Checkliste: Microsoft 365 Copilot sicher einführen
Für: IT-Leitung und Verantwortliche für Microsoft 365
Aktualisiert: 2026-11
Copilot wird in sieben Schritten sicher eingeführt: Freigaben und Berechtigungen bereinigen, vertrauliche Daten klassifizieren, Regeln gegen Datenverlust setzen, eine Nutzungsrichtlinie erlassen, mit einer Pilotgruppe und klaren Anwendungsfällen starten, Nutzer zum Prüfen von Ergebnissen schulen und den Nutzen messen, bevor ausgeweitet wird.
Microsoft 365 Copilot greift auf alle Inhalte zu, für die ein Benutzer berechtigt ist. Damit wird jede zu breite Freigabe zu einem Risiko, das vorher unsichtbar war.
Diese Checkliste beschreibt die Vorbereitung und die erste Einführungsphase. Die Regeln für die Umgebung insgesamt enthält die Checkliste zur Microsoft-365-Governance.
Die Checkliste
- 01
Freigaben bereinigen
Freigaben für alle Mitarbeitenden, anonyme Links und Sites mit vertraulichen Inhalten auswerten und korrigieren.
Erledigt, wenn: Ein Bericht zeigt keine Sites mit vertraulichem Inhalt mehr, die für alle freigegeben sind.
- 02
Vertrauliche Daten klassifizieren
Vertraulichkeitsstufen festlegen und auf die wichtigsten Ablagen und Dokumenttypen anwenden.
Erledigt, wenn: Die Stufen sind definiert und auf Personal-, Finanz- und Mandatsablagen angewendet.
- 03
Regeln gegen Datenverlust setzen
Regeln definieren, die verhindern, dass streng vertrauliche Inhalte unkontrolliert geteilt werden.
Erledigt, wenn: Die Regeln laufen mindestens im Beobachtungsmodus, und die Treffer werden ausgewertet.
- 04
Nutzungsrichtlinie erlassen
Festlegen, wofür Copilot eingesetzt wird, welche Daten tabu sind und wo Ergebnisse geprüft werden müssen.
Erledigt, wenn: Die Richtlinie ist verabschiedet und den Nutzern bekannt.
- 05
Mit einer Pilotgruppe starten
Eine kleine Gruppe mit klaren Anwendungsfällen und unkritischen Daten auswählen.
Erledigt, wenn: Pilotgruppe, Anwendungsfälle und Messgrössen sind festgelegt.
- 06
Schulen
Nutzer zu guten Eingaben, zur Prüfung von Ergebnissen und zur Nutzungsrichtlinie schulen.
Erledigt, wenn: Alle Pilotnutzer haben die Schulung absolviert; der Nachweis ist für die KI-Kompetenz dokumentiert.
- 07
Nutzen messen und entscheiden
Zeitaufwand und Qualität vor und nach der Einführung vergleichen und über die Ausweitung entscheiden.
Erledigt, wenn: Eine Auswertung mit Empfehlung zur Ausweitung liegt der Geschäftsleitung vor.
Häufige Fehler
- —Copilot breit einführen, bevor die Freigaben bereinigt sind.
- —Keine Anwendungsfälle definieren und den Nutzen nie messen.
- —Ergebnisse ungeprüft in Dokumente und Entscheidungen übernehmen.
- —Die Schulung als freiwillig behandeln, obwohl die KI-Kompetenz dokumentiert werden sollte.
Was diese Checkliste nicht abdeckt
- —Die Checkliste ersetzt keine Datenschutzprüfung der konkreten Anwendungsfälle.
- —Lizenzen bestimmen, welche Werkzeuge zur Klassifizierung und zum Datenverlust-Schutz verfügbar sind.
- —Funktionen und Bezeichnungen von Copilot ändern sich laufend.
Übergeordnete Leistung: IT-Beratung
Passende Angebote
Microsoft 365 Copilot einführen
Wir begleiten die Einführung von Microsoft 365 Copilot von der Vorbereitung bis zur Entscheidung über die breite Nutzung: Bereinigung kritischer Freigaben, Datenklassifizierung und Regeln gegen Datenverlust mit Ihrer IT, Nutzungsrichtlinie, Pilotgruppe mit klaren Anwendungsfällen, Schulung und eine Auswertung des Nutzens.
Microsoft-365-Governance
Wir erarbeiten ein Governance-Konzept für Microsoft 365: wer Teams und Sites erstellen darf, wie sie benannt, klassifiziert und archiviert werden, wie Gastzugriffe geregelt sind, welche Aufbewahrungs- und Vertraulichkeitsregeln gelten und wie Power Automate und Power Apps kontrolliert wachsen. Mit Rollen, Richtlinien und einem Umsetzungsplan für Ihre IT.
Häufige Fragen
Wie lange dauert die Vorbereitung?
Das hängt vom Zustand der Umgebung ab. In aufgeräumten Umgebungen sind es wenige Wochen, bei gewachsenen Freigaben deutlich länger.
Muss jede Site klassifiziert sein?
Nein. Entscheidend sind die Ablagen mit vertraulichen Daten; der Rest kann schrittweise folgen.
Wer sollte in die Pilotgruppe?
Personen mit wiederkehrenden Aufgaben, bei denen Copilot messbar Zeit spart, und die bereit sind, Rückmeldungen zu geben.
Weitere Checklisten
Checkliste: NIS2-Betroffenheit für Schweizer Unternehmen prüfen
Ob NIS2 ein Schweizer Unternehmen betrifft, klärt man in sieben Schritten: Gesellschaften in der EU erfassen, Sektoren und Grösse dieser Gesellschaften prüfen, digitale Dienste in der EU identifizieren, Anforderungen von EU-Kunden aus der Lieferkette sammeln, die Meldepflichten abgleichen, Verantwortlichkeiten festlegen und das Ergebnis dokumentieren.
Checkliste: Datenschutz-Folgenabschätzung durchführen
Eine Datenschutz-Folgenabschätzung wird in sieben Schritten erstellt: prüfen, ob ein hohes Risiko besteht, die geplante Bearbeitung beschreiben, Risiken für die Betroffenen bewerten, Massnahmen festlegen, das Restrisiko beurteilen, bei hohem Restrisiko den EDÖB oder den Datenschutzberater konsultieren und die Abschätzung aufbewahren und aktualisieren.
Checkliste: Datenschutzerklärung nach DSG und DSGVO prüfen
Eine Datenschutzerklärung prüft man in sieben Schritten: Verantwortlicher und Kontakt, Zwecke der Bearbeitung, Kategorien von Daten, Empfänger und Auftragsbearbeiter, Bekanntgaben ins Ausland mit Garantien, Rechte der Betroffenen und Aktualität gegenüber den tatsächlich eingesetzten Diensten. Wer auch Personen in der EU anspricht, ergänzt die zusätzlichen Angaben der DSGVO.