Wie Unternehmensadministratoren vor dem Rollout von Microsoft 365 Copilot Datenzugriffsberechtigungen und Vertraulichkeitsbezeichnungen in SharePoint konfigurieren

Die Bereitstellung von Microsoft 365 Copilot erfordert von Unternehmensadministratoren, dass sie sich vor der Vergabe von Lizenzen an Endbenutzer um die Datenhygiene und die Zugriffsgovernance kümmern. Zwar agiert Copilot streng innerhalb bestehender Sicherheitsperimeter und Zugriffsteuerungslisten (Access Control Lists, ACLs) von Microsoft 365 – wodurch sichergestellt ist, dass Benutzer keine Informationen abfragen können, für die sie keine Leseberechtigung besitzen –, doch seine leistungsstarke semantische Suche und die Synthese natürlicher Sprache verstärken die Auffindbarkeit zuvor übersehener Dateien erheblich. In Organisationen mit historisch gewachsenen Berechtigungsschulden können vertrauliche Dokumente wie Vergütungspläne von Führungskräften, M&A-Memos oder personenbezogene Daten (PII) von Kunden, die auf Websites mit weitreichendem Zugriff wie „Jeder außer externen Benutzern“ (Everyone except external users, EEEU) gespeichert sind, unbeabsichtigt in dialogbasierten Antworten zutage treten. Um Datenabflüsse zu verhindern und die Compliance zu wahren, müssen Administratoren übermäßig freigegebene Repositorys überprüfen, Mandantenzugriffsberechtigungen bereinigen, Microsoft Purview-Vertraulichkeitsbezeichnungen auf Container- und Elementebene implementieren sowie temporäre Leitplanken wie die Eingeschränkte SharePoint-Suche (Restricted SharePoint Search) einrichten. Dieser Leitfaden beschreibt die vollständige technische Konfiguration, die zum Schutz von SharePoint-Daten vor der Einführung von Microsoft 365 Copilot erforderlich ist.

Grundlegendes zum Grounding- und Sicherheitsmodell von Copilot

Microsoft 365 Copilot interagiert mit Unternehmensdaten über einen Prozess, der als Retrieval-Augmented Generation (RAG) bezeichnet wird. Wenn ein Benutzer einen Prompt eingibt, fragt Copilot keinen isolierten Trainingskorpus ab. Stattdessen nutzt es Microsoft Graph und den Semantischen Index für Copilot (Semantic Index for Copilot), um relevante Unternehmensinhalte zu identifizieren, packt diese Textausschnitte in einen Grounding-Kontext und übergibt sie an das große Sprachmodell (Large Language Model, LLM), um eine Antwort zu formulieren.

Funktionsweise der Zugriffsgrenzen

Copilot agiert streng innerhalb des Sicherheitskontexts des Benutzers, der den Prompt ausführt:

• Geerbte Benutzerrechte: Copilot besitzt keine erweiterten Dienstkontoberechtigungen. Wenn ein Benutzer über den Webbrowser, eine direkte URL oder die standardmäßige SharePoint-Suche nicht auf ein SharePoint-Dokument zugreifen kann, kann Copilot für diesen Benutzer weder auf dieses Dokument zugreifen noch es synthetisieren.
• Die Auffindbarkeitslücke (Discoverability Gap): In herkömmlichen SharePoint-Umgebungen entdecken Benutzer selten versteckte Dateien, die in falsch konfigurierten Bibliotheken gespeichert sind, da die Stichwortsuche bestimmte Begriffe oder Vorkenntnisse des Dateinamens erfordert. Copilot hingegen interpretiert Absicht und Semantik. Fragt ein Mitarbeiter: „Was sind die neuesten Vorschläge zur Gehaltsanpassung im gesamten Engineering-Bereich?“, durchsucht Copilot indizierte Dokumente, für die der Benutzer technisch über Leserechte verfügt, ruft die Daten ab und präsentiert eine direkte Zusammenfassung.
• Durchsetzung von Sicherheitsgrenzen: Copilot beachtet die in Microsoft Entra ID, SharePoint Online und Microsoft Purview konfigurierten Sicherheitskontrollen. Allerdings korrigiert es keine unpassenden Berechtigungen. Sicherheitsteams müssen sicherstellen, dass ein „Lesezugriff“ eine tatsächliche geschäftliche Autorisierung darstellt.

Rights Management Services (RMS) und das EXTRACT-Recht

Bei der Interaktion mit verschlüsselten Dateien erzwingt Copilot die Berechtigungen der Rights Management Services (RMS). Damit Copilot Informationen aus einem geschützten Dokument lesen, analysieren und extrahieren kann, um einen Prompt zu beantworten, muss der anfragende Benutzer über das Nutzungsrecht EXTRACT (Kopieren/Extrahieren) verfügen:

Wenn eine Vertraulichkeitsbezeichnung eine Verschlüsselung anwendet, die einer Gruppe von Benutzern das Recht EXTRACT verweigert, können diese Benutzer Copilot nicht zum Zusammenfassen oder Abfragen dieser spezifischen Dokumente verwenden, selbst wenn sie das gerenderte Dokument in Word oder Excel anzeigen können.

Schritt 1: Überprüfen der SharePoint-Berechtigungen und Identifizieren übermäßig freigegebener Inhalte

Vor dem Ändern von Berechtigungen oder dem Anwenden restriktiver Richtlinien müssen Administratoren Transparenz über vorhandene Zugriffsstrukturen schaffen. Die Hauptrisiken gehen von domänenweiten Großgruppen, verwaisten Teamwebsites und unmanaged Freigabelinks aus.

Nutzung von Berichten zur Datenzugriffs-Governance (DAG)

Die SharePoint-Berichte zur Datenzugriffs-Governance (Data Access Governance, DAG), die im SharePoint Admin Center unter Berichte > Datenzugriffs-Governance verfügbar sind, bieten automatisierte Einblicke in mandantenweite Freigabemuster. Administratoren sollten drei spezifischen Berichtskategorien Priorität einräumen:

1. Berichte zu „Jeder außer externen Benutzern“ (EEEU): Identifiziert alle SharePoint-Websites, bei denen der EEEU-Anspruch den Websiteberechtigungen (wie Websitemitglieder oder Websitebesucher) hinzugefügt wurde. Auf diese Websites kann jeder interne Mitarbeiter zugreifen, was sie zur Hauptquelle unbeabsichtigter Copilot-Datenexposition macht.
2. Berichte zu Freigabelinks: Identifiziert Websites, die das höchste Volumen an Freigabelinks des Typs „Jeder mit dem Link“ (anonym) oder „Personen in Ihrer Organisation“ (mandantenweit intern) aufweisen, die in den letzten 30 Tagen erstellt wurden.
3. Berichte zu auf Dateien angewendeten Vertraulichkeitsbezeichnungen: Gleicht Websites ab, die eine hohe Konzentration nicht bezeichneter oder vertraulicher Dateien speichern, um Governance-Lücken aufzudecken.

DAG Administrative Audit Workflow:
1. Navigate to SharePoint Admin Center -> Reports -> Data access governance
2. Run "Sharing links" report -> Filter by "People in your organization"
3. Run "Everyone except external users" report -> Sort by total file count
4. Export high-risk site inventories to CSV for security review

Überprüfung der Attribute von Hochrisiko-Repositorys

Bei der Auswertung von DAG-Exportdaten sollten Administratoren Websites anhand der Vertraulichkeit von Inhalten und bestehender Mitgliedschaften kategorisieren:

• Führungs- und Personal-Repositorys: Websites von Rechtsabteilung, Personalwesen, Finanzen und M&A müssen auf geerbte übergeordnete Berechtigungen und Mitgliedschaften in breiten Sicherheitsgruppen untersucht werden.
• Öffentliche im Vergleich zu privaten Microsoft 365-Gruppen: Wenn Benutzer Microsoft Teams oder Microsoft 365-Gruppen erstellen, ist die Standardeinstellung häufig „Öffentlich“, was jedem Mandantenbenutzer Lese- und Schreibzugriff auf die zugehörige SharePoint-Teamwebsite gewährt. Diese müssen identifiziert und in „Privat“ umgewandelt werden.
• Unterbrochene Berechtigungsvererbung: Unterordner und einzelne Dokumentbibliotheken mit eindeutigen, unterbrochenen Berechtigungen verbergen sensible Dateien häufig innerhalb ansonsten unkritischer Abteilungswebsites.

Schritt 2: Bereinigen von Berechtigungen und Implementieren von Zugriffsleitplanken

Sobald übermäßig freigegebene Repositorys identifiziert wurden, müssen Administratoren den offenen Zugriff korrigieren und strukturelle Kontrollen anwenden, um ein künftiges Ausufern von Berechtigungen zu verhindern.

Eliminieren breiter Gruppen und Widerrufen offener Freigabelinks

Die Bereinigung sollte nach einer priorisierten Reihenfolge erfolgen:

1. EEEU-Ansprüche entfernen: Entfernen Sie „Jeder außer externen Benutzern“ aus den Berechtigungssätzen von Websitemitgliedern, Websitebesuchern und auf Dokumentebene für alle Websites, die proprietäre, rein interne oder vertrauliche Inhalte enthalten.
2. Standardmäßige Freigabelinktypen vereinheitlichen: Passen Sie im SharePoint Admin Center unter Richtlinien > Freigabe den Standardlinktyp von „Personen in Ihrer Organisation“ auf „Bestimmte Personen (nur die vom Benutzer angegebenen Personen)“ an. Dies verhindert, dass Benutzer beim Teilen von Dateien mit Kollegen versehentlich Links mit mandantenweitem Zugriff erstellen.
3. Ablauffristen für Links festlegen: Erzwingen Sie Richtlinien zum automatischen Ablauf von Gast- und anonymen Freigabelinks (z. B. Anforderung einer erneuten Authentifizierung nach 30 bis 90 Tagen).

Bereitstellen von Steuerungen für SharePoint Advanced Management (SAM)

Für Organisationen mit Lizenzen für SharePoint Advanced Management (SAM) können Administratoren zentrale Zugriffsgrenzen erzwingen, ohne sich ausschließlich auf einzelne Websitebesitzer verlassen zu müssen:

• Eingeschränkte Zugriffskontrolle (Restricted Access Control, RAC) für SharePoint-Websites: RAC ermöglicht es Administratoren, den Zugriff auf eine SharePoint-Website auf Mitglieder bestimmter Microsoft Entra ID-Sicherheitsgruppen oder Microsoft 365-Gruppen zu beschränken. Selbst wenn ein einzelner Benutzer über direkte Dateiberechtigungen verfügt oder einer verschachtelten Gruppe angehört, wird der Zugriff verweigert, es sei denn, der Benutzer gehört der festgelegten RAC-Gruppe an.
• Eingeschränkte Inhaltserkennung (Restricted Content Discovery, RCD): RCD ermöglicht es Administratoren, Websites mit hohem Risiko oder ungeprüfte Websites in eine Erkennungsquarantäne zu versetzen. Wenn RCD auf einer Website aktiv ist, werden deren Inhalte vor der mandantenweiten Suche und vor Copilot-Antworten verborgen, während bestehende autorisierte Websitemitglieder den direkten Zugriff behalten. Dadurch können Sicherheitsteams ungeprüfte Websites isolieren, ohne den laufenden Arbeitsalltag zu unterbrechen.
• Überprüfungen des Websitezugriffs: Administratoren können automatisierte Kampagnen zur Zugriffsüberprüfung initiieren, bei denen Websitebesitzer aufgefordert werden, ihre Mitgliederlisten regelmäßig zu bestätigen, wodurch der Zugriff für inaktive oder nicht autorisierte Benutzer automatisch widerrufen wird.

Implementieren der Eingeschränkten SharePoint-Suche (RSS) als temporärer Schutzschalter

In großen Unternehmen mit Tausenden von SharePoint-Websites kann der Abschluss einer umfassenden Berechtigungsbereinigung Monate in Anspruch nehmen. Um Verzögerungen bei der Einführung von Copilot-Lizenzen zu vermeiden, stellt Microsoft die Eingeschränkte SharePoint-Suche (Restricted SharePoint Search, RSS) als vorübergehende administrative Kontrolle bereit.

Funktionsweise der Eingeschränkten SharePoint-Suche

Wenn RSS aktiviert ist:

• Die Unternehmenssuche und Microsoft 365 Copilot sind auf eine Positivliste (Allowed List) von bis zu 100 kuratierten SharePoint-Websites beschränkt.
• Copilot greift weiterhin auf das persönliche OneDrive, E-Mail-Nachrichten, Teams-Chats, Kalenderereignisse des Benutzers sowie auf Websites zu, die der Benutzer häufig besucht oder deren expliziter Besitzer er ist.
• Inhalte, die auf den Tausenden nicht kuratierten SharePoint-Websites gespeichert sind, werden vom Copilot-Grounding und der organisationsweiten Suche ausgeschlossen, wodurch das Risiko eliminiert wird, dass Copilot Daten aus ungeprüften Repositorys abruft.

Konfigurieren von RSS über die SharePoint Online PowerShell

Die Eingeschränkte SharePoint-Suche wird über das SharePoint Online PowerShell-Modul verwaltet:

# Connect to your SharePoint Online tenant admin endpoint
Connect-SPOService -Url "https://contoso-admin.sharepoint.com"

# Check the current status of Restricted SharePoint Search
Get-SPOTenantRestrictedSearchMode

# Enable Restricted SharePoint Search mode
Set-SPOTenantRestrictedSearchMode -Mode Enabled

# Add approved enterprise sites to the Allowed List (up to 100 sites)
Add-SPOTenantRestrictedSearchAllowedList -SitesList @(
    "https://contoso.sharepoint.com/sites/CorporateComms",
    "https://contoso.sharepoint.com/sites/CompanyPolicies",
    "https://contoso.sharepoint.com/sites/ITHelpdesk",
    "https://contoso.sharepoint.com/sites/EmployeeHandbook"
)

# View all currently allowed sites
Get-SPOTenantRestrictedSearchAllowedList

Übergang zur Deaktivierung von RSS

Die Eingeschränkte SharePoint-Suche ist als temporäre Brücke konzipiert, nicht als dauerhafte Architektur. Während RSS vor Datenabflüssen von ungeprüften Websites schützt, schränkt es auch die Fähigkeit von Copilot ein, funktionsübergreifende Einblicke über legitime Projektrepositorys hinweg zu liefern. Sobald die Berichte zur Datenzugriffs-Governance bestätigen, dass die Websiteberechtigungen bereinigt und Vertraulichkeitsbezeichnungen durchgesetzt wurden, sollten Administratoren RSS deaktivieren, um den vollen organisatorischen Nutzen von Copilot freizusetzen:

# Disable Restricted SharePoint Search once governance remediation is complete
Set-SPOTenantRestrictedSearchMode -Mode Disabled

Schritt 3: Entwerfen und Bereitstellen von Microsoft Purview-Vertraulichkeitsbezeichnungen

Während SharePoint-Berechtigungen definieren, wer Zugriff auf eine Website oder einen Ordner hat, definieren Microsoft Purview-Vertraulichkeitsbezeichnungen, was der Inhalt ist, und erzwingen einen dauerhaften Schutz, der mit den Daten mitwandert – unabhängig davon, wo sie gespeichert, geteilt oder durch KI verarbeitet werden.

Vertraulichkeitsbezeichnungen auf Containerebene

Bezeichnungen auf Containerebene wenden Governance-Einstellungen direkt auf SharePoint-Websites, Microsoft 365-Gruppen und Microsoft Teams an. Stellen Sie vor dem Erstellen von Containerbezeichnungen sicher, dass die Funktion in Ihrem Mandanten über PowerShell (Set-ExecutionPolicy RemoteSigned; Import-Module Microsoft.Graph; Connect-MgGraph) und Microsoft Entra ID aktiviert ist.

Containerbezeichnungen erzwingen drei primäre Kontrollen, die für die Copilot-Bereitstellung relevant sind:

1. Datenschutzeinstellungen (Öffentlich vs. Privat): Das Erzwingen von „Privat“ stellt sicher, dass neue Teamwebsites nicht mit offenem, mandantenweitem Zugriff erstellt werden können.
2. Kontrollen für externe Freigaben: Das Festlegen der Bezeichnung auf „Nur Personen in Ihrer Organisation“ oder „Vorhandene Gäste“ verhindert einen externen Datenabfluss auf sensiblen Websites für die Zusammenarbeit.
3. Bedingter Zugriff und Richtlinien für nicht verwaltete Geräte: Das Beschränken des Zugriffs auf reinen Webzugriff oder das Blockieren des Zugriffs von nicht konformen Geräten stellt sicher, dass von nicht vertrauenswürdigen Endpunkten aus nicht auf Copilot zugegriffen werden kann, wenn dieser mit vertraulichen Websites interagiert.

Vertraulichkeitsbezeichnungen und Verschlüsselung auf Elementebene

Bezeichnungen auf Elementebene klassifizieren und schützen einzelne Word-, Excel-, PowerPoint- und PDF-Dateien. Administratoren konfigurieren diese Bezeichnungen im Microsoft Purview-Complianceportal unter Informationsschutz > Bezeichnungen.

Ein standardmäßiges Klassifizierungsschema für Unternehmen umfasst typischerweise:

• Öffentlich (Public): Nicht vertrauliche Daten, die für die öffentliche Nutzung bestimmt sind (keine Verschlüsselung).
• Allgemein (General): Alltägliche Geschäftsdaten, die intern geteilt werden (keine Verschlüsselung oder grundlegende interne Rechte).
• Vertraulich (Confidential): Sensible Geschäftsdaten (Finanzberichte, Kundenstrategien). Konfiguriert mit Azure Information Protection-Verschlüsselung, wodurch der Zugriff auf authentifizierte Unternehmensmitarbeiter mit EXTRACT-Rechten beschränkt wird.
• Streng vertraulich (Highly Confidential): Kritisches geistiges Eigentum, Vorstandsvergütungen, M&A-Unterlagen. Konfiguriert mit strenger Verschlüsselung, wodurch der Zugriff auf festgelegte namentlich genannte Benutzer oder Sicherheitsgruppen beschränkt wird. In spezifischen Szenarien kann das Recht EXTRACT entfernt werden, um die KI-Synthese und das Kopieren in die Zwischenablage explizit zu blockieren.

Vererbung von Vertraulichkeitsbezeichnungen in Copilot

Wenn Microsoft 365 Copilot Informationen synthetisiert, um ein neues Dokument, einen E-Mail-Entwurf oder eine Zusammenfassung zu erstellen, befolgt es strikte Regeln zur Bezeichnungsvererbung:

• Referenz auf eine einzelne Quelle: Wenn Copilot auf ein einzelnes Dokument verweist, das als Confidential bezeichnet ist, erhält jede neue Datei, die Copilot aus dieser Interaktion generiert, automatisch die Bezeichnung Confidential und die zugehörigen Verschlüsselungseinstellungen.
• Referenzen auf mehrere Quellen: Wenn Copilot Inhalte aus mehreren Quellen mit unterschiedlichen Klassifizierungen kombiniert (z. B. ein Dokument mit der Bezeichnung General und ein anderes mit der Bezeichnung Highly Confidential), wendet Copilot automatisch die restriktivste Bezeichnung (Highly Confidential) auf das Ergebnis an.
• Telemetrie und Transparenz: Copilot zeigt die angewendete Vertraulichkeitsbezeichnung direkt in der Benutzeroberfläche an, sodass Benutzer sofort über die Klassifizierungsstufe der Daten informiert sind.

Konfigurieren von Richtlinien zur automatischen Bezeichnung in Purview

Die manuelle Bezeichnung hängt von der Bereitschaft der Endbenutzer zur Einhaltung der Vorgaben ab, was häufig Lücken hinterlässt. Um vor der Einführung von Copilot eine konsistente Abdeckung zu gewährleisten, sollten Administratoren Richtlinien zur automatischen Bezeichnung sowohl auf Client- als auch auf Dienstebene implementieren.

Clientseitige automatische Bezeichnung

Wird innerhalb der Bezeichnungsdefinition in Microsoft Purview konfiguriert:

• Schlägt Bezeichnungen vor oder wendet sie automatisch an, wenn Benutzer Dokumente in Word, Excel oder PowerPoint erstellen, basierend auf erkannten Typen vertraulicher Informationen (Sensitive Information Types, SITs) wie Kreditkartennummern, Steueridentifikationsnummern oder benutzerdefinierten regulären Ausdrücken.
• Bietet unmittelbare Benutzerschulung im Moment der Dokumenterstellung.

Dienstseitige automatische Bezeichnung (Prüfung ruhender Daten)

Die dienstseitige automatische Bezeichnung arbeitet auf der Mandanteninfrastrukturebene und durchsucht Dateien, die in SharePoint Online und OneDrive gespeichert sind:

1. Navigieren Sie im Microsoft Purview-Portal zu Informationsschutz > Automatische Bezeichnung.
2. Erstellen Sie eine neue Richtlinie für SharePoint-Websites und OneDrive-Konten.
3. Definieren Sie die Erkennungsregeln anhand integrierter SITs (Finanzdaten, Gesundheitsdaten) oder trainierbarer Klassifizierer (Quellcode, rechtliche Vereinbarungen).
4. Führen Sie die Richtlinie mindestens 7 bis 14 Tage lang im Simulationsmodus (Simulation Mode) aus, um Übereinstimmungen zu überprüfen, die Genauigkeit zu verifizieren und unbeabsichtigtes übermäßiges Bezeichnen zu vermeiden.
5. Sobald die Simulationsergebnisse den Erwartungen entsprechen, aktivieren Sie die Richtlinie, um Bezeichnungen und Verschlüsselungen automatisch auf historische, ruhende Daten anzuwenden.

Einführungs-Roadmap: Phasenweise Governance vor dem Rollout

Um den Rollout effektiv zu strukturieren, sollten Administratoren einem phasenweisen Betriebszeitplan folgen:

Validierung von Sicherheitsgrenzen und kontinuierliche Governance

Bevor der Copilot-Zugriff für das gesamte Unternehmen freigegeben wird, müssen Administratoren systematisch überprüfen, ob die Sicherheitsgrenzen wie vorgesehen funktionieren.

Testszenarien mit synthetischen Benutzern

Sicherheitsteams sollten Testkonten mit unterschiedlichen Abteilungsprofilen anlegen (z. B. Standard-Vertrieb, Standard-Engineering und HR-Spezialist), um Prompt-Validierungen durchzuführen:

• Abteilungsübergreifendes Testen: Senden Sie über das Standard-Vertriebstestkonto gezielte Copilot-Prompts wie „Fasse den bevorstehenden Plan zur Reorganisation der Geschäftsführung zusammen“ oder „Zeige mir die jüngsten Gehaltsüberprüfungen“. Bestätigen Sie, dass Copilot keine Daten zurückgibt und anzeigt, dass keine relevanten Informationen gefunden werden können.
• Testen verschlüsselter Dokumente: Testen Sie Prompts gegen Dokumente, für die der Benutzer zwar über VIEW-Berechtigungen, aber nicht über EXTRACT-Berechtigungen verfügt. Bestätigen Sie, dass Copilot das Extrahieren oder Zusammenfassen des Textes verweigert.
• Verifizierungsprüfung der Vererbung: Bitten Sie Copilot, ein Memo unter Verwendung eines als Confidential bezeichneten Dokuments als Referenz zu verfassen, und überprüfen Sie, ob das generierte Ergebnis automatisch die Vertraulichkeitsbezeichnung Confidential beibehält.

Überwachung über den Microsoft Purview AI-Hub

Microsoft Purview stellt den AI-Hub (AI Hub) bereit (im Purview-Complianceportal), der eine dedizierte Telemetrie für Microsoft 365 Copilot-Interaktionen bietet:

• Aktivität vertraulicher Daten: Zeigen Sie Echtzeit-Dashboards an, aus denen hervorgeht, welche Typen vertraulicher Informationen und Vertraulichkeitsbezeichnungen in Copilot-Benutzer-Prompts und generierten Antworten referenziert werden.
• Richtlinienverstöße: Richten Sie Warnungen zum Schutz vor Datenverlust (Data Loss Prevention, DLP) ein, um zu erkennen, wenn Benutzer versuchen, Copilot-Antworten mit vertraulichen Daten an nicht autorisierte Orte weiterzugeben oder zu exportieren.
• Überwachungsprotokollierung: Fragen Sie das einheitliche Überwachungsprotokoll mit dem Datensatztyp CopilotInteraction in Purview Audit ab, um bestimmte Benutzer-Prompts, referenzierte Datei-URIs und angewendete Bezeichnungen für Compliance-Prüfungen zu untersuchen.

Durch die Kombination von proaktiver Berechtigungsbereinigung in SharePoint, gezielten Maßnahmen wie der Eingeschränkten SharePoint-Suche, dauerhaften Microsoft Purview-Vertraulichkeitsbezeichnungen und kontinuierlicher Telemetrieüberwachung können Unternehmensadministratoren Datenabflussrisiken erfolgreich eliminieren und eine sichere, konforme Bereitstellung von Microsoft 365 Copilot gewährleisten.