Wer Ihren Access Review durchführt, hat von Governance noch nie gehört

Das ist kein Vorwurf an diese Person. Es ist der Konstruktionsfehler, der Access Reviews seit Jahren still und leise scheitern lässt, und genau den wollten wir beheben. Reviews ist in der Rencore Teams App.

Einer unserer Early-Access-Kunden ist ein großes Unternehmen, zehn Jahre SharePoint-Historie. Arbeitsbereiche, Projekt für Projekt aufgebaut von Menschen, die längst nicht mehr da sind. Irgendwo darin war viel Inhalt mit “Jeder” geteilt worden. Niemand hätte Ihnen sagen können, wie viel, oder welcher.

Ein Jahrzehnt lang war das ein Hygienethema. Unordentlich, auf der Liste, nie dringend. Dann begannen sie den Rollout von Microsoft 365 Copilot, und derselbe Inhalt war kein Rückstand mehr, sondern eine Antwort. Copilot bringt zutage, was eine Person ohnehin erreichen kann. Eine Berechtigung, die sich seit Jahren niemand angesehen hatte, war plötzlich ein Suchergebnis vor einer Kollegin, die es nie sehen sollte.

Der Teil, der bei mir geblieben ist: Das war kein Unternehmen, das nicht wusste, dass es Zugriffe prüfen sollte. Sie wussten es. Sie hatten es versucht. Die Reviews wurden einfach nie fertig.

Bevor wir irgendetwas gebaut haben, sind wir also losgegangen und haben nach dem Warum gefragt. Nicht in einem Workshop mit dem Governance-Team, das völlig kompetent ist und nie das Problem war. Wir sind zu den Menschen gegangen, die die Review-Anfrage tatsächlich erhalten: den Arbeitsbereichsbesitzern. Die Teamleiterin, die vor drei Jahren einen Teams-Kanal für einen Produktlaunch eingerichtet hat. Sie besitzt ihn seither, ohne sich ein einziges Mal als Besitzerin von irgendetwas gesehen zu haben.

Sie haben nie ein Governance-Tool gekauft. Sie haben kein Interesse an Governance. Und sie sind der Single Point of Failure der gesamten Kontrolle.

Drei Hürden, und nur eine davon ist die entscheidende

Als wir das Problem auseinandergenommen haben, standen drei Dinge Reviews im Weg. Zwei davon sind die, über die alle sprechen. Die dritte entscheidet darüber, ob die Kontrolle funktioniert.

Die erste ist die Verbindlichkeit. Reviews waren im Umfang alles oder nichts, weshalb ein Administrator, der nur Besitzer bestätigt haben wollte, oft gar nichts anfing. Alles oder nichts macht aus einer Routine ein Projekt. Der Administrator sieht die Größe, beschließt, es nächstes Quartal richtig zu machen, und startet nichts. Diese Hürde verhindert, dass Reviews beginnen.

Die zweite ist die Fachkenntnis. Der Review setzte voraus, dass der Prüfer Governance-Jargon, SharePoint-Gruppen und Freigaberisiken versteht. Tut er nicht, und muss er auch nicht. Der Prüfer öffnet die Anfrage, trifft auf Sprache, die für Governance-Spezialisten gebaut ist, und kann nicht erkennen, ob das, was er sieht, ein Problem ist. Also tut er nichts, und nichts zu tun ist die Option, die sich am sichersten anfühlt.

Die dritte ist die Oberfläche. Ein dichtes Tree-Grid, gebaut für Governance-Spezialisten, in die Hand gegeben von jemandem, der keiner ist. Für eine Person, die berufsmäßig Berechtigungsmodelle liest, ist das in Ordnung. Für eine Teamleiterin mit fünfzehn Minuten ist es eine Wand. Zusammen mit der Fachkenntnis ist das die eigentlich entscheidende Hürde, denn beide verhindern, dass Reviews fertig werden.

Die Unterscheidung ist wichtig. Die erste Hürde ist ein Administratorproblem und verhindert, dass Reviews beginnen. Die zweite und dritte sind Prüferprobleme und verhindern, dass sie fertig werden. Ein Review, der stillschweigend nie fertig wird, ist schlimmer als einer, der nie beginnt, weil alle annehmen, er sei erledigt. Das Dashboard sagt, da draußen läuft ein Review. Niemand erfährt, dass er beim Kontakt mit einem echten Menschen gestorben ist.

Wir hatten der wichtigsten Person im Prozess ein Werkzeug in die Hand gegeben, das für jemand anderen gebaut war.

Also haben wir den Review dorthin verlegt, wo der Prüfer schon ist

Die Entscheidung, die am meisten verändert hat, war, den Review in eine schrittweise geführte Aufgabe innerhalb von Microsoft Teams zu verwandeln. Nicht ein Link in einer E-Mail auf ein Spezialistenportal. Die Aufgabe selbst, in der App, die ohnehin offen ist.

Das ist aus einem unspektakulären Grund wichtig: kein separates Tool, kein zusätzlicher Login, keine Schulung. Niemand muss erst etwas lernen, damit die Kontrolle funktioniert.

Das landet vor dem Prüfer. Die Aufgabe beginnt mit dem Arbeitsbereich, seiner Datenschutzeinstellung, seiner Vertraulichkeitsbezeichnung, dem Zeitpunkt der letzten Nutzung und der Fälligkeit. Dann führt sie durch die Schritte, die der Administrator in den Umfang genommen hat, einen nach dem anderen.

Besitzer kommen zuerst, also alle, die den Arbeitsbereich verwalten können, mit Name, Position und Rolle. Dann folgen Mitglieder, also alle, die Unterhaltungen, Dateien und Kanäle erreichen können. Gäste werden hier mitgeprüft, mit der Rolle Gast, statt auf einem eigenen Bildschirm versteckt zu werden. Besucher deckt den Lesezugriff auf die verbundene SharePoint-Site ab.

Dann zwei Schritte, die den Arbeitsbereich selbst betreffen und nicht die Menschen darin. Site-Zugriff listet die Gruppen, SharePoint-Gruppen und Einzelpersonen mit eigenen Berechtigungen auf der Site. Dateizugriff listet Dateien, die über Freigabelinks außerhalb des Arbeitsbereichs geteilt sind, sortiert nach anonym, extern, organisationsweit und intern.

Der letzte Schritt ist eine Zusammenfassung der Änderungen, und nichts weiter. Dann ein Kommentar für den Administrator, dann abschließen. Ein eng gefasster Review kostet ein paar Klicks in Teams.

Der Prüfer handelt an der Stelle, statt eine Anfrage an jemand anderen zu stellen. Er bestätigt, entfernt oder ergänzt Personen in jedem Schritt. Eine Zeile stehen zu lassen ist die Bestätigung. Ein Arbeitsbereich ohne Änderungsbedarf ist in Sekunden erledigt. Am Ende kann er den Arbeitsbereich archivieren oder löschen, wo der Administrator das freigegeben hat. Er kann den Review auch ablehnen, und das ist eine gültige Antwort, kein Scheitern. Wenn ein Review bei der falschen Person landet, ist es hilfreich, das zu sagen.

Ein Detail ist wichtiger, als ich erwartet hatte. Der Hinweistext oben im Review wird vom IT-Team des Kunden geschrieben, nicht von uns. Administratoren füllen ihn pro Zeitplan in eigenen Worten aus und benennen ihre eigenen Projekte und Richtlinien. Der Prüfer liest also eine Anleitung von Menschen, die er kennt, und das wirkt besser als alles, was ein Hersteller für ihn schreiben könnte.

Ein Arbeitsbereich kann außerdem mehrere Prüfer haben, und der Review setzt dort fort, wo die letzte Person aufgehört hat. Damit fällt die offensichtliche Schwäche eines Designs weg, das auf einem einzelnen Besitzer aufbaut. Ist der Besitzer im Urlaub, übernimmt eine Kollegin und macht weiter.

Fangen Sie dort an, wo Sie sich sicher fühlen

Wir haben außerdem das Alles-oder-nichts im Umfang abgeschafft. Ein Administrator legt einen Zeitplan in dem Umfang fest, den er verantworten kann, und erweitert ihn Zyklus für Zyklus. Nur Besitzer zu prüfen ist ein respektabler Anfang. Das ist besser als der Review, den Sie immer weiter verschieben, bis Sie die ganze Sache richtig machen können.

Besitzer werden immer bestätigt. Mitglieder samt Gästen, Besucher, Site-Zugriff und Dateizugriff sind jeweils optional. Was der Administrator auswählt, wird zu den Schritten, durch die der Prüfer geführt wird, in dieser Reihenfolge, gefolgt von der Zusammenfassung. Ein Zeitplan nur über Besitzer gibt dem Prüfer einen Bildschirm und eine Zusammenfassung.

Der Teil, den früher alle ignoriert haben

Es gab eine dritte Lücke, und es ist die, die ich übersehen hätte, wenn wir nur mit Prüfern gesprochen hätten. Machen Sie den Anfang leicht und den Abschluss leicht, und einige Reviews sterben trotzdem, weil es früher nichts kostete, einen zu ignorieren. Ein abgelaufener Review tat vorher genau nichts. Kein Nachfassen, keine Eskalation. Ein ignorierter Review sah aus wie ein abgeschlossener.

Jetzt löst ein ignorierter Review eine Aktion aus. Ich möchte hier präzise sein, denn das ist der Teil, bei dem Nervosität berechtigt ist. Das ist Eskalation mit Kontrolle, nicht Automatisierung von der Leine.

Nichts davon ist standardmäßig aktiv. Der Administrator entscheidet pro Zeitplan, ob eine Folgeaktion greift und was sie tut. Sensible Aktionen wie das Löschen haben eine Variante mit Genehmigung, sodass ein Mensch zustimmt, bevor etwas entfernt wird, und Prüferaktionen müssen ausdrücklich bestätigt werden. Der Ablauf allein löscht nie etwas. Er markiert den Review als ungeprüft und löst aus, was der Administrator konfiguriert hat. Nichts verschwindet, weil eine Frist verstrichen ist.

Belege statt Prozentwerte

Das Letzte, was wir geändert haben, ist das, was ein Review hinterlässt. Wir haben aufgehört, so zu tun, als würde ein Abschlussgrad etwas bedeuten, denn er tut es nicht. Neunzig Prozent abgeschlossen sagt Ihnen, dass neunzig Prozent der Menschen auf eine Schaltfläche geklickt haben. Über ihre Entscheidung sagt es nichts.

Reviews erfasst deshalb zwei getrennte Dinge. Status ist der Lebenszyklus: Ist der Review gelaufen. Entscheidung ist das Ergebnis: Zu welchem Schluss ist er gekommen. Beides getrennt zu halten macht aus einem Review eine Nachweisführung statt einer Aktivität. Und es erlaubt einem Auditor, nach Ergebnis zu filtern, statt sich durch alles zu arbeiten.

Es gibt fünf Entscheidungen, und jeder Arbeitsbereich in einem Zyklus trägt eine davon.

Geprüft heißt, der Prüfer hat jeden Schritt im Umfang durchgearbeitet und bestätigt, dass der Zugriff bestehen bleiben soll. Der Auditor sieht, wer bestätigt hat und wann, nicht nur, dass eine Aufgabe geschlossen wurde.

Archiviert heißt, der Arbeitsbereich hatte seinen Zweck erfüllt. Der Prüfer hat das Ganze archiviert, statt Zugriff auf etwas zu bestätigen, das niemand mehr braucht.

Gelöscht ist das stärkste Ergebnis und das mit der meisten Kontrolle darum herum. Löschen hat eine Variante mit Genehmigung, sodass ein Mensch zustimmt, bevor etwas entfernt wird.

Abgelehnt heißt, der Review ist bei jemandem gelandet, der ihn nicht fair beurteilen konnte, und diese Person hat es gesagt. Das ist eine gültige Antwort, kein Scheitern, und es wird als Ergebnis festgehalten, statt in den falschen Händen abzulaufen.

Ungeprüft ist das einzige Ergebnis, das niemand will, und jetzt das einzige, das sich nicht verbergen lässt. Der Ablauf markiert den Review als ungeprüft und löst die Folgeaktion aus, die der Administrator konfiguriert hat. Von sich aus löscht er nie etwas.

Die ersten vier tragen alle den Status abgeschlossen. Ungeprüft trägt den Status abgelaufen. Zu jedem gehört, wer gehandelt hat, wann, und ein vollständiges Aktivitätsprotokoll.

Damit kann eine Sicherheitsverantwortliche vor einem Auditor endlich etwas Belastbares sagen. Zugriffe werden in einem wiederkehrenden Zyklus zertifiziert. Jeder Arbeitsbereich trägt eine Entscheidung, kein Häkchen. Ignorierte Reviews eskalieren, statt zu verschwinden. Das ist ein wiederholbarer Nachweis, und er entsteht als Nebenprodukt des Prozesses, nicht als Projekt, das in der Woche beginnt, in der der Auditor einen Termin bucht.

Warum das kein Hygienethema mehr ist

Microsofts eigener Deployment-Blueprint für Microsoft 365 Copilot hat drei Säulen, in dieser Reihenfolge: Oversharing beheben, Guardrails einrichten, Vorgaben erfüllen. Zu klären, wer was erreichen kann, kommt vor allem anderen. Das ist Microsofts Reihenfolge, nicht unsere.

Die Menge an Inhalten, die KI erreichen kann, wächst weiter. In Gartners 2026 CIO and Technology Executive Survey erwarten 84% der Befragten, dass ihr Unternehmen die Mittel für generative KI in diesem Jahr erhöht. Gartner prognostiziert außerdem, dass bis 2028 die Hälfte der Organisationen eine Zero-Trust-Haltung für Data Governance umsetzt. Zu zertifizieren, wer was erreichen kann, ist der erste Schritt dieser Haltung, nicht der letzte.

Auch die Wege in diese Inhalte werden mehr. Verizons Data Breach Investigations Report 2026 beziffert die regelmäßige Nutzung von KI am Arbeitsplatz auf 45% der Beschäftigten, gegenüber 15% zuvor. Die Berechtigungen haben sich nicht geändert. Die Zahl der Wege, sie zu finden, schon.

Zurück zu diesem Kunden

Das Unternehmen, mit dem ich angefangen habe, brauchte kein besseres Dashboard. Es brauchte die Menschen, die den Zugriff tatsächlich halten, für ein paar Minuten zur Bestätigung, und es brauchte danach den Nachweis, dass das passiert ist. Alles oben Beschriebene existiert, weil sich das als Designproblem herausgestellt hat und nicht als Governance-Problem.

Das Letzte, was zu sagen ist, ist kaufmännisch. Reviews ist in der Rencore Teams App enthalten, die Sie schon haben, im Rahmen derselben Tier-Berechtigung. Nichts zusätzlich zu kaufen, nichts einzuschalten. Das ist Governance, für die Sie bereits zahlen, und sie schließt endlich den Kreis.

Wie das Team den Release sieht, samt der vier Dinge, die wir bewusst weggelassen haben, beschreibt Tiina Rytkönen in Wir haben Access Reviews um die Menschen herum neu gebaut, die sie durchführen müssen.

Reviews ist da

Öffnen Sie die Rencore Teams App und legen Sie Ihren ersten Zeitplan fest. Fangen Sie mit Besitzern an, wenn Sie sich dort sicher fühlen. Der Punkt ist, dass es dieses Mal fertig wird.

Richten Sie Ihren ersten Review ein

Ein Hinweis zum Umfang

Zur allgemeinen Verfügbarkeit deckt Reviews vier Services ab. Microsoft Teams, geprüft zusammen mit der verbundenen SharePoint-Site, dazu eigenständige SharePoint-Sites, Viva Engage Communities und Microsoft 365 Gruppen. Die Abdeckung wird Service für Service ausgerollt, mit dem höchsten Berechtigungsrisiko zuerst, weitere Services folgen.

Volle Parität mit der früheren Access Reviews Erfahrung kommt zum Ende der Lebensdauer dieser Erfahrung, nicht zur allgemeinen Verfügbarkeit. Reviews startet ohne Altlasten, Historie und Konfiguration werden also nicht übernommen.

Site-Zugriff und Dateizugriff zeigen nur eindeutige Berechtigungen. Zugriff, der über die Site-Struktur vererbt wird, und Dateien, die den Einstellungen ihres Ordners oder ihrer Bibliothek folgen, werden nicht angezeigt.

Quellen

• Secure and governed data foundation for Microsoft Copilot, Microsoft Learn.
• Gartner Pressemitteilung, 21. Januar 2026, mit Bezug auf die 2026 Gartner CIO and Technology Executive Survey.
• Verizon Data Breach Investigations Report, 2026.
• Der Early-Access-Kunde ist auf eigenen Wunsch anonymisiert.

Zuletzt aktualisiert am 7. September 2026