Datenschutz und Auditing für Microsoft Copilot

  • Gilt für:: ✅ Microsoft Copilot

Microsoft Copilot arbeitet innerhalb der Microsoft 365-Dienstgrenze. Es verwendet die gleichen Datenschutz-, Zugriffssteuerungs- und Compliancefunktionen, die bereits für Microsoft 365 gelten.

In diesem Artikel wird die Datenschutzarchitektur für Microsoft Copilot beschrieben. Darin wird erklärt:

  • So funktioniert Copilot mit Microsoft Purview-Vertraulichkeitsbezeichnungen und Verschlüsselung.
  • Wie sich die SharePoint- und OneDrive-Zugriffssteuerungen darauf auswirken, was Copilot ermitteln und referenzieren kann.
  • Wo Copilot-Interaktionsdaten gespeichert werden und wie Sie sie überwachen, entdecken und aufbewahren können.

Dieser Artikel richtet sich an IT-Administratoren, die verstehen möchten, wie Daten über Copilot fließen und wie bestehende Microsoft 365-Schutzmaßnahmen angewendet werden. Bereitstellungsschritte und Korrekturanleitungen finden Sie unter Secure & governed Data Foundation for Microsoft Copilot: A deployment blueprint.

Tipp

Weitere Informationen dazu, wie Microsoft Copilot Ihre Daten verwendet, finden Sie unter:

Funktionsweise von Microsoft Copilot mit Vertraulichkeitsbezeichnungen und Verschlüsselung

Copilot berücksichtigt Microsoft Purview-Vertraulichkeitsbezeichnungen und Verschlüsselung, wenn Antworten geerdet und Inhalte generiert werden. Dieser Schutz trägt dazu bei, dass vertrauliche Inhalte nicht an Benutzer zurückgegeben werden, die nicht zur Verwendung berechtigt sind.

Diagramm, das zeigt, wie Microsoft Copilot mit Elementen arbeitet, die durch Microsoft Purview-Vertraulichkeitsbezeichnungen und Verschlüsselung geschützt sind, sowohl in Ihrem Microsoft 365-Mandanten als auch in externen Dateien, die in Office-Apps geöffnet sind.

Das Diagramm zeigt, wie Copilot Inhalte basierend auf ihrem Schutz behandelt:

  • Berechtigungen stehen an erster Stelle. Copilot fasst nur Inhalte zusammen, auf die der Benutzer bereits zugreifen darf, oder verweist darauf.
  • Verschlüsselter Inhalt erfordert EXTRAHIEREN und ANZEIGEN. Wenn Inhalte verschlüsselt werden, sei es durch eine Vertraulichkeitsbezeichnung oder durch Azure Rights Management ohne Bezeichnung, muss der Benutzer sowohl über die VIEW- als auch über die EXTRACT-Nutzungsrechte verfügen, damit Copilot den Inhalt zusammenfassen oder zurückgeben kann.
  • VIEW without EXTRACT Limits was Copilot zurückgibt. Wenn der Benutzer über VIEW, aber nicht EXTRACT verfügt, fasst Copilot den Inhalt nicht zusammen, kann aber einen Link zurückgeben, damit der Benutzer ihn außerhalb von Copilot öffnen kann. Wenn dieser Inhalt in einer App geöffnet ist, kann der Benutzer Copilot nicht damit verwenden.
  • Bezeichnungen werden im Copilot Chat angezeigt. Wenn Copilot Chat Daten von bezeichneten Elementen zurückgibt, kann die Vertraulichkeitsbezeichnung angezeigt werden. Wenn sich die Antwort auf Elemente mit unterschiedlichen Bezeichnungen bezieht, wird die Bezeichnung mit der höchsten Priorität angezeigt.
  • Neue Inhalte können Bezeichnungen erben. Wenn Copilot neue Inhalte aus beschrifteten Elementen erstellt, wird die Bezeichnung mit der höchsten Priorität auf den neuen Inhalt angewendet, wobei die Bezeichnungsvererbung unterstützt wird.
  • Files außerhalb Ihres Mandanten sind geschützt, während sie geöffnet sind. Wenn eine bezeichnete oder verschlüsselte Datei, die außerhalb von Microsoft 365 gespeichert ist (z. B. im lokalen Speicher, auf einer Netzwerkfreigabe oder in einem anderen Clouddienst), in einer Office-App geöffnet ist, berücksichtigt Copilot die gleichen Schutzeinstellungen.

Hinweis

Einige Schutzkonfigurationen schränken den Zugriff von Copilot und Agents weiter ein:

  • Benutzerdefinierte Berechtigungen: Copilot und Agents können nicht auf ungeöffnete Dokumente in SharePoint und OneDrive zugreifen, die mit benutzerdefinierten Berechtigungen gekennzeichnet und verschlüsselt sind. Es gibt zwei Ausnahmen dabei: Bei der Bezeichnung handelt es sich um eine standardmäßige Vertraulichkeitsbezeichnung, die SharePoint-Berechtigungen auf heruntergeladene Dokumente erweitert, oder der Benutzer verweist direkt auf das Dokument, indem er "/" eingibt. In beiden Fällen muss der Benutzer auch über das EXTRACT-Nutzungsrecht verfügen. Copilot kann diese Dokumente immer verwenden, wenn sie in der App geöffnet sind. Die Bezeichnungsvererbung wird für Inhalte, die mit benutzerdefinierten Berechtigungen verschlüsselt sind, nicht unterstützt.
  • Doppelschlüsselverschlüsselung (DKE): Copilot und Agents können nicht auf DKE-geschützte Inhalte zugreifen. Wenn ein DKE-geschütztes Element geöffnet ist, ist Copilot in der App nicht verfügbar.
  • Teams-Besprechungen und -Chats: Copilot und Agents erkennen derzeit keine Vertraulichkeitsbezeichnungen, die Teams-Besprechungen und -Chats schützen.

Weitere Informationen finden Sie unter:

Auswirkungen der SharePoint- und OneDrive-Zugriffssteuerungen auf Copilot

Copilot respektiert vorhandene SharePoint- und OneDrive-Berechtigungen. Wenn Inhalte bereits übermäßig freigegeben wurden, kann Copilot sie jedem anzeigen, der Zugriff hat. SharePoint-, OneDrive- und Microsoft Purview-Steuerelemente helfen dabei, einzuschränken, was Copilot ermitteln und referenzieren kann, ohne die zugrunde liegenden Benutzerberechtigungen zu ändern.

Diagramm, das zeigt, wie sich die übermäßige Freigabe von Steuerelementen in SharePoint und OneDrive und Microsoft Purview Information Protection darauf auswirken, was Microsoft Copilot ermitteln und referenzieren kann.

Zu diesen Kontrollen gehören:

  • Such- und Ermittlungssteuerelemente wie die eingeschränkte Inhaltsermittlung schränken ein, welche Websites und Inhalte in Copilot und in der organization-weiten Suche angezeigt werden.
  • Zugriffs- und Mitgliedschaftssteuerungen schränken ein, wer auf eine Website oder deren Inhalt zugreifen kann. Beispielsweise ist durch die eingeschränkte Zugriffssteuerung für SharePoint-Websites und OneDrive der Zugriff auf Mitglieder einer bestimmten Gruppe beschränkt.
  • Governance- und Lebenszyklusrichtlinien tragen dazu bei, eine übermäßige Freigabe im Laufe der Zeit zu verringern. Beispiele hierfür sind Websitezugriffsüberprüfungen und inaktive Websiterichtlinien in der erweiterten SharePoint-Verwaltung.
  • Informationsschutzrichtlinien verwenden Vertraulichkeitsbezeichnungen und Microsoft Purview Data Loss Prevention (DLP), um einzelne Dateien zu schützen. Eine DLP-Richtlinie für Copilot kann verhindern, dass Copilot beschriftete Dateien und E-Mails zusammenfasst. Copilot kann weiterhin einen Link zurückgeben, damit der Benutzer das Element außerhalb von Copilot öffnen kann.

Anleitungen finden Sie unter Secure & governed Data Foundation for Microsoft Copilot: A deployment blueprint and Erfahren Sie mehr über die Verwendung von Microsoft Purview Data Loss Prevention zum Schutz der Interaktionen mit Microsoft 365 Copilot.

Wo Copilot-Nutzungsdaten gespeichert und wie sie überwacht werden

Microsoft 365-Dienste speichern Copilot-Interaktionsdaten. Sie können diese Daten mithilfe von Microsoft Purview überwachen, ermitteln und aufbewahren.

Diagramm, das zeigt, wo Microsoft Copilot-Interaktionsdaten in Exchange Online, SharePoint, OneDrive und SharePoint Embedded gespeichert werden und wie Microsoft Purview Audit, eDiscovery, Kommunikationscompliance und Aufbewahrung auf jeden Standort angewendet werden.

Die folgenden Speicherorte speichern Copilot-bezogene Daten:

  1. Überwachungsprotokolle (Microsoft Purview Audit): Microsoft Purview Audit protokolliert automatisch Copilot-Interaktionen. Jeder Überwachungsdatensatz zeigt, wer mit Copilot interagiert hat, wann und wo die Interaktion stattgefunden hat und auf welche Dateien, Websites oder anderen Ressourcen Copilot zugegriffen hat, um die Antwort zu generieren. Überwachungsdatensätze enthalten nicht den Text von Eingabeaufforderungen oder Antworten. Um diesen Text anzuzeigen, verwenden Sie eDiscovery oder die Verwaltung des Datensicherheitsstatus-Management (Data Security Posture Management, DSSM) für KI.

  2. Postfach des Benutzers (Exchange Online): In einem verborgenen Ordner im Postfach des Benutzers werden Benutzereingabeaufforderungen und Copilot-Antworten gespeichert. Sie können diese Inhalte mithilfe von eDiscovery durchsuchen, mithilfe von Communication Compliance überwachen und mithilfe von Aufbewahrungsrichtlinien verwalten.

  3. Archivbibliotheken (SharePoint und OneDrive): Wenn eine Aufbewahrungsrichtlinie für Cloudanlagen gilt, werden in der Archivbibliothek der SharePoint-Website oder des OneDrive-Kontos, in dem die Datei gespeichert ist, Versionen von Dateien beibehalten, auf die Copilot verwiesen hat.

  4. Files hochgeladen in Copilot Chat (OneDrive): In diesem Ordner im OneDrive des Benutzers werden Dateien gespeichert, die Benutzer auf Copilot Chat hochladen.

  5. Copilot-Seiten und Copilot-Notizbücher (SharePoint Embedded): Ein SharePoint Embedded-Container im Besitz eines Benutzers speichert Copilot-Seiten und Copilot-Notizbücher. Loop Mein Arbeitsbereich verwendet denselben Container. Weitere Informationen finden Sie unter Übersicht über den Speicher für Copilot-Seiten und -Copilot-Notizbücher.

Die Aufbewahrung und Löschung dieser Daten erfolgt gemäß Ihren konfigurierten Aufbewahrungsrichtlinien für Microsoft Purview.

Weitere Informationen finden Sie unter:

Verwandte Themen

  • Zuletzt aktualisiert um