Wir haben Access Reviews um die Menschen herum neu gebaut, die sie durchführen müssen
Reviews ist ab heute in der Rencore Teams App, im Rahmen der Tier-Berechtigung, die Sie bereits haben. Nichts zusätzlich zu kaufen, nichts einzuschalten. Hier ist, was mein Team neu gebaut hat, und die vier Dinge, die wir bewusst weggelassen haben.
Reviews ist ab heute live in der Rencore Teams App. Für mein Team ist das ein großes Release, und das, bei dem ich am meisten wollte, dass wir es richtig machen.
Wir hatten vorher bereits einen funktionierenden Access Review. Der naheliegende Schritt wäre gewesen, ihn unverändert nach Microsoft Teams zu heben, Bildschirm für Bildschirm. Wir haben ihn nicht gemacht. Wir haben den Review um die Person herum neu gebaut, die ihn abschließen muss, und fast jede Entscheidung weiter unten folgt daraus.
Der Grund kam aus dem Early Access. Ein Kunde, ein großes Unternehmen zehn Jahre nach dem Start mit SharePoint, konnte nicht sagen, was mit “Jeder” geteilt worden war. Ein Jahrzehnt lang stand das als Hygienepunkt auf einer Liste. Dann machte der Rollout von Microsoft 365 Copilot aus denselben Inhalten Antworten, und aus einer schlafenden Berechtigung wurde ein Suchergebnis. Sie wussten, dass sie Zugriffe prüfen sollten. Sie hatten es versucht. Die Reviews wurden nie fertig.
Wir haben dem Team ein Ziel gegeben. Ein Arbeitsbereichsbesitzer ohne Governance-Kenntnisse soll einen Review korrekt abschließen können, mit wenigen Klicks und ohne Schulung.
Der Auftrag war kognitive Last, nicht Funktionsumfang
Jede Designdiskussion wurde an diesem einen Satz entschieden. Deshalb läuft Reviews in Microsoft Teams auf Fluent UI. Fluent UI ist die Designsprache von Teams, die Bedienelemente verhalten sich also bereits so, wie ein Prüfer es erwartet. Es gibt kein separates Werkzeug, keinen zusätzlichen Login und nichts zu lernen, bevor die Kontrolle wirken kann.
Deshalb ist die App auch nach der Aufgabe organisiert und nicht nach den Daten. Offene Arbeit ist einen Klick entfernt. Eine Gliederung nach Objekt, Filter und Eigenschaft ist richtig für einen Governance-Spezialisten und falsch für alle anderen, und der Prüfer gehört zu allen anderen.
Drei Dinge, die wir neu gebaut haben
Den Prüfumfang legt der Administrator fest, damit ein Review starten kann. Besitzer werden immer bestätigt. Mitglieder mit Gästen, Besucher, Site-Zugriff und Dateizugriff sind jeweils optional. Ein Administrator wählt den Umfang, den er belegen kann, und erweitert ihn Zyklus für Zyklus. Ein Zeitplan nur über Besitzer gibt dem Prüfer einen Schritt und eine Zusammenfassung.
Eine geführte Aufgabe mit sechs Schritten. Zuerst Besitzer, dann Mitglieder mit inline aufgeführten Gästen, dann Besucher, dann Site-Zugriff, dann Dateizugriff, dann die Zusammenfassung. In den Personenschritten trägt jede Zeile einen Namen, eine Jobbezeichnung und eine Rolle, und sonst nichts. Es gibt eine Aktion pro Zeile, Entfernen, die zu Rückgängig wechselt. Eine Zeile in Ruhe zu lassen ist die Art, wie ein Prüfer sie bestätigt, und Besitzer und Mitglieder lassen sich ebenso hinzufügen wie entfernen. Jede Entfernung ist bis zum Absenden umkehrbar. Die Anweisungen am Anfang der Aufgabe schreibt die IT-Abteilung des Kunden selbst, in ihren eigenen Worten. Ein Arbeitsbereich kann mehr als einen Prüfer haben, und der Review wird dort fortgesetzt, wo die letzte Person aufgehört hat.
Nachfassen, wenn ein Review ignoriert wird. Ein abgelaufener Review sah bisher genauso aus wie ein abgeschlossener, ihn zu ignorieren kostete also nichts. Jetzt markiert der Ablauf den Review als ungeprüft und löst aus, was der Administrator konfiguriert hat. Nichts davon ist standardmäßig aktiv. Es wird pro Zeitplan gesetzt. Sensible Aktionen wie das Löschen haben eine Variante mit Genehmigung, sodass eine Person zustimmt, bevor etwas entfernt wird. Ein Ablauf allein löscht niemals etwas.
Tobias Tiehmann, Product Manager für Reviews, hat die Prüfer-Recherche hinter diesen drei Entscheidungen in Wer Ihren Access Review durchführt, hat von Governance noch nie gehört aufgeschrieben.
Vier Dinge, die wir bewusst weggelassen haben
Die Liste dessen, was wir weggelassen haben, hat genauso viel entschieden wie die Funktionsliste.
Kein Risiko-Score neben einem Personennamen. Eine Personenzeile zeigt einen Namen, eine Jobbezeichnung und eine Rolle. Beim Site-Zugriff kommt eine Berechtigungsstufe dazu. Beim Dateizugriff kommt dazu, mit wem eine Datei geteilt ist. Wir hätten jede Zeile bewerten können. Eine Teamleitung kann einen Score nicht überprüfen, also würde eine Bewertung die Entscheidung von einer Person, die das Team kennt, zu einer Zahl verschieben, für die niemand verantwortlich ist.
Keine Schaltfläche Behalten. Jede Schaltfläche ist eine Entscheidung, und Entscheidungen sind es, die einen Review ins Stocken bringen. Eine Zeile in Ruhe zu lassen bestätigt sie, ein Arbeitsbereich ohne Änderungsbedarf dauert also Sekunden.
Kein Fortschrittsprozentsatz als Ergebnis. Reviews hält zwei getrennte Felder fest. Der Status ist der Lebenszyklus des Reviews. Die Entscheidung ist das Ergebnis für den Arbeitsbereich: standardmäßig ungeprüft, dann geprüft, archiviert, gelöscht, abgelehnt oder eine benutzerdefinierte Aktion, die der Administrator benannt hat. Neunzig Prozent abgeschlossen sagt Ihnen, dass Menschen geklickt haben. Es sagt Ihnen nicht, zu welchem Schluss sie gekommen sind, und das ist die Frage, die ein Auditor stellt.
Kein optionaler Kommentar. Ein Prüfer muss einen Kommentar für den Administrator schreiben, bevor ein Review abgeschlossen ist, und Absenden bleibt deaktiviert, bis er das tut. Das ist eine Sache mehr zu tippen, und wir haben sie behalten, weil eine Entscheidung ohne begründeten Anlass kein Nachweis ist.
Governance liegt nicht länger bei zwei Personen
Ein oder zwei Administratoren können immer nur einen Teil der Themen abdecken. Keine Funktion hebt diese Grenze, denn die Beschränkung liegt bei den Menschen und nicht bei der Software. Die gesamte Organisation mitzunehmen, sodass Governance geteilt wird, ist das, was das Ergebnis verändert.
Dafür ist Reviews gebaut. Die Menschen, die den Zugriff halten, treffen die Entscheidung, in der App, die sie ohnehin offen haben. Die Plattform hält fest, was sie entschieden haben, und fasst nach, was sie ignorieren.
Warum wir jetzt ausgeliefert haben
Microsofts eigener Deployment-Blueprint für Microsoft 365 Copilot benennt drei Säulen in dieser Reihenfolge: Oversharing beheben, Guardrails einrichten, Vorgaben erfüllen. Zu klären, wer was erreichen kann, kommt zuerst. Das ist Microsofts Reihenfolge, nicht unsere.
Die Menge an Inhalten, die KI erreichen kann, wächst weiter. Im 2026 Gartner CIO and Technology Executive Survey erwarten 84 Prozent der Befragten, dass ihr Unternehmen die Mittel für generative KI in diesem Jahr erhöht. Gartner sagt außerdem voraus, dass bis 2028 die Hälfte der Organisationen eine Zero-Trust-Haltung für Data Governance umsetzen wird. Zu belegen, wer was erreichen kann, ist der erste Schritt dieser Haltung.
Auch die Wege in diese Inhalte hinein werden mehr. Verizons Data Breach Investigations Report 2026 beziffert die regelmäßige Nutzung von KI am Arbeitsplatz auf 45 Prozent der Beschäftigten, gegenüber zuvor 15 Prozent. Diese Berechtigungen wurden vor Jahren gesetzt. Geändert hat sich, wie leicht sie jetzt erreichbar sind.
Reviews ist live in Ihrer Rencore Teams App
Öffnen Sie sie und richten Sie Ihren ersten Zeitplan ein. Nur Besitzer ist ein guter erster Zyklus, und Sie können den Umfang erweitern, sobald Sie gesehen haben, was zurückkommt. Reviews ist Teil der Rencore Teams App, im Rahmen der Tier-Berechtigung, die Sie bereits haben. Es gibt nichts zusätzlich zu kaufen und nichts einzuschalten.
Richten Sie Ihren ersten Review ein
Ein Hinweis zum Umfang
Zur allgemeinen Verfügbarkeit deckt Reviews vier Dienste ab. Microsoft Teams, geprüft zusammen mit der verbundenen SharePoint-Site, dazu eigenständige SharePoint-Sites, Viva Engage Communities und Microsoft 365 Gruppen. Die Abdeckung wird Dienst für Dienst ausgerollt, das höchste Berechtigungsrisiko zuerst, weitere Dienste folgen. Vollständige Parität mit der bisherigen Access-Reviews-Erfahrung kommt zum Ende des Lebenszyklus dieser Erfahrung, nicht zur allgemeinen Verfügbarkeit. Reviews startet ohne Altlasten, Historie und Konfiguration werden also nicht übernommen. Site-Zugriff und Dateizugriff listen nur eindeutige Berechtigungen. Zugriff, der aus der Site-Struktur vererbt wird, und Dateien, die den Einstellungen ihres Ordners oder ihrer Bibliothek folgen, werden nicht angezeigt.
Quellen
- Microsoft 365 Copilot Blueprint zu Oversharing, Microsoft Learn.
- Gartner Pressemitteilung, 21. Januar 2026, unter Berufung auf den 2026 Gartner CIO and Technology Executive Survey.
- Verizon Data Breach Investigations Report, 2026.
- Der Early-Access-Kunde ist auf eigenen Wunsch anonymisiert.
Zuletzt aktualisiert am 7. September 2026
