Microsoft Copilot Datenschutzrichtlinie
Ihre Copilot-Richtlinie sagt, HR-Daten bleiben in HR. Sieht Ihr Mandant das auch so?
Eine Copilot-Datenschutzrichtlinie ist eine Aussage über Berechtigungen, und in einem typischen Mandanten passen die Berechtigungen nicht zum Dokument: Gehaltsordner für das ganze Unternehmen freigegeben, sensible Websites von Copilot indiziert, Agenten, die niemand registriert hat, lesen E-Mails. 1Security zeigt, welche Websites, Dateien und Agenten Copilot tatsächlich erreicht, beschränkt hinter einem Prüffenster, was die Richtlinie verbietet, und behält die Zahlen, die belegen, dass die Richtlinie eingehalten wird.
Das Problem
Die Richtlinie wurde geschrieben. Die Berechtigungen wurden nie befragt.
Copilot respektiert Ihre Berechtigungen von Haus aus - das heißt, Ihre Berechtigungen sind die Richtlinie. Es liest, was der angemeldete Benutzer ohnehin öffnen kann, also ist jeder alte Freigabelink, jede zu breite Gruppe und jede vergessene Website einen gut formulierten Prompt von einer Zusammenfassung entfernt. Ein typischer Benutzer erreicht bereits Hunderttausende Dateien.
Eine Richtlinie, die sagt "Copilot darf keine HR- oder Gehaltsdaten ausgeben", ist also in dem Moment gebrochen, in dem 200 Personen den Ordner mit der Gehaltsrunde technisch öffnen können - ganz ohne Prompt-Filter. In den Mandanten, mit denen wir uns verbinden, tragen 20-40 % der Dateien mit sensiblen Inhalten keine Vertraulichkeitsbezeichnung, und Dutzende von Copilot indizierte Websites halten Kartennummern, Ausweisdaten oder Gesundheitsdaten.
Copilot respektiert Ihre Berechtigungen von Haus aus, also liegt die mandantenseitige Hälfte jeder Datenschutzrichtlinie - was diese Berechtigungen Copilot lesen lassen - bei Ihnen. Die Richtlinie durchzusetzen heißt, diese Reichweite zu kartieren, zu entfernen, was sie nicht umfassen sollte, und die Lücke laufend zu messen, statt sie in einer generierten Antwort neu zu entdecken.
In der Praxis
Vom Dokument zum durchgesetzten Zustand in vier Schritten.
Wie eine Copilot-Datenschutzrichtlinie in 1Security zu etwas Messbarem wird.
- 01
Kartieren, was Copilot heute lesen kann
Öffnen Sie Websites, filtern Sie auf Copilot aktiviert + mit vertraulichen Daten, sortieren Sie nach Erkennungen. Öffnen Sie Agenten, um jeden Copilot-Agenten zu sehen, den Mitarbeiter gebaut oder installiert haben, mit Reichweite in Dateien, Websites, Benutzern und E-Mails und einem Flag für sensible Daten. Zusammen ist das die Liste der Stellen, an denen Richtlinie und Realität auseinandergehen - typischerweise 30-80 Websites und eine Handvoll Agenten, die niemand auf einer Liste hatte.
- 02
Beschränken, was die Richtlinie verbietet
Erklären Sie die Richtlinie im Produkt: Markieren Sie die sensiblen Typen, die sie nennt - HR-Daten, Gehälter, Gesundheitsdaten - als für KI gesperrt, und jeder Agent, jede App und jeder Benutzer, die sie noch erreichen, steht als Verstoß auf der Liste, mit der Erklärung im Protokoll. Aktivieren Sie dann die vorgeschlagenen Automatisierungen: die organisationsweite Copilot-Suche auf den sensiblen Websites blockieren, "Jeder"- und organisationsweite Links ablaufen lassen, und arbeiten Sie die Verstöße ab. Jede stellt pro Ressource einen Vorschlag hinter ein 72-Stunden-Prüffenster, bevor sich etwas ändert.
- 03
Die Richtlinie als Zahl messen
Der vorgefertigte Trend "Exposition sensibler Daten gegenüber Copilot" zählt exponierte sensible Dateien Woche für Woche, und Vertraulichkeitsbezeichnungen zeigt die reale Abdeckung pro Bezeichnung - so wird "unsere Datenschutzrichtlinie wird durchgesetzt" zu einem Diagramm, das das Datenschutzbüro in einen Bericht setzen kann, nicht zu einem Absatz, von dem Sie hoffen, dass er stimmt.
- 04
Die Nachweise behalten
Copilot- und KI-Agenten-Aktivität sind Einträge in den Aktivitätsprotokollen, aufbewahrt bis zu drei Jahre auf Standardlizenzen - deutlich über der Sechs-Monats-Grenze des EU AI Act, mit einer Aufbewahrungsbestätigung im Nachweispaket des Agenten. Wenn der Datenschutzbeauftragte oder eine Aufsichtsbehörde fragt, was die KI berührt hat und wer darauf zugreifen konnte, ist die Antwort ein Filter und ein Export, keine Untersuchung.
Was dahinter steckt
Drei Teile der Plattform hinter der Richtlinie.
Die Durchsetzung der Datenschutzrichtlinie läuft auf Fähigkeiten, über die Sie ausführlich nachlesen können.
Copilot-Sicherheit
Jeder KI-Agent inventarisiert, seine Reichweite in Dateien, Websites, Benutzern und E-Mails quantifiziert - vor dem Rollout, nicht nach der ersten schlechten Antwort.
Funktion erkunden →SharePoint-Governance
Die Websites, die Copilot indiziert, geordnet nach sensiblen Inhalten und Exposition, mit gestaffelten Automatisierungen auf Website-Ebene, um die Copilot-Suche dort zu blockieren, wo die Richtlinie es vorgibt.
Funktion erkunden →Reporting
Bezeichnungsabdeckung, Expositionszahlen und KI-Aktivität als lebende, exportierbare Zahlen für das Datenschutzbüro und den Auditor.
Funktion erkunden →
FAQ
Häufige Fragen.
Ist das die Copilot-Datenschutzrichtlinie von Microsoft?
Nein. Microsofts eigene Dokumentation ist die Autorität dafür, wie Copilot mit Prompts, Antworten und Chatverlauf umgeht. Diese Seite behandelt die ergänzende Hälfte: die Steuerung dessen, was Copilot in Ihrem eigenen Mandanten lesen kann - entschieden durch die Berechtigungen, die Sie ohnehin verwalten.
Sendet 1Security selbst unsere Inhalte an eine KI?
Nein. Datei- und E-Mail-Inhalte werden in die Analyse gestreamt und verworfen; behalten werden nur Erkennungstyp, Trefferzahl und Konfidenz, und die gefundenen Werte selbst werden nie in die Datenbank geschrieben. Die Erkennung ist deterministisch, und in der Standardkonfiguration sieht kein KI-Dienst eines Drittanbieters Dateiinhalte.
Copilot respektiert bereits Berechtigungen. Warum braucht es mehr?
Weil die Berechtigungen das Problem sind. Copilot zeigt nur, was der angemeldete Benutzer ohnehin sehen kann, also steckt das Risiko in Jahren angesammelter Vergaben, Links und Gruppenmitgliedschaften. Eine Datenschutzrichtlinie durchzusetzen heißt, diese Reichweite zu korrigieren, und dafür braucht es eine Karte davon.
Brauchen wir dafür eine Premium-Lizenz oder Purview?
Nein. Die Erkennung sensibler Daten ist die eigene Engine von 1Security, auf Standardlizenzen für Microsoft 365. Wenn Sie Purview betreiben, werden dessen Bezeichnungen und Erkennungen synchronisiert und daneben angezeigt, und die Abdeckungslücke wird gegen sie gemessen.
Die 1Security-Plattform
Copilot-Datenschutz-Governance ist erst der Anfang
Copilot-Datenschutz-Governance ist ein Screen der 1Security-Plattform für Microsoft 365. Standorte, Geräte, Apps, KI-Agenten, Protokolle, Berechtigungen, sensible Daten, Compliance, Berichte und Aktionen laufen über dieselbe rein lesende Verbindung, mit der Lizenz, die Sie bereits haben.
- Aktivitätsprotokolle und ForensikBis zu drei Jahre durchsuchbare Aktivität auf einer Standardlizenz. Was geöffnet, heruntergeladen, freigegeben wurde, von wem, von wo, auf welchem Gerät.
- Anomalien und ErkennungenAusschläge bei Freigaben, Downloads, Anmeldungen, Einwilligungen und Agentenaktivität, bewertet gegen das eigene Muster jedes Mandanten, mit passenden Reaktionsaktionen.
- Berechtigungen und FreigabenWer worauf zugreifen kann, über welche Gruppe, welchen Link oder welchen Gast, und ob das jemand so wollte. Die Freigabekarte, nach der jedes Audit fragt.
- Sensible DatenPersonenbezogene Daten, Zugangsdaten, Finanz- und Gesundheitsdaten, gefunden von unseren eigenen Klassifikatoren, mit der Microsoft-Zweitmeinung, wo der Kunde sie hat.
- VertraulichkeitsbezeichnungenAbdeckung und Lücken der Bezeichnungen über Websites und Dateien, damit der Schutz, den der Kunde bezahlt hat, auch wirklich angewendet ist.
- Dateien, Websites und der SpaltenbrowserDen Mandanten wie ein Dateisystem durchsuchen: Website, Bibliothek, Ordner, Datei, mit Berechtigungen und Vertraulichkeit jeder Ebene daneben. Ein Problem, das sich damit von selbst erledigt.
- Microsoft 365 Warnungs-ToolEin Warnungsmodell für Richtlinien, Aktivität und Anomalien - mit dem Beweis im Anhang und der Warnlinie in Ihrer Hand.
- Microsoft 365 Monitoring-ToolEchtzeit-Monitoring, das einen Massendownload erkennt, während er läuft - über Benutzer, Dateien, Apps, KI-Agenten und Geräte.
- Copilot Security ToolDer reale Wirkungsradius jedes KI-Agenten - vor dem Rollout quantifiziert, danach beobachtet und begrenzt.
- Schattengeräte-ErkennungJedes Gerät, das Ihre Daten berührt, aus realer Aktivität rekonstruiert - auch die Maschinen, die nie irgendwo registriert wurden.
- Impossible-Travel-ErkennungStandorte als Identitäten, nicht als IPs: Land, Stadt und Netz für jede Aktion, erstmals gesehene Herkünfte, Reiseverläufe mit Urteil - ohne E5, ohne P2.
- Conditional-Access-MonitoringDeklarierter Conditional Access gegen beobachtete Anmeldungen: Abdeckungsurteile, Anteil ungesteuerten Verkehrs und die Bereiche, aus denen Ihre Büros herausgewachsen sind.
- Office 365 ZugriffsverwaltungEffektiver Zugriff, aufgelöst - wer worauf zugreifen kann, über welche Berechtigung, und ein Ort, um sie zu entziehen.
- SharePoint Governance-ToolJede Website nach Exposition und Verwaisung bewertet - Links, Gäste und Copilot-Zugriff unter Kontrolle.
- Office 365 Benutzer-ProvisionierungZugriff über den gesamten Lebenszyklus vom ersten Tag bis zum Offboarding - Reichweite, ruhende Konten und Lizenzrückgewinnung in einem Ablauf.
- Microsoft 365 Audit-ToolBis zu drei Jahre durchsuchbare Aktivitätshistorie - jede Aktion mit Akteur, Gerät und Standort verknüpft.
- Microsoft 365 Inventar-ToolAcht lebende Inventare auf einem Berechtigungsgraphen - einschließlich der Websites, Geräte und KI-Agenten, die nie irgendwo registriert wurden.
- Office 365 ReportingAntworten statt Exporte - Zahlen auf Prüferniveau, gespeicherte Ansichten und eine Nur-Lese-API für Ihr SOC.
- Microsoft 365 DateiberechtigungenWer welche Datei öffnen kann und warum - Menschen, Links, Apps und KI-Agenten auf einer Karte, samt Behebung.
- Erkennung vertraulicher DatenWo regulierte Daten liegen und was sie erreichen kann - zwei Erkennungsmodule, ohne Premium-Lizenz.
- Office 365 E-Mail-ÜberwachungAusgehende vertrauliche Inhalte, Missbrauch von Stellvertreterversand und Verlaufsbelege, die Löschungen überleben.
- Purview-BezeichnungsabdeckungWas Ihre Vertraulichkeitsbezeichnungen wirklich abdecken und welche davon überhaupt schützen.
- KI-Agenten-InventarJeder Agent im Mandanten mit bezifferter Reichweite, geprüfter Blaupause und verifizierbaren Leitplanken.
- KI-DatensperrenErklären Sie einen Datentyp für KI zu gesperrt, und jeder Agent, jede App und jeder Benutzer, die ihn noch erreichen, wird zum Live-Verstoß - festgehalten für den Auditor.
- KI-AusgabenverfolgungInteraktionen, Copilot-Credits und Azure-Tokens in einem Register pro Agent - mit der Ausgabenspalte neben dem, was jeder Agent erreichen kann.
- Microsoft 365 Benutzer-ZugriffsprüfungJede Identität mit Reichweite, Aktivität und der Frage, ob sie bleiben sollte - inklusive der reinen SharePoint-Gäste, die außerhalb des Verzeichnisses leben.
- Gruppen-ZugriffsanalyseWas eine Gruppenmitgliedschaft wirklich freischaltet - Verschachtelung aufgelöst, externe Mitglieder sichtbar, Wirkungsradius beziffert.
- App- und OAuth-Zustimmungs-GovernanceJede App mit Fuß in der Tür: wie sie hereinkam, wer sie hereinließ und was sie wirklich lesen kann.
- BehebungsautomatisierungAus Funden werden Korrekturen in Mandantengröße - vorher gezählt und hinter einem Prüffenster gestaffelt.
- Microsoft 365 LizenzoptimierungDie Plätze, für die Sie zahlen und die niemand nutzt - freie Einheiten, Lizenzen bei Gästen und ruhende Konten.
- Microsoft 365 AnomalieerkennungJede Richtlinie, Person, App und jeder Agent an der eigenen Grundlinie gemessen - mit einer Warnlinie, die Sie sofort verschieben können.
- Office 365 AnmeldestandorteJeder Ort, von dem Ihr Mandant erreicht wird, mit Ihrer Konfiguration für bedingten Zugriff darübergelegt.
- Microsoft 365 ÜberwachungsprotokollWer was wann von wo und auf welchem Gerät - bis zu drei Jahre auf Standardlizenz.
- SharePoint-Website-InventarJede Website, Kanalwebsite und jedes OneDrive in einer Liste, sortiert nach externer Reichweite, Verwaisung und Copilot-Zugriff.
- Microsoft 365 AktivitätsanalyseDie Extreme statt der Durchschnitte - ein Massendownload binnen einer Stunde und alles, was seit einem Jahr ruht.
- Microsoft 365 TrendverfolgungJede Zahl im Mandanten über die Zeit verfolgt, mit Veränderung und Abweichung - und Warnungen am selben Objekt.
- Microsoft 365 Compliance-ÜberwachungReadiness für elf Regularien, gemessen aus Live-Daten des Mandanten - mit wöchentlichen Snapshots und datiertem Nachweispaket.
- Microsoft 365 SicherheitsbewertungMicrosoft Secure Score neben der aus echtem Verhalten gemessenen Bewertung - eine Arbeitsliste, sortiert nach offenen Punkten.
- Externe Domains überwachenJede Organisation, mit der Ihr Mandant Daten austauscht, als reales Unternehmen aufgelöst - mit Drift-Flags und durchsetzbarem Urteil.
- Alle FunktionenAlles entdecken
Machen Sie die Datenschutzrichtlinie im Mandanten wahr.
Verbinden Sie schreibgeschützt und sehen Sie, was Copilot heute erreicht. Dann beschränken Sie, was die Richtlinie verbietet - mit einem Prüffenster vor jeder Änderung, auf Standard-Microsoft-Lizenzen.
Oder hoffen Sie weiter, dass die Berechtigungen zum Dokument passen.