Reicht SharePoint Advanced Management (SAM) für M365-Governance aus?

Wenn Sie SharePoint Advanced Management (SAM) als Governance-Lösung für Microsoft 365 in Betracht ziehen, sollten Sie eines im Voraus wissen: SAM regelt nur SharePoint Online. Das ist eine sinnvolle Einschränkung, wenn sensible Daten, KI-Agenten und unkontrollierter Wildwuchs auch in Teams, OneDrive, der Power Platform und Copilot existieren.

SAM bietet SharePoint-Administratoren echte Möglichkeiten, die sie zuvor nicht hatten. Aber wenn Ihr Ziel die Copilot-Bereitschaft oder die unternehmensweite Governance ist, ist es ein Ausgangspunkt, nicht eine vollständige Lösung.

In diesem Artikel erfahren Sie, was SAM tatsächlich leistet, wie seine neun Funktionen funktionieren, wie es lizenziert wird und wo seine Reichweite endet.

Die wichtigsten Erkenntnisse:

• SharePoint Advanced Management (SAM) ist Teil von SharePoint Premium und gilt speziell für SharePoint Online.
• Es umfasst neun Funktionen für Sicherheit, Zugriffskontrolle, Lebenszyklusmanagement und Data-Governance-Berichte.
• SAM wird pro Benutzer im SharePoint Advanced Management Plan 1 lizenziert oder ist in einigen Microsoft 365 E5-Plänen enthalten.
• SAM deckt nicht Teams, die Power Platform, Copilot Studio-Agenten oder andere M365-Dienste ab.
• Für Unternehmen, die Copilot bereitstellen oder komplexe M365-Umgebungen verwalten, muss SAM mit umfassenderen Governance-Tools kombiniert werden.

Was ist SharePoint Advanced Management (SAM)?

SharePoint Premium ist die erweiterte Inhaltsverwaltungsebene von Microsoft für SharePoint Online. Sie bündelt KI-gestützte Funktionen, OCR-Funktionen, leichte Prozessautomatisierung sowie Governance-Tools in einem einzigen Angebot. Die meisten SharePoint Premium-Funktionen werden auf Verbrauchsbasis über ein Azure Pay-As-You-Go-Abonnement lizenziert. SAM ist die Ausnahme.

Microsoft SharePoint Advanced Management ist eine spezielle Komponente von SharePoint Premium. Ihr Fokus ist enger gefasst: Sie unterstützt Organisationen bei der Implementierung von Sicherheits- und Governance-Kontrollen in SharePoint Online, ohne dass der Zugriff auf andere Microsoft-Verwaltungstools erforderlich ist.

Für wen ist SAM gedacht?

SAM wurde für SharePoint-Administratoren entwickelt, die Governance-Kontrollen benötigen, jedoch möglicherweise keinen Zugriff auf Microsoft Entra ID, Microsoft Purview oder Microsoft Defender haben. In vielen großen Unternehmen werden diese Plattformen von separaten Teams verwaltet. Eine teamübergreifende Zusammenarbeit kann langsam und frustrierend sein.

Für die alltägliche SharePoint-Online-Richtlinienverwaltung bietet SAM Administratoren einen praktischen Weg, der sie allein weiterbringt. Es deckt die häufigsten Szenarien der Richtlinienverwaltung in SharePoint ab: Einschränkung des Websitezugriffs, Durchsetzung von Richtlinien für den bedingten Zugriff, Verwaltung des Website-Lebenszyklus und Berichterstattung über Oversharing.

Wenn Sie jedoch ein CIO, ein Leiter der Abteilung für digitale Transformation oder ein Compliance Officer sind, der SAM als strategische Lösung zur Verwaltung von SharePoint-Richtlinien evaluiert, sollten Sie verstehen, wofür sie entwickelt wurde. Sie wurde für operative SharePoint-Verwaltungsarbeit entwickelt. Sie bietet der IT-Leitung weder eine einheitliche Sicht auf die Compliance-Situation noch plattformübergreifende Kontrolle über Microsoft 365.

Wo SAM in das Microsoft Governance-Ökosystem passt

Microsofts Governance-Toolkit umfasst mehrere Plattformen. Purview kümmert sich um Datenklassifizierung und Compliance. Entra ID verwaltet Identität und Zugriff. Defender deckt den Schutz vor Bedrohungen ab. Unter den nativen SharePoint-Verwaltungstools von Microsoft füllt SAM eine spezifische Lücke bei der Verwaltung von SharePoint Online.

Betrachten Sie es als eine skalierte Schicht, die mit diesen Tools zusammenarbeitet. Es kann eine Verbindung zu Entra-Zugangsberechtigungsrichtlinien herstellen und auf Purview-Empfindlichkeitskennzeichnungen verweisen, sein nativer Anwendungsbereich bleibt jedoch innerhalb von SharePoint Online.

Diese Grenze ist wichtig, wenn Sie versuchen, einen kompletten Microsoft 365-Tenant in großem Umfang zu verwalten.

Microsoft SharePoint Advanced Management-Lizenzierung

Im Gegensatz zu den meisten SharePoint-Premium-Funktionen verwendet SAM ein Lizenzierungsmodell pro Benutzer. Jeder Benutzer in Ihrer Organisation benötigt eine Microsoft SharePoint Premium - SharePoint Advanced Management-Lizenz (SAM Plan 1), um die SAM-Funktionen vollständig nutzen zu können.

Mehrere SAM-Funktionen sind jedoch auch über Microsoft 365 E5, A5 und G5 sowie über die entsprechenden Compliance- oder Sicherheitslizenzen verfügbar. Wenn Ihr Unternehmen bereits über eine E5-Abdeckung verfügt, prüfen Sie, welche Funktionen bereits enthalten sind, bevor Sie SAM separat erwerben.

Sobald Sie SAM-Lizenzen zugewiesen haben, wird im SharePoint Online Admin Center ein spezieller Abschnitt angezeigt. Dort werden alle neun Funktionen, ihre Konfigurationspfade sowie Links zur Microsoft-Dokumentation zu jeder Funktion aufgeführt.

SharePoint Advanced Management-Funktionen und ihre Governance-Lücken

Hier finden Sie eine Aufschlüsselung der neun SAM-Funktionen, was jede einzelne Funktion bewirkt und welche Lücken für Organisationen mit umfassenderen Governance-Anforderungen bestehen.

1. Blockieren von Download-Richtlinien für SharePoint und OneDrive

Erforderlich: SAM Plan 1

Mit der Funktion "Download-Richtlinie blockieren" können SharePoint-Administratoren verhindern, dass Benutzer Dateien von bestimmten SharePoint-Websites oder OneDrive-Konten herunterladen, drucken oder synchronisieren. Benutzer können Dateien weiterhin in Office-Online-Anwendungen öffnen und bearbeiten, sodass ihre Produktivität nicht vollständig beeinträchtigt wird.

Die Konfiguration erfolgt über PowerShell. Die Richtlinie kann auf einzelne Websites ausgerichtet oder unternehmensweit angewendet werden. Sie unterstützt auch die Filterung von Sensibilitätskennzeichnungen, sodass Sie Downloads von Dateien mit der Kennzeichnung "Vertraulich" blockieren können, während andere frei heruntergeladen werden können.

Weitere Informationen: So legen Sie diese Richtlinie für eine SharePoint-Website fest

Governance-Lücke: Diese Richtlinie gilt nur für SharePoint- und OneDrive-Sites. Dateien in Teams-Kanälen oder in Power Platform-Umgebungen sind nicht abgedeckt. Wenn sensible Daten an anderer Stelle in Ihrem M365-Tenant generiert oder darauf zugegriffen werden, gilt diese Richtlinie nicht für diese Daten.

2. Ändern Sie den Verlaufsbericht

Erfordert: SAM-Plan 1

Die Funktion Änderungsverlauf erstellt .csv-Berichte über Konfigurationsänderungen, die von globalen Administratoren, SharePoint-Administratoren und Website-Administratoren in den letzten 180 Tagen vorgenommen wurden. Admins greifen im SharePoint Admin Center auf die Berichte zu und können nach Datumsbereich, Website oder Benutzer filtern.

Die Berichte sollen Organisationen dabei helfen, Änderungen an der SharePoint-Konfiguration auf verschiedenen Ebenen zu überwachen und Abweichungen vom gewünschten Zustand zu erkennen. Es wird empfohlen, diese Berichte regelmäßig zu überprüfen. Die Erstellung der Berichte kann je nach den gewählten Kriterien einige Stunden dauern.

Weitere Informationen: Berichte zum Änderungsverlauf erstellen

3. Bedingte Zugriffsrichtlinien für SharePoint und OneDrive

Erfordert: SAM Plan 1, oder Microsoft E5/A5/G5 und verwandte Varianten

Diese Funktion verbindet SharePoint-Sites über Authentifizierungskontexte mit Microsoft Entra-Richtlinien für bedingten Zugriff. Wenn Benutzer auf eine bestimmte Site zugreifen, müssen sie die in der Entra-Richtlinie definierten Bedingungen erfüllen, z. B. ein verwaltetes Gerät verwenden, den Nutzungsbedingungen zustimmen oder sich mit einem FIDO2-Schlüssel authentifizieren.

Um diese Funktion zu konfigurieren, müssen Administratoren zunächst einen Authentifizierungskontext und eine Richtlinie für bedingten Zugriff in Microsoft Entra ID einrichten. Der Authentifizierungskontext wird dann über eine von zwei Methoden auf die entsprechenden SharePoint-Sites angewendet:

1. Anwenden des Authentifizierungskontextes direkt auf die Site mit PowerShell
2. Konfigurieren Sie ein Empfindlichkeitslabel auf Site-Ebene und wenden Sie es auf die Site an.

Beschränkungen: Die Richtlinie kann nicht auf die SharePoint-Stammwebsite angewendet werden. Mehrere Microsoft-Anwendungen unterstützen keine Authentifizierungskontexte, darunter Teile von Teams, Viva Engage, plattformübergreifendes Outlook und OneDrive Sync.

Weitere Informationen: Richtlinie für bedingten Zugriff für SharePoint-Sites und OneDrive

Governance-Lücke: Der bedingte Zugriff über SAM gilt nur für SharePoint und OneDrive. Copilot Studio-Agenten, Power Automate-Flows und andere M365-Dienste, die auf SharePoint-Daten zugreifen, werden von dieser Richtlinienebene nicht abgedeckt. Sie können einschränken, wie Benutzer auf Inhalte zugreifen, aber nicht, wie KI-Agenten diese konsumieren.

4. Berichte zur Datenzugriffssteuerung

Erfordert: SAM Plan 1 oder Microsoft E5

Berichte zur Datenzugriffssteuerung helfen Administratoren, eine mögliche Überfremdung in SharePoint Online zu erkennen. Es gibt drei Berichtstypen:

• Bericht "Freigabelinks": Listet Websites auf, die über Links "Jeder", "Personen in der Organisation" oder "Bestimmte Personen" extern freigegeben werden
• Bericht "Auf Dateien angewendete Sensibilitätskennzeichnungen": Sucht nach Sites, die Office-Dateien (Word, Excel, PowerPoint und PDF) mit bestimmten Sensibilitätskennzeichnungen enthalten
• Bericht "Freigegeben für alle außer externen Benutzern": Identifiziert Sites, die für diese breite integrierte Gruppe freigegeben sind, mit Filtern für Site-Vorlage, Datenschutzeinstellungen und Berechtigungsstufe

Die Berichtsausgaben sind nicht besonders detailliert. Jeder Datenzugriffsbericht enthält eine Liste der Websites, bei denen eine übermäßige Freigabe vorliegen könnte, die Anzahl der Dateien mit ausgewählten Sensibilitätskennzeichnungen sowie den Hauptadministrator für jede Website. Das reicht für einen SharePoint-Administrator aus, um festzustellen, welche Sites Aufmerksamkeit erfordern, und sich mit dem jeweiligen Eigentümer in Verbindung zu setzen, um Abhilfemaßnahmen zu empfehlen oder durchzuführen.

Beschränkungen: Die Berichte sind auf 100 Websites begrenzt, wenn sie im Verwaltungszentrum angezeigt werden. CSV-Exporte sind für bis zu 10.000 Websites möglich. Die Erstellung von Berichten kann mehrere Stunden dauern und nur einmal alle 24 Stunden erfolgen. OneDrive-Daten sind weitgehend ausgeschlossen.

Weitere Informationen: Data access governance reports for SharePoint sites

Governance-Lücke: Diese Berichte geben Ihnen lediglich eine SharePoint-Ansicht der Überfremdung. Sie zeigen keine Risiken in Teams-Chats, Copilot-Konversationen oder Power Platform-Konnektoren auf. Für Unternehmen, die sich auf den Einsatz von Copilot vorbereiten, kann dieses unvollständige Bild ein falsches Gefühl der Bereitstellung vermitteln. Copilot hört bei SharePoint nicht auf.

5. Standardmäßige Sensibilitätskennzeichnungen für Dokumentenbibliotheken

Erfordert: Microsoft 365 E5/A5/G5 oder Compliance-/Sicherheitsvarianten

Hinweis: Die Lizenzierung dieser Funktion hat sich geändert. Sie erfordert jetzt eine E5-Tier-Lizenz und nicht mehr den SAM Plan 1, auch wenn sie weiterhin im Abschnitt SharePoint Advanced Management des Admin-Centers angezeigt wird.

Mit dieser Funktion wird neuen Dateien, die in eine SharePoint-Dokumentenbibliothek hochgeladen oder dort erstellt werden, automatisch ein Sensitivitätslabel zugewiesen. Wenn eine Datei bereits eine Kennzeichnung mit gleicher oder höherer Priorität trägt, wird diese durch die Standardkennzeichnung nicht überschrieben.

Sie ermöglicht eine standortbezogene Kennzeichnung, ohne dass eine Inhaltsprüfung erforderlich ist. Dateien, die in eine Bibliothek mit dem Namen "Vertrauliche Verträge" hochgeladen werden, können beispielsweise automatisch von Microsoft Purview Information Protection mit dem Label "Vertraulich" versehen werden.

Einschränkung: Die Kennzeichnung gilt nur für neue Dateien. Vorhandene Dokumente in der Bibliothek werden nicht rückwirkend gekennzeichnet.

Weitere Informationen: Konfigurieren Sie eine Standard-Empfindlichkeitsbezeichnung für eine SharePoint-Dokumentenbibliothek

6. OneDrive-Zugriffsbeschränkungsrichtlinie

Erfordert: SAM Plan 1

Die OneDrive-Zugriffsbeschränkungsfunktion schränkt den Zugriff auf die OneDrive-Inhalte eines Benutzers auf Mitglieder einer bestimmten Entra-Sicherheitsgruppe ein. Selbst wenn ein Benutzer eine Datei mit jemandem außerhalb der Gruppe teilt, wird der Zugriff für diese Person gesperrt.

Die Richtlinie wird zum Zeitpunkt des Zugriffs durchgesetzt. Benutzer außerhalb der Gruppe können Dateien in den Suchergebnissen weiterhin sehen, wenn sie über direkte Berechtigungen verfügen, aber sie werden beim Versuch, sie zu öffnen, blockiert. Die Konfiguration ist über das SharePoint Admin Center oder über PowerShell möglich.

Weitere Informationen: Beschränken Sie den Zugriff auf die OneDrive-Inhalte eines Benutzers auf Personen in einer Gruppe

7. Letzte SharePoint-Admin-Aktionen

Erfordert: SAM Plan 1 (für erweiterte Historie)

Mit einer SAM-Lizenz können Administratoren bis zu 30 Änderungen an Seiteneigenschaften anzeigen, die in den letzten 30 Tagen im SharePoint Admin Center vorgenommen wurden, auch über mehrere Browser-Sitzungen hinweg. Ohne SAM zeigt das Panel nur Änderungen der aktuellen Sitzung an und wird beim Schließen des Browsers gelöscht.

Begrenzungen: Das Panel zeigt nur Änderungen an, die vom aktuell angemeldeten Administrator vorgenommen wurden, nicht von anderen Administratoren. Änderungen, die auf Organisationsebene an den Site-Eigenschaften vorgenommen wurden, erscheinen ebenfalls nicht im Panel. Es handelt sich um ein leichtes Audit-Tool zur individuellen Überprüfung. Es ist kein Ersatz für die zentralisierte Audit-Protokollierung in Microsoft 365.

Weitere Informationen: Überprüfen Sie Ihre letzten Änderungen an SharePoint-Webseiteneigenschaften

8. Verwaltung des Lebenszyklus einer Website

Erfordert: SAM-Plan 1

Diese Funktion, auch als Richtlinie für inaktive Websites bekannt, identifiziert automatisch inaktive SharePoint-Websites und benachrichtigt deren Eigentümer. Administratoren konfigurieren die Inaktivitätskriterien im SharePoint Admin Center, z.B. keine Aktualisierungen oder keine Benutzeraktivitäten über einen bestimmten Zeitraum.

Wenn eine Website die Kriterien erfüllt, erhält der Websitebesitzer eine E-Mail-Benachrichtigung. Er muss auf "Site zertifizieren" klicken, um sie zu behalten. Wenn die Site zertifiziert ist, wird sie ein Jahr lang nicht mehr überprüft.

Wird nichts unternommen, werden die Benachrichtigungen drei Monate lang monatlich versandt, dann wird eine dreimonatige Pause eingelegt und die monatliche Überprüfung wieder aufgenommen. Administratoren können Berichte über die Ausführung von Richtlinien herunterladen, um zu sehen, auf welchen Websites Maßnahmen ergriffen wurden.

Das Site Lifecycle Management von SAM umfasst auch AI Insights im Admin Center. Es kann die Daten inaktiver Websites analysieren und potenzielle Abhilfemaßnahmen vorschlagen, sodass Administratoren bei der Bereinigung Prioritäten setzen können.

Weitere Informationen: Verwalten von Site-Lifecycle-Richtlinien

9. Zugriffsbeschränkung auf Site-Ebene

Erforderlich: SAM-Plan 1

Diese SAM-Funktion beschränkt den Zugriff auf eine SharePoint-Website auf Mitglieder einer bestimmten Microsoft 365-Gruppe oder einer Entra-Sicherheitsgruppe. Benutzer außerhalb der Gruppe können weder auf die Website noch auf deren Inhalte zugreifen, selbst wenn sie zuvor über Berechtigungen verfügten oder einen freigegebenen Link erhalten haben.

Die Einschränkungen müssen zunächst auf Organisationsebene aktiviert und anschließend Site für Site angewendet werden. Admins konfigurieren diese Richtlinie entweder im SharePoint Admin Center oder über PowerShell. Die Richtlinie funktioniert mit gruppenverbundenen Microsoft 365-Sites, mit Teams-verbundenen Sites sowie mit nicht gruppenverbundenen Sites.

Richtlinien werden zum Zeitpunkt des Zugriffs durchgesetzt. Benutzer können zwar weiterhin Dateien in den Suchergebnissen sehen, aber sie werden beim Öffnen der Dateien gehindert, wenn sie nicht der angegebenen Gruppe angehören.

Weitere Informationen: SharePoint-Site-Zugriff mit Microsoft 365-Gruppen und Entra-Sicherheitsgruppen einschränken

Wie unterstützt SAM die Copilot-Governance?

Microsoft hat SharePoint Advanced Management als empfohlenen Schritt bei der Vorbereitung auf die Bereitstellung von Microsoft 365 Copilot positioniert. Die Logik ist schlüssig: Wenn Copilot Websites mit zu weit gefassten Berechtigungen abfragen kann, werden Inhalte angezeigt, die Benutzer nicht sehen sollten.

Die SAM-Funktionen Data Access Governance Reports und Site-Level Access Restriction adressieren dies direkt. Sie helfen Administratoren dabei, übermäßige Freigaben zu erkennen und den Zugriff auf Websites zu sperren, bevor Copilot aktiviert wird.

Aber hier endet die Unterstützung. SAM deckt mehrere Risiken nicht ab, die sich direkt auf Copilot Governance und Bereitschaft auswirken:

• Kein Einblick in Copilot Studio-Agenten
• Schattenagenten, die ohne Aufsicht erstellt wurden, können nicht erkannt werden
• Kann Agenten, die ohne Genehmigung auf vertrauliche SharePoint-Sites verweisen, nicht kennzeichnen
• Kann nicht warnen, wenn ein Agent für die gesamte Organisation freigegeben wird
• Keine Erkennung veralteter Dateien, duplizierter Inhalte oder veralteter SharePoint-Websites, die die Oberfläche von Copilot für Benutzer beeinflussen
• Site Lifecycle Management kennzeichnet inaktive Websites, hilft aber nicht dabei, Prioritäten für die Bereinigung zu setzen oder die Wissensqualität für die Copilot-Bereitschaft zu bewerten

Für Unternehmen, die Copilot über alle Geschäftsbereiche hinweg skalieren, birgt eine reine SharePoint-Governance erhebliche Risiken.

SharePoint Advanced Management vs. Rencore Governance: Was ist der Unterschied?

SAM deckt einen Dienst in einer Umgebung ab, die sich über viele Bereiche erstreckt. Bevor man die Funktionen vergleicht, ist es hilfreich, die drei grundlegenden Einschränkungen von SAM zu verstehen:

• Umfang: SAM funktioniert nur mit SharePoint und OneDrive. Es bietet keinen Einblick in Teams, die Power Platform, Copilot oder Copilot Studio-Agenten.
• Klarstellung: SAM ist ein reines Discovery- und Management-Tool. Es zeigt Ihnen den Status quo, bewertet jedoch nicht, ob er gut oder schlecht ist, und bietet keine Best Practices oder Richtlinien an.
• Keine Automatisierung: SAM zeigt Ihnen, was vorhanden ist. Ob und wie man darauf reagiert, bleibt allein dem Administrator überlassen. Es gibt keine Richtliniendurchsetzung, keine automatisierte Abhilfe und keine Berichtshistorie.

Wenn Ihre Governance-Herausforderung Microsoft 365 als Ganzes betrifft, brauchen Sie ein Tool, das über die Erkennung hinausgeht: Rencore Governance.

SAM unterstützt Sie bei der Vorbereitung der SharePoint-Ebene für den Einsatz von Copilot. Rencore Governance hilft Ihnen, alles zu verwalten, was von Copilot abhängt und von ihm erstellt wird.

Von einem zentralen Dashboard aus deckt Rencore Microsoft 365 von Anfang bis Ende ab. Es bewertet Ihre Governance-Situation anhand von Best Practices, automatisiert Workflows zur Behebung von Mängeln und bietet eine vollständige Berichtshistorie, damit Sie nicht jedes Mal bei Null anfangen müssen. Sie können Richtlinien durchsetzen, den Website-Zugriff überprüfen, die Ausbreitung von Agenten verwalten, die Kosten für Copilot-Lizenzen verfolgen und Audit-Berichte für alle Dienste erstellen, nicht nur für SharePoint.

Unter diesem Link können Sie Rencore Governance 30 Tage lang kostenlos testen, um zu sehen, wie es im Vergleich zur Verwaltung von Governance über einzelne Microsoft-Admin-Center abschneidet.

SAM ist eine Grundlage, keine vollständige Governance-Strategie

SharePoint Advanced Management bietet SharePoint-Administratoren neun praktische Kontrollmöglichkeiten für SharePoint Online. Es umfasst Zugriffsbeschränkungen für Websites, Richtlinien zum Blockieren von Downloads, die Integration von bedingtem Zugriff, Berichte zur Datenfreigabe, das Lebenszyklusmanagement und vieles mehr. Für SharePoint-spezifische Governance ist es eine nützliche und kosteneffiziente Ebene, insbesondere wenn Sie bereits über eine entsprechende Microsoft 365-Lizenz verfügen.

Aber der Umfang ist begrenzt. SAM ist nicht für Teams vorgesehen, die die Power Platform oder Copilot Studio betreuen. Es bietet der IT-Leitung keinen einheitlichen Überblick über die Compliance-Situation in M365. Und es befasst sich nicht mit der Ausbreitung von Agenten und den Kostenrisiken, die eine skalierte Einführung von Copiloten mit sich bringt.

Wenn Sie für die Microsoft 365-Governance auf Unternehmensebene verantwortlich sind, sollten Sie SAM verstehen und umsetzen. Es lohnt sich jedoch nicht, es als vollständige Lösung zu betrachten.

Nächste Schritte:

• Überprüfen Sie, welche SAM-Funktionen Ihre aktuelle Microsoft 365-Lizenzierung bereits umfasst.
• Stellen Sie fest, ob Ihr Copilot-Bereitstellungsplan SharePoint-Overscharing-Risiken abdeckt.
• Prüfen Sie, ob Ihre Governance-Abdeckung auf Teams, die Power Platform und Copilot Studio erstreckt sich.
• Informieren Sie sich über Rencore Governance für 365-übergreifende Transparenz an einem zentralen Ort.

Häufig gestellte Fragen (FAQ)