Copilot verlässt euren Tenant nicht. Seine Fragen schon.

vor 1 Tag

11 Min. Lesezeit

Was Purview DLP bei Copilot kontrolliert und was nicht

Auch bei Copilot gilt, dass die gefühlte Sicherheit nicht unbedingt mit der realen übereinstimmt. — Auch bei Copilot gilt, dass die gefühlte und die reale Sicherheit einander nicht unbedingt entsprechen.

„Copilot bleibt in unserer Microsoft-Umgebung" — mit diesem Satz gilt Copilot als die sichere KI. Er stimmt fast immer. Nur nicht, wenn Copilot im Internet nachschlägt.

Dann schickt er Suchbegriffe an Microsofts Suchmaschine Bing, und die können aus euren vertraulichen Dokumenten stammen: eine Vertragsstrafe, der Name eines Kunden. In meinem Test ging beides hinaus. Für solche Suchbegriffe gilt euer Vertrag mit Microsoft nicht mehr. Und die Schutzregel gegen Datenabfluss, die Microsoft dafür anbietet, erkennt von sich aus Kreditkartennummern, aber keine Kundennamen.

Was das für euch bedeutet, ob ihr euch Sorgen machen müsst und wo ihr die Suche abschaltet, steht in diesem Artikel.

Als ich wissen wollte, ob die Vertragsstrafe in einem vertraulichen Vertragsentwurf marktüblich ist, hat Copilot den Vertrag aufgeschlagen, sich die 0,4 Prozent herausgeschrieben und damit bei Bing nachgefragt: „Vertragsstrafe 0,4% Woche Bauvertrag BGH 5%". Die Zahl hatte ich ihm nicht genannt — er hat sie sich selbst mitgenommen. In einer zweiten Frage habe ich den Vertragspartner erwähnt, und sein Name ging unverändert mit hinaus: „Nordwald Maschinenbau GmbH".

Vertrag und Firma sind erfunden; ich habe beides für diesen Test angelegt.

Das Argument, mit dem Copilot als sicher gilt

Copilot bleibt in eurer eigenen Microsoft-Umgebung, dem Tenant — so lautet das Argument, mit dem Copilot als die sichere KI gilt. Und es stimmt für fast alles, was er tut. Er liest nur, worauf ein Nutzer ohnehin Zugriff hat, und was man ihn fragt, wird unter denselben Zusagen gespeichert wie eure Mails und Dateien. Microsoft verspricht außerdem, dass weder Prompts noch Antworten ins Training der Sprachmodelle fließen und dass Copilot für Kunden in der EU innerhalb der EU Data Boundary arbeitet.

Daraus folgt eine Frage, die nahe liegt:

Wenn Copilot die Daten im Tenant verarbeitet, wozu braucht man dann noch DLP für Copilot?

In meinen Projekten höre ich hinter dieser Frage zwei Sorgen. Die eine lautet:

Copilot trägt unsere Daten zu Microsoft. Nur liegen sie dort längst — in Exchange, SharePoint und OneDrive, unter einem Vertrag, der regelt, was Microsoft damit tun darf. Die eigentliche Frage ist deshalb nicht, ob Microsoft die Daten hat, sondern ob Copilot sie aus diesem Vertrag hinausträgt.
Die andere Sorge lautet: Mitarbeiter finden über Copilot, was sie nie hätten finden sollen. Das ist keine Frage des Datenabflusses, sondern der Berechtigungen. Copilot zeigt nur, was ohnehin für zu viele offen liegt.

So gestellt, ist keine der beiden Sorgen eine DLP-Frage. Was DLP für Copilot trotzdem leisten kann, zeigt sich erst, wenn man nachsieht, wohin Copilot eure Daten überhaupt bewegt. Und es gibt eine dritte Frage, die zu keiner der beiden Sorgen passt: Was über Copilot von außen hereinkommen kann.

Zur Serie. Diese Reihe geht eine Karte mit zwei Achsen ab. Die erste fragt, wer die Daten bewegt: der Mensch, die eigene KI oder fremde KI. Die zweite fragt, wer den Schutz betreibt: der Mensch allein, KI als Unterstützung, oder KI, die unter Anleitung selbst eingreift. Der erste Teil stand am Anfang beider Achsen. Dieser geht auf der ersten Achse ein Feld weiter: Die eigene KI bewegt die Daten. → Zum Auftakt der Serie

Was Purview bei Copilot prüfen kann

Für Copilot bietet Microsoft eine eigene Schutzregel an, die DLP-Policy. DLP steht für Data Loss Prevention, also Schutz vor Datenabfluss. Die Regel gehört zu Purview, Microsofts Werkzeug für Datenschutz und Compliance. Bei Copilot kann sie vier Dinge:

Die Websuche sperren, wenn im Prompt, also in der Frage an Copilot, ein bekanntes Muster steht, etwa eine Kreditkartennummer. Copilot antwortet dann nur aus euren eigenen Daten.
Dateien und Mails sperren, die ein bestimmtes Sensitivity Label tragen. Das ist ein Etikett wie „Vertraulich", das eine Datei als schutzbedürftig kennzeichnet. Copilot verwendet ihren Inhalt dann nicht.
Prompts sperren, in denen ein solches Muster steht. Copilot antwortet dann gar nicht. Diese Regel ist noch in der Vorschau.
Mails von außerhalb eurer Firma aus Copilot heraushalten. Auch diese Regel ist in der Vorschau.

Die erste Regel betrifft Daten, die hinausgehen. Die zweite und die dritte betreffen, was Mitarbeiter über Copilot finden. Die vierte schützt vor einem Angriff von außen. In dieser Reihenfolge geht der Artikel sie durch.

Was Copilot aus eurer Microsoft-Umgebung hinausträgt

Wenn Copilot arbeitet, bewegt er eure Daten. Meistens bleiben sie dabei in eurer eigenen Microsoft-Umgebung: Copilot liest eure Dateien, schreibt eine Antwort und speichert das Gespräch — alles unter eurem Vertrag mit Microsoft.

An vier Stellen können Daten diese Umgebung aber verlassen. Man kann sie sich wie Türen vorstellen: Durch jede geht etwas hinaus, und jede hat ihren eigenen Schlüssel.

Die Websuche. Copilot schickt Suchbegriffe an Bing, wenn er eine Antwort nicht aus euren Daten findet.
Flex Routing. Bei hoher Last dürfen die Sprachmodelle eure Prompts und Antworten in den USA, in Kanada oder in Australien verarbeiten. Gespeichert wird weiter in der EU. Tenants, die nach dem 25. März 2026 angelegt wurden, erlauben das ab Werk.
Anthropic. Microsoft setzt auch Modelle von Anthropic ein. Sie arbeiten außerhalb der EU Data Boundary und sind für Kunden in der EU ab Werk abgeschaltet.
Plugins, Agenten und Connectors. Sie reichen Anfragen an andere Anbieter weiter, und ab dort gelten deren Bedingungen.

Nur für die Websuche hat die DLP-Policy einen Schlüssel. Flex Routing, Anthropic und die Drittanbieter steuert ihr über Einstellungen im Microsoft 365 Admin Center, also dort, wo eure IT Copilot einrichtet.

Die Websuche: die Tür, die wirklich nach draußen führt

Ist die Websuche erlaubt, fragt Copilot im Internet nach, sobald er eine Antwort nicht in euren eigenen Daten findet. Dann kann in die Suchbegriffe geraten, was im Prompt steht, auch eine Kartennummer. (In meinem Test habe ich keine echte Nummer verwendet und wurde sofort erwischt... 🥲)

Man kann sich das vorstellen wie einen neuen Kollegen, der einen Vertrag prüfen soll und dazu bei einer Auskunft anruft. Damit man ihm dort helfen kann, nennt er die Details, auf die es ankommt. Ob eines davon vertraulich ist, fragt er sich nicht.

Copilot arbeitet genauso. Er schickt nicht den ganzen Vertrag an Bing, sondern ein paar Suchbegriffe. Die darf er auch aus einem Dokument holen, wenn ihr es in eurer Frage nennt oder gerade in Word, Excel oder PowerPoint geöffnet habt. Und er wählt sie danach aus, was die Suche verbessert, nicht danach, was vertraulich ist. In meinem Test war das die Vertragsstrafe aus dem Entwurf — und, sobald ich ihn in der Frage erwähnt hatte, der Name des Vertragspartners.

Wo ihr die Websuche abschaltet:

Nicht in Purview, sondern im Cloud Policy Service im Microsoft 365 Apps Admin Center, mit der Richtlinie „Allow web search in Copilot". Sie lässt sich auf aktiviert, deaktiviert oder „nur im Arbeitsmodus deaktiviert" stellen, auch für einzelne Gruppen. Im Microsoft 365 Admin Center führt der Eintrag „Web search for Microsoft Copilot" unter Copilot → Settings dorthin.

Kann mit diesen Suchbegriffen etwas passieren?

Um das zu beurteilen, hilft es, genau hinzusehen, wo sie landen und was mit ihnen geschehen darf.

Öffentlich werden sie nicht. Microsoft gibt sie nicht an Werbetreibende weiter, und sie fließen weder in Suchvorschläge noch in Trends ein, die andere Bing-Nutzer sehen. Wer gefragt hat, erfährt Bing ebenfalls nicht, denn Copilot entfernt vorher die Kennung von Nutzer und Firma. Der Absender ist also unkenntlich. Der Inhalt nicht.

Und für diesen Inhalt gelten andere Regeln als für alles andere, was Copilot verarbeitet. Bing läuft nicht unter eurem Auftragsverarbeitungsvertrag, sondern unter dem Microsoft Services Agreement und der allgemeinen Datenschutzerklärung. Dort entscheidet Microsoft selbst, was mit den Daten geschieht. Die EU Data Boundary gilt nicht. Wie lange Bing Suchanfragen aus Copilot aufbewahrt und in welchem Land, steht in keiner Copilot-Dokumentation. Die allgemeine Datenschutzerklärung erlaubt Microsoft, Daten auch in den USA zu speichern und auf behördliche Anordnung herauszugeben.

Dass gespeicherte Suchanfragen nicht nur auf dem Papier nach draußen gelangen können, hat Microsoft selbst gezeigt. Im September 2020 lag eine Datenbank mit Suchanfragen aus der Bing-App etwa sechs Tage lang ungeschützt im Netz. Microsoft sprach von einer Fehlkonfiguration und davon, dass die Daten „limited and de-identified" gewesen seien.

Mit Copilot hatte das nichts zu tun. Es zeigt aber, was mit Daten passieren kann, die nicht mehr unter dem eigenen Vertrag liegen: Man erfährt davon aus der Presse. → Bericht bei The Register, 23.09.2020

Ist das nun ein echtes Risiko oder ein kleinlich gesuchter Ausgang?

Für die meisten Anfragen ist es Letzteres. Eine Frage nach marktüblichen Vertragsstrafen verrät niemandem etwas, auch wenn sie bei Bing liegt. Anders wird es, wenn der Suchbegriff sich selbst verrät: der Name eines Kunden, mit dem ihr eine Geheimhaltungsvereinbarung habt, der Codename eines Projekts, der Name einer Firma, die ihr übernehmen wollt. Verbietet eure Vereinbarung die Weitergabe an Dritte, dann ist Microsoft bei Bing genau so ein Dritter. Dasselbe gilt für Namen von Personen und für alles, wovon ihr gegenüber Kunden oder Aufsicht belegen müsst, wo es liegt. Dann ist das Problem nicht, dass jemand mitliest — sondern dass ihr nicht mehr sagen könnt, wo die Information ist und unter welchem Vertrag.

Die DLP-Policy für Copilot hilft an dieser Tür nur, wenn sie im Prompt ein Muster erkennt; dann unterbleibt die Websuche.

Für Kundennamen oder Codenamen liefert Microsoft kein Muster mit. Man kann eines bauen, aber ein Muster, das jede GmbH erkennt, sperrt die Websuche auch bei jeder harmlosen Frage. Wirksamer ist es, die Websuche dort abzuschalten, wo mit vertraulichen Namen gearbeitet wird. Mit der Richtlinie „Allow web search in Copilot" geht das auch nur für einzelne Gruppen, etwa für die Rechtsabteilung oder ein Team, das eine Übernahme vorbereitet. Dann verlässt kein Suchbegriff mehr den Tenant, ob er einem Muster folgt oder nicht. Der Preis: Für diese Gruppen kann Copilot keine aktuellen Informationen aus dem Internet mehr in seine Antworten holen. Und was trotzdem hinausgeht, steht anschließend im Audit — sichtbar, aber dann eben schon unterwegs.

Flex Routing und Anthropic: geregelt im Admin Center

Zwei der oben abgebildeten Türen führen nicht zu Bing, sondern zu anderen Rechenzentren und anderen Modellen. Beide regelt allein das Microsoft 365 Admin Center.

Flex Routing war in meinem Testtenant eingeschaltet, ohne dass ich es je aktiviert hätte. Das entspricht der Doku: Für Tenants, die nach dem 25. März 2026 angelegt wurden, ist es Standard. Abschalten lässt es sich unter Copilot → Settings → „Flex routing during peak load periods".

Die Modelle von Anthropic sind für Kunden in der EU ab Werk aus. Wer sie einschaltet, sollte wissen, dass sie außerhalb der EU Data Boundary arbeiten.

Wie verhindere ich, dass Copilot den Nutzern Dinge verrät, die sie nichts angehen?

Die Sorge, dass Mitarbeiter über Copilot zu viel finden, ist berechtigt. Nur sitzt ihre Ursache nicht bei Copilot. Copilot zeigt einem Nutzer nichts, worauf dieser nicht schon Leserechte hat. Liegt die Gehaltsliste in einem Ordner, den die halbe Firma öffnen kann, dann findet Copilot sie — so wie die Suche in SharePoint sie vorher auch gefunden hätte.

Die Sperre über Labels

Die DLP-Policy setzt hier mit einer Sperre an: Dateien und Mails mit einem bestimmten Sensitivity Label darf Copilot nicht mehr verarbeiten. Fragt jemand danach, kann Copilot die Datei noch als Quelle nennen, verwendet ihren Inhalt aber nicht. Ist die Datei in Word geöffnet, schaltet sich Copilot dort ab.

Das klingt nach Schutz. Aber die Sperre hängt am Label, nicht am Inhalt. Steht derselbe Text in einer Kopie ohne Label, in einer Mail oder in einem Teams-Chat, antwortet Copilot daraus wie bisher.

Und jede Datei, die ihr sperrt, fehlt Copilot dort, wo er eigentlich helfen soll. Ihr habt Copilot eingeführt, damit er euch schnell Informationen liefern kann, die ihr sonst mühsam suchen müsstet. Diese Sperre hindert ihn genau daran.

Der Prompt: Wer gezielt mit personenbezogenen Daten sucht, findet mehr, als er soll

DLP kann auch die Eingaben der Mitarbeiter, also die Prompts, prüfen. Enthält ein Prompt ein Muster, das Purview erkennt, etwa eine Kreditkarten- oder eine Passnummer, antwortet Copilot nicht und zeigt einen Hinweis.

Wozu das gut ist, zeigt ein Problem, das jede IT kennt: Dateien, die versehentlich für viel zu viele Menschen freigegeben sind. Die Reisekostenabrechnung mit Passkopie liegt auf einer Teamseite, die die halbe Abteilung öffnen kann. Die Kundenliste mit Kartennummern steht in einem Ordner, den jemand für alle Mitarbeiter freigegeben hat. Solche Dateien blieben lange unentdeckt, weil niemand wusste, wo sie liegen. Mit Copilot muss das niemand mehr wissen. Wer eine einzige Nummer kennt, tippt sie ein und fragt, wo sie noch vorkommt. Copilot sucht dann in allen Mails, Dateien und Chats, die dieser Nutzer öffnen darf. Für den Neugierigen ist das ein Zufallsfund. Für jemanden mit krimineller Energie ist es eine Suchmaschine für fremde Daten.

Die Sperre nimmt diesem Weg den Schlüssel: Steht die Nummer im Prompt, sucht Copilot nicht. Aber sie prüft nur, was getippt ist. Fragt jemand „Welche Dateien enthalten Kreditkartennummern?”, steht keine Nummer im Prompt, und die Regel greift nicht. Die Dateien liegen dann weiter für zu viele offen. Das ändert keine Sperre, nur die Berechtigungen.

Dateien im Prompt

Auch eine Datei, die jemand direkt in den Prompt lädt, schaut die Regel nicht an. Hier setzt eine andere Form von DLP an: Endpoint DLP, also Regeln, die auf den Geräten der Mitarbeiter greifen. Sie kann das Hochladen sperren, wenn die Geräte in Purview eingebunden sind.

Wer verhindern will, dass Mitarbeiter zu viel sehen, muss deshalb an die Berechtigungen. Das ist mühsamer als ein Label, aber es ist die einzige Stelle, an der das Problem tatsächlich entsteht.

Was von außen hereinkommt: Mails mit versteckten Anweisungen

Bei klassischem Phishing muss ein Angreifer jemanden dazu bringen, auf einen Link zu klicken. Mit Copilot entsteht ein neues Einfallstor: Es reicht, dass eine Mail im Postfach liegt. Copilot liest sie, wenn er eine Frage beantwortet, und kann Anweisungen befolgen, die darin versteckt sind. Fachleute nennen das Prompt Injection.

Dass das kein Gedankenspiel ist, zeigte im Juni 2025 eine Lücke in Microsoft 365 Copilot namens EchoLeak. Sicherheitsforscher schickten eine harmlos wirkende Mail an ein Postfach. Stellte der Empfänger Copilot später eine alltägliche Frage, zog Copilot die Mail heran, folgte den versteckten Anweisungen und gab interne Daten an die Angreifer weiter. Angeklickt hatte dabei niemand etwas. Microsoft hat die Lücke geschlossen. (Bericht zu EchoLeak)

Purview kann Mails von Absendern außerhalb eurer Firma ganz aus Copilot heraushalten. Copilot nutzt sie dann nicht mehr für Antworten und Zusammenfassungen, lesen kann der Nutzer sie weiter. Geprüft wird nur, woher die Mail kommt, nicht, was darin steht.

Der Preis: Auch Mails von Kunden und Partnern fasst Copilot dann nicht mehr zusammen. Und Anweisungen, die in einer geteilten Datei oder in Besprechungsnotizen stecken, erreicht diese Regel nicht.

Wozu also DLP für Copilot?

Purview kann Copilot an einzelnen Stellen Grenzen setzen. Vertrauliches erkennt es dabei aber nur auf zwei Wegen: an einem Label, das ihr einer Datei oder Mail vorher gegeben habt, oder an einem bekannten Muster wie einer Kreditkartennummer. Was weder das eine noch das andere hat, lässt Purview durch. Das ist bei jeder DLP-Regel so, nicht nur bei Copilot.

Copilot kann nur helfen, wenn er an die Daten herankommt. Je mehr ihr ihn per DLP beschneidet, desto weniger hilft er.

Die Grenze gehört deshalb an die Berechtigungen und an die Schalter für die Türen nach draußen, nicht an Copilot selbst.

Für den Nachweis gegenüber Vorstand oder Revision heißt das: Zeigen könnt ihr, welche Türen offen sind, wer sie geöffnet hat und was durch die Websuche hinausging — die Suchanfragen stehen im Audit und im Activity Explorer von DSPM for AI. Ihr könnt jedoch nicht beweisen, dass mit Sicherheit keine vertraulichen Daten nach außen gegangen sind.

Fazit

Braucht man DLP für Copilot, wenn er doch in eurer Microsoft-Umgebung bleibt? Als ich das erste Mal von DLP für Copilot gehört habe, hätte ich Nein gesagt. Heute sage ich Ja.

Copilot hat Türen in beide Richtungen. Nach draußen gehen Suchbegriffe an Bing, und von draußen kommen Mails herein, in denen Anweisungen an Copilot versteckt sein können. Für beide Türen gibt es eine DLP-Regel. Für die Websuche gibt es zusätzlich einen Schalter, der sie für einzelne Gruppen ganz abstellt.

Und dennoch: 100%ige Sicherheit darf man sich auch so nicht erhoffen.

DLP erkennt Vertrauliches vor allem an festen Mustern wie Kreditkartennummern und die sind nicht immer gegeben.

Ausblick

Dieser Teil blieb bei der KI, die ihr selbst betreibt. Der nächste geht auf der ersten Achse ein Feld weiter: zur fremden KI, die außerhalb eurer Kontrolle arbeitet — und an der keine eurer Türen etwas ändert.