Wer labelt die Inhalte, die Copilot erzeugt?

Sophie Gräfin Brühl
vor 4 Tagen
4 Min. Lesezeit

Der Copilot-Rollout ist fast durch, die Folien zeigen schon den Go-Live-Termin. Es ist eines dieser Meetings, in denen alle eigentlich nur noch nicken wollen — der Kalender ist voll, das nächste Gespräch wartet schon. Dann hebt jemand aus dem Datenschutz-Team die Hand. "Eine Frage noch: Wer labelt eigentlich, was Copilot schreibt?"

Für einen Moment ist es still. Dann kommt die Antwort, freundlich und ohne Zögern: "Das erbt das Label der Quelle." Man kann zusehen, wie die Anspannung aus dem Raum weicht. Es ist geregelt — Nicken, nächste Folie.

Ich habe diese Szene so oder ähnlich mehr als einmal erlebt. Und jedes Mal passiert in diesem Moment etwas, das niemand bemerkt: Die Antwort beschreibt einen Kopiervorgang. Verstanden haben alle eine Klassifizierung.

Datenklassifizierung: als Schutz gedacht, als Pflichtübung gelebt

Datenklassifizierung ist keine Microsoft-Erfindung. Richtig bekannt wurde sie durch die ISO 27001: Die Norm verlangt, Informationen nach ihrem Schutzbedarf einzustufen, damit die richtigen Maßnahmen am richtigen Inhalt landen. Der Gedanke dahinter ist Schutz — nicht Beschriftung.

Angekommen ist oftmals eine Pflichtübung.

In den Tenants, die ich sehe, sieht das so aus: Die Label Policy setzt ein Default-Label "Intern", und am Ende tragen 80 Prozent der Daten ein Etikett, das nie jemand entschieden hat und hinter dem kein Schutz liegt. Die Anforderung ist damit erfüllt — bewertet wurde nichts, und geschützt auch nicht.

Solange Daten in Menschengeschwindigkeit entstanden, war das irgendwie tragbar. Es öffnete Data Leakage zwar die Türen, aber der einzig genutzte Ausweg war meist Outlook und die einzigen Akteure waren Menschen.

Seit Copilot da ist, schreibt nicht mehr nur der Mensch — und wer diese Sicherheitslücke jetzt noch für tragbar hält, ist auf mindestens einem Auge blind.

Auf den ersten Blick ist alles sicher

Copilot-Output hat zwei Formen: Dokumente und Chat-Antworten.

Dokumente entstehen, wenn Copilot in Word, PowerPoint oder Outlook Inhalt erzeugt. Sie erben dabei das Sensitivity Label ihrer Quellen. Nutzt Copilot mehrere Quellen, gewinnt das Label mit der höchsten Priorität — und mit dem Label wandern seine Schutzeinstellungen mit.
Chat-Antworten tragen selbst kein Label. Aber ganz leer bleiben sie nicht: Der Chat zeigt das höchstpriorisierte Label der Quellen an, aus denen die Antwort entstanden ist.

Es scheint also, als sei das Labeling-Thema damit erledigt: Dokumente erben, Chat-Antworten zeigen an. Aber dieser Eindruck hält dem zweiten Blick nicht stand.

Kopiert, nicht geprüft

Der erstaunlichste Befund an dieser Stelle: Beim Labeling der Outputs, die Copilot erstellt, ist keine KI im Spiel. Es wird schlicht immer das höchste Label des Inputs übernommen. Kein Modell liest den neuen Text, nichts bewertet seine Sensibilität — ausgerechnet dort, wo eine KI den Inhalt erzeugt hat, kommt seine Klassifizierung ohne KI aus.

Alles, was man am Output sieht, ist deshalb eine Aussage über die Herkunft, nie über den Text selbst. Wie ein Umzugskarton, auf dem "Küche" steht, weil auf dem Karton daneben "Küche" stand. Reingeschaut hat keiner.

Warum das fatal sein kann, zeigen drei Beispiele.

Eine Vertriebskollegin arbeitet an einer Kundenpräsentation und hat sie bewusst als "Public" gelabelt — sie soll ja raus. Dann bittet sie Copilot, ein paar Zahlen aus dem internen Forecast zu ergänzen. Der Forecast trägt "Confidential", also erbt die Präsentation "Confidential" — über die bewusste Entscheidung der Kollegin hinweg. Das geerbte Label ersetzt jedes niedrigere, auch eines, das ein Mensch mit Absicht gesetzt hat.
Eine Organisation hat Mandatory Labeling aktiviert: Kein Dokument lässt sich speichern, ohne dass der Nutzer ein Label wählt. Ein Copilot-Dokument passiert diese Kontrolle ungefragt — es kommt bereits gelabelt an, der Prompt erscheint nie. Die Maßnahme, die eine menschliche Bewertung erzwingen sollte, wird durch die Kopie unterlaufen. Das steht in keiner Warnung von Microsoft; es folgt schlicht aus der Mechanik.
Ein Kollege lässt sich im Chat die Ergebnisse eines Projekts zusammenfassen und fügt den Text in ein neues Dokument ein. Die Chat-Antwort war keine Datei, also hat kein Auto-Labeling sie je gesehen. Und das SIT-basierte Auto-Labeling — der einzige Mechanismus, der überhaupt auf den Inhalt schaut — ist in der Praxis ohnehin fast nirgends konfiguriert. Der Text steht jetzt im Bestand, ohne Label und ohne Herkunftsspur.

Copilot schreibt nie auf einem leeren Blatt

Was bedeutet das für die Datensicherheit? Copilot schreibt jeden Tag mit, beginnt dabei aber nie bei null: Jede Antwort und jeder Entwurf entsteht aus Dokumenten, die es schon gibt. Aus zehn Berichten wird eine Zusammenfassung, aus dem alten Angebot ein neues. Im Datenbestand landet so laufend neuer Inhalt — Inhalt, den niemand prüft und der nur das Etikett seiner Vorlage trägt. Daraus ergeben sich drei Folgen.

Die erste Folge ist die sichtbarste: die Menge. Wo die Quellen kein Label tragen, trägt auch das neue Dokument keines — und der ungelabelte Bestand, den man eigentlich abarbeiten wollte, wächst jetzt in Maschinengeschwindigkeit. Ungelabelte Daten waren bisher ein Rückstand. Jetzt sind sie eine Wachstumsrate.
Die zweite Folge ist leiser, wiegt aber schwerer: die Verdünnung. Ein Label sollte sagen: Dieser Inhalt wurde bewertet. Je öfter Etiketten nur weitergereicht werden, desto öfter sagt es bloß noch: Hier wurde gelabelt. Für das Auge ändert sich dabei nichts, das Etikett ist ja da. Aber alles, was auf Labels reagiert, von der DLP-Policy bis zur Freigabebeschränkung, arbeitet nun mit falschen Signalen — False Positives und ein Alarm-Rauschen, in dem die echten Treffer untergehen.
Die dritte Folge ist die Richtung, in die diese Fehler zeigen. Weil immer das höchste Label gewinnt, kann ein neues Dokument nie niedriger eingestuft sein als seine Quellen — dabei ist eine Zusammenfassung oft harmloser als ihr Original. Das Ergebnis sind überklassifizierte Dokumente, die Freigaben verhindern und Prozesse blockieren, ohne dass je ein Mensch entschieden hat, wie schützenswert sie wirklich sind. Denkt man die Mechanik weiter, driftet der Bestand mit jeder Generation weiter nach oben — bis irgendwann so viel Confidential ist, dass Confidential nichts mehr bedeutet.

Fazit

Was Unternehmen derzeit bleibt, um für mehr Sicherheit zu sorgen, ist wenig: Auto-Labeling einrichten, das fast überall fehlt — damit wenigstens ein Mechanismus auf den Inhalt schaut. Und die Mitarbeiter darin schulen kritisch auf die Labels zu schauen.