Microsoft Copilot
Eine Zugriffsprüfung ist die regelmäßige, vom Owner geführte Bestätigung, dass die Personen und Gäste mit Zugriff auf eine Ressource ihn noch brauchen. In festem Zyklus über Microsoft 365 Workspaces durchgeführt, hält sie Zugriffe im Einklang mit dem Bedarf und hinterlässt einen Beleg, dass jede Berechtigung geprüft wurde, und genau den wollen Prüfer und Aufsicht sehen.
Kurz gesagt
- Zugriffe werden leicht vergeben und selten entzogen, deshalb verschieben sie sich, wenn niemand sie prüft.
- Der Owner einer Ressource weiß, ob ein Zugriff noch gebraucht wird, eine zentrale IT-Warteschlange meist nicht.
- Eine Prüfung senkt das Risiko nur, wenn unbestätigte Zugriffe entfernt werden.
- Bewahren Sie den Beleg jeder Entscheidung auf, denn dieser Beleg ist der Nachweis.
Warum sich Zugriffe verschieben
Projekte enden, Menschen wechseln Teams, Partner schließen ihre Arbeit ab, und ihre Zugriffe bleiben. Mit der Zeit wächst die Lücke zwischen denen, die ein Team, eine Website, eine Gruppe oder eine Viva-Engage-Community erreichen können, und denen, die es sollten. Jede überzählige Berechtigung ist ein Weg für Oversharing, und Copilot folgt jedem davon, wenn es eine Frage beantwortet.
Die Mechanik einer Prüfung ist einfach. Schwer ist die Disziplin: Prüfungen, die Owner selbst durchführen, in einem Zyklus, mit Konsequenzen, wenn Zugriffe nicht bestätigt werden, und mit einem Beleg, der das nächste Audit übersteht.
Schritt für Schritt
Fünf Schritte machen die Zugriffsprüfung von einer jährlichen Übung zu einer Routine, die Owner im normalen Arbeitsalltag erledigen.
-
Den Umfang festlegen
Legen Sie fest, welche Ressourcen geprüft werden: Teams, SharePoint-Websites, Microsoft 365-Gruppen und Viva-Engage-Communitys. Nehmen Sie Gäste und externe Nutzer ausdrücklich auf.
-
Jede Prüfung an den Owner leiten
Senden Sie jede Prüfung an die Owner der Ressource, nicht an eine zentrale IT-Warteschlange. Owner wissen, ob ein Mitglied den Zugriff noch braucht, und ihre Bestätigung macht das Ergebnis vertretbar.
Tipp: Sorgen Sie dafür, dass jede Ressource vor dem ersten Zyklus einen Owner hat. Ressourcen ohne Owner gehen an die Führungskraft des letzten bekannten Owners.
-
Den Zyklus nach Risiko festlegen
Prüfen Sie die meisten Ressourcen vierteljährlich und Ressourcen mit Gästen oder sensiblen Daten häufiger. Eskalieren Sie unbeantwortete Prüfungen an die Führungskraft des Owners, statt sie verfallen zu lassen.
-
Auf das Ergebnis handeln
Entfernen Sie Zugriffe, die Owner nicht bestätigen, wenn die Prüfung abschließt, nicht irgendwann später, und informieren Sie die Betroffenen.
-
Den Nachweis aufbewahren
Bewahren Sie einen Beleg auf, wer was wann geprüft hat und was entfernt wurde, damit Sie zeigen können, dass Zugriffe über die Zeit geprüft wurden. DORA, NIS2 und die interne Revision fragen danach.
Konnektoren in dieser Anleitung
Jede Konnektor-Seite in der Rencore-Dokumentation listet die Objekte, Richtlinien, Berichte und Aktionen hinter diesen Schritten.
In Rencore ansehen
Kurze vertonte Produkt-Guides, die direkt im Browser laufen, ohne Anmeldung.
-
Geplantes Eigentümer-Review
Dauer: 5 Min.Mitglieder- und Gästelisten veralten Woche für Woche, und niemand prüft sie, solange kein Review dazu zwingt.
- Teams
- Reviews
-
Zugriffe von Gästen und Externen rezertifizieren
Dauer: 4 Min.Gäste und Externe behalten ihren Zugriff lange nach Ende der Zusammenarbeit, und niemand bestätigt, ob jeder Einzelne ihn noch braucht.
- Teams
- SharePoint
- Entra ID
- Reviews
- Access & Sharing
-
Unbeantwortete Reviews eskalieren
Dauer: 5 Min.Zugriffs-Reviews bleiben liegen, wenn Eigentümer sie ignorieren, und jedes unbeantwortete Review lässt den Zugriff bestehen.
- Teams
- Reviews
- Automation
-
Einen Arbeitsbereich mit geschäftlicher Begründung behalten
Dauer: 4 Min.Ein alter Arbeitsbereich übersteht jede Bereinigung, doch wenn der Auditor fragt, hat niemand festgehalten, warum er noch gebraucht wird.
- SharePoint
- Teams
- Reviews
- Sprawl & Lifecycle
Entra ID 
Zuletzt aktualisiert am 8. Oktober 2026
