Berechtigungsschulden: Was eure KI tatsächlich lesen darf

Jemand brauchte an einem Freitagnachmittag eine Datei. Sauber teilen hieß: die richtige Gruppe suchen oder ein Ticket aufmachen und bis Montag warten. Mit dem ganzen Unternehmen teilen kostete einen Klick. Die Deadline gewann.

Das war 2019. Es passierte auch letzte Woche, und es passiert kommenden Freitag wieder. Wiederholt das über Jahre auf einem Fileserver, in einer SharePoint-Migration, im CRM und auf dem gemeinsamen Laufwerk, das mit der Übernahme kam, und ihr habt eine stille Zugriffsschicht, die niemand entworfen hat und für die sich niemand zuständig fühlt.

Ich nenne das inzwischen Berechtigungsschulden, weil es sich wie Schulden verhält. Ihr nehmt sie auf, um heute schneller zu sein, sie wachsen unbemerkt, und irgendwann zwingt euch etwas zur Abrechnung.

Dieses Etwas ist meistens ein KI-Assistent.

Die Zahl, bei der das Meeting stoppen sollte

Varonis berichtet, dass im Schnitt 10 Prozent der Microsoft-365-Daten eines Unternehmens für jede Mitarbeiterin und jeden Mitarbeiter offen stehen. Im State of Data Security Report 2025, ausgewertet über fast 10 Milliarden Dateien in tausend realen Umgebungen, hatten 99 Prozent der Organisationen sensible Daten, die ein KI-Tool zutage fördern kann. Dieselbe Untersuchung fand 88 Prozent mit noch aktiven Konten längst ausgeschiedener Personen, 66 Prozent mit Cloud-Daten, die anonyme Nutzer erreichen konnten, und nur jedes zehnte Unternehmen, das seine Dateien überhaupt klassifiziert hatte.

Lest diese Zahlen als Beschreibung einer Kategorie, nicht als Urteil über euch. Ein Wert so nah an 100 Prozent sagt euch, wo die Branche steht, nicht wo euer Tenant steht. Die nützliche Version einer solchen Statistik ist die, die ihr selbst messt.

Warum das bisher nicht wehtat

Berechtigungsschulden waren lange tragbar, weil die Suche schlecht war.

Um ein Dokument zu finden, das eine Kollegin nie hätte sehen dürfen, musste sie wissen, dass es existiert, ungefähr raten, wie es heißt, und motiviert genug sein, weiterzugraben. Fast niemand nahm alle drei Hürden. Schlechte Suche erledigte still Sicherheitsarbeit, für die niemand Budget hatte, und niemand hat sich je dafür bedankt.

Dann schaltet ihr einen Assistenten dazu, der alles liest, was er lesen darf, in etwa einer Sekunde, und in einem freundlichen Satz antwortet, mit Quellenangabe.

Der Assistent befolgt eure Zugriffsregeln exakt. Genau das macht ihn unangenehm. Er erzeugt keine Offenlegung. Er meldet die Offenlegung, die ihr längst hattet, laut und an jeden, der eine vernünftige Frage stellt.

Ihr seid nicht die Ersten, denen das gesagt wird

Zwei Dinge machen das Berechtigungsargument schwer als Anbietergerede abzutun, denn keines davon kommt von jemandem, der euch eine Alternative verkaufen will.

Das erste ist Microsoft. Die Foundational Deployment Guidance für Microsoft 365 Copilot setzt die Bereinigung von Oversharing in die Fundamentphase, vor den Rollout, mit SharePoint Admin Center, SharePoint Advanced Management und Microsoft Purview. Der Konzern, der den Assistenten verkauft, dokumentiert das Aufräumen der Berechtigungen als Voraussetzung und nicht als optionale Härtung.

Das zweite ist eine Aufsichtsbehörde. Im Juli 2026 beantwortete die niederländische Datenschutzbehörde eine vorherige Konsultation der Gemeinde Haarlemmermeer. Die hatte eine Datenschutz-Folgenabschätzung zu Copilot durchgeführt, hohe Risiken gefunden, die sie allein nicht abfangen konnte, und war deshalb gesetzlich verpflichtet zu fragen. Die Behörde kam zu dem Schluss, dass die beschriebene Nutzung gegen die DSGVO verstoßen würde und dass zuerst Maßnahmen greifen müssen.

Vier Risiken blieben hoch: ob Bürgerinnen und Bürger ihre Datenschutzrechte noch ausüben können, was passiert, wenn die KI falsche personenbezogene Daten über jemanden erzeugt, welche Daten Microsoft während der Copilot-Nutzung tatsächlich verarbeitet, und wie lange es sie aufbewahrt. Unter den vor der Inbetriebnahme geforderten Maßnahmen: ordentliche Zugriffskontrollen und Datenklassifizierung sowie ein Informationsmanagement, das unberechtigten Zugriff auf Daten verhindert.

Zwei Dinge gelten hier gleichzeitig. Haarlemmermeer ist eine Gemeinde, mit öffentlichen Pflichten und öffentlicher Kontrolle, die die meisten Unternehmen nicht haben. Und die vier Risiken sind kein bisschen kommunal. Jede Organisation, die personenbezogene Daten durch einen gehosteten Assistenten schickt, landet bei denselben vier Fragen, meist mit weniger Dokumentation und ohne jemanden, der sie zum Fragen verpflichtet.

Sieben Fragen, ein Vormittag

Die meisten KI-Readiness-Checklisten fragen nach Modellen, Budgets und Use Cases. Kaum eine fragt, wer was öffnen darf. Das ist die Prüfung, die wir vor jedem Pilotprojekt machen. Könnt ihr eine dieser Fragen nicht beantworten, ist genau das der Befund.

1. Welche Systeme wird der Assistent lesen, und wer verantwortet in jedem davon die Berechtigungen?
2. Wie viele Elemente sind aktuell mit allen geteilt oder über einen offenen Link erreichbar?
3. Wann wurde zuletzt ein Konto wirklich gelöscht statt nur deaktiviert?
4. An welchen Orten liegen Personal-, Rechts-, Gehalts- oder Kundendaten, und wer kommt heute daran?
5. Wenn der Assistent ein Dokument als Quelle nennt, darf die Person, die die Antwort liest, dieses Dokument öffnen?
6. Wer prüft die Zugriffe, wenn jemand die Rolle wechselt, und wie schnell?
7. Wenn eine Antwort etwas zutage fördert, was sie nicht sollte, wie sieht die Reaktion aus, und wer führt sie durch?

Frage fünf trennt einen echten Rollout von einer Demo. Ein Assistent, der Quellen nennt, die der Lesende nicht öffnen darf, hat bereits verraten, dass das Dokument existiert, worum es ungefähr geht und oft auch, wer es geschrieben hat.

Tilgen, ohne den Betrieb einzufrieren

Die meisten Aufräumaktionen sterben in Woche zwei. Jemand zieht einen Report, sieht die Offenlegung und entzieht großflächig Rechte. Innerhalb weniger Tage ist der Service Desk überlastet, ein Projekt reißt eine Deadline, und die Bereinigung wird still geparkt. Binnen eines Quartals ist die Offenlegung zurück, weil das Verhalten dahinter nie angefasst wurde.

Diese Reihenfolge übersteht den Kontakt mit dem Tagesgeschäft.

Messen, nichts ändern. Zählt offene Links, Sites, die mit allen geteilt sind, aktive Konten ausgeschiedener Personen und Orte mit regulierten Daten. Eine Woche, nur lesend.

Zuerst die Ballung angehen. Offenlegung verteilt sich nie gleichmäßig. Wenige Ablagen enthalten meist den Großteil. Dort anzufangen bringt fast die ganze Reduktion bei minimaler Störung.

Macht den sicheren Weg schneller als den unsicheren. Dauert eine Zugriffsanfrage zwei Tage und das Teilen mit allen einen Klick, klicken die Leute weiter. Beantwortet Anfragen in Minuten, und das Verhalten ändert sich ganz ohne Richtlinie.

Dreht den Hahn zu. Ändert Tenant- und Provisionierungs-Voreinstellungen, damit während des Aufräumens kein neues Oversharing entsteht.

Prüft beim Rollenwechsel, nicht nach Kalender. Eine jährliche Prüfung ist nach einem Monat veraltet. Der Moment, in dem jemand das Team wechselt, ist der Moment, seinen Zugriff neu abzuleiten.

Schritt drei wird am häufigsten übersprungen, und er ist der einzige, der Verhalten verändert statt nur den Zustand.

Die Einkaufsfrage ist eine Frage des Timings

Jeder KI-Assistent behauptet, eure Berechtigungen zu respektieren. Die Behauptung ist leicht aufgestellt und schwer zu prüfen, denn es geht um Timing und nicht um Absicht.

Fragt einen Anbieter, ob der Assistent Berechtigungen im Quellsystem zum Zeitpunkt der Anfrage prüft, oder gegen eine Kopie, die bei der Indexierung entstanden ist. Und dann die Anschlussfrage: Der Zugriff einer Person wird um neun Uhr morgens entzogen, ab wann liefert der Assistent diese Inhalte nicht mehr aus? Diese zweite Frage erzeugt in den meisten Anbietergesprächen die längste Pause.

Fragt, wo der Index liegt und wer ihn lesen kann. Fragt, wer die Query-Logs einsehen darf und unter welcher Jurisdiktion sie stehen. Fragt, ob eine Prüferin ein Protokoll der gegebenen Antworten bekommt oder ein Protokoll dessen, was zur Erzeugung abgerufen wurde. Fragt, was passiert, wenn ein Dokument weder Eigentümer noch Klassifizierung hat, denn das trifft auf reichlich Dokumente zu.

Souveränitätsgespräche beginnen meist bei der Frage, wo Daten liegen. Hier werden sie konkret. Der Speicherort ist eine Vertragsklausel, die ihr einmal verhandelt. Zugriffskontrolle ist eine technische Entscheidung, die ihr an einem Dienstagnachmittag überprüfen könnt, und sie bestimmt, wie viel Schaden eine einzelne Antwort anrichten kann.

Fangt bei der Abfrage an, nicht beim Projekt

Dafür braucht es kein Transformationsprogramm. Es braucht eine einzige Zahl zum Anfangen: Wie viele Elemente in eurer Umgebung sind aktuell mit allen geteilt? Diese Antwort könnt ihr heute Nachmittag haben, ohne etwas zu kaufen, und sie sagt mehr über eure KI-Reife aus als jede Anbieterdemo.

Ich habe die Prüfung von oben in ein kurzes Arbeitsblatt gegossen: die sieben Fragen, eine Rot-Gelb-Grün-Tabelle zur Einstufung von Freigabeumfängen und die Bereinigung in fünf Schritten, in einer Form, die ihr direkt an die Person weitergeben könnt, die den Tenant betreut. Ihr bekommt es über unseren Newsletter.

Und falls Frage fünf diejenige war, bei der ihr kurz geschluckt habt: darüber lohnt sich ein Gespräch. Meistens jedenfalls.