Zugriffsrechte vor dem KI-Wissensassistenten prüfen

Ein KI-Wissensassistent ist erst dann für einen Nutzerkreis bereit, wenn seine Antworten die vorgesehenen Zugriffsgrenzen einhalten. Dazu reicht ein erfolgreicher Test mit einem Administratorkonto nicht aus. Du musst mit unterschiedlichen Rollen prüfen, welche Dokumente, Ausschnitte und abgeleiteten Informationen tatsächlich sichtbar werden.

Der folgende Leitfaden richtet sich an Wissensverantwortliche und IT. Er beschreibt eine Rollenmatrix und einen ausführbaren Abnahmetest. Die Ordner, Rollen und Dokumente im Beispiel sind fiktiv. Nutze für Negativtests künstliche vertrauliche Inhalte mit eindeutigen Testmarkierungen, damit keine echten personenbezogenen oder geschäftskritischen Angaben in Prüfprotokolle gelangen.

Bestehende Rechte sind nicht automatisch richtige Rechte

Ein System kann vorhandene Berechtigungen technisch korrekt berücksichtigen und trotzdem Informationen an einen zu breiten Personenkreis ausgeben. Dann liegt die Ursache in den Freigaben selbst. Ein seit Jahren für "Alle Mitarbeitenden" freigegebener Ordner wird durch einen Wissensassistenten leichter auffindbar, obwohl sein Inhalt nur für eine kleine Funktion bestimmt ist.

Microsoft beschreibt für Copilot die Berücksichtigung bestehender Berechtigungen, Freigaben und Richtlinien. Diese Produkteigenschaft ist keine Bestätigung, dass dein konkreter Mandant richtig eingerichtet ist. Die Prüfung muss deshalb zwei Fragen getrennt beantworten: Stimmen die vergebenen Rechte fachlich? Und setzt der Assistent sie im beobachteten Zugriffspfad durch?

Auch eine eingeschränkte Auffindbarkeit ist kein Rechteentzug. Restricted Content Discovery für SharePoint begrenzt bestimmte Such- und Copilot-Oberflächen, ändert laut Microsoft aber nicht die bestehenden Berechtigungen. Bereits berechtigte Nutzer können Inhalte weiterhin direkt erreichen. Die Funktion darf deshalb nicht als Ersatz für eine Bereinigung zu weiter Freigaben eingeplant werden.

Den Prüfbereich klar abgrenzen

Erfasse zuerst die tatsächlich angeschlossenen Quellen. Ein Team denkt häufig an eine Dokumentbibliothek, während der Assistent zusätzlich Webseiten, Anhänge oder andere Connectoren durchsucht. Die Rollenmatrix muss jeden relevanten Quelltyp berücksichtigen. Eine erfolgreiche Prüfung eines SharePoint-Ordners sagt nichts über einen separat eingebundenen Dateispeicher aus.

Notiere für jede Quelle den Eigentümer, den vorgesehenen Nutzerkreis und den technischen Zugriffspfad. Erfolgt der Abruf im Kontext des angemeldeten Nutzers oder mit einem gemeinsamen Dienstkonto? Wenn ein Dienstkonto mehr Rechte besitzt als die fragende Person, muss die Anwendung eine geeignete Zugriffskontrolle vor der Antwort erzwingen. Ein Hinweis im Prompt ist dafür keine belastbare technische Grenze.

Die OWASP-Einordnung zu übermässigen Berechtigungen und Handlungsmöglichkeiten erklärt, warum unnötige Rechte die möglichen Folgen falscher Modellausgaben vergrössern. Für einen reinen Wissensassistenten ist die praktische Konsequenz: Lesende Recherche braucht keine pauschalen Schreib- oder Löschrechte. Dieser Artikel prüft den Leseumfang; ausführende Aktionen brauchen eine zusätzliche Abnahme.

Eine Rollenmatrix für den fiktiven Pilot

Im Beispiel gibt es drei Rollen und vier Dokumentgruppen. Servicebearbeitung darf freigegebene Produktinformationen lesen. Teamleitung erhält zusätzlich interne Ablaufunterlagen. Personalverwaltung besitzt Zugriff auf künstliche Personalakten. Keine Rolle erhält allein aufgrund ihrer Testteilnahme automatisch weitere Rechte.

Die letzte Zeile betrifft die Quellenfreigabe zusätzlich zur Benutzerberechtigung. Eine Person kann aus anderen Gründen Zugriff auf ein Archiv haben, während dessen Inhalte für aktuelle Antworten ungeeignet sind. Fachliche Gültigkeit und Zugriffserlaubnis sind verschiedene Eigenschaften. Die Anleitung zum Aktualisieren einer KI-Wissensdatenbank behandelt die Gültigkeit der Inhalte.

Vor dem Test unterschreiben keine erfundenen Personen eine Matrix. In deinem Betrieb muss der zuständige Inhaltseigentümer den vorgesehenen Nutzerkreis bestätigen. Ohne diese fachliche Festlegung kann die IT zwar Rechte auslesen, aber nicht entscheiden, ob sie passend sind.

Positive und negative Tests gehören zusammen

Ein positiver Test fragt nach erlaubtem Wissen. Die Servicerolle fragt beispielsweise nach einem freigegebenen Produktmerkmal und erhält die richtige Antwort mit zugänglicher Quelle. Ein negativer Test fragt nach einem gesperrten Testdokument. Die Antwort darf dessen Inhalt nicht preisgeben. Beide Tests sind nötig: Eine leere Antwort auf alles schützt zwar vor Offenlegung, erfüllt aber nicht den Arbeitszweck.

Gib jeder künstlichen vertraulichen Datei eine eindeutige Markierung, etwa TEST-PERSONAL-47. Frage zuerst direkt nach dieser Markierung und danach indirekt nach dem enthaltenen Sachverhalt. Prüfe auch Zusammenfassungen, Vergleiche und Folgefragen. Ein System kann den direkten Dokumentaufruf korrekt verweigern und trotzdem einen Inhalt aus einem früheren Verlauf wiedergeben.

Bewerte mehr als den Haupttext. Dateinamen, Vorschauen, Zitate und Downloadlinks können ebenfalls Informationen offenlegen. Bei einer echten Personalakte kann bereits der Titel sensibel sein. Die Soll-Regel muss daher festlegen, ob ein gesperrtes Dokument überhaupt erwähnt werden darf. Ein verborgenes Dokument mit sichtbarem vertraulichem Dateinamen besteht eine entsprechend strenge Prüfung nicht.

Den Test mit echten Rollenkontexten ausführen

Nutze getrennte, dafür freigegebene Testkonten oder vorhandene Testrollen. Das Administratorkonto ist kein Stellvertreter für eine Servicerolle. Prüfe vor jedem Durchlauf die aktive Identität. Verwechsle einen Rollenwechsel in einer Dokumentation nicht mit einem tatsächlich gewechselten Sitzungskontext.

Für jeden Test speicherst du Rollenkennung, Frage, erwartetes Verhalten, beobachtete Antwort und verwendete Quelle. Screenshots ergänzen den Nachweis, ersetzen aber nicht die Zuordnung. Ein Bild ohne sichtbaren Rollenkontext lässt später offen, welches Konto den Inhalt gesehen hat.

Im fiktiven Test fragt die Servicerolle nach TEST-PERSONAL-47. Die erwartete Antwort enthält keine Personaldaten und keinen zugänglichen Quellenlink. Anschliessend stellt die Personalrolle dieselbe Frage. Sie erhält die freigegebenen künstlichen Daten mit Quelle. Das Paar prüft sowohl die Sperre als auch die Nutzbarkeit des erlaubten Zugriffs.

Änderungen an Berechtigungen nachprüfen

Eine einmalige Abnahme deckt den späteren Entzug von Rechten nicht ab. Ergänze deshalb einen Änderungstest: Eine zuvor berechtigte Testrolle verliert den Zugriff. Danach prüfst du den direkten Dokumentzugriff und die Antwort des Assistenten erneut. Dokumentiere den Zeitpunkt der Änderung sowie den Zeitpunkt jeder Beobachtung.

Bei verteilten Such- und Indexsystemen können Änderungen zeitversetzt wirksam werden. Die Microsoft-Dokumentation zu Restricted Content Discovery weist auf diese Weitergabezeit hin. Für deine konkrete Berechtigungsänderung muss die zuständige IT die tatsächlich verwendete Funktion und deren Verhalten prüfen. Übertrage keine Wartezeit aus einer anderen Funktion oder einem anderen Produkt.

Wenn alte Inhalte in einem Gespräch sichtbar bleiben, unterscheide gespeicherten Verlauf von neuem Abruf. Eine bereits rechtmässig gelesene Antwort verschwindet nicht zwingend durch den späteren Rechteentzug. Die Produkt- und Aufbewahrungsregeln müssen dafür separat bewertet werden. Ein frischer Test in einer neuen Sitzung prüft den aktuellen Abruf, nicht die nachträgliche Entfernung früherer Kopien.

Was bei einem Fehlfund passieren muss

Ein unerlaubter Inhalt im Negativtest ist ein Freigabehindernis für den betroffenen Zugriffspfad. Sichere den minimal nötigen Nachweis mit künstlichen Daten. Die IT untersucht Quelle, Gruppenmitgliedschaft, direkte Freigaben und Connector-Kontext. Der Wissensverantwortliche entscheidet, welche Inhalte bis zur Klärung aus dem Pilot genommen werden.

Behebe die Ursache an der passenden Stelle. Ein Prompt wie "Zeige keine vertraulichen Inhalte" korrigiert keine zu breite Dateifreigabe. Das Entfernen einer Quelle aus einer Suchoberfläche korrigiert nicht zwingend den direkten Zugriff. Umgekehrt ist das pauschale Sperren aller Quellen keine dauerhafte Lösung für einen falsch konfigurierten Connector.

Nach der Änderung wiederholst du den fehlgeschlagenen Test und mindestens einen erlaubten Zugriff. So erkennst du, ob die Korrektur das Problem behebt und die benötigte Arbeit weiterhin ermöglicht. Halte die geprüfte Konfiguration mit Version oder Änderungskennung fest; eine später andere Konfiguration trägt den alten Nachweis nicht automatisch weiter.

Verschachtelte Freigaben und gemeinsame Konten untersuchen

Eine Rollenmatrix zeigt den Soll-Zustand. Der tatsächliche Zugriff kann über mehrere Wege entstehen: direkte Freigabe, Gruppenmitgliedschaft oder vererbte Berechtigung. Deshalb muss die IT bei einem unerwarteten Zugriff den effektiven Berechtigungspfad untersuchen. Das Entfernen einer sichtbaren direkten Freigabe hilft nicht, wenn dieselbe Person über eine andere Gruppe weiterhin Zugriff besitzt.

Prüfe auch technische Konten, die für den Connector eingerichtet wurden. Ein gemeinsam genutztes Konto kann die Unterschiede zwischen den Endnutzern verdecken. Die Anwendung muss dann nachvollziehbar erklären, wie sie die Identität des Fragenden an die Zugriffskontrolle bindet. Wenn diese Verbindung nicht prüfbar ist, ist der Rollenversuch nicht bestanden. Ein korrekter Modelltext nach einigen Testfragen beweist keine verlässliche Zugriffskontrolle.

Der Test darf dabei selbst keine neuen Rechte erzeugen, die später vergessen werden. Dokumentiere temporäre Freigaben mit Zweck und Rücknahme. Nach der Übung wird geprüft, ob die Testkonfiguration dem vorgesehenen Betriebsstand entspricht. Andernfalls prüft das Team eine Sonderwelt, während der reale Assistent mit anderen Berechtigungen arbeitet.

Fachliche Gültigkeit zusätzlich zum Zugriff testen

Ein erlaubtes Dokument kann trotzdem eine falsche Grundlage für eine Antwort sein. Im fiktiven Produktordner liegen eine aktuelle Anleitung und ein veralteter Entwurf. Beide sind für die Servicerolle lesbar, aber nur die aktuelle Anleitung ist für Kundenantworten freigegeben. Der Zugriffstest allein erkennt diesen Unterschied nicht.

Ergänze deshalb einen fachlichen Quellenfilter: Welche Fassung gilt, wer pflegt sie und wie wird eine ersetzte Version markiert? Die KI-Antwort muss den freigegebenen Stand verwenden oder den Widerspruch sichtbar machen. Sie darf nicht eine ältere, ausführlichere Fassung bevorzugen, nur weil diese mehr Text zur Frage enthält.

Die Abnahme enthält dafür zwei getrennte Ergebnisse. Erstens: Die Servicerolle erhält keine gesperrten Personalinformationen. Zweitens: Sie erhält bei erlaubten Produktfragen die aktuelle freigegebene Antwort. Das erste Ergebnis schützt die Zugriffskontrolle, das zweite die Arbeitsqualität. Eine Zusammenfassung "Berechtigungen funktionieren" deckt nur den ersten Teil ab.

Wenn ein Test fehlschlägt, notiere die genaue Frage und den Quellenstand. Eine später erfolgreiche Wiederholung ohne dokumentierte Änderung ist kein ausreichender Reparaturnachweis. Möglicherweise hat das Modell nur eine andere Quelle gewählt. Die Ursache muss an der Berechtigung, der Quellenkonfiguration oder dem nachvollziehbaren Abrufpfad geklärt werden.

Abnahme mit dokumentierten Grenzen

Ein überschaubarer Pilot enthält im Beispiel zwölf Kombinationen aus drei Rollen und vier Dokumentgruppen. Diese Matrix deckt die festgelegten Gruppen ab, aber nicht jeden denkbaren Angriff oder jede spätere Quelle. Zusätzliche direkte und indirekte Fragen erweitern die Prüfung. Sie verwandeln sie nicht in einen vollständigen Sicherheitsnachweis für das gesamte Unternehmen.

Die Abnahme muss nennen, welche Quellen und Rollen geprüft wurden, welche Fälle bestanden und welche Lücken offen sind. Wenn Gäste oder externe Partner nicht im Pilot vorkommen, steht das ausdrücklich im Protokoll. Eine spätere Freigabe für diese Gruppen verlangt neue Tests.

Zum technischen Gesamtbild passt der Beitrag zur Enterprise-Wissensdatenbank. Für den Übergang in einen betreuten Betrieb nutze die Betriebsübergabe nach dem KI-Pilot. Die Zugriffsmatrix wird dabei zur wiederkehrend nutzbaren Prüfbasis, nicht zu einer einmal abgelegten Tabelle.

Quellenstand: 22.10.2026. Microsoft-Quellen beschreiben konkrete Produktfunktionen, OWASP ein Risikomodell. Rollenmatrix und Testverfahren sind eigene Empfehlungen. Eine erfolgreiche Beispielprüfung bestätigt keine Rechtskonformität und keine vollständige Sicherheit eines realen Systems.