M365

SharePoint Advanced Management

Allgemeine Infos

SharePoint Advanced Management ist eine Sammlung von Governance-Funktionen für SharePoint Online und OneDrive, die im SharePoint Admin Center bereitstehen. Microsoft ordnet sie drei Zielen zu: Wildwuchs von Websites eindämmen, den Lebenszyklus von Inhalten steuern und Oversharing verhindern.

Besonders relevant ist SharePoint Advanced Management vor und während einer Einführung von Microsoft 365 Copilot und Agents. Copilot findet alles, worauf ein Benutzer Zugriff hat, also auch versehentlich organisationsweit freigegebene Websites. Die Berichte und Richtlinien helfen, solche Freigaben zu finden und einzuschränken, bevor Copilot sie in Antworten verwendet.

Abgrenzung: SharePoint Premium (früher Syntex) liefert KI-gestützte Dokumentverarbeitung und Inhaltsdienste, SharePoint Advanced Management dagegen Verwaltungs- und Berechtigungskontrolle. Sensitivity Labels klassifizieren Inhalte, SharePoint Advanced Management wertet sie in Berichten aus. Conditional Access ist die Entra-Richtlinie, SharePoint Advanced Management verknüpft sie über Authentifizierungskontexte mit einzelnen Websites. Copilot Readiness beschreibt den gesamten Vorbereitungsprozess, in dem SharePoint Advanced Management ein Werkzeug ist.

Aktuelle Lage: Seit Microsoft die Funktionen an Copilot-Lizenzen gekoppelt hat, erhalten SharePoint-Administratoren sie automatisch, sobald im Tenant mindestens eine Copilot-Lizenz zugewiesen ist. Microsoft 365 E7 enthält sie ebenfalls.

Funktionsweise & Details

Die Funktionen setzen auf SharePoint-Admin-Center, SharePoint-Online-Verwaltungsshell und Microsoft Entra ID auf:

  1. Data Access Governance Reports zeigen Berechtigungszustände für Websites, OneDrive-Konten und Dateien, Freigabelinks, Websites mit „Jeder außer externen Benutzern“ (EEEU) und einen Snapshot der Vertraulichkeitsbezeichnungen.
  2. Site Access Reviews delegieren die Prüfung überteilter Websites an deren Besitzer, statt dass die IT jede Website selbst bewertet.
  3. Restricted Access Control (RAC) beschränkt den Zugriff auf eine Website oder ein OneDrive auf bestimmte Gruppen, Restricted Content Discovery (RCD) blendet riskante Websites in Copilot- und Agent-Erlebnissen aus.
  4. Richtlinien für Websitebesitz, inaktive Websites und Website-Attestierungen benachrichtigen Besitzer automatisch und laufen zunächst im Simulationsmodus.
  5. Weitere Steuerungen: Download blockieren (auch für Teams-Besprechungsaufzeichnungen), Conditional Access pro Website, Katalogverwaltung, Änderungsverlauf der letzten 180 Tage, eingeschränkte Erstellung von OneDrive und Websites über Entra-Sicherheitsgruppen und ein Vergleich von Websiterichtlinien gegen eine Baseline für bis zu 10.000 Websites.

Für die Verwaltung gibt es neben dem SharePoint Administrator die Rolle SharePoint Advanced Management Administrator, die zusätzlich Metadaten tenantweit sehen und Berechtigungen im großen Umfang entfernen darf.

Vorteile & Nutzen

  • Oversharing wird messbar, weil die Berichte zeigen, welche Websites für die ganze Organisation offen sind und welche Freigabelinks existieren.
  • Die Verantwortung landet bei den Websitebesitzern: Access Reviews und Attestierungen verteilen die Prüfung, die IT behält die Übersicht.
  • Restricted Content Discovery reduziert das Risiko, dass Copilot vertrauliche Inhalte in Antworten aufnimmt, ohne Berechtigungen sofort umbauen zu müssen.
  • Richtlinien für inaktive und besitzerlose Websites bremsen Wildwuchs und senken Speicherverbrauch und Angriffsfläche.

Praxisbeispiel

Ein Zulieferer der Automobilindustrie mit 400 Mitarbeitenden in Baden-Württemberg startet ein Copilot-Pilotprojekt mit 25 Lizenzen. Damit stehen die Funktionen im SharePoint Admin Center bereit. Der Data Access Governance Report zeigt 60 Websites mit EEEU-Berechtigung, darunter ein altes Projektarchiv mit Kalkulationen. Die IT setzt RCD für das Archiv, startet Site Access Reviews für die übrigen Websites und aktiviert die Richtlinie für inaktive Websites im Simulationsmodus. Nach sechs Wochen sind die organisationsweiten Freigaben bereinigt, bevor Copilot breiter ausgerollt wird.

Worauf sollte man achten?

  • Mit den Data Access Governance Reports beginnen, sie liefern die Fakten für alle weiteren Maßnahmen.
  • Richtlinien für inaktive Websites und Websitebesitz zuerst im Simulationsmodus laufen lassen und die Benachrichtigungen mit den Fachbereichen abstimmen.
  • RCD verbirgt Inhalte nur in Copilot- und Agent-Erlebnissen, die Berechtigungen bleiben bestehen: Eine echte Bereinigung ersetzt es nicht.
  • Die Rolle SharePoint Advanced Management Administrator nur sparsam vergeben, sie kann Berechtigungen in großem Umfang entfernen.
  • Vor jedem Einsatz der PowerShell-Befehle die aktuelle SharePoint Online Management Shell herunterladen, wie Microsoft es empfiehlt.

Lizenz & Verfügbarkeit

Basislizenz ist Office 365 E3, E5 oder A5, Microsoft 365 E1, E3, E5 oder A5 bzw. eine GCC-, GCC-High- oder DoD-Variante. Microsoft 365 Business-Pläne stehen nicht in der Liste der Basislizenzen. Zusätzlich gilt eine von drei Bedingungen: Mindestens ein Benutzer im Tenant hat eine Microsoft-365-Copilot-Lizenz (dann erhalten SharePoint-Administratoren die Funktionen automatisch), oder der Tenant hat SharePoint K, Plan 1 oder Plan 2 plus das Add-on SharePoint Advanced Management Plan 1, oder der Tenant hat Microsoft 365 E7. Die eingeschränkte Websiteerstellung durch Apps erfordert in jedem Fall das Add-on Plan 1. Der Snapshot der Vertraulichkeitsbezeichnungen erfordert E5 oder G5. Externe Benutzer brauchen keine Lizenz. Das Add-on gibt es über das Microsoft 365 Admin Center, CSP und Volumenlizenzierung. Stand: Oktober 2026.

Fazit

SharePoint Advanced Management ist das wichtigste Werkzeug, um Oversharing vor einer Copilot-Einführung sichtbar zu machen und abzustellen. Wer eine Copilot-Lizenz im Tenant hat, sollte die Berichte sofort nutzen, statt auf den breiten Rollout zu warten.

Weiterführende Links

Verwandte Artikel