Diese Woche hatte ich ein Gespräch, das ich in letzter Zeit immer öfter führe.
Ein Schweizer Unternehmen. Microsoft 365 E3, Copilot-Lizenzen für einige Dutzend Mitarbeitende. Die Lizenzen sind bezahlt, das Interesse ist gross. Aber die interne IT bremst. «Die Websuche schickt unsere Daten ins Internet.»
Die Sorge ist berechtigt. Aber sie ist nur ein Teil der Frage.
Die eigentliche Frage lautet: Wie betreiben wir Copilot so, dass er sicher und datenschutzkonform läuft? Dazu gehören Berechtigungen, Purview, die Websuche, der Datenstandort, Agenten und am Schluss eine bewusste Entscheidung der Geschäftsleitung.
Eines vorweg: Wir sind keine Anwälte. Wir kümmern uns um die technische Seite, also darum, was in eurem Tenant passiert und welche Einstellungen es gibt. Für die rechtliche Beurteilung verweise ich in diesem Artikel auf die aktuelle Analyse der Schweizer Kanzlei VISCHER. Und für euren konkreten Fall gehört eine juristische Fachperson an den Tisch.
Das Wichtigste in Kürze
- Copilot sieht alles, was die angemeldete Person sehen darf. Das grösste Risiko im Alltag sind zu breit freigegebene Daten, nicht die KI.
- Mit jeder Copilot-Lizenz bekommt ihr Werkzeuge gegen Oversharing, etwa Berechtigungsberichte für SharePoint und Restricted Content Discovery.
- Purview kann die Websuche sperren, sobald ein Prompt AHV-Nummern oder andere sensible Daten enthält. Das geht auch mit Business Premium oder E3.
- Die Websuche ist rechtlich der heikelste Punkt. Für die Suchanfragen an Bing gelten weder das DPA noch die EU Data Boundary. VISCHER hält sie für nicht datenschutzkonform.
- Datenstandort und Flex Routing solltet ihr prüfen und bewusst einstellen.
- Agenten und Cowork brauchen Regeln: wer erstellen und teilen darf, und welches Budget gilt.
- Entscheiden muss die Geschäftsleitung, nicht die IT allein.
Wie geht Copilot mit euren Daten um?
Aber um was geht es grundsätzlich?
Wenn du Copilot eine Frage zu deinen Mails, Dateien oder Meetings stellst, passiert die Verarbeitung im Microsoft-365-Servicebereich. Prompts und Antworten bleiben dort. Es gelten Enterprise Data Protection und das Data Protection Addendum, und deine Eingaben werden nicht zum Training der Modelle verwendet. So beschreibt Microsoft den Schutz für Copilot.
Und ganz wichtig: Copilot arbeitet mit deinen Berechtigungen. Er sieht nur, was du auch öffnen dürftest.
Das klingt beruhigend. Ist es aber nur, wenn eure Berechtigungen sauber sind.
1. Berechtigungen aufräumen: das unterschätzte Risiko
Ehrlich: In fast jedem Tenant, den wir uns anschauen, gibt es sie. Die SharePoint-Site, die vor Jahren für «Jeder ausser externen Benutzern» freigegeben wurde. Der Teams-Kanal mit Lohnlisten, in dem plötzlich die halbe Firma Mitglied ist. Der Freigabelink, den niemand mehr kennt.
Ohne Copilot fällt das kaum auf, weil niemand danach sucht. Mit Copilot reicht eine harmlose Frage, und die Lohnliste taucht in der Antwort auf. Copilot verletzt dabei keine Berechtigung. Er macht nur sichtbar, was schon falsch freigegeben war.
Die gute Nachricht: Sobald in eurem Tenant mindestens eine Copilot-Lizenz zugewiesen ist, bekommt ihr Funktionen aus SharePoint Advanced Management ohne Zusatzlizenz. Microsoft listet die enthaltenen Funktionen hier. Die wichtigsten für den Start:
- Berichte zu Berechtigungen und Freigabelinks: Welche Sites sind für «Jeder ausser externen Benutzern» offen? Wo gibt es unzählige Freigabelinks?
- Site Access Review: Die Site-Besitzer prüfen ihre überteilten Sites selbst, statt dass die IT alles allein machen muss.
- Restricted Content Discovery: Heikle Sites tauchen nicht mehr in der unternehmensweiten Suche und in Copilot auf, ohne dass ihr die Berechtigungen sofort umbauen müsst.
- Restricted Access Control: Eine Site ist nur noch für eine bestimmte Sicherheitsgruppe zugänglich.
Meine Empfehlung: Startet mit dem Bericht zu «Jeder ausser externen Benutzern». Der zeigt meistens innert Minuten, wo es brennt.
2. Purview: Sensible Daten schützen
Mit Microsoft Purview setzt ihr Regeln, die direkt in Copilot greifen. Für den Einstieg ist eine Data-Loss-Prevention-Regel am wichtigsten: Erkennt Purview im Prompt einen sensiblen Datentyp, sperrt Copilot für diese Anfrage die Websuche oder antwortet gar nicht. Microsoft beschreibt die DLP-Regeln für Copilot hier.
Typische Beispiele aus der Schweiz:
- AHV-Nummern
- Passnummern
- Gesundheitsdaten
- Policennummern bei Versicherungen
Für AHV- und Passnummern bringt Purview fertige Datentypen mit. Policennummern, Kundennummern oder eigene Projektcodes definierst du als eigene Datentypen.
Das Beste: Dafür brauchst du kein E5. Die Regel für Prompts steht laut Microsoft allen Nutzerinnen und Nutzern von Copilot und Copilot Chat zur Verfügung, also auch mit Microsoft 365 Business Premium oder E3. Wir haben genau diese Sperre bei einem Kunden mit Business Premium eingerichtet. Zur Purview-Servicebeschreibung.
Zwei Grenzen solltest du trotzdem kennen:
- Die Regel prüft den eingetippten Prompt. Den Inhalt einer Datei, die jemand direkt in den Chat hochlädt, prüft sie nicht.
- Bezeichnete Dateien ganz ausschliessen ist ein anderer Schritt. Willst du Dateien und Mails mit einer bestimmten Vertraulichkeitsbezeichnung, etwa «Streng vertraulich», komplett von Copilot fernhalten, reichen Business Premium und E3 nicht. Dafür brauchst du E5 oder die Purview Suite, die es auch als Add-on zu Business Premium gibt.
3. Die Websuche: technisch klein, rechtlich heikel
Jetzt zum Punkt, der im Gespräch alles blockiert hat.
Braucht Copilot aktuelle Informationen aus dem Web, schickt er eine Suchanfrage an Bing. Bing bekommt nicht dein Dokument und auch nicht deinen ganzen Prompt. Copilot macht daraus ein paar Suchbegriffe. Fragst du zum Beispiel nach eurem internen Strategiepapier im Vergleich zu einem Mitbewerber, geht an Bing so etwas wie «Mitbewerber Energiestrategie Ankündigung». Das Papier selbst bleibt im Tenant.
Laut Microsoft gehen nicht an Bing: der ganze Prompt (ausser er ist sehr kurz, etwa «Wetter Zürich»), ganze Dateien oder Mails sowie Benutzername, Domain oder Tenant-ID. Die Suchanfragen werden laut Microsoft nicht für Werbung und nicht zum Training von KI-Modellen verwendet. So beschreibt Microsoft die Websuche in Copilot.
Aber: Für diese Suchanfragen gilt ein anderer rechtlicher Rahmen.
| Copilot mit euren Tenant-Daten | Suchanfrage an Bing | |
|---|---|---|
| Was wird verarbeitet? | Prompt, Antwort, berechtigte Dateien und Mails | Wenige Suchbegriffe, ohne Benutzer- und Tenant-ID |
| Rolle von Microsoft | Auftragsverarbeiter | Eigener Verantwortlicher |
| Data Protection Addendum (DPA) | gilt | gilt nicht |
| EU Data Boundary | gilt | gilt nicht |
| Training von KI-Modellen | nein | nein (Zusage in den Product Terms) |
| Steuerbar über | Berechtigungen, Purview, Admin Center | Cloud Policy, Purview DLP, Zero Query Logging |
Stand: 1. Oktober 2026, gemäss Microsoft-Dokumentation zur Websuche.
Was sagen die Juristen?
VISCHER hat im Juli 2026 die Datenschutzbedingungen der gängigen KI-Tools neu analysiert. Zur Websuche in Copilot ist das Fazit deutlich: Die Kanzlei schliesst, «dass die Web-Suche bei Copilot […] nicht den Anforderungen des Datenschutzes und schon gar nicht des Berufs- und Amtsgeheimnisses genügt». Zur Analyse von VISCHER. Die zugehörige Vergleichstabelle der KI-Tools lohnt sich ebenfalls, gerade wenn ihr verschiedene Anbieter einsetzt.
Technisch schätze ich das Risiko als klein ein: ein paar Suchbegriffe ohne Absender, mit vertraglichen Zusagen. Rechtlich ist es eben trotzdem ein anderer Rahmen. Beides gehört auf den Tisch.
Was ihr konkret tun könnt
- Purview-Regel setzen. Sensible Datentypen sperren die Websuche automatisch (siehe oben).
- Websuche gezielt einschränken. Über die Richtlinie «Allow web search in Copilot» im Cloud Policy Service schaltet ihr sie für alle oder für einzelne Gruppen ab, zum Beispiel für HR oder die Geschäftsleitung. Wichtig: Wer sie im Arbeitsmodus abschaltet, schaltet sie auch für Researcher und Cowork ab.
- Zero Query Logging aktivieren, sobald verfügbar. Dann speichert Bing die Suchanfragen nicht. Microsoft dokumentiert die Einstellung bereits; in den Kundenumgebungen, die wir betreuen, war sie bis Anfang Oktober 2026 noch nicht verfügbar. VISCHER hält fest, dass auch das die rechtlichen Mängel nicht beseitigt. Zur Dokumentation von Zero Query Logging.
- Bei Berufsgeheimnissen die Websuche abschalten. Anwaltskanzleien, Arztpraxen, Revisionsstellen: Hier ist für mich klar, dass die Websuche aus bleibt, bis die rechtliche Beurteilung etwas anderes sagt.
4. Datenstandort und Flex Routing prüfen
Viele gehen davon aus, dass ihr Tenant in der Schweiz liegt. Prüfen tun es die wenigsten.
Neuere Schweizer Tenants liegen in der Regel in den Schweizer Microsoft-Rechenzentren. Ältere wurden teilweise erst nachträglich migriert, manche liegen noch heute in einer anderen europäischen Region. Den tatsächlichen Datenstandort siehst du im Microsoft 365 Admin Center unter Einstellungen → Organisationseinstellungen → Organisationsprofil → Datenspeicherort. Microsoft listet die Datenstandorte pro Dienst hier.
Dann Flex Routing. Für Tenants in der EU und der EFTA, also auch in der Schweiz, darf Microsoft damit die Verarbeitung durch das Sprachmodell bei Spitzenlast in die USA, nach Kanada oder nach Australien verlagern. Die gespeicherten Daten bleiben in der EU Data Boundary, bis auf begrenzte pseudonymisierte Daten. Bei berechtigten Tenants, die nach dem 25. März 2026 erstellt wurden, ist Flex Routing standardmässig aktiv. Du findest die Einstellung unter Copilot → Einstellungen → Alle anzeigen → Flex routing during peak load periods. Microsoft erklärt Flex Routing hier.
Spannend ist hier die Einschätzung von VISCHER: Datenschutzrechtlich sei Flex Routing nicht zu beanstanden, für Berufsgeheimnisse aber aus ihrer Sicht nicht akzeptabel. Für die meisten KMU ist das also eine bewusste Abwägung zwischen Tempo und Verarbeitungsort. Wer Berufsgeheimnisse verarbeitet, wählt Do not allow flex routing.
5. Modelle von Anthropic bewusst zulassen
Copilot und Cowork können optional Modelle von Anthropic nutzen, also Claude. Anthropic ist dann als Unterauftragsverarbeiter von Microsoft eingebunden, und es gelten die Product Terms und das DPA von Microsoft.
Für Schweizer Tenants wichtig: In der EU und der EFTA sind diese Modelle standardmässig ausgeschaltet. Der Grund: Sie sind derzeit von der EU Data Boundary ausgenommen. Laut VISCHER läuft die Verarbeitung auf Systemen in den USA. Wer sie nutzen will, schaltet sie im Admin Center unter Copilot → Einstellungen → Alle anzeigen → AI providers operating as Microsoft subprocessors frei, auf Wunsch nur für bestimmte Gruppen. Microsoft beschreibt die Einbindung von Anthropic hier.
Ein Spezialfall sind die «Anthropic models with Data Retention». Dort speichert Anthropic die Daten selbst, und es gelten die Bedingungen von Anthropic statt des Microsoft-DPA. Auch diese Modelle sind ausgeschaltet, bis ein Admin sie ausdrücklich freigibt.
Meine Empfehlung: Lasst Claude nicht einfach laufen und sperrt es auch nicht reflexartig. Entscheidet bewusst, für wen ihr es freigebt, und nehmt es in euer Verzeichnis der Bearbeitungstätigkeiten auf.
6. Agenten und Cowork steuern
Das Spannendste kam am Schluss des Gesprächs. Mein Gegenüber will eigentlich keinen Chatbot. Er will, dass Copilot arbeitet: Mails schreibt, Informationen verarbeitet, Prozesse anstösst und mehrere Schritte selbständig erledigt. Genau das machen Agents und Copilot Cowork.
Damit kommen neue Fragen:
- Wer darf Agents bauen und teilen? Im Microsoft 365 Admin Center legt ihr bei den Copilot-Einstellungen fest, wer selbst gebaute Agents mit der ganzen Organisation teilen darf: alle, niemand oder bestimmte Gruppen. Microsoft erklärt das Teilen von Agents hier.
- Wer gibt Aktionen frei? Cowork fragt vor dem Versand von Mails, Teams-Nachrichten oder Termineinladungen nach. Die Kontrolle durch Menschen bleibt also eingebaut. Schult eure Leute trotzdem darin, Entwürfe wirklich zu lesen, bevor sie auf «Senden» klicken.
- Was darf es kosten? Cowork ist keine zusätzliche Lizenz. Ihr braucht eine Microsoft 365 Copilot-Lizenz, dazu kommt eine nutzungsbasierte Abrechnung über Copilot Credits. Im Pay-as-you-go-Modell kostet ein Credit laut Microsoft 0.01 USD. Budgets und Limits legt ihr im Admin Center fest, auch nur für eine Pilotgruppe. Die Voraussetzungen für Cowork. Microsofts Leitfaden zu Copilot Credits.
Zur Orientierung: Testbudgets sehe ich häufig im Bereich von CHF 20 bis 50 pro Monat und Person. Wer mehr nutzt oder komplexere Agenten einsetzt, braucht mehr. Mein Tipp: klein starten, Limit setzen, nach einem Monat anschauen, was wirklich verbraucht wurde.
7. Nachvollziehbarkeit sicherstellen
Wenn etwas schiefgeht, wollt ihr nachvollziehen können, was passiert ist.
Copilot-Interaktionen landen im Purview-Audit, sofern das Auditing aktiv ist. Das ist der Standard, prüft es trotzdem. Admins sehen dort Prompts, Antworten und auch die Suchbegriffe, die an Bing gingen. Inhaltssuche, Aufbewahrung im Rahmen von Legal Hold und Export von Copilot-Interaktionen über eDiscovery sind laut Microsoft auch mit E3 und Copilot möglich. Zur Purview-Servicebeschreibung.
Klärt dabei auch die Gegenrichtung: Wer darf diese Protokolle einsehen? Prompts können persönliche Informationen enthalten. Das gehört in eure internen Regeln und in die Information an die Mitarbeitenden.
8. Regeln und Schulung für die Menschen
Technik allein reicht nicht. Eure Mitarbeitenden müssen wissen, was sie mit Copilot tun dürfen und was nicht.
Eine kurze KI-Weisung genügt für den Start. Sie sollte mindestens klären: Welche Daten gehören nicht in einen Prompt? Wann ist die Websuche erlaubt? Wer prüft Ergebnisse, bevor sie an Kunden gehen? Wer ist Ansprechperson bei Fragen?
Dazu eine Schulung, die mehr zeigt als die Knöpfe. Gerade der Satz «Copilot sieht, was du sehen darfst» öffnet vielen die Augen.
Alle Einstellungen auf einen Blick
| Bereich | Wo | Meine Empfehlung |
|---|---|---|
| Berechtigungsberichte (SAM) | SharePoint Admin Center | Vor dem Rollout auswerten und bereinigen |
| Restricted Content Discovery | SharePoint Admin Center | Für heikle Sites aktivieren |
| DLP für Copilot | Microsoft Purview | AHV, Pass und eigene Kennungen sperren |
| Websuche | Cloud Policy Service | Bewusst entscheiden; bei Berufsgeheimnis aus |
| Zero Query Logging | Cloud Policy Service | Aktivieren, sobald verfügbar |
| Datenspeicherort | Admin Center, Organisationsprofil | Prüfen und intern festhalten |
| Flex Routing | Admin Center, Copilot-Einstellungen | Bewusst entscheiden; bei Berufsgeheimnis aus |
| Anthropic-Modelle | Admin Center, Copilot-Einstellungen | In CH standardmässig aus; bewusst freigeben |
| Teilen von Agents | Admin Center, Copilot-Einstellungen | Auf eine Gruppe beschränken |
| Cowork-Budget | Admin Center, Copilot | Vor dem Pilot pro Gruppe festlegen |
| Audit | Microsoft Purview | Aktiv lassen, Einsicht regeln |
Stand: 1. Oktober 2026. Microsoft benennt Menüpunkte laufend um; die verlinkten Quellen im Text sind massgebend.
Deine Checkliste für das nächste IT-Meeting
- Berechtigungen: Bericht zu «Jeder ausser externen Benutzern» und Freigabelinks auswerten.
- Purview: Welche sensiblen Datentypen sollen die Websuche blockieren?
- Websuche: Für wen ist sie sinnvoll, für wen nicht?
- Datenstandort und Flex Routing prüfen und entscheiden.
- Anthropic-Modelle: Für wen freigeben, für wen nicht?
- Agents und Cowork: Wer darf teilen, welches Budget gilt für den Pilot?
- Audit und Einsicht regeln.
- KI-Weisung und Schulung vorbereiten.
- Rechtliche Beurteilung einholen, besonders bei Berufsgeheimnissen.
- Restrisiko beschreiben und der Geschäftsleitung zur Entscheidung vorlegen.
Fazit: Die IT bereitet vor, die Geschäftsleitung entscheidet
Copilot sicher und datenschutzkonform zu betreiben, ist kein Schalter. Es ist eine Reihe von bewussten Entscheidungen. Die meisten davon sind technisch gut lösbar, viele sogar ohne Zusatzlizenz.
Was übrig bleibt, ist ein Restrisiko. Ich bewerte es mit zwei Fragen: Wie wahrscheinlich ist ein Vorfall, und wie gross wäre der Schaden? Die IT liefert die Fakten. Ob das Restrisiko tragbar ist, entscheidet die Geschäftsleitung, idealerweise mit einer rechtlichen Einschätzung im Rücken.
Für uns ist klar: Wer Berechtigungen, Purview und die wichtigsten Einstellungen sauber aufsetzt, muss den Nutzen von Copilot nicht liegen lassen.
Genau dafür machen wir mit Kunden eine pragmatische Copilot-Session: Copilot-Landschaft, Governance, Datenschutz, Agenten und Cowork, dazu konkrete Use Cases aus eurem Alltag. Am Schluss habt ihr eine Entscheidungsgrundlage für die Geschäftsleitung und wisst, was der nächste Schritt ist. Mehr dazu auf unserer Seite zur Copilot-Einführung und zum Tenant-Assessment. Oder direkt: Meld dich bei uns.
Fachlicher Stand: 1. Oktober 2026. Dieser Artikel ist keine Rechtsberatung. Microsoft ändert Einstellungen und Verfügbarkeiten laufend; wir prüfen sie für eure konkrete Umgebung.