Gut versteckt aus gutem Grund - Was Copilot nicht sehen sollte

Wie sich veraltete und vertrauliche Inhalte vor Microsoft Copilot verbergen lassen

Auf dem SharePoint eines Legal Teams liegt üblicherweise weit mehr als das, was Copilot verarbeiten soll. Findet Copilot veraltete Fassungen wie überholte Entwürfe oder abgelöste Richtlinien, so besteht das Risiko, dass er diese Inhalte mitverarbeitet. Das verwässert die Verlässlichkeit und Qualität seiner Antworten.

Grundsätzlich kann Copilot auf alles zugreifen, worauf ich Zugriff habe. Das betrifft auch vertrauliche Unterlagen wie die Akten einer internen Untersuchung, meine Notizen zur Verhandlungsstrategie in einem Gerichtsfall oder die Unterlagen zu einer noch nicht kommunizierten Unternehmenstransaktion. Bei sensiblen Inhalten spricht viel dafür, Copilot den Zugriff zu verwehren.

Manche Rechtsabteilungen haben diese Fragen längst geklärt. Für alle, bei denen das Thema noch ansteht oder die ihre Lösung überprüfen möchten, habe ich einige Möglichkeiten zusammengetragen.

Veraltete Inhalte ausklammern

Für veraltete Inhalte, die aufbewahrt werden, aber für die normale Nutzung nicht mehr verfügbar sein müssen, eignen sich Archivlösungen wie Microsoft 365 Archive. Für alles, was das Team gelegentlich noch braucht, sind Alternativen gefragt.

Das abgelöste Unterschriftenreglement, die ersetzten AGB, die Vertragsvorlage vom Vorjahr, sie sollen weiterhin bequem gefunden werden, aber nicht in Copilot mit geltenden Fassungen konkurrieren.

OPTION 1 · SUCHAUSSCHLUSS

Eine radikale Option ist, eine Bibliothek oder eine ganze Site von der SharePoint-Suche auszunehmen. Der Inhalt wird dann nicht mehr indexiert. Copilot Chat und Copilot Search finden ihn nicht mehr, aber auch die SharePoint-Suche nicht, selbst innerhalb der Bibliothek. Der Suchausschluss ist daher nicht praktikabel.

OPTION 2 · RESTRICTED CONTENT DISCOVERY

Einen differenzierteren Ansatz bietet Restricted Content Discovery (RCD). SharePoint Advanced Management, das mit der Copilot-Lizenz mitkommt, ermöglicht es, auf einer Site RCD zu aktivieren. Die Site verschwindet aus der organisationsweiten Suche und damit aus Copilot. Auch Copilot in SharePoint steht auf der RCD-Site nicht zur Verfügung.

Microsoft versteht RCD insbesondere als Übergangslösung beim Start mit Copilot. Tatsächlich gibt es aber keine zeitliche Beschränkung zum Einsatz von RCD. Es spricht nichts dagegen, Archivbibliotheken auf eine RCD-Site zu verschieben.

Indexiert werden die Dokumente weiterhin. Innerhalb der RCD-Site und ihren Bibliotheken funktioniert die SharePoint-Suche wie gehabt.

Wichtig ist: RCD wirkt auf die Site, nicht auf das Dokument. Habe ich Kopien veralteter Dokumente auf meinem OneDrive liegen, so bleiben diese für Copilot uneingeschränkt abrufbar. Öffne ich Inhalte von der RCD-Site in Word, Excel oder PowerPoint, so kann ich mit Copilot daran arbeiten, sie sind vorübergehend wieder für meinen Copilot sichtbar.

RCD eignet sich daher nicht, Dokumente absolut verlässlich zu verbergen, bietet aber für viele Teams einen pragmatischen Ansatz, Copilots Antworten aktuell zu halten.

EXKURS · METADATEN

Einige werden sich nun fragen: Warum muss ich Copilot überhaupt aussperren? Wäre es nicht nützlicher, ihm klarzumachen, welche Inhalte aktuell und welche veraltet sind? In SharePoint-Bibliotheken für Vorlagen und Policies pflegen viele Legal Teams Metadatenspalten wie Status oder Datumsspalten für Inkraft- und Ausserkrafttreten.

Copilot in SharePoint kann inzwischen Metadaten lesen und nutzt diese recht zuverlässig. In Copilot Chat sieht es anders aus, und auch Copilot Search kann mit angelegten Spalten bisher wenig anfangen.

Für ein verlässliches Ausschliessen von inaktiven Dokumenten führt Stand heute noch kein Weg daran vorbei, diese für Copilot unzugänglich zu machen.

Vertrauliche Unterlagen

OPTION 1 · RCD

Genügt es mir, vertrauliche Dokumente an einen Ort zu legen, wo Copilot sie nicht lesen kann, bietet sich wie bei veralteten Dokumenten eine RCD-Site an.

Der Schutz hängt allerdings am Ort: Wird ein Dokument per E-Mail verschickt, in den Teams-Chat gestellt oder ins OneDrive kopiert, kann Copilot die Kopie wieder verwenden. Und öffne ich ein Dokument der Site in Word, kann ich Copilot dort weiterhin darauf anwenden. Bei besonders sensitiven Dokumenten ist das unbefriedigend. Möchte ich einen Copilot-Schutz, der am Dokument klebt, benötige ich einen anderen oder zusätzlichen Schutz. Was eignet sich?

OPTION 2 · PASSWORTSCHUTZ

Beginnen wir mit einer altmodischen Methode, gefühlt aus einer anderen Epoche, die mir immer seltener, aber hartnäckig begegnet: dem manuellen Passwortschutz einer Datei. Ein Passwort verschlüsselt das Dokument, und den verschlüsselten Inhalt kann Copilot nicht verwenden.

Sobald ich das Dokument öffne, ist der Spuk allerdings vorbei und Copilot kann vollumfänglich zugreifen. Diese Methode ist nicht nur veraltet, sondern auch nur eingeschränkt wirksam.

OPTION 3 · SENSITIVITY LABEL UND DLP

Moderner und effektiver lässt sich der Copilot-Ausschluss über Microsoft Purview steuern. Purview bietet die Möglichkeit, eine DLP-Policy (Data Loss Prevention) speziell für Microsoft 365 Copilot einzurichten. Ergänzend zu bestehenden Sensitivity Labels kann ein Label wie «No Copilot» angelegt werden. Die dazugehörige DLP-Aktion «Prevent Copilot from processing content» sorgt dafür, dass Copilot den Inhalt von Dokumenten mit diesem Label ignoriert.

Wird ein Dokument mit diesem Sensitivity Label markiert, klebt das Label direkt an der Datei. Wird sie ins OneDrive, auf eine andere SharePoint-Site kopiert oder lokal verschoben, bleibt der Schutz aktiv, unabhängig davon, wo die Datei gespeichert ist. Auch beim direkten Öffnen des Dokuments in den Desktop- oder Web-Apps von Word, Excel oder PowerPoint ist Copilot auf dieser Datei blockiert.

Die organisationsweite SharePoint-Suche für Menschen bleibt hingegen unberührt, im Gegensatz zu RCD auf Site-Ebene.

Interessant für Legal Teams ist auch die Möglichkeit, das Label auf eine ganze SharePoint-Bibliothek anzuwenden, so dass jedes neu darin gespeicherte Dokument automatisch das Label erhält.

Einen kleinen Haken gibt es: Die DLP-Policy für Copilot ist nicht in jeder Microsoft-Lizenz enthalten. Microsoft nennt dafür E5 oder ein Purview-Zusatzpaket. Bei den vielen Lizenzkombinationen lohnt es sich aber, das mit dem Lizenzpartner zu klären.

OPTION 4 · LABEL OHNE EXTRACT-RECHT

Ohne die nötige Purview-Lizenz bleibt der Umweg über die Rechte eines Sensitivity Labels: Benutzern wird das EXTRACT-Recht entzogen und das EDIT-Recht belassen. Ganz unabhängig voneinander lassen sich Bearbeitung und Copilot-Zugriff damit allerdings nicht steuern.

Copilot benötigt das EXTRACT-Recht zwingend und ist ohne es blockiert. Der Benutzer kann die Datei weiterhin bearbeiten, zumindest in der Office-Desktop-App. Texte herauskopieren kann er allerdings auch nicht mehr, was im Alltag mühsam sein kann. Hat jemand das EXTRACT-Recht, etwa als Ersteller der Datei, kann Copilot bei ihm auf die Datei zugreifen. Und in Copilot Chat oder Copilot Search kann der Dateiname weiterhin auftauchen.

Und nun?

Sollen Dateien einfach auffindbar und bearbeitbar sein und gleichzeitig vor Copilot versteckt werden, so gibt es aktuell kein Wundermittel.

Für veraltete Inhalte, die trotzdem griffbereit bleiben sollen, dürfte die Aktivierung von RCD auf Site-Ebene für die meisten Legal Teams eine zwar nicht lückenlose, aber pragmatische und akzeptable Lösung bieten, Inhalte vor Copilot zu verbergen.

Für besonders vertrauliche Dokumente wiederum ist der vielversprechendste Weg, Copilot mittels der Kombination von Sensitivity Label und DLP-Policy wirksam fernzuhalten, sofern es die Lizenz erlaubt.

Gut möglich, dass dieser Artikel in einem halben Jahr schon überholt ist. Bis dahin freue ich mich über den Austausch: Wie haltet ihr Copilot von euren Dokumenten fern?

Géraldine Riethmann - OWLEGAL - Oktober 2026