Wer darf was sehen? Leserechte sind der Punkt, an dem KI-Wissenssysteme scheitern
Microsoft Copilot und jedes gute Wissenssystem antworten nur aus dem, was die fragende Person lesen darf. Das klingt sicher, ist aber genau der Haken: In den meisten gewachsenen Ablagen dürfen viele Menschen viel mehr lesen, als je jemand beabsichtigt hat. Bisher hat das niemand gemerkt, weil niemand danach gesucht hat. Eine KI findet es in Sekunden. Deshalb gehören Leserechte vor den Start, und in einem eigenen System müssen sie bis in den Suchindex durchgereicht werden.
Copilot hält sich an die Rechte. Das ist das Problem.
Microsoft beschreibt es klar: Copilot zeigt nur Unternehmensdaten, für die die jeweilige Person mindestens Leserechte hat. Im selben Absatz steht der Hinweis, dass Sie die Berechtigungsmodelle in SharePoint und Co. so nutzen müssen, dass die richtigen Personen auf die richtigen Inhalte zugreifen (Microsoft Learn, Datenschutz und Sicherheit für Copilot).
Der zweite Satz ist der wichtige. Ein Beispiel: Die Gehaltsübersicht liegt seit drei Jahren in einer Team-Website, die irgendwann für "Jeder außer externen Benutzern" geöffnet wurde. Gefunden hat sie bisher niemand, weil niemand wusste, wo sie liegt. Fragt jetzt jemand Copilot "Was verdienen die Teamleiter im Einkauf?", sucht Copilot in allem, was diese Person lesen darf, und findet sie.
Microsoft nimmt das ernst. In seinem Leitfaden für einen sicheren Copilot-Start steht das Beheben von zu weiten Freigaben an erster Stelle, vor Schutzregeln und Regulierung (Microsoft Learn, Secure & Governed Data Foundation). Und Microsoft schreibt auch, dass SharePoint die Freigabeeinstellungen standardmäßig auf die freizügigste Option setzt (Microsoft Learn, Copilot mit SharePoint Advanced Management vorbereiten).
Typische Ursachen für zu weite Freigaben:
- "Jeder außer externen Benutzern" in den Berechtigungen einer Website, oft unbemerkt über eine Gruppe.
- Links für "Personen in Ihrer Organisation", die weitergeleitet werden und für alle internen Konten funktionieren.
- Öffentliche Teams, in denen Personal-, Finanz- oder Vertragsunterlagen liegen.
- Durchbrochene Vererbung: Ordner mit Sonderrechten, deren Grund niemand mehr kennt.
- Websites ohne Besitzer und Gäste, deren Projekt längst vorbei ist.
Das gilt für jedes Wissenssystem, nicht nur für Copilot
Wer selbst ein Wissenssystem baut, hat dasselbe Problem, oft schlimmer. Der schnellste Weg zum Prototyp ist, alle Dokumente mit einem Dienstkonto einzulesen, das alles sehen darf. Dann sucht der Chat im gesamten Bestand, und die Rechte der fragenden Person spielen keine Rolle mehr. Fehlende Zugriffskontrolle im Suchindex führt die OWASP deshalb als eigenes Risiko für KI-Anwendungen (OWASP LLM08:2025).
Ein solcher Prototyp läuft in der Vorführung gut. Am ersten Tag im Betrieb zitiert er ein Dokument, das die fragende Person nicht sehen dürfte, und am zweiten Tag ist er abgeschaltet.
Wie Rechte in den Index kommen
Ein Wissenssystem zerlegt Dokumente in Abschnitte und legt sie in einem Suchindex ab. Damit die Rechte stimmen, müssen sie diesen Weg mitgehen.
Vier Regeln, an denen Sie ein Angebot oder einen Prototyp messen können:
- Rechte kommen aus der Quelle. Das System übernimmt die Gruppen aus SharePoint, dem Laufwerk oder der Fachanwendung. Niemand pflegt eine zweite Rechteliste von Hand.
- Gefiltert wird vor der Antwort. Abschnitte, die die Person nicht lesen darf, kommen gar nicht erst beim Sprachmodell an. Ein Filter erst nach der Antwort ist zu spät, weil Inhalte schon in eine Zusammenfassung eingeflossen sein können.
- Entzogene Rechte kommen schnell an. Verlässt jemand eine Abteilung, muss der Index das nachziehen. Selbst Microsoft weist beim SharePoint-Indexer von Azure AI Search darauf hin, dass Änderungen an Rechten erst mit Verzögerung erkannt werden (Microsoft Learn). Fragen Sie, wie lange diese Verzögerung ist.
- Gefragt wird als Person. Die Anmeldung läuft über Ihr bestehendes Single Sign-on. Die Suche läuft mit der Identität der fragenden Person, nicht mit einem Konto, das alles sehen darf.
Technisch gibt es dafür mehrere Wege. Copilot erledigt es über die Microsoft-365-Rechte. Azure AI Search kennt Sicherheitsfilter, die allgemein verfügbar sind; Rechte direkt aus SharePoint zu übernehmen ist dort noch Vorschau (Microsoft Learn, Dokumentrechte in Azure AI Search).
Unser Weg ist Row-Level Security in PostgreSQL. Jeder Abschnitt ist eine Zeile in der Datenbank, und eine Regel legt fest, welche Zeilen eine Person sehen darf. Die Datenbank wendet diese Regel bei jeder Abfrage an, bevor irgendetwas anderes passiert. Gibt es für eine Tabelle keine Regel, ist standardmäßig nichts sichtbar (PostgreSQL-Dokumentation). Ein Fehler im Programmcode darüber kann deshalb keinen Abschnitt herausgeben, den die Datenbank nicht freigibt.
Was Sie zuerst aufräumen
Sie müssen nicht alles auf einmal bereinigen. Fangen Sie dort an, wo der Schaden am größten wäre: Personal, Finanzen, Geschäftsleitung, Verträge, Kundendaten.
Für Microsoft 365 gibt es dafür Werkzeuge im SharePoint Admin Center, gebündelt als SharePoint Advanced Management. Laut Microsoft stehen die meisten davon zur Verfügung, sobald in Ihrer Organisation mindestens eine Copilot-Lizenz zugewiesen ist (Microsoft Learn, Voraussetzungen):
- Berichte zur Datenzugriffs-Governance zeigen Websites mit vielen Freigabelinks und Freigaben für alle internen Konten (Microsoft Learn).
- Zugriffsprüfungen geben die Entscheidung an die Besitzer der Website weiter, die wissen, wer wirklich Zugriff braucht (Microsoft Learn).
- Eingeschränkter Zugriff begrenzt eine Website hart auf eine Gruppe (Microsoft Learn).
- Eingeschränkte Inhaltsermittlung nimmt eine Website aus Copilot und der organisationsweiten Suche, ohne die Rechte zu ändern. Microsoft beschreibt das ausdrücklich als vorübergehende Maßnahme, bis die Rechte geprüft sind (Microsoft Learn).
Wichtig ist die Reihenfolge der Verantwortung. Die IT kann Berichte ziehen und absperren. Ob die Gruppe "Vertrieb Nord" in einer Projektakte noch gebraucht wird, weiß nur der Fachbereich. Dafür braucht es pro Website eine zuständige Person.
Prüfen mit Testkonten
Bevor ein Wissenssystem oder Copilot für alle freigeschaltet wird, stellen wir mit einigen Testkonten gezielt die unangenehmen Fragen. Jedes Konto steht für eine Rolle. Zu jeder Frage ist vorher festgelegt, was herauskommen soll.
| Testkonto | Frage | Erwartet |
|---|---|---|
| Auszubildende Lager | Was verdienen die Teamleiter im Einkauf? | Keine Quelle |
| Service | Welche Gewährleistung gilt im Rahmenvertrag mit Kunde X? | Keine Quelle, Hinweis auf den Vertrieb |
| Vertrieb | Welche Gewährleistung gilt im Rahmenvertrag mit Kunde X? | Antwort mit Fundstelle |
| Ehemaliger Projektgast | Wie ist der Stand im Projekt Y? | Kein Zugang |
Beispielwerte. Jede Antwort, die aus der Reihe fällt, ist ein Befund, und jeder Befund im Test ist billiger als derselbe im Betrieb.
Ihr nächster Schritt
Ziehen Sie den Bericht über Freigaben für alle internen Konten und schauen Sie sich die ersten zwanzig Websites an. Meistens zeigt schon diese Liste, wie viel vor dem Start zu tun ist. Wie wir Leserechte in einem eigenen System durchsetzen, steht auf der Seite KI-Wissenssysteme. Die Regel aus Punkt 10 und die Schulung dazu gehören zu KI-Schulung & Governance. Und wenn Sie noch überlegen, ob es Copilot oder ein eigenes System sein soll, hilft der Vergleich in Warum die KI Ihre Artikelnummer nicht findet. Was ein Wissenssystem anders macht als ChatGPT mit eigenen Daten, steht in ChatGPT mit eigenen Daten füttern?