Microsoft hat die Learn-Dokumentation zu Microsoft Purview DLP für Microsoft 365 Copilot und Copilot Chat am 5. Oktober 2026 aktualisiert. Für KMU ist daran besonders wichtig: DLP kann Copilot nicht nur bei Dateien und klassischen Datenflüssen steuern, sondern auch bei Prompts, externer Websuche und externen E-Mails. Damit entsteht ein konkreter Prüfpunkt für alle Unternehmen, die Copilot bereits nutzen oder einführen wollen und verhindern möchten, dass sensible Eingaben oder nicht vertrauenswürdige externe Inhalte ungeprüft in KI-Antworten einfließen.
Was Microsoft aktualisiert hat
Die Microsoft-Learn-Seite beschreibt die Policy-Location „Microsoft 365 Copilot and Copilot Chat“ in Microsoft Purview Data Loss Prevention. Sie kann Copilot, Copilot Chat und Cowork daran hindern, bestimmte Inhalte zu verarbeiten oder externe Websuche als Grounding-Quelle zu nutzen. Neu herausgestellt ist außerdem die Vorschau für externe E-Mails: Wenn eine DLP-Regel die Bedingung „Email is received from > External users“ nutzt, werden externe E-Mails laut Microsoft aus Grounding, Zusammenfassung und Zitierung ausgeschlossen. Die E-Mail selbst bleibt für den Nutzer zugänglich; die Einschränkung betrifft die Copilot-Verarbeitung.
Warum das für kleinere Unternehmen zählt
In Unternehmen mit 10 bis 250 Arbeitsplätzen werden Copilot-Funktionen oft zuerst in kleinen Pilotgruppen eingeführt. Genau dort entstehen aber reale Risiken: Nutzer können sensible Daten in Prompts schreiben, externe Websuche aktivieren oder Copilot bitten, Postfächer zusammenzufassen. Microsoft nennt dafür konkrete Kontrollen. DLP kann sensitive Information Types in Prompts erkennen, Websuche bei sensiblen Prompts blockieren, Inhalte mit Sensitivitätslabels aus der Verarbeitung ausschließen und externe E-Mails als nicht vertrauenswürdige Quelle behandeln.
- Sensible Prompts können vollständig von der Verarbeitung ausgeschlossen werden.
- Externe Websuche kann blockiert werden, wenn der Prompt sensible Informationstypen enthält.
- Dateien und E-Mails mit Sensitivitätslabels können aus Copilot-Antworten ausgeschlossen werden.
- Externe E-Mails können in der Vorschau aus Grounding, Zusammenfassung und Zitierung herausgenommen werden.
Damit ist das Thema keine Lizenzberatung, sondern eine technische Schutzmaßnahme in Data Loss Prevention und Microsoft-365-Betrieb.
Fristen und Verfügbarkeit richtig einordnen
Microsoft nennt für die aktualisierte Learn-Seite keine harte Umstellungsfrist. Deshalb ist das Thema kein Notfallprojekt. Es gibt aber klare Verfügbarkeitsgrenzen: Die externe E-Mail-Kontrolle ist als Preview beschrieben. Das Blockieren sensibler Prompts ist ebenfalls als Preview gekennzeichnet und wird laut Microsoft an Tenants mit Microsoft 365 Copilot und Copilot Chat ausgerollt. DLP für Dateien und E-Mails mit Sensitivitätslabels ist verfügbar, ebenso die Möglichkeit, externe Websuche bei sensiblen Prompts zu verhindern.
Für die Planung heißt das: Nicht blind einschalten, sondern Pilotgruppe, Simulation und Fachbereichstest nutzen. Microsoft weist außerdem darauf hin, dass DLP-Änderungen bis zu vier Stunden brauchen können, bis sie in Microsoft 365 Copilot und Copilot Chat sichtbar werden. Diese Verzögerung gehört in jeden Testplan.
Welche Grenzen Administratoren kennen müssen
Die Quelle nennt mehrere Einschränkungen, die vor einer produktiven Aktivierung wichtig sind. In einer Regel können die Bedingungen „Content contains sensitive info types“ und „Content contains sensitivity labels“ nicht kombiniert werden. Dafür braucht es getrennte Regeln. Hochgeladene Dateien in Prompts werden von DLP nicht inhaltlich gescannt; DLP prüft nur den getippten Prompttext. Kalender-Einladungen werden bei der beschriebenen Datei- und E-Mail-Abdeckung nicht unterstützt. Bei externen E-Mails wird laut Microsoft nur die Absenderdomäne gegen akzeptierte Mandantendomänen bewertet, nicht der Nachrichtentext.
Diese Grenzen sind für ein sauberes Microsoft-Purview-Konzept entscheidend. Wer sie nicht dokumentiert, erwartet schnell mehr Schutz als die Regel tatsächlich liefert.
Konkrete nächste Schritte
Der sinnvolle nächste Schritt ist eine technische Bestandsaufnahme der Copilot-Nutzung und der vorhandenen Purview-DLP-Struktur. Danach kann ein enger Pilot aufgebaut werden, bevor Regeln produktiv greifen.
- Ermitteln Sie, welche Nutzer Microsoft 365 Copilot oder Copilot Chat bereits verwenden.
- Prüfen Sie, welche Sensitive Information Types und Sensitivitätslabels fachlich wirklich passen.
- Starten Sie DLP-Regeln für Copilot zuerst in Simulation oder mit begrenzter Pilotgruppe.
- Testen Sie externe Websuche, sensible Prompts, gelabelte Dateien und externe E-Mail-Szenarien getrennt.
- Dokumentieren Sie Nutzerhinweise, Ausnahmen, Rollback und die vierstündige Änderungsverzögerung.
Offizielle Microsoft-Quellen
- Microsoft Learn: Microsoft Purview DLP for Microsoft 365 Copilot and Cowork
- Microsoft Learn: Create and deploy a data loss prevention policy
Wenn Sie Copilot sicher einführen oder bestehende Regeln prüfen möchten, verbinden wir Microsoft Security Copilot, Purview DLP und ein technisches Microsoft Security Assessment zu einem kontrollierten Pilot mit klarer Abgrenzung zur rechtlichen Bewertung.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
