M365 SharePoint | Data Access Governance

Die Frage „Auf welche Sites hat diese Gruppe eigentlich Zugriff?“ ließ sich im SharePoint Admin Center bisher nur über Umwege beantworten.

Mit Roadmap-Eintrag 561039 und der Message-Center-Meldung MC1540348 vom 5. November 2026 bekommt Data Access Governance (DAG) einen Berechtigungsreport für eine bestimmte Gruppe. Er zeigt jede Site, auf die eine Gruppe zugreifen kann, und den Umfang dieses Zugriffs.

Laut MC1540348 beginnt die allgemeine Verfügbarkeit Ende November 2026 und endet Anfang Dezember, für Worldwide, GCC, GCC High und DoD. Im PhinIT-Tenant ist der Report Stand heute noch nicht sichtbar.

Bisher gab es in DAG den Report „Websiteberechtigungen für Benutzer“, der für einen Benutzer alle erreichbaren Sites auflistet, direkt oder über Gruppen. Bei Oversharing ist der einzelne Benutzer aber selten das Problem. Das Problem ist eine Gruppe mit breiter Mitgliedschaft, etwa für externe Dienstleister, die vor Jahren auf eine Projektsite gesetzt wurde.

Der neue Report dreht die Perspektive: Du startest bei der Gruppe und siehst die Sites. Mit Copilot im Tenant wird das wichtiger, weil Copilot jedem Mitglied liefert, was die Gruppe öffnen darf.

DAG liegt im SharePoint Admin Center unter Berichte > Governance für den Datenzugriff. Dort erscheint der Gruppenreport mit dem Rollout. Seinen Namen in der deutschen Oberfläche kennt noch niemand, weil MC1540348 und die Roadmap keinen Anzeigenamen nennen und der Report im Tenant fehlt.

Als „NEU“ steht dort derzeit der Report „Websites und Dateien, die über spezielle SharePoint-Gruppen freigegeben werden“ (MC1450131, seit August 2026). Er zeigt Sites, Ordner und Dateien, die über „Jeder“ oder „Jeder außer externen Benutzern“ effektiv öffentlich sind, und verlangt die Rolle SharePoint Advanced Management Administrator. Für eine Sicherheitsgruppe hilft er nicht.

DAG gehört zu SharePoint Advanced Management (SAM). Learn nennt als Voraussetzung eine Basislizenz (Office 365 E3, E5 oder A5 bzw. Microsoft 365 E1, E3, E5 oder A5) plus eine Microsoft-365-Copilot-Lizenz im Tenant, das SAM-Add-on oder Microsoft 365 E7.

Microsoft 365 E5 allein liefert DAG ohne Momentaufnahmeberichte und ohne Abhilfemaßnahmen, Aktivitätsberichte enden bei 10.000 Sites. Ob der Gruppenreport mit E5 allein läuft, lässt Microsoft offen. Ist er wie der Benutzerreport ein Momentaufnahmebericht, reicht E5 ohne SAM nicht.

Ohne SAM brauchen Aktivitätsreports eine aktivierte Datensammlung, Ergebnisse kommen frühestens nach 24 Stunden. Bleibt die Sammlung drei Monate ungenutzt, pausiert sie.

Ein Report allein ändert keine Berechtigung. Für die Nacharbeit nennt Learn Restricted Access Control, den Änderungsverlauf und Site Access Reviews, bei denen Site-Besitzer die Zugriffe selbst prüfen.

Der Gruppenreport ist das fehlende Gegenstück zum Benutzerreport und beantwortet die Frage, die Auditoren und Datenschutzbeauftragte zuerst stellen.

Nutze die Wochen bis zum Rollout: Rolle zuweisen und im Microsoft 365 Admin Center unter Berichte die Namensverschleierung abschalten, sonst bleiben DAG-Reports laut Learn leer. Danach prüfst du die fünf größten Gruppen des Tenants. Ohne SAM oder Copilot-Lizenz bleibt der Report gesperrt, und das gehört in jede Copilot-Planung.