Microsoft Copilot FADP-konform einsetzen: Checkliste für Schweizer KMU

Seit Dezember 2025 ist Microsoft 365 Copilot Business für Unternehmen mit weniger als 300 Mitarbeitenden verfügbar – für rund CHF 21 pro Nutzer und Monat. Das macht KI-gestützte Produktivität erstmals auch für Schweizer KMU zugänglich und bezahlbar. Copilot fasst E-Mails zusammen, erstellt Präsentationen aus Notizen, analysiert Excel-Daten und generiert Texte direkt in Word.

Doch genau hier liegt das Problem: Copilot durchsucht alles, worauf ein Nutzer Zugriff hat. Wenn Ihre SharePoint-Berechtigungen nicht sauber konfiguriert sind, kann Copilot vertrauliche Dokumente an unbefugte Mitarbeitende «surfacen» – also in Zusammenfassungen oder Vorschlägen anzeigen. Laut Microsoft selbst ist dies der häufigste Fehler bei Copilot-Einführungen.

Für Schweizer KMU unter dem revDSG (FADP) und potenziell dem EU AI Act bedeutet das: Eine Copilot-Einführung ohne Datenschutz-Vorbereitung ist nicht nur riskant – sie kann teuer werden. Dieser Artikel gibt Ihnen eine konkrete Checkliste, damit Sie Copilot sicher und konform einsetzen können.

Warum ist Copilot Datenschutz-relevant – und was kann schiefgehen?

Copilot ist kein harmloses Textgenerierungs-Tool. Es ist ein KI-Agent, der auf Ihre gesamte M365-Umgebung zugreifen kann – E-Mails, Dateien in OneDrive und SharePoint, Teams-Chats, OneNote-Notizbücher, und Kalendereinträge. Es zeigt Ergebnisse basierend auf dem Zugriffsrecht des jeweiligen Nutzers an. Das klingt sicher, ist es aber oft nicht.

Das häufigste Problem: Oversharing. In vielen KMU haben Mitarbeitende Zugriff auf weit mehr Dateien, als sie für ihre Arbeit benötigen. Solange niemand aktiv danach sucht, fällt das nicht auf. Copilot sucht aber aktiv – und zeigt die Ergebnisse an. Ein Beispiel aus der Praxis:

• Der Praktikant fragt Copilot: «Fasse die wichtigsten Punkte aus dem letzten Management-Meeting zusammen.» Copilot findet die Notizen auf SharePoint – weil der Praktikant technisch gesehen Lesezugriff auf den Management-Ordner hat – und fasst Gehaltsdiskussionen und Entlassungspläne zusammen.
• Eine Mitarbeiterin bittet Copilot, eine Kundenpräsentation zu erstellen. Copilot zieht Daten aus einer internen Wettbewerbsanalyse – die nie für Kunden bestimmt war.

Beide Szenarien sind keine Copilot-Fehler. Copilot tut genau das, wofür es entwickelt wurde. Das Problem sind die Zugriffsrechte.

Checkliste: Copilot FADP-konform einrichten (vor dem Rollout)

Bevor Sie eine einzige Copilot-Lizenz zuweisen, müssen diese 7 Punkte erledigt sein. Die Reihenfolge ist wichtig – jeder Schritt baut auf dem vorherigen auf.

✅ 1. SharePoint-Berechtigungen aufräumen

Das ist der wichtigste Schritt – und der, den die meisten überspringen. Prüfen Sie jeden SharePoint-Site und jede Dokumentenbibliothek: Wer hat Zugriff? Gibt es «Alle Mitarbeiter»-Berechtigungen auf sensiblen Ordnern? Entfernen Sie unnötige Zugriffsrechte. Copilot kann nur anzeigen, worauf ein Nutzer Zugriff hat – also stellen Sie sicher, dass die Zugriffsrechte stimmen.

Typische Fehler: «Jeder ausser Externe»-Gruppen auf Management-SharePoints. Alte Team-Sites mit globalen Leserechten. Geteilte OneDrive-Ordner, die nie «ent-shared» wurden.

✅ 2. Sensitivity Labels konfigurieren

Microsoft Purview Sensitivity Labels klassifizieren Dokumente nach Vertraulichkeitsstufe. Erstellen Sie mindestens drei Labels:

Sensitivity Labels können manuell von Nutzern gesetzt oder automatisch anhand von Inhalten (z.B. AHV-Nummern, IBAN-Nummern) zugewiesen werden.

✅ 3. Copilot-Zugriff auf sensible Datenquellen einschränken

Standardmässig durchsucht Copilot alle M365-Dienste. Sie können und sollten den Zugriff einschränken:

• SharePoint Restricted Content Discoverability: Markieren Sie Sites, die Copilot nicht indexieren darf
• Compliance-Barrieren: Definieren Sie «Information Barriers» zwischen Abteilungen (z.B. HR-Daten dürfen nicht in Marketing-Copilot-Antworten erscheinen)
• Retention Labels: Stellen Sie sicher, dass Copilot keine Daten anzeigt, die bereits zur Löschung markiert sind

✅ 4. DLP-Richtlinien für Copilot-Outputs erstellen

Microsoft Purview DLP (Data Loss Prevention) kann auch auf Copilot-generierte Inhalte angewendet werden. Erstellen Sie Regeln, die verhindern, dass Copilot-Outputs sensible Daten enthalten:

• Blockieren Sie die Weitergabe von Dokumenten mit AHV-Nummern per E-Mail
• Warnen Sie, wenn Copilot in einer E-Mail-Antwort Kundendaten einfügt
• Verhindern Sie den Download von Copilot-generierten Zusammenfassungen mit vertraulichen Inhalten

✅ 5. Audit-Logging aktivieren

Aktivieren Sie das M365 Audit Log für Copilot-Interaktionen. So können Sie nachverfolgen:

• Welche Nutzer Copilot wofür verwenden
• Auf welche Datenquellen Copilot zugreift
• Welche Dokumente in Copilot-Antworten referenziert werden

Dies ist nicht nur für die Compliance relevant, sondern auch für die Optimierung: Sie sehen, wo Copilot den grössten Nutzen bringt und wo es Probleme gibt.

✅ 6. Mitarbeiter schulen

Die beste technische Konfiguration nützt nichts, wenn Mitarbeitende Copilot falsch nutzen. Schulen Sie mindestens diese Punkte:

• Was Copilot kann und was nicht: Copilot «erfindet» manchmal Inhalte (Halluzinationen). Kritische Dokumente immer manuell prüfen.
• Was man nicht in Copilot-Prompts eingeben sollte: Keine Kundendaten in Prompts, die nicht im M365-Kontext bleiben.
• Sensitivity Labels verwenden: Mitarbeitende müssen wissen, wie sie Dokumente korrekt klassifizieren.

✅ 7. Datenschutz-Folgenabschätzung (DSFA) durchführen

Das revDSG verlangt eine DSFA, wenn eine Datenbearbeitung ein hohes Risiko für die Persönlichkeit der betroffenen Personen mit sich bringt. Eine Copilot-Einführung, die auf E-Mails, Dateien und Chats zugreift, fällt in der Regel in diese Kategorie. Dokumentieren Sie:

• Welche Personendaten Copilot verarbeitet
• Wo die Daten verarbeitet werden (Microsoft EU Data Boundary oder Schweiz)
• Welche Schutzmassnahmen Sie getroffen haben
• Warum der Nutzen das Risiko rechtfertigt

Was kostet eine FADP-konforme Copilot-Einführung?

Weniger als Sie denken – wenn Sie es richtig angehen.

Zum Vergleich: Eine einzelne Datenschutzverletzung unter dem revDSG kann Bussen bis CHF 250'000 nach sich ziehen – plus Reputationsschaden, der für ein KMU existenzbedrohend sein kann.

Microsoft-Stack oder Swiss-hosted – muss man wählen?

Nein. Die klügste Strategie für Schweizer KMU ist ein Hybrid-Ansatz.

Nutzen Sie Microsoft Copilot für den täglichen Büroalltag: E-Mail-Zusammenfassungen, Präsentationsentwürfe, Datenanalyse in Excel, Meeting-Protokolle in Teams. Diese Anwendungsfälle sind relativ risikoarm, wenn die Berechtigungen stimmen.

Für sensible Prozesse – Treuhandarbeit mit Mandantendaten, juristische Dokumente, Gesundheitsdaten, strategische Planungen – evaluieren Sie Swiss-hosted KI-Lösungen. Die Daten verlassen die Schweiz nicht, und Sie haben volle Kontrolle über Verarbeitung und Speicherung.

Die Positionierung ist nicht «Microsoft oder Schweiz», sondern: «Microsoft für Produktivität, Swiss-hosted für Souveränität – und Governance für beides.»

Fazit: Copilot ist mächtig – aber nur mit Governance

Microsoft Copilot ist das produktivste Tool, das je in den Büroalltag eingeführt wurde. Aber Produktivität ohne Governance ist ein Risiko. Für Schweizer KMU bedeutet das: Nicht blind ausrollen, sondern vorbereiten. Die 7-Punkte-Checkliste in diesem Artikel gibt Ihnen einen klaren Fahrplan.

Die gute Nachricht: Die meisten der benötigten Tools (Purview, Sensitivity Labels, Conditional Access) sind bereits in Ihrer M365-Lizenz enthalten. Sie müssen sie nur aktivieren und konfigurieren. Das ist eine Investition von wenigen Tagen – die Ihr Unternehmen vor erheblichen Risiken schützt.

Wer jetzt handelt, hat einen doppelten Vorteil: Sichere KI-Nutzung ab Tag 1 und einen Vorsprung gegenüber Wettbewerbern, die Copilot entweder ignorieren oder unkontrolliert einsetzen.