Zwei Drittel der Unternehmen verschieben Copilot-Einführung wegen Datenschutz-Sorgen

Zwei von drei Unternehmen haben die Einführung von Microsoft Copilot aus Sorge um Datenschutz verschoben oder gestrichen. Fast drei Viertel befürchten, dass KI intern bereits sensible Informationen preisgibt. Das geht aus der neuen Studie „State of Microsoft 365 Security and Governance 2026″ des Anbieters CoreView hervor.

Coreview, ein Anbieter von Microsoft 365-Verwaltungs-Tools hat 279 IT-, Security- und Compliance-Verantwortliche aus Unternehmen mit mehr als 1.000 Mitarbeitern befragt, die meisten davon sitzen in Nordamerika.

Der Report befasst sich mit verschiedenen relevanten Sicherheitsaspekten von Microsoft 365. Dazu gehören auch die Implikationen aus dem Copilot-Rollout für den Datenschutz.

Das sind die wichtigsten Erkenntnisse dazu:

• Entscheider haben mehr Bedenken: Die Vorbehalte gegenüber dem KI-Einsatz sind in den Führungsetagen größer. Drei 75 Prozent der Entscheider haben die Copilot-Einführung verschoben oder gestrichen, während es im mittleren Management nur 60 Prozent waren.
• Die meisten Unternehmen schätzen Microsoft-365-Sicherheit falsch ein: 62 Prozent bewerten ihre Microsoft-365-Sicherheit als „ausgereift“ oder „fortgeschritten“. Dabei fehlen bei 54 Prozent die grundlegenden Sicherheitsmaßnahmen wie etwa Multi-Faktor-Authentifizierung (MFA) für Administratoren und Privileged-Access-Management (PAM).
• Wichtige Konten sind am schwächsten geschützt: Für das Management von Microsoft 365 und die Copilot-Nutzung spielen Admin-Konten eine Schlüsselrolle. Allerdings werden diese seltener mittels MFA geschützt als bei Standardbenutzerkonten (55 Prozent vs. 62 Prozent).

Das eigentliche Problem sitzt in SharePoint

Das zugrundeliegende Problem der unerwünschten Datenzugriffe durch KI-Tools ist an sich längst erkannt. Copilot selbst ist nicht verantwortlich für Sicherheitslücken, er macht allerdings bestehende sichtbar. Hintergrund sind meist nachlässig gepflegte SharePoint-Berechtigungen, die im Rahmen der Indexierung oft auch vertrauliche Dokumente für KI-Tools sichtbar machen.

Damit trifft der Report einen Punkt, der aufmerksamen SharePoint-Administratoren längst bekannt ist: Langfristig ungeprüfter Freigabe-Links und vererbter Berechtigungen bilden mit der Zeit einen Berg an Altlasten, den die KI schlagartig relevant macht. Nicht die Technologie ist das Problem, sondern die über Jahre aufgeschobene Governance-Arbeit.

Nachlässige Backups: „Darum kümmert sich doch Microsoft“

Zu den weiteren untersuchten Themen der Studie zählen auch Backups. Hier kam heraus, dass nur 17 Prozent der Unternehmen ihre Microsoft-365-Konfigurationen selbst sichern. 37 Prozent nehmen fälschlicherweise an, das Microsoft die Sicherungen automatisch durchführe.

Tatsächlich hat aber Microsoft schon vor längerer Zeit klargestellt, dass über das Modell der geteilten Verantwortung (Shared Responsibility) die Konfigurationssicherung vom Kunden zu erledigen sei. Backup alleine reicht dafür nicht aus, denn Datensicherungsprodukte erfassen oft nur die Daten, nicht aber Einstellungen wie Conditional-Access-Richtlinien oder Sicherheitskonfigurationen.

Dabei umfasst Microsoft 365 über 10.000 Konfigurationseinstellungen quer durch Entra, Defender, Intune, Purview und Exchange. Manuelle Prüfung stößt hier an ihre Grenzen.