semantische Index respektiert beim Verankern einer Antwort dieselbe identitätsbasierte Zugriffsgrenze. Wo eine Purview-Bezeichnung Verschlüsselung anwendet, kommt Inhalt nur zurück, wenn der Benutzer das Nutzungsrecht EXTRACT hält. Prompts, Antworten und Graph-Daten werden nicht zum Training der Foundation Models verwendet.
Eine Plattform, keine Chatbox
Mit Copilot Studio und deklarativen Agenten stellt ein Fachbereich in kurzer Zeit einen maßgeschneiderten Assistenten über einer gewählten Menge an SharePoint-Websites, Dateien und Konnektoren bereit - weshalb die Zahl der Agenten in einem Mandanten weit schneller wächst, als irgendjemand geplant hat.
Das Spiegelproblem
Copilot erzeugt die Exposition nicht. Es findet sie.
Das Berechtigungsmodell, das Copilot erbt, war nie dafür gebaut, in natürlicher Sprache abgefragt zu werden. Es ist Ausnahme für Ausnahme gewachsen: ein Ordner, der für „Jeder außer externen Benutzern“ freigegeben wurde - für eine einzige Deadline; eine SharePoint-Website, die seit 2019 niemand geöffnet hat; ein anonymer Link auf einer Tabelle; ein Gast, der nach Projektende geblieben ist. Nichts davon war je falsch genug, um es zu beheben - weil ohnehin niemand diese Dateien finden konnte.
Die semantische Suche nimmt der Unauffindbarkeit ihre Schutzwirkung. Was früher den Websitenamen, den Ordnerpfad und den Dateititel voraussetzte, verlangt heute nur noch zu wissen, wonach man fragt. Woche eins eines Rollouts ist der Moment, in dem jemand „Wie sieht unser Stellenabbauplan aus?“ eintippt und eine vollkommen korrekte, korrekt berechtigte Antwort erhält, die ihm nie zugedacht war.
Microsoft sagt es selbst: Der Deployment-Leitfaden beginnt damit, übermäßige Freigaben zu reduzieren, bevor Sie Copilot einschalten - und sie danach zu überwachen. Was Microsoft Ihnen nicht mitgibt, ist die mandantenweite Karte, wer - und welche App und welcher Agent - derzeit worauf zugreifen kann. Diesen Teil müssen Sie mitbringen.
Die Ergänzung
Was 1Security rund um den Rollout ergänzt.
1Security ist eine berechtigungszentrierte Entscheidungs-Engine für Microsoft 365: Sie kartiert jede Identität - Mensch, App, KI-Agent, Gerät -, was sie erreichen kann und was sie tatsächlich getan hat.
- 01
Die Expositionsliste vor dem Start
Bevor auch nur eine Lizenz zugewiesen ist: jede Datei, die jeder Pilotbenutzer erreichen kann - sortiert nach Vertraulichkeit statt alphabetisch. Gehaltsdaten, Vorstandsunterlagen, Rechtsdokumente, Zugangsdaten - als Liste zum Abarbeiten, nicht als Risiko zum Akzeptieren.
- 02
Die übermäßige Freigabe, die den Go-live überlebt
Ruhende anonyme Links, mandantenweite Vergaben, Gäste, die noch in SharePoint-Websites sitzen, Ordner, die von einem Berechtigungssatz erben, an dessen Freigabe sich niemand erinnert. Genau die Muster, die im Moment des Einschaltens der semantischen Suche zu sofortigen Treffern werden.
- 03
Agenten, gezählt neben den Menschen
Copilot-Studio-Agenten und KI-Apps von Drittanbietern sind Identitäten mit eigenen eingewilligten Bereichen und eigenen Wissensquellen. Ein Inventar für alle - was jeder erreichen kann, welche aktiv sind, welche einmal gebaut und dann vergessen wurden.
- 04
Adoption und Drift, gemessen
Wer Copilot wirklich nutzt und wer nur eine Lizenz hält - und ob die Menge erreichbarer vertraulicher Daten Woche für Woche schrumpft oder wächst. Drei Jahre Aktivitätshistorie, ohne SIEM-Vertrag.
Gemeinsame Architektur
Copilot antwortet. 1Security bestimmt, woraus es antworten darf.
Copilot bleibt der Assistent - im Graph verankert und durch die Zugriffssteuerung des Mandanten zugeschnitten. 1Security verbindet sich mit demselben Mandanten per Nur-Lese-Einwilligung, ohne Agenten und mit Standard-Microsoft-Lizenzen, und löst die Schicht darunter auf: jede Identität, jede effektive Berechtigung, drei Jahre Aktivität. Bringen Sie das Berechtigungsmodell mit 1Security in Ordnung, und Copilots Security Trimming ist kein Versprechen mehr, auf das Sie hoffen, sondern eine Grenze, die Sie gemessen haben. Erste Ergebnisse landen noch am selben Tag - meist lange vor den Lizenzen.
Die drei Wochen vor dem Go-live
Ein Rollout, der den Kontakt mit der Vorstandsetage übersteht.
Das Muster wiederholt sich in fast jedem Deployment. Eine Pilotgruppe wird ausgewählt, die Lizenzen werden zugewiesen, und innerhalb weniger Tage zieht jemand aus dieser Gruppe etwas hervor, das er nie hätte finden dürfen. Die Berechtigung war immer da; Copilot hat sie nur erreichbar gemacht. Der Rollout stoppt, und das Sicherheitsteam wird nach einer Zahl gefragt, die niemand hat: Wie viel mehr davon gibt es noch?
In der umgekehrten Reihenfolge sehen dieselben drei Wochen anders aus. 1Security löst auf, was jede Pilotidentität erreichen kann, und ordnet es nach Vertraulichkeit. Die wirklich gefährlichen Vergaben - die mandantenweiten Freigaben, die aktiven anonymen Links, die Finanz-Website mit einem geerbten „Jeder“-Eintrag - werden über geprüfte, umkehrbare Automatisierungen mit Karenzzeit gestutzt, damit nichts Unumkehrbares ohne menschliche Entscheidung geschieht. Erst danach gehen die Lizenzen raus.
Dasselbe Deployment, dieselben Lizenzen. Der Unterschied ist nur, ob die Expositionsliste in Woche eins von Ihrem Sicherheitsteam erstellt wird - oder in Woche vier von einem Vorstandsmitglied.
Rollen Sie Copilot auf einem Mandanten aus, für den Sie geradestehen können.
Nur-Lese-Einwilligung am Morgen - am Ende des Tages die nach Vertraulichkeit sortierte Liste der Daten, die Copilot erreichen könnte.
Oder erfahren Sie so wie alle anderen, worauf Copilot zugreifen kann.